ISO 42001 Anforderungen: was der Standard von Ihnen verlangt

ISO/IEC 42001:2023 beschreibt ein KI-Managementsystem, kurz AIMS. Der Aufbau folgt der Struktur, die Sie von ISO 9001 oder ISO 27001 kennen: Die Klauseln 4 bis 10 bilden den Rahmen, Anhang A liefert die KI-spezifischen Kontrollen.

Der Standard schreibt keine Technik vor. Er verlangt, dass Sie festlegen, wo und wie Sie KI einsetzen, wer dafür geradesteht und wie Sie Risiken für Ihr Unternehmen und für betroffene Personen behandeln. Ob ein Modell selbst trainiert oder als Dienst zugekauft wird, spielt für die Struktur keine Rolle. Es ändert nur, welche Kontrollen für Sie gelten.

Der Standard lässt sich auf dem klassischen Weg mit einem Audit vor Ort durch eine Zertifizierungsstelle nachweisen, aber auch auf anderen Wegen. Die Unterschiede sind im Vergleich der Zertifizierungswege beschrieben.

• Zertifizierungswege vergleichen
• ISO für kleine und mittlere Unternehmen

Die erste Anforderung betrifft Sie selbst. Sie bestimmen, in welcher Rolle Sie mit KI arbeiten. Davon hängt ab, welche Kontrollen aus Anhang A auf Sie zutreffen und wie weit Ihr Geltungsbereich reicht. Mehrere Rollen gleichzeitig sind möglich.

KI-Produzent

Sie entwickeln KI-Modelle oder KI-Plattformen. Daten, Training und Tests liegen in Ihrer Hand und müssen entsprechend gesteuert werden.

KI-Anbieter

Sie stellen KI-Systeme oder KI-Funktionen anderen bereit, etwa als Softwareanbieter mit einer KI-Funktion in Ihrem Produkt. Ihre Kunden erwarten, dass Sie Grenzen und Risiken kennen.

KI-Nutzer

Sie setzen KI-Systeme im eigenen Betrieb ein, zum Beispiel bei der Bewerbervorauswahl, in der Kreditprüfung oder im Kundendienst. Sie sind für den Einsatz verantwortlich, auch wenn jemand anderes das System gebaut hat.

Die sieben Klauseln bilden einen Kreislauf: verstehen, planen, umsetzen, prüfen, verbessern. Was in jeder Klausel von Ihnen erwartet wird, lässt sich knapp sagen.

Klausel 4, Kontext der Organisation

Sie klären, welche KI-Systeme Sie entwickeln, bereitstellen oder nutzen, wer Erwartungen an Sie stellt und wo der Geltungsbereich des Managementsystems endet.

Klausel 5, Führung

Die Geschäftsleitung übernimmt Verantwortung. Sie verabschiedet eine KI-Politik und legt Rollen und Zuständigkeiten fest.

Klausel 6, Planung

Sie beurteilen KI-Risiken und behandeln sie, führen Folgenabschätzungen für KI-Systeme durch, setzen Ziele und erstellen die Anwendbarkeitserklärung zu Anhang A.

Klausel 7, Unterstützung

Sie stellen Mittel und kompetente Personen bereit, sorgen für Bewusstsein im Team und lenken Ihre dokumentierten Informationen.

Klausel 8, Betrieb

Sie setzen die Pläne um. Daten, Entwicklung und Betrieb der KI-Systeme werden gesteuert, die Risikobehandlung wird ausgeführt und Änderungen werden kontrolliert.

Klausel 9, Bewertung der Leistung

Sie überwachen und messen, führen interne Audits durch und bewerten das System in der Geschäftsleitung.

Klausel 10, Verbesserung

Abweichungen werden behoben, die Ursachen analysiert und das Managementsystem wird laufend angepasst.

Anhang A enthält die Kontrollen für KI-Systeme. Sie sind nach Themen gegliedert: KI-Politik, interne Organisation, Ressourcen, Folgenabschätzung, Lebenszyklus des KI-Systems, Daten, Informationen für interessierte Parteien, Nutzung von KI-Systemen sowie Beziehungen zu Lieferanten und Kunden.

Sie müssen nicht jede Kontrolle umsetzen. In der Anwendbarkeitserklärung halten Sie für jede Kontrolle fest, ob sie gilt, wie weit sie umgesetzt ist und warum Sie eine Kontrolle ausschliessen. Ein Produzent von Modellen schliesst weniger aus als ein Unternehmen, das ein zugekauftes Werkzeug im Einkauf einsetzt.

Gerade bei Folgenabschätzungen gibt es oft Lücken. Sie beschreiben, welche Auswirkungen ein KI-System auf Personen hat, die davon betroffen sind, etwa Bewerber, Kundinnen oder Patienten, und halten fest, wie Sie damit umgehen.

Der Standard verlangt dokumentierte Information, wo sie für das Managementsystem nötig ist. Umfang und Form bestimmen Sie selbst. Eine Seite genügt, wenn sie den Sachverhalt klar belegt.

Die Selbstbeurteilung von Zertify bildet diese Anforderungen in 40 Ja/Nein-Fragen ab. 13 davon sind zwingende Anforderungen des Standards und müssen alle mit Ja beantwortet werden. Von den übrigen 27 Fragen brauchen Sie mindestens 18 Ja. Wer besteht und bezahlt, erhält das Zertifikat innerhalb von 4 Stunden.

Es gibt kein Audit vor Ort. Das Zertifikat wird von G6 Agency AG unter Lizenz von SICE ausgestellt, SICE prüft jede Beurteilung vor der Ausstellung. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code auf dem PDF verifizieren, etwa durch Ihren Kunden im Einkauf. Es gilt 3 Jahre und wird jährlich durch ein kurzes Online-Reaudit bestätigt.

Der Preis beträgt 849 CHF im ersten Jahr, danach 569 CHF pro Jahr inklusive Online-Reaudit. Die Beträge enthalten für Kunden in der Schweiz und in Liechtenstein 8,1 % Mehrwertsteuer. Das Abonnement verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen.

• Standardseite ISO 42001
• Preise im Detail
• Kostenlose Selbstbeurteilung starten