ISO 42001 für Gesundheitswesen: KI-Einsatz belegbar steuern

Ein Radiologie-Institut setzt eine Software ein, die Bilder vorsortiert. Eine Praxisgruppe testet einen Assistenten, der Berichtsentwürfe schreibt. Ein Softwareanbieter liefert einen Algorithmus zur Dringlichkeitseinschätzung an Kliniken. In allen drei Fällen lautet die Frage von Geschäftsleitung oder Einkauf gleich: Wer steuert dieses KI-System, und wie lässt sich das belegen?

Lieferantenfragebögen und Ausschreibungen von Gesundheitsinstitutionen enthalten zunehmend Fragen zur KI-Governance. Ein Zertifikat nach ISO 42001 beantwortet sie mit einem Dokument, das sich prüfen lässt. Es zeigt, dass ein KI-Managementsystem besteht: mit KI-Politik, klaren Rollen, Risikobeurteilung und Folgenabschätzung.

Die Grenze gehört dazu: Das Zertifikat bezieht sich auf Ihr Managementsystem. Über die medizinische Eignung eines einzelnen Produkts sagt es nichts aus.

• Standard ISO 42001 im Überblick

Der Standard kennt keine branchenspezifischen Vorgaben. Er verlangt aber, dass Sie die Risiken Ihres eigenen Einsatzes systematisch erfassen. Im Gesundheitswesen fallen dabei meist diese Punkte an:

Trainingsdaten

Ein Anbieter von Diagnoseunterstützung dokumentiert, woher die Daten stammen und ob sie die Patientengruppen abbilden, bei denen das System später eingesetzt wird.

Verzerrung

Ein Modell, das überwiegend mit Daten einer Altersgruppe trainiert wurde, kann bei anderen Gruppen schlechter arbeiten. Die Risikobeurteilung hält fest, wie Sie das prüfen.

Menschliche Aufsicht

Eine Klinik legt fest, welche Fachperson den Vorschlag der KI prüft, bevor er in die Behandlung einfliesst, und wie diese Prüfung festgehalten wird.

Folgenabschätzung

Betroffene sind hier Patientinnen und Patienten. Setzt ein Spital KI zur Priorisierung von Terminen ein, beurteilt es, wer durch eine falsche Einstufung benachteiligt werden könnte.

Modelländerungen

Ein Update verändert das Verhalten eines Modells. Der Lebenszyklus regelt, wer Änderungen testet, freigibt und bei Problemen zurücknimmt.

Zugekaufte KI

Eine Spitex-Software mit eingebautem Drittmodell bleibt in Ihrer Verantwortung. Sie bewerten den Lieferanten und regeln, welche Informationen Sie von ihm verlangen.

ISO 42001 folgt der gemeinsamen Struktur der ISO-Managementsysteme. Führung liegt in Kapitel 5, Risikoplanung in Kapitel 6, der Betrieb der KI-Systeme in Kapitel 8. Die sechs Kernanforderungen lassen sich im Gesundheitswesen so umsetzen:

1. 01

   Rolle bestimmen

   Eine Privatklinik, die ein zugekauftes Triage-Tool einsetzt, ist KI-Nutzer. Ein Unternehmen, das dieses Tool entwickelt und verkauft, ist Produzent oder Anbieter.

2. 02

   KI-Politik und Verantwortlichkeiten

   Die Geschäftsleitung hält in wenigen Seiten fest, wofür KI eingesetzt werden darf und wofür nicht. Eine Person trägt die Verantwortung für das Managementsystem.

3. 03

   Risiken beurteilen und behandeln

   Sie führen ein Risikoregister: etwa fehlerhafte Vorschläge, Datenabfluss oder Abhängigkeit vom Lieferanten, jeweils mit Massnahme und Verantwortlichem.

4. 04

   Folgenabschätzung durchführen

   Pro KI-System ein kurzes Dokument: Zweck, betroffene Personen, mögliche Schäden, Gegenmassnahmen.

5. 05

   Anwendbarkeitserklärung erstellen

   Sie gehen die Kontrollen in Anhang A durch und begründen, welche für Ihren Betrieb gelten und welche nicht.

6. 06

   Daten, Entwicklung und Betrieb steuern

   Freigaben, Tests und Überwachung im laufenden Betrieb sind schriftlich geregelt, ebenso der Umgang mit Vorfällen.

Von der Rolle hängt ab, welche Kontrollen Gewicht haben. Die Tabelle zeigt Beispiele aus dem Gesundheitswesen.

Sie beantworten online 40 Ja/Nein-Fragen zu ISO 42001. 13 davon sind zwingende Anforderungen des Standards und müssen alle mit Ja beantwortet sein. Von den übrigen 27 Fragen brauchen Sie mindestens 18 Ja-Antworten. Das Assessment ist kostenlos, ein Konto brauchen Sie dafür nicht.

Nach bestandenem Assessment und Zahlung liegt das Zertifikat innert 4 Stunden vor. Ausgestellt wird es von der G6 Agency AG unter Lizenz von SICE, dem Swiss Institute of Certification and Education. SICE prüft jedes Assessment, bevor das Zertifikat ausgestellt wird. Auf dem PDF steht ein QR-Code, der zur öffentlichen Verifizierungsseite führt. Ihr Kunde kann die Echtheit also selbst nachprüfen.

Das Zertifikat kostet 849 CHF im ersten Jahr, danach 569 CHF pro Jahr inklusive Online-Rezertifizierung. Es gilt 3 Jahre und wird jedes Jahr durch ein kurzes Online-Audit bestätigt. Das Abonnement verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Für zwei Normen gewähren wir 20 Prozent Rabatt, ab drei Normen 30 Prozent, auch auf die jährliche Gebühr.

• Kostenloses Selbstassessment starten
• ISO 42001 bei Zertify
• Preise ansehen
• So funktioniert es

Die Alternative ist der klassische Weg mit einem Audit vor Ort durch eine Zertifizierungsstelle. Er bindet Ihr Personal an den Audittagen und verlangt Terminplanung. Zertify setzt auf ein Online-Selbstassessment, das sich in Ihren Arbