KI-Governance
ISO 42001
ISO/IEC 42001 (KI-Managementsystem)
ISO/IEC 42001 ist die internationale Norm für ein KI-Managementsystem. Wir helfen Ihnen, die Governance aufzubauen, um KI verantwortungsvoll zu entwickeln und einzusetzen, und bereiten Sie auf die Zertifizierung durch eine akkreditierte Stelle vor.
Was ISO 42001 ist
ISO/IEC 42001 ist die erste internationale Norm für ein Managementsystem für künstliche Intelligenz (AIMS). Sie gibt Organisationen eine strukturierte Möglichkeit, die Entwicklung, Bereitstellung und Nutzung von KI zu steuern, und adressiert Risiken und Auswirkungen, die spezifisch für KI sind, etwa Verzerrung, Transparenz, Sicherheit und das fortlaufende Management von KI-Systemen über ihren gesamten Lebenszyklus.
Wie andere ISO-Managementsystemnormen folgt sie einer vertrauten Struktur aus Kontext, Führung, Planung, Unterstützung, Betrieb und Verbesserung und wird von Anhängen mit Steuerungsmaßnahmen und Umsetzungsleitlinien begleitet. Die Zertifizierung wird von einer unabhängigen, akkreditierten Zertifizierungsstelle nach einem Audit erteilt. Sie ergänzt Ihre Programme für Informationssicherheit und Datenschutz, ersetzt sie jedoch nicht.
Der Aufbau der Norm
Klausel 4 · Kontext
Sie legen den Geltungsbereich des KI-Managementsystems fest und ermitteln die internen und externen Themen sowie die interessierten Parteien, die prägen, wie KI gesteuert wird.
Klausel 5 · Führung
Die oberste Leitung legt die KI-Richtlinie fest, weist Verantwortlichkeiten zu und verpflichtet sich zur verantwortungsvollen Entwicklung und Nutzung von KI.
Klausel 6 · Planung
Sie bewerten KI-Risiken und -Auswirkungen, setzen Ziele und entscheiden, welche Steuerungsmaßnahmen aus Anhang A gelten und welche begründet ausgeschlossen werden.
Klausel 7 · Unterstützung
Sie stellen die Ressourcen, Kompetenz, das Bewusstsein, die Kommunikation und die dokumentierten Informationen bereit, die das System zum Funktionieren benötigt.
Klausel 8 · Betrieb
Sie setzen die KI-Risiko- und Folgenabschätzungen in die Praxis um und steuern die KI-Systeme über ihren gesamten Lebenszyklus.
Klausel 9 · Leistungsbewertung
Sie überwachen, messen, auditieren intern und führen Managementbewertungen durch, um zu bestätigen, dass das System funktioniert.
Klausel 10 · Verbesserung
Sie reagieren auf Nichtkonformitäten und treiben die fortlaufende Verbesserung des Managementsystems im Laufe der Zeit voran.
Anhang A · KI-Managementmaßnahmen
Ein Referenzsatz von Steuerungsmaßnahmen, der Bereiche wie KI-Richtlinien, Ressourcen, Folgenabschätzung, Daten für KI und Lebenszyklus-Verantwortlichkeiten abdeckt und auf Ihre Risiken abgestimmt ausgewählt wird.
Wer es braucht
- Organisationen, die KI-Systeme entwickeln, einsetzen oder auf sie angewiesen sind und eine nachweisbare Governance über diese Systeme wünschen
- Unternehmen, deren Kunden oder Aufsichtsbehörden beginnen zu fragen, wie KI-Risiken gesteuert werden
- Teams, die ein zertifizierbares Rahmenwerk als Grundlage für verantwortungsvolle KI-Aussagen wünschen
Was Sie erhalten
- Ein abgegrenztes KI-Managementsystem mit einem Inventar der KI-Systeme
- Prozesse zur KI-Risiko- und Folgenabschätzung sowie Lebenszyklus-Steuerungsmaßnahmen
- Governance-Dokumentation und Nachweise aus internen Audits
- Bereitschaft und Unterstützung durch das Zertifizierungsaudit
Die Zeitpläne hängen von Ihrem Geltungsbereich, der Anzahl und Art Ihrer KI-Systeme und Ihrer aktuellen Governance ab. Wir legen den Umfang vorab ehrlich fest, statt eine feste Anzahl von Wochen zu versprechen.
Aktuelle Version
Die aktuelle Ausgabe ist ISO/IEC 42001:2023, veröffentlicht im Dezember 2023 als erste Managementsystemnorm, die der künstlichen Intelligenz gewidmet ist. Sie ist neu und stabil, daher gibt es noch keine geltende Revision, auch wenn ISO-Managementsystemnormen regelmäßig überprüft werden und unterstützende Dokumente in der 42000er-Familie weiterentwickelt werden. Da sie derselben übergeordneten Struktur wie Normen wie ISO/IEC 27001 folgt, gibt Ihnen ein bestehendes Managementsystem eine Grundlage, auf die Sie das AIMS aufbauen können, statt bei null anzufangen.
