ISO 42001 umsetzen: KI steuern, statt sie geschehen zu lassen
ISO/IEC 42001:2023 beschreibt, wie ein Managementsystem für Künstliche Intelligenz aufgebaut wird: von der Rollenklärung über die KI-Risikobewertung bis zur Folgenabschätzung für Betroffene. isidaten bildet die Norm mit einem eigenen Kontrollkatalog ab, statt sie auf ISO 27001 abzubilden.
Was ISO/IEC 42001 fordert
KI kommt in Organisationen selten durch eine Grundsatzentscheidung, sondern durch Werkzeuge: ein Assistent hier, eine Auswertung dort, ein Modell im Fachverfahren. ISO/IEC 42001:2023 setzt dem einen Rahmen entgegen, der wie andere Managementsystem-Normen aufgebaut ist: Klauseln 4 bis 10 für Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung, dazu Anhang A mit 38 Referenzmaßnahmen in neun Maßnahmenzielen und Anhang B als Umsetzungsleitlinie. Die Norm ergänzt die EU-KI-Verordnung, ersetzt sie aber nicht.
Wie isidaten ISO/IEC 42001 abbildet
Jede Anforderung trifft auf ein Modul, das auf derselben Objektbasis arbeitet wie das Risikoregister. So bleibt der Nachweis verbunden, statt über Werkzeuge kopiert zu werden.
KI-Systeme inventarisieren
Eingesetzte KI-Systeme und -Software als Assets führen und nach Risikoklasse der KI-Verordnung einordnen. Ohne dieses Inventar bleibt jede Bewertung Stückwerk.
Zum Modul: IT-Asset-ManagementKI-Risiken bewerten und behandeln
KI-Risiken im Risikoregister führen, bewerten und mit Maßnahmen verbinden. ISO 42001 ist dort als Rahmenwerk auswählbar, ebenso in Maßnahmen und Vorlagen.
Zum Modul: RisikoregisterKontrollkatalog und Nachweise
Der Anhang-A-Katalog liegt OSCAL-nativ vor. Umsetzungen werden je Maßnahme dokumentiert und ergeben die Abdeckung, die das Cockpit ausweist.
Zum Modul: Security AutomationKI-Politik und Richtlinien
Die KI-Politik und die zugehörigen Regelungen als gelenkte Dokumente führen, mit Freigabe, Version und Kenntnisnahme.
Zum Modul: RichtlinienmanagementKI-Anbieter und Lieferkette
Anbieter von KI-Diensten und Modellen als Dienstleister führen, denn ein zugekauftes Modell verlagert die Verantwortung nicht.
Zum Modul: LieferantenmanagementWirksamkeit belegen
Die Wirksamkeit der KI-Maßnahmen bewerten und die fortlaufende Verbesserung nach Klausel 10 belegen.
Zum Modul: WirksamkeitsbewertungHäufige Fragen
Was ist ISO/IEC 42001 genau?
ISO/IEC 42001:2023 ist die erste internationale Norm für ein Managementsystem für Künstliche Intelligenz (AI Management System, AIMS). Sie ist wie ISO 27001 aufgebaut, mit Klauseln 4 bis 10 und einem Anhang A, der 38 Referenzmaßnahmen in neun Maßnahmenzielen enthält. Anhang B liefert die Umsetzungsleitlinie dazu.
Erfülle ich mit ISO 42001 die EU-KI-Verordnung?
Nein. ISO 42001 ist keine harmonisierte europäische Norm und begründet keine Konformitätsvermutung nach der KI-Verordnung. Die Norm hilft dabei, KI systematisch zu steuern, und viele Anforderungen überschneiden sich. Die Pflichten der Verordnung müssen Sie aber gesondert erfüllen.
Brauchen wir das, wenn wir nur KI-Werkzeuge einkaufen?
Auch dann. Wer KI einsetzt, trägt Verantwortung für die Ergebnisse, unabhängig davon, wer das Modell gebaut hat. Genau deshalb verlangt die Norm ein Inventar der eingesetzten Systeme, eine Rollenklärung und eine Folgenabschätzung für Betroffene.
Wie verhält sich ISO 42001 zu ISO 27001?
Beide sind Managementsystem-Normen mit gleicher Grundstruktur, adressieren aber verschiedene Gegenstände: ISO 27001 die Informationssicherheit, ISO 42001 den Umgang mit KI, inklusive Themen wie Transparenz, Datenqualität und Auswirkungen auf Betroffene. In isidaten liegen beide Kataloge nebeneinander auf derselben Objektbasis, sodass Maßnahmen einmal gepflegt und auf beide Rahmenwerke bezogen werden können.
Mehr dazu im isidaten-Journal
Bereit, Ihre Compliance zu vereinfachen?
Vereinbaren Sie eine unverbindliche Demo und erleben Sie isidaten an Ihren eigenen Anwendungsfällen – persönlich und ohne Verpflichtung.