ISO 42001 und feindliche KI: Was die Norm wirklich verlangt
Die meisten ISO 42001-Implementierungen, die ich begutachte, behandeln feindliche KI als außerhalb des Anwendungsbereichs liegend. Die Norm tut das nicht.
Es gibt eine bequeme Annahme bei der Herangehensweise von Organisationen an die ISO 42001:2023. Feindliche KI ist KI, die von einem Gegner eingesetzt wird, um die Systeme anzugreifen, von denen eine Organisation abhängig ist, und die ISO 42001 rückt diese Bedrohung über die Kontextanalyse in den Anwendungsbereich. Die Annahme lautet: Die Norm dient der Steuerung der KI, die Sie selbst entwickeln oder einsetzen. Ihre Modelle, Ihre Anwendungsfälle, Ihr Risiko. Daher richtet sich die Implementierung nach innen: ein Inventar der KI-Systeme, eine Folgenabschätzung pro System, Aufsicht und Verantwortlichkeit für die Systeme, die Sie betreiben. Das ist alles richtig, aber es ist unvollständig.
Denn dieselbe Norm verlangt, wenn man sie wortwörtlich liest, auch, dass Sie KI berücksichtigen, die gegen Sie agiert. Dies ergibt sich direkt aus den Governance-Implikationen von KI-beschleunigten Bedrohungen, und genau hier haben die meisten Programme einen blinden Fleck.
Was die Kontext-Klauseln wirklich besagen
Die ISO 42001:2023 beginnt, wie alle Managementsystemnormen, mit dem Kontext. Kap. 4.1 verlangt, dass die Organisation die externen und internen Themen bestimmt, die für ihren Zweck relevant sind und ihre Fähigkeit beeinflussen, die beabsichtigten Ergebnisse ihres KI-Managementsystems zu erreichen. Kap. 4.2 verlangt, dass sie die interessierten Parteien und deren relevanten Anforderungen bestimmt.
Liest man diese beiden Klauseln ohne die nach innen gerichtete Annahme, wird etwas deutlich. Ein externes Thema, das Ihr KI-Managementsystem beeinflusst, ist nicht nur Ihre eigene KI-Nutzung. Wenn Gegner KI einsetzen, um Angriffe gegen die Systeme zu beschleunigen, von denen Ihre Organisation abhängig ist, dann ist das bei jeder ehrlichen Auslegung ein externes Thema gemäß Kap. 4.1. Es beeinflusst Ihre Fähigkeit, die Ergebnisse zu erzielen, für die Ihr Managementsystem existiert. Dies wegzulassen, ist keine vertretbare Entscheidung zur Festlegung des Anwendungsbereichs. Es ist ein Versäumnis.
Dies ist die „feindliche Lücke“. Interne KI-Governance beantwortet die Frage: „Wie betreiben wir unsere KI verantwortungsbewusst?“. Sie beantwortet nicht: „Wie verändert gegen uns eingesetzte KI unsere Risikoumgebung?“. Beide Fragen sind in der ISO 42001 verankert. In den Implementierungen, die ich prüfe, umfasst die erste Frage in der Regel Dutzende von Seiten Dokumentation, die zweite null.
Vom Kontext zur Risikobeurteilung
Die Lücke schließt sich nicht bei den Kontext-Klauseln. Sie zieht sich direkt weiter zu Kap. 6.1, der Anforderung zur Risikobeurteilung. Wenn die Kontextanalyse gemäß Kap. 4.1 feindliche KI als externes Thema anerkennt, muss die Risikobeurteilung diese behandeln. Man kann keinen relevanten externen Faktor benennen und ihn anschließend aus dem Risikoprozess ausschließen, ohne die interne Logik der Norm zu brechen.
In der Praxis bedeutet dies, dass die Risikobeurteilung abwägen muss, wie KI-beschleunigte Bedrohungen die Wahrscheinlichkeit und die Geschwindigkeit der bereits im Register stehenden Risiken verändern. Eine Schwachstelle, die zuvor langsam genug ausgenutzt worden wäre, um sie im nächsten Review-Zyklus abzufangen, befindet sich nun in einer anderen Risikoklasse, da das Zeitfenster für die Ausnutzung komprimiert wurde. Das ist eine Veränderung des Risikobildes, und die ISO 42001 verlangt, dass dies bewertet, dokumentiert und überprüft wird.