Was es kostet
Zwei Kosten stehen hier nebeneinander. tr3labs berechnet ein abgegrenztes Honorar für Beratung und Umsetzung, das vorab angeboten wird, sobald wir Ihre Größe, die Anzahl und Art Ihrer KI-Systeme und Ihre aktuelle Governance verstehen. Separat berechnet die akkreditierte Zertifizierungsstelle, die das Zertifikat nach ISO/IEC 42001 auditiert und ausstellt, nach ihrem eigenen Tarif, und diese Partei ist von uns unabhängig, denn tr3labs ist niemals der Zertifizierer oder Auditor. Wir legen den Umfang gemeinsam mit Ihnen fest, statt blind ein Angebot zu machen.
Wie tr3labs Sie dorthin bringt
Scope- und Gap-Bewertung
Wir definieren den Geltungsbereich des AIMS, inventarisieren Ihre KI-Systeme und deren Risiken und messen Ihre aktuelle Governance an der Norm und ihren Steuerungsmaßnahmen.
Aufbau des Managementsystems
Wir unterstützen Sie bei der Umsetzung der KI-Governance, der Richtlinien, der Prozesse zur Risiko- und Folgenabschätzung sowie der Lebenszyklus-Steuerungsmaßnahmen, die die Norm erwartet, dokumentiert als verwaltetes System.
Testen und nachweisen
Wir führen interne Audits und Überprüfungen durch und setzen unsere Sicherheitstests an den Systemen ein, die Ihre KI hosten und bereitstellen, sodass die Steuerungsmaßnahmen wirksam sind und belegt werden.
Unterstützung bei der Zertifizierung
Wir bereiten Sie auf das Audit durch die von Ihnen gewählte akkreditierte Zertifizierungsstelle vor und begleiten Sie bis zum Zertifikat und durch den anschließenden Überwachungszyklus.
ISO/IEC 42001 im Vergleich zum EU AI Act
Beide befassen sich mit der verantwortungsvollen Steuerung von KI, daher gehen Teams oft davon aus, dass die Erfüllung des einen das andere erfüllt.
| ISO/IEC 42001 | EU AI Act | |
|---|---|---|
| Deckt ab | Ein KI-Managementsystem für jede Organisation | KI-Systeme, die auf dem EU-Markt in Verkehr gebracht oder genutzt werden |
| Wer es verlangt | Kunden, Partner und Ihr eigener Vorstand | Die Aufsichtsbehörde, als gesetzliche Pflicht |
| Kerngedanke | Zertifizierbarer Standard guter Governance | Risikobasiertes Gesetz, das Sie einhalten müssen |
| Auditmodell | Zertifikat einer akkreditierten Zertifizierungsstelle | Konformitätsbewertung für Hochrisikosysteme, zuzüglich Durchsetzung |
| Reichweite | Freiwillig, weltweit | Verbindlich, mit extraterritorialer Wirkung |
| Oft kombiniert mit | ISO/IEC 27001 und SOC 2 | Zusammen mit einem 42001-Managementsystem als Grundlage |
ISO 42001 FAQ
- Wer stellt das Zertifikat nach ISO 42001 aus?
- Eine unabhängige, für ISO/IEC 42001 akkreditierte Zertifizierungsstelle stellt das Zertifikat nach einem Audit aus. tr3labs bereitet Sie vor, baut das KI-Managementsystem und die Nachweise auf und begleitet Sie durch das Audit; wir sind keine Zertifizierungsstelle.
- Wie verhält sich ISO 42001 zu ISO 27001?
- Sie teilen dieselbe Managementsystemstruktur und ergänzen sich gut. ISO 27001 regelt die Informationssicherheit, während ISO 42001 speziell die KI regelt. Wenn Sie bereits ein ISMS betreiben, lässt sich ein Großteil dieser Grundlage auf Ihr KI-Managementsystem übertragen.
- Hilft ISO 42001 beim EU AI Act?
- Ein gut geführtes KI-Managementsystem liefert Ihnen einen Großteil der Governance, Risikobewertung und Dokumentation, die Regelungen wie der EU AI Act erwarten. Es ist kein Ersatz dafür, die konkreten gesetzlichen Pflichten zu erfüllen, aber es ist eine starke Grundlage, und wir bringen beide dort in Einklang, wo beide gelten.
Die Leistungen, die Sie dorthin bringen
Verwandte Standards
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit