Mit ISO/IEC 42001 gibt es seit Dezember 2023 einen internationalen Standard, der beschreibt, wie Organisationen KI verantwortungsvoll steuern. Er ist für Unternehmen interessant, die KI entwickeln oder in grösserem Umfang einsetzen und dies gegenüber Kunden, Partnern oder Aufsicht nachweisbar machen wollen.
Aufbau
Der Standard folgt der gemeinsamen Struktur der ISO-Managementsysteme: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Hinzu kommen spezifische Massnahmen für KI, etwa zu Richtlinien, Rollen, Ressourcen, Folgenabschätzungen für KI-Systeme, Lebenszyklus, Datenqualität, Information Betroffener und Beziehungen zu Dritten. Organisationen wählen die für sie relevanten Massnahmen und begründen Ausschlüsse.
Verhältnis zu ISO/IEC 27001
Wer bereits ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 betreibt, findet sich schnell zurecht: Struktur, Begriffe und viele Prozesse wie interne Audits, Managementbewertung und Dokumentenlenkung sind vergleichbar. Ein integriertes Managementsystem für beide Standards ist möglich und reduziert Doppelarbeit.
Verhältnis zum AI Act
ISO/IEC 42001 ist kein Ersatz für die Pflichten des AI Act und keine harmonisierte Norm im Sinne der Verordnung. Ein Managementsystem nach dem Standard deckt aber viele organisatorische Voraussetzungen ab: Verantwortlichkeiten, Risikoprozesse, Dokumentation, Überwachung und Verbesserung. Für Anbieter von Hochrisiko-Systemen, die ein Qualitätsmanagementsystem brauchen, ist er eine gute Grundlage. Die technischen Detailanforderungen sollen die harmonisierten Normen liefern.
Wann sich eine Zertifizierung lohnt
Eine Zertifizierung lohnt sich, wenn Kunden oder Ausschreibungen sie verlangen, wenn KI ein Kern des eigenen Angebots ist oder wenn ein Unternehmen in einem regulierten Umfeld Vertrauen nachweisen muss. Für ein KMU, das KI vor allem als Werkzeug nutzt, ist eine schlanke KI-Governance nach den Grundsätzen des Standards oft der bessere erste Schritt.
Pragmatischer Einstieg
Ein KI-Inventar, eine Richtlinie, klare Verantwortlichkeiten und ein Prozess für die Freigabe neuer Systeme bilden den Kern. Auf dieser Basis lässt sich das Managementsystem schrittweise ausbauen, bis eine Zertifizierung realistisch ist.