Checkliste nach ISO/IEC 42001:2023
ISO 42001 Checkliste: Ist Ihr KI-Managementsystem bereit?
Diese Checkliste führt Sie durch die Klauseln 4 bis 10 der ISO/IEC 42001:2023. Zu jedem Punkt steht, welchen Nachweis ein Unternehmen dafür üblicherweise hat. Wer die Punkte beantworten kann, ist für den Online-Selbsttest von Zertify gut vorbereitet.
01: Aufbau
ISO 42001 Checkliste: So ist sie aufgebaut
Die Norm folgt wie ISO 27001 oder ISO 9001 der gemeinsamen Struktur mit den Klauseln 4 bis 10. Die Checkliste übernimmt diese Reihenfolge. Jeder Punkt ist eine Frage an Ihr Unternehmen, dazu steht der Nachweis, den Sie vorlegen können: ein Dokument, ein Protokoll oder ein Eintrag in einem Tool.
Sie richtet sich an Softwareanbieter mit KI-Funktionen, an Unternehmen mit KI in Kernprozessen und an Dienstleister wie HR- oder IT-Firmen. Wer KI nur zukauft und einsetzt, geht dieselben Punkte durch, mit kleinerem Umfang.
| Klausel | Thema | Typischer Nachweis |
|---|---|---|
| 4 | Kontext | Rollenbestimmung, Liste der Anforderungen interessierter Parteien |
| 5 | Führung | Unterzeichnete KI-Politik, Rollenbeschrieb |
| 6 | Planung | Risikoregister, Folgenabschätzungen, Anwendbarkeitserklärung |
| 7 | Unterstützung | Schulungsliste, versionierte Dokumente |
| 8 | Betrieb | KI-Inventar, Testberichte, Monitoring-Berichte |
| 9 | Bewertung der Leistung | Bericht der internen Überprüfung, Protokoll der Managementbewertung |
| 10 | Verbesserung | Liste der Abweichungen mit Massnahmen |
02: Klauseln 4 und 5
Kontext und Führung: Rolle, Politik, Verantwortung
Hier legen Sie fest, wo das Managementsystem gilt und wer dafür geradesteht.
Ihre Rolle ist bestimmt
Sie wissen, ob Sie KI-Anbieter, KI-Produzent oder KI-Nutzer sind, bei mehreren Systemen pro System. Nachweis: kurzes Dokument zur Rollenbestimmung.
Anforderungen interessierter Parteien sind erfasst
Kunden, Aufsichtsstellen und betroffene Personen haben Erwartungen an Ihre KI. Nachweis: Liste mit Partei, Anforderung und Quelle, etwa einer Klausel aus dem Kundenvertrag.
Der Anwendungsbereich ist festgelegt
Es ist klar, welche KI-Systeme und Standorte das System abdeckt. Nachweis: Scope-Dokument mit Systemliste.
Die KI-Politik ist verabschiedet
Die Geschäftsleitung hat Grundsätze für den Umgang mit KI beschlossen. Nachweis: unterzeichnete Politik, für alle Mitarbeitenden zugänglich.
03: Klauseln 6 und 7
Planung und Unterstützung: Risiken, Folgen, Kompetenz
Klausel 6 enthält die Dokumente, die Kunden und Prüfer am genauesten lesen.
KI-Risiken sind beurteilt und behandelt
Für jedes System sind Risiken für das Unternehmen und für betroffene Personen bewertet, je Risiko mit einer Massnahme. Nachweis: Risikoregister mit Verantwortlichem und Behandlungsplan.
Folgenabschätzungen liegen vor
Sie haben festgehalten, was ein Fehler oder eine verzerrte Entscheidung für Betroffene bedeutet, etwa bei der Vorauswahl von Bewerbungen. Nachweis: Folgenabschätzung je System, mit Datum und Freigabe.
Die Anwendbarkeitserklärung besteht
Jede Kontrolle aus Anhang A ist geprüft und begründet. Nachweis: Tabelle mit Kontrolle, Status und Begründung.
Kompetenz und Dokumente sind geregelt
Wer mit KI-Systemen arbeitet, ist geschult, und die Dokumente sind versioniert. Nachweis: Schulungsliste, Dokumentenablage mit Versionsstand.
04: Klausel 8
Betrieb: KI-Systeme über den Lebenszyklus steuern
Klausel 8 betrifft die einzelnen Systeme, von den Trainingsdaten bis zum laufenden Betrieb.
Ein Inventar der KI-Systeme besteht
Jedes System ist mit Zweck, Datenquellen und Verantwortlichem erfasst. Nachweis: Inventarliste, die bei Änderungen nachgeführt wird.
Daten sind gesteuert
Herkunft, Qualität und Rechtsgrundlage der Daten sind bekannt. Nachweis: Datenbeschreibung je System, Prüfprotokolle zur Datenqualität.
Entwicklung und Freigabe sind geregelt
Ein System geht erst nach definierten Tests in Betrieb. Nachweis: Testbericht und Freigabeprotokoll.
Betrieb und Lieferanten werden überwacht
Sie erkennen, wenn ein System schlechter arbeitet, und halten Vorfälle fest. Für zugekaufte Modelle ist die Verantwortung geklärt. Nachweis: Monitoring-Bericht, Vorfallsliste, Lieferantenfragebogen.
05: Klauseln 9 und 10
Bewertung und Verbesserung: prüfen und nachbessern
Ein neues Managementsystem hat noch keine Geschichte. Legen Sie den Termin für die erste Überprüfung fest und halten Sie das Ergebnis schriftlich fest.
Das System wird intern überprüft
Jemand, der es nicht selbst aufgebaut hat, prüft es anhand der Anforderungen. Nachweis: Prüfplan und Bericht.
Die Geschäftsleitung bewertet das System
Sie bespricht Ergebnisse, Vorfälle und Ziele und beschliesst Änderungen. Nachweis: Protokoll der Managementbewertung.
Abweichungen werden behoben
Jeder Mangel hat eine Ursache, eine Massnahme und einen Abschluss. Nachweis: Liste der Abweichungen mit Status.
06: Zertify
Von der Checkliste zum Zertifikat
Zertify stellt das Zertifikat auf Basis einer Online-Selbstbeurteilung aus. Sie beantworten 40 Ja/Nein-Fragen. 13 davon sind Pflichtanforderungen der Norm und müssen alle mit Ja beantwortet sein, von den übrigen 27 braucht es mindestens 18 Ja. Einen Audit vor Ort gibt es nicht.
G6 Agency AG stellt das Zertifikat unter Lizenz von SICE aus, SICE prüft jede Beurteilung vor der Ausstellung. Nach bestandenem Test und Zahlung liegt es innerhalb von 4 Stunden vor. Ihre Kunden prüfen es über Nummer oder QR-Code auf der Verifizierungsseite.
Es kostet 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive des kurzen Online-Re-Audits, und gilt 3 Jahre.
07: FAQ
Fragen zur ISO 42001 Checkliste
08: Leitfaden
Weiterführende Seiten
Prüfen Sie Ihren Stand
Beantworten Sie die 40 Fragen zur ISO 42001 und sehen Sie sofort, ob Sie bestehen.
Kostenlos und ohne Registrierung