ISO 42001: ein KI-Managementsystem, das in der Praxis funktioniert
ISO/IEC 42001 ist die internationale Norm für KI-Governance. Die Norm legt fest, wer für den KI-Einsatz verantwortlich ist, wie Risiken bewertet werden und wie eine Organisation KI-Anwendungen über den gesamten Lebenszyklus hinweg überwacht.
iQomply implementiert ISO 42001 als funktionierendes Steuerungssystem. Kein theoretisches Rahmenwerk auf dem Papier, sondern ein Managementsystem, das an die bestehende Arbeitsweise der Organisation anknüpft.
Was ist ISO 42001
ISO 42001 beschreibt, wie eine Organisation KI verwaltet und steuert. Die Norm konzentriert sich nicht auf die Technik der KI, sondern auf deren organisatorische Gestaltung: Wer ist verantwortlich, wie werden Entscheidungen getroffen, wie wird der KI-Einsatz dokumentiert und gesteuert.
Die Norm schließt logisch an bestehende Managementsysteme an. Organisationen mit ISO 27001, ISO 9001 oder ISO 22301 erkennen die Struktur wieder und können die Implementierung weitgehend auf dem aufbauen, was bereits vorhanden ist.
Die Norm ruht auf drei Säulen. Governance und Verantwortung: Die Eigenverantwortung für den KI-Einsatz ist formal festgelegt, mit klaren Rollen und Eskalationswegen. Risikogesteuertes KI-Management: Risiken wie Daten-Bias, Erklärbarkeit und menschliche Aufsicht werden systematisch bewertet und gemindert. Lifecycle-Management: KI-Anwendungen werden von der Aufnahme bis zur Ausphasung verwaltet, mit Protokollierung, Validierung und Änderungsmanagement während der gesamten Lebensdauer.
Warum ISO 42001 jetzt relevant ist
In vielen Organisationen ist KI bereits im Einsatz, jedoch ohne dass die Verantwortlichkeiten geklärt sind. Entscheidungen werden ohne formale Aufsicht getroffen. Mitarbeiter nutzen KI-Tools eigeninitiativ, ohne dass die Organisation weiß, welche Daten verarbeitet werden oder wie der Output verwendet wird.
Aufsichtsbehörden, Vorstände und Auftraggeber stellen immer häufiger Fragen zum KI-Einsatz. Der EU AI Act erhöht diesen Druck weiter. Organisationen, die jetzt eine Governance-Struktur einrichten, sind künftig besser aufgestellt – sowohl gegenüber Aufsichtsbehörden als auch gegenüber Kunden und Partnern.
42001 bringt Struktur in bestehende Abläufe. Die Norm schafft nichts völlig Neues, sondern macht sichtbar, was fehlt: Verantwortlichkeit, Protokollierung und eine klare Grenze zwischen dem, was die Organisation mit KI erreichen will und was nicht.
Aus der Audit-Praxis: Die meisten Organisationen, die mit ISO 42001 beginnen, nutzen bereits KI. Die Norm führt keine neue Technologie ein, sondern macht sichtbar, was fehlt: Wer entscheidet über den KI-Einsatz, wer ist verantwortlich, wenn etwas schiefgeht, und wie weist die Organisation dies gegenüber einer Aufsichtsbehörde oder dem Vorstand nach?
KI-Governance ist auch eine strategische Frage. Organisationen, die jetzt in eine funktionierende Governance-Struktur investieren, bauen einen Vorsprung gegenüber Unternehmen auf, die warten, bis Gesetzgebung oder Vorfälle sie dazu zwingen. Der EU AI Act tritt schrittweise in Kraft. Organisationen mit einem ISO 42001-Managementsystem sind bei jeder neuen Verpflichtung besser vorbereitet, da die Grundstruktur bereits steht.
Die Struktur von ISO 42001
Kontext und Anwendungsbereich
Die Norm beginnt mit der Bestimmung des Organisationskontexts: Welche KI-Anwendungen sind im Einsatz, welche sind geplant und was erwarten interne sowie externe Stakeholder. Dies bildet die Grundlage für alle Entscheidungen im Managementsystem.
Organisationen, die dies sorgfältig angehen, entdecken in dieser Phase oft, dass KI bereits an mehr Stellen eingesetzt wird, als dem Management bewusst war. Schatten-KI, wie etwa Mitarbeiter, die ChatGPT für die Kundenkommunikation oder Berichte nutzen, wird hier sichtbar gemacht und bewusst in den Scope aufgenommen oder explizit ausgeschlossen.
