ISO/IEC 42001: Norm für KI-Managementsysteme

ISO/IEC 42001 ist die internationale Norm für Managementsysteme für künstliche Intelligenz (KI). Die aktuelle Ausgabe ISO/IEC 42001:2023 mit dem Titel „Information technology – Artificial intelligence – Management system“ ist im Dezember 2023 als erste Ausgabe erschienen. Sie legt Anforderungen fest, um ein KI-Managementsystem (Artificial Intelligence Management System, AIMS) in einer Organisation aufzubauen, einzuführen, aufrechtzuerhalten und fortlaufend zu verbessern. Die Internationale Organisation für Normung (ISO) bezeichnet sie als weltweit erste Norm für KI-Managementsysteme.

Was ist ISO/IEC 42001?

Zuständig ist das Normungsgremium ISO/IEC JTC 1/SC 42. Die Norm richtet sich an Organisationen jeder Größe, die KI-basierte Produkte oder Dienstleistungen entwickeln, anbieten oder nutzen. Sie gilt branchenübergreifend und ist nach Angaben der ISO ebenso für Behörden wie für Unternehmen und gemeinnützige Organisationen relevant.

Was ist ein KI-Managementsystem?

Ein KI-Managementsystem im Sinne der ISO/IEC 42001 ist ein Satz zusammenhängender oder zusammenwirkender Elemente einer Organisation, mit denen Richtlinien und Ziele sowie Prozesse zu deren Erreichung festgelegt werden, bezogen auf die verantwortungsvolle Entwicklung, Bereitstellung oder Nutzung von KI-Systemen. In der Praxis legt es Zuständigkeiten für den KI-Einsatz fest, macht KI-bezogene Risiken bewertbar und begleitet KI-Systeme über ihren gesamten Lebenszyklus.

Anforderungen im Überblick

Nach der Übersicht der ISO umfasst die Norm unter anderem Anforderungen zu folgenden Themen:

• Führung und Kontext der Organisation
• KI-Politik und KI-Ziele
• Risikomanagement für KI-Systeme
• Daten-Governance und Steuerung des Lebenszyklus von KI-Systemen
• Transparenz und Bereitstellung von Informationen
• Leistungsbewertung und Überwachung
• Kontinuierliche Verbesserung

Die Norm greift damit Herausforderungen auf, die KI mit sich bringt, etwa ethische Fragen, Transparenz und lernende Systeme, und bietet einen strukturierten Weg, Risiken und Chancen von KI zu steuern.

Nutzen für Organisationen

Die ISO nennt als Nutzen der Norm unter anderem:

• einen Rahmen für den Umgang mit Risiken und Chancen von KI
• den Nachweis eines verantwortungsvollen KI-Einsatzes
• Nachvollziehbarkeit, Transparenz und Zuverlässigkeit
• Kosteneinsparungen und Effizienzgewinne

Zertifizierung

Eine Zertifizierung nach ISO/IEC 42001 ist freiwillig. Organisationen können sie anstreben, wenn sie unabhängig bestätigen lassen wollen, dass ihr KI-Managementsystem die Anforderungen der ISO/IEC 42001:2023 erfüllt. Die ISO selbst zertifiziert nicht. Zertifizierungen führen unabhängige Zertifizierungsstellen durch, die von nationalen Akkreditierungsstellen akkreditiert sein können.

Verhältnis zur KI-Verordnung der EU

Die KI-Verordnung der EU, die Verordnung (EU) 2024/1689, ist geltendes Recht. Sie wurde durch die Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI) geändert. ISO/IEC 42001 ist dagegen eine freiwillige Norm. Die KI-Verordnung nennt ISO/IEC 42001 nicht. Nach Angaben der ISO ersetzt die Norm keine Gesetze, sondern bietet einen Managementrahmen, der hilft, Compliance-Pflichten zu erfüllen.

Berührungspunkte gibt es vor allem beim Qualitätsmanagementsystem: Nach Artikel 17 der KI-Verordnung müssen Anbieter von Hochrisiko-KI-Systemen ein Qualitätsmanagementsystem einrichten, das die Einhaltung der Verordnung gewährleistet. Es ist schriftlich zu dokumentieren und umfasst unter anderem das Risikomanagementsystem nach Artikel 9, Verfahren für Datenmanagement, Beobachtung nach dem Inverkehrbringen und Meldung schwerwiegender Vorfälle sowie einen Rechenschaftsrahmen für Leitung und Personal. Ein KI-Managementsystem nach ISO/IEC 42001 kann die Organisation solcher Prozesse unterstützen, ersetzt aber nicht die Prüfung der gesetzlichen Pflichten.

Eine Vermutung der Konformität mit den Anforderungen der KI-Verordnung entsteht nach Artikel 40 nur bei Übereinstimmung mit harmonisierten Normen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden. Seit der Änderung durch die Verordnung (EU) 2026/1744 können KMU einschließlich Start-ups ohne Partnerunternehmen oder verbundene Unternehmen bestimmte Elemente des Qualitätsmanagementsystems nach Artikel 17 vereinfacht einhalten (Artikel 63). Die Vorschriften für Hochrisiko-KI-Systeme gelten nach der geänderten Fassung ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I.

Häufige Fragen zu ISO/IEC 42001

Ist ISO/IEC 42001 verpflichtend?

Nein. ISO/IEC 42001 ist eine freiwillige internationale Norm. Auch die Zertifizierung ist freiwillig. Verbindliche Pflichten für KI-Systeme in der EU ergeben sich aus der KI-Verordnung, der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung.

Für wen ist ISO/IEC 42001 gedacht?

Für Organisationen jeder Größe und Branche, die KI-basierte Produkte oder Dienstleistungen entwickeln, anbieten oder nutzen, einschließlich Behörden und gemeinnütziger Organisationen.

Wer zertifiziert nach ISO/IEC 42001?

Unabhängige Zertifizierungsstellen, die von nationalen Akkreditierungsstellen akkreditiert sein können. Die ISO selbst stellt keine Zertifikate aus.

Erfüllt ein Zertifikat nach ISO/IEC 42001 die Pflichten der KI-Verordnung?

Nicht automatisch. Die KI-Verordnung nennt ISO/IEC 42001 nicht. Eine Konformitätsvermutung knüpft Artikel 40 der Verordnung an harmonisierte Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht sind. Ein KI-Managementsystem nach ISO/IEC 42001 kann die Umsetzung der gesetzlichen Pflichten organisieren, etwa das Qualitätsmanagementsystem nach Artikel 17, ersetzt deren Prüfung aber nicht.