ISO 42001: Das Managementsystem für Künstliche Intelligenz

Die ISO 42001 ist die erste zertifizierbare internationale Norm für das Management von Künstlicher Intelligenz. Sie wurde als ISO/IEC 42001:2023 veröffentlicht und definiert die Anforderungen an ein AI Management System (AIMS): ein Managementsystem, das Organisationen befähigt, KI verantwortungsvoll, dokumentiert und überprüfbar zu entwickeln und einzusetzen. Wer die Logik der ISO 27001 kennt, wird sich sofort zurechtfinden; wer sie nicht kennt, dem erklärt dieser Artikel sie ohne Fachjargon.

Was ein AIMS ist, einfach erklärt

Ein AI Management System ist die Gesamtheit der Regeln, Rollen, Prozesse und Kontrollen, mit denen eine Organisation die von ihr entwickelte oder genutzte Künstliche Intelligenz steuert. Wie jedes ISO-Managementsystem folgt es der harmonisierten Struktur: Kontext und interessierte Parteien, Führung und Politik, Risikobewertung, Ziele, operative Kontrollen, Überwachung, interne Audits und kontinuierliche Verbesserung.

Das bedeutet praktisch: zu wissen, welche KI-Systeme Sie einsetzen und welchem Zweck sie dienen, wer dafür verantwortlich ist, welche Risiken sie für wen bergen, welche Kontrollen sie absichern und wie Sie über die Zeit die ordnungsgemäße Funktion überprüfen. Nichts Esoterisches: Es ist Unternehmensführung, angewendet auf eine Technologie, die im Gegensatz zu einer Verwaltungssoftware auf neue und kaum vorhersehbare Weisen Fehler machen kann.

Die KI-Risikobewertung: Was sich gegenüber der klassischen Sicherheit ändert

Der Kern der Norm ist die Risikobewertung, jedoch mit einem breiteren Rahmen als die Informationssicherheit. Ein KI-System kann aus informationstechnischer Sicht vollkommen sicher und dennoch schädlich sein. Die ISO/IEC 42001:2023 fordert unter anderem die Berücksichtigung von:

• Bias und Diskriminierung: Modelle, die auf verzerrten Daten trainiert wurden und unfaire Entscheidungen gegenüber Personen oder Gruppen treffen;
• Intransparenz: Systeme, deren Output nicht erklärt werden kann, mit Auswirkungen auf Anfechtbarkeit und Vertrauen;
• Leistungsabfall: Modelle, deren Leistung sich mit der Zeit verschlechtert, weil sich der Kontext im Vergleich zu den Trainingsdaten ändert;
• Auswirkungen auf Personen und Gesellschaft: Die Norm verlangt eine Folgenabschätzung von KI-Systemen auf Individuen und Gruppen, nicht nur auf die Organisation;
• Risiken entlang der Lieferkette: Modelle und Komponenten von Drittanbietern, Trainingsdaten unbekannter Herkunft, Abhängigkeit von Lieferanten.

Das ist der kulturelle Wandel: Das Risiko betrifft nicht nur das Unternehmen selbst, sondern auch die Risiken, die das Unternehmen durch den Einsatz von KI für andere schafft.

Der Lebenszyklus von KI-Systemen

Die Norm verlangt die Steuerung von KI-Systemen über ihren gesamten Lebenszyklus hinweg: von der Definition der Anforderungen und Zwecke über die Datenverwaltung, die Entwicklung oder den Einkauf, die Tests, die Freigabe, die Betriebsüberwachung bis zur Stilllegung. Für jede Phase sind klare Verantwortlichkeiten und eine angemessene Dokumentation erforderlich: Wer genehmigt die Produktivsetzung eines Modells, nach welchen Kriterien, wie wird das tatsächliche Verhalten überwacht, wann muss ein System gestoppt oder neu trainiert werden?

Dies gilt sowohl für diejenigen, die KI entwickeln, als auch für diejenigen, die sie nur nutzen: Auch die Einführung eines KI-Dienstes von Drittanbietern muss bewertet, genehmigt und überwacht werden, wie jeder andere kritische Prozess.

Für wen sie relevant ist

Die ISO 42001 betrifft drei Profile. Unternehmen, die KI-basierte Produkte oder Funktionen entwickeln, für die die Zertifizierung ein Alleinstellungsmerkmal gegenüber Kunden und Investoren darstellt. Unternehmen, die KI von Dritten in ihre eigenen Dienste integrieren und nachweisen müssen, dass sie diese kontrollieren. Und Organisationen in regulierten Sektoren oder solche, die NIS2, DSGVO und dem AI Act unterliegen, für die ein AIMS zum natürlichen Rahmen für die anstehenden Anforderungen wird.

Wie bei der 27001 liegt der Wert nicht im Zertifikat an der Wand: Er liegt darin, sofort Antworten bereitzuhaben, wenn ein Kunde, ein Auditor oder eine Behörde fragt, wie Sie KI steuern.

Wo anfangen

Der erste Schritt ist eine ehrliche Bestandsaufnahme der verwendeten oder in Entwicklung befindlichen KI-Systeme und eine Gap-Analyse in Bezug auf die Normvorgaben. PL Consulting begleitet Unternehmen beim Aufbau des AIMS, von der ersten Analyse bis zur Zertifizierung: Entdecken Sie den Service ISO 42001 und fordern Sie eine Gap-Analyse an, um zu wissen, wo Sie beginnen sollen.

Hinweis: informativer Inhalt basierend auf der ISO/IEC 42001:2023; für die genauen Anforderungen ist der offizielle Normtext maßgebend. Artikel aktualisiert im Juli 2026.