ISO 42001 für Dienstleister: KI-Einsatz belegen

Dienstleister arbeiten mit den Daten ihrer Kunden. Sobald ein Sprachmodell Verträge zusammenfasst, Offerten entwirft oder Supportanfragen beantwortet, fliessen diese Daten in ein KI-System. Der Einkauf Ihres Kunden will dann wissen, wer das verantwortet und nach welchen Regeln es läuft.

Diese Frage steht zunehmend im Lieferantenfragebogen: Setzen Sie KI ein, und wenn ja, nach welchem Standard steuern Sie sie? Dasselbe gilt für Ausschreibungen, in denen der Auftraggeber Nachweise zum Umgang mit KI einfordert. ISO 42001 beantwortet das mit einem Dokument, das die Einkaufsabteilung ohne Rückfrage prüfen kann: Zertifikatsnummer, QR-Code, öffentliche Prüfseite.

Das Zertifikat ersetzt keine inhaltliche Prüfung durch den Kunden. Es zeigt aber, dass Sie Rollen, Risiken und Kontrollen für Ihre KI-Anwendungen festgelegt haben.

• Der Standard ISO 42001 im Überblick

ISO 42001 verlangt, dass Sie Ihre KI-Anwendungen kennen und deren Risiken beurteilen. Im Dienstleistungsalltag sind das meist keine eigenen Modelle, sondern zugekaufte Werkzeuge in Kernprozessen.

Kundenkommunikation

Ein Chatbot im Support beantwortet Fragen falsch oder gibt Angaben aus einem anderen Mandat weiter. Das Risiko liegt in der Datentrennung und in fehlender Eskalation an einen Menschen.

Dokumentenerstellung

Berichte, Offerten und Übersetzungen entstehen mit generativer KI. Ein erfundener Verweis oder eine falsche Zahl landet ungeprüft beim Kunden, wenn keine Freigabe vorgesehen ist.

Personalprozesse

Ein Tool sortiert Bewerbungen vor oder schlägt Einsatzpläne vor. Betroffene Personen können durch verzerrte Ergebnisse benachteiligt werden. Hier ist eine Folgenabschätzung nötig.

Analyse und Beratung

Prognosen, Scorings und Marktanalysen stützen sich auf Daten, deren Herkunft und Qualität nicht dokumentiert sind. Der Berater kann das Ergebnis dann gegenüber dem Kunden nicht begründen.

Eingekaufte KI-Dienste

Subunternehmer und Cloud-Anbieter verarbeiten Kundendaten mit eigenen KI-Funktionen. Der Dienstleister bleibt gegenüber dem Kunden verantwortlich und muss seine Lieferanten steuern.

Die Anforderungen folgen dem bekannten Aufbau der ISO-Managementsysteme. Für einen Dienstleistungsbetrieb lassen sie sich mit überschaubarem Aufwand umsetzen:

1. 01

   Rolle bestimmen

   Eine Treuhandgesellschaft, die ein Sprachmodell im Haus nutzt, ist KI-Nutzer. Eine Agentur, die für Kunden einen Chatbot baut, ist KI-Anbieter. Halten Sie schriftlich fest, welche Rolle für welche Anwendung gilt.

2. 02

   KI-Politik und Verantwortlichkeiten festlegen

   Die Geschäftsleitung verabschiedet eine KI-Politik von einer Seite (Kapitel 5, Führung). Pro KI-Anwendung ist eine Person benannt, die für Einsatz und Ergebnisse geradesteht.

3. 03

   KI-Risiken beurteilen und behandeln

   Sie führen ein Verzeichnis aller KI-Anwendungen und notieren je Anwendung Risiken und Massnahmen (Kapitel 6, Planung). Ein Beispiel: Offerten aus der KI gehen erst nach Prüfung durch eine zweite Person hinaus.

4. 04

   Folgenabschätzung durchführen

   Für Anwendungen, die Menschen betreffen, etwa die Bewerbervorauswahl, halten Sie fest, wer betroffen ist, was schiefgehen kann und wer das Ergebnis überprüft.

5. 05

   Anwendbarkeitserklärung erstellen

   Sie gehen die Kontrollen in Anhang A durch und vermerken für jede, ob sie für Sie gilt und warum. Ein Dienstleister ohne eigene Modellentwicklung kann viele Entwicklungskontrollen begründet ausschliessen.

6. 06

   Daten, Entwicklung und Betrieb steuern

   Neue KI-Werkzeuge durchlaufen eine Freigabe, bevor Mitarbeitende Kundendaten eingeben (Kapitel 8, Betrieb). Vorfälle werden protokolliert und ausgewertet (Kapitel 9 und 10).

Die Rolle bestimmt, welche Kontrollen Sie stärker gewichten. Dieselbe Firma kann mehrere Rollen haben, je nach Anwendung.

Sie beantworten online 40 Ja/Nein-Fragen zum Standard. 13 davon sind Pflichtanforderungen und müssen alle mit Ja beantwortet werden. Von den übrigen 27 Fragen brauchen Sie mindestens 18 Ja-Antworten. Ein Konto brauchen Sie dafür nicht, und die Beurteilung ist kostenlos.

Nach bestandener Beurteilung und Zahlung erhalten Sie das Zertifikat innert 4 Stunden. Die Beurteilung wird von der SICE geprüft, ausgestellt wird das Zertifikat von der G6 Agency AG im Auftrag der SICE-Lizenz. Es kostet 849 CHF im ersten Jahr, danach 569 CHF pro Jahr inklusive jährlichem Online-Re-Audit. Das Zertifikat gilt 3 Jahre. Das Abo lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Zertifizieren Sie mehrere Standards, gibt es 20 % Rabatt für zwei und 30 % für drei oder mehr, auch auf die jährliche Gebühr.

Ihr Kunde prüft das Zertifikat über die Nummer oder den QR-Code auf dem PDF auf der öffentlichen Prüfseite. Eine Vor-Ort-Prüfung findet nicht statt.

• Kostenlose Selbstbeurteilung starten
• Preise ansehen
• Zertifikat ISO 42001

Die meisten Antworten ergeben sich aus drei Unterlagen. Erstens eine Liste aller KI-Werkzeuge, die in Ihrem Betrieb laufen, auch jener, die einzelne Mitarbeitende selbst nutzen. Zweitens die Namen der Personen, die für diese Werkzeuge verantwortlich sind. Drittens Ihre bestehenden Regeln zu Datenschutz und Vertraulichkeit, an die sich die KI-Politik anlehnen kann.

Fehlt eines davon, lässt sich das in wenigen Stunden nachholen. Die Pflichtfragen geben Ihnen eine klare Liste dessen, was vorhanden sein muss. Wer den klassischen Weg mit Vor-Ort-Audit einer Zertifizierungsstelle erwägt, findet den Vergleich der Wege in unserem Ratgeber.

• Zertifizierungswege vergleichen
• ISO für kleine und mittlere Unternehmen