Führung und Governance
ISO 42001 fordert, dass die Geschäftsführung nachweislich in die KI-Governance eingebunden ist. Die Verantwortlichkeit wird formal übertragen, Rollen und Zuständigkeiten sind festgelegt und es gibt einen Eskalationsweg für KI-bezogene Entscheidungen.
In der Praxis bedeutet dies, dass ein KI-Verantwortlicher auf Managementebene benannt wird. Das muss kein technischer Experte sein. Es geht um jemanden, der Entscheidungen über den Scope, die Risikoakzeptanz und den Einsatz von KI innerhalb der Organisation trifft. Ohne diesen Schritt bleibt Governance eine reine Papierübung.
KI-Risikopolitik
Risiken werden systematisch auf Basis von Kriterien bewertet, welche die Organisation selbst festlegt. Daten-Bias, Erklärbarkeit, menschliche Aufsicht und Datenschutz sind feste Schwerpunkte. Risiken steuern die Maßnahmen, nicht umgekehrt.
Die Norm schreibt keine spezifischen Risikoschwellenwerte vor. Sie verlangt jedoch, dass die Organisation ihre eigenen Kriterien festlegt und diese konsistent anwendet. Eine Organisation im Gesundheitswesen wendet andere Risikokriterien für KI-gestützte Entscheidungsfindung an als eine Marketingagentur. Die Norm ist bewusst darauf ausgelegt.
KI-Lifecycle-Management
Jede KI-Anwendung durchläuft einen gesteuerten Lebenszyklus: von der Aufnahme und dem Business Case über die Risikoanalyse und Validierung bis hin zu Monitoring, Änderungsmanagement und schließlich der Ausphasung. Die Norm verlangt, dass jede Phase nachweisbar durchgeführt wird.
Dieser Teil ist für viele Organisationen in der täglichen Praxis am deutlichsten spürbar. Eine KI-Anwendung, die angepasst wird, ein neues Modell, das eingesetzt wird, oder ein Lieferant, der seine zugrunde liegende Technologie ändert: All dies sind Auslöser, die ein Änderungsmanagementverfahren aktivieren. Ohne Lifecycle-Management werden diese Punkte zu blinden Flecken.
Überwachung, Bewertung und Verbesserung
Das Managementsystem wird regelmäßig durch interne Audits und eine Managementbewertung evaluiert. Abweichungen führen zu Korrekturmaßnahmen. Kontinuierliche Verbesserung ist eine explizite Anforderung der Norm.
Die Managementbewertung ist der Moment, in dem die Geschäftsführung formal feststellt, ob das KI-Managementsystem noch zur Strategie und zum Risikoprofil der Organisation passt. Dies ist keine administrative Formalität. Es ist der Zeitpunkt, an dem neue KI-Anwendungen geprüft, Risikoeinschätzungen revidiert und Entscheidungen dokumentiert werden.
Integration bestehender Managementsysteme
ISO 42001 folgt der High Level Structure und schließt direkt an ISO 27001, ISO 9001 und ISO 22301 an. Organisationen mit einem bestehenden Managementsystem können die KI-Governance darauf aufbauen, ohne ein paralleles System errichten zu müssen.
Für Organisationen mit ISO 27001 ist die Überschneidung am größten. Risikomethodik, interne Auditstruktur, Managementbewertung und Dokumentenlenkung sind bereits eingerichtet. ISO 42001 erweitert dies um KI-spezifische Elemente. In der Praxis führt dies zu einem kombinierten Implementierungsprozess, der schneller und kostengünstiger ist als eine vollständig eigenständige 42001-Implementierung.
So geht iQomply ISO 42001 an
SCHRITT 01
Kontext & Ambitionen
Wir beginnen bei der Organisation: Welche Prozesse sind kritisch, welche Bedrohungen sind strategisch relevant und wo liegen die tatsächlichen Auswirkungen auf Kontinuität und Vertrauen.
42001:2023
SCHRITT 02
Governance & Richtlinien
Wir bringen Struktur in Rollen, Verantwortlichkeiten, Entscheidungsfindung und Aufsicht. Ohne Bürokratie, mit Klarheit darüber, wer was entscheidet.
42001:2023 | AI ACT
SCHRITT 03
Implementierung & Lifecycle
Jede KI-Anwendung durchläuft einen gesteuerten Lifecycle: Intake, Risikoanalyse, Validierung, Monitoring und Ausphasung. Änderungen an einem KI-System oder der zugrunde liegenden Technologie lösen ein Change-Management-Verfahren aus. Nichts wird stillschweigend angepasst.