Ein KI-Governance-Programm, das die interne Modellaufsicht bis ins Detail dokumentiert, aber nichts über feindliche KI aussagt, ist keine gründliche Implementierung mit einer kleinen Lücke. Bei einer genauen Auslegung von Kap. 4.1 und Kap. 6.1 ist es strukturell unvollständig.
Warum dies für Auditoren und Implementierer wichtig ist
Für jeden, der die ISO 42001 implementiert oder auditiert, ändert dies die Definition von „fertig“. Ein konformes KI-Managementsystem ist nicht ein System, das jeden internen KI-Anwendungsfall katalogisiert hat und dort stehen geblieben ist. Es ist ein System, dessen Kontextanalyse die Bedrohungsumgebung ehrlich widerspiegelt – einschließlich des Teils dieser Umgebung, der selbst KI-gesteuert ist – und dessen Risikobeurteilung konsequent auf dem aufbaut, was im Kontext festgestellt wurde.
Wenn ich dies auditiere, ist die Prüfung einfach. Benennt die Kontextanalyse feindliche KI als externes Thema? Wenn ja, behandelt die Risikobeurteilung diese dann auch tatsächlich? Wenn die Antwort auf die erste Frage „Nein“ lautet, wurde der Anwendungsbereich zu eng gefasst. Wenn die Antwort auf die erste Frage „Ja“, auf die zweite jedoch „Nein“ lautet, ist das Managementsystem intern nicht konsistent.
Dies hängt direkt damit zusammen, wie der Rhythmus der Managementbewertung funktionieren muss, denn eine Risikoumgebung, die KI-Geschwindigkeitsbedrohungen umfasst, kann nicht nach einem jährlichen Zeitplan überprüft werden und dabei sinnvoll bleiben. Das ist das Thema des nächsten Artikels: wie Sie den Review-Rhythmus neu kalibrieren. Wenn Sie die ISO 42001 implementieren oder sich auf ein Audit vorbereiten und Ihre Kontextanalyse bei der internen KI-Nutzung endet, dann ist dies die Lücke, die es vor der Zertifizierung zu schließen gilt, nicht danach. iQomply unterstützt Sie dabei.
Häufig gestellte Fragen
Wortwörtlich gelesen deckt sie beides ab. Kap. 4.1 verlangt, dass die Organisation externe Themen bestimmt, die ihr KI-Managementsystem beeinflussen. Feindliche KI ist bei jeder ehrlichen Auslegung ein externes Thema. Die meisten Implementierungen konzentrieren sich nur auf die interne KI-Nutzung, wodurch die feindliche Dimension unbehandelt bleibt.
Sie ergibt sich aus den Kontext-Klauseln, Kap. 4.1 und Kap. 4.2, und setzt sich bis zur Anforderung der Risikobeurteilung in Kap. 6.1 fort. 6.1. Wenn die Kontextanalyse feindliche KI als relevant identifiziert, muss die Risikobeurteilung diese behandeln. Die Anforderung liegt eher in der internen Logik der Norm selbst begründet, als dass sie als separate Klausel formuliert ist.
Geprüft wird, ob die Kontextanalyse feindliche KI als externes Thema benennt und ob die Risikobeurteilung diese anschließend behandelt. Lässt die Kontextanalyse dies weg, ist der Anwendungsbereich zu eng gefasst. Wird es benannt, aber vom Risikoprozess ignoriert, ist das Managementsystem intern nicht konsistent.
Nicht automatisch, aber es ist unvollständig. Ein Programm, das die interne Modellaufsicht gründlich dokumentiert, während es feindliche KI ignoriert, weist eine strukturelle Lücke in seiner Kontext- und Risikoanalyse auf. Diese Lücke vor der Zertifizierung zu schließen, ist vertretbarer, als sie während eines Überwachungsaudits zu entdecken.