42001:2023
SCHRITT 04
Prüfung & Zertifizierung
Interne Audit, Managementbewertung und Vorbereitung auf das Zertifizierungsaudit durch eine anerkannte Zertifizierungsstelle. iQomply begleitet den gesamten Prozess. Durchlaufzeit: 2 bis 3 Wochen.
42001:2023
Gesamtdurchlaufzeit: 10 bis 14 Wochen, abhängig von der Komplexität der Organisation.
Was ISO 42001 bringt
Übersicht und Steuerung aller KI-Anwendungen innerhalb der Organisation. Nachweisbares risikogesteuertes KI-Management, dokumentiert und prüfbar. Bessere Entscheidungsfindung auf Management- und Vorstandsebene über KI-Einsatz und KI-Risiken. Bereitschaft für die Anforderungen des EU AI Acts und künftige Aufsicht. Vertrauen bei Kunden, Partnern und Aufsichtsbehörden, dass KI verantwortungsvoll eingesetzt wird.
iQomply hat die erste Organisation in den Niederlanden nach ISO 42001:2023 zertifiziert.
ISO 42001 ist relevant für Organisationen, die KI bereits einsetzen oder dies kurzfristig planen und nachweislich verantwortungsvoll arbeiten wollen. Dazu gehören Gesundheitseinrichtungen und IT-Anbieter im Gesundheitswesen, SaaS- und Technologieunternehmen, Bildungseinrichtungen, Versorgungsunternehmen und kritische Infrastrukturen sowie Organisationen, die KI strukturell verantwortungsvoll skalieren möchten.
Organisationen, die ISO 42001 implementieren, stellen in der Praxis fest, dass die Norm auch intern Veränderungen bewirkt. Diskussionen über den KI-Einsatz werden konkreter. Mitarbeiter wissen, was erlaubt ist und was nicht. Die Geschäftsführung hat ein Instrument, um KI-Risiken abzuwägen und zu priorisieren. Das ist der Wert, der über das Zertifikat hinausgeht.
Häufig gestellte Fragen zu Internen Audits
Ist ISO 42001 verpflichtend?
ISO 42001 ist derzeit nicht gesetzlich vorgeschrieben. Der EU AI Act stellt Anforderungen an KI-Systeme mit hohem Risikoprofil, schreibt jedoch keine spezifische Norm vor. Organisationen, die ISO 42001 implementieren, erfüllen den Geist des AI Acts und können dies gegenüber Aufsichtsbehörden, Auftraggebern und Kooperationspartnern nachweisen.
Was ist der Unterschied zwischen ISO 42001 und dem AI Act?
ISO 42001 ist derzeit nicht gesetzlich vorgeschrieben. Der EU AI Act stellt Anforderungen an KI-Systeme mit hohem Risikoprofil, schreibt jedoch keine spezifische Norm vor. Organisationen, die ISO 42001 implementieren, erfüllen den Geist des AI Acts und können dies gegenüber Aufsichtsbehörden, Auftraggebern und Kooperationspartnern nachweisen.
Für welche Organisationen ist ISO 42001 relevant?
ISO 42001 ist für jede Organisation relevant, die KI einsetzt oder dies plant und nachweislich verantwortungsvoll arbeiten möchte. In der Praxis handelt es sich oft um Organisationen in regulierten Sektoren wie Gesundheitswesen, Bildung und Finanzdienstleistungen sowie um Technologieunternehmen, die KI als Teil ihrer Dienstleistungen anbieten.
Was ist der Unterschied zwischen ISO 42001 und ISO 27001?
ISO 27001 konzentriert sich auf Informationssicherheit: die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. ISO 42001 konzentriert sich spezifisch auf KI-Governance: die Gestaltung, Überwachung und das Lifecycle-Management von KI-Anwendungen. Beide Normen folgen der High Level Structure und lassen sich gut in einem integrierten Managementsystem kombinieren.
Die Implementierung von ISO 42001 beginnt mit einem klaren Ausgangspunkt
Bart de Man begleitet Organisationen bei ISO 42001-Implementierungen auf Basis direkter Auditerfahrung. Er zertifizierte die erste Organisation in den Niederlanden nach ISO 42001:2023 in seiner Rolle als Lead Auditor bei DNV.
Kein Standardansatz, sondern ein Prozess, der zur Größe der Organisation, zum bestehenden KI-Einsatz und zu dem passt, was realistisch machbar ist.
Bereit, von Compliance zu echter Reife zu gelangen?
Unverbindlich, praktisch und auf Ihre Situation zugeschnitten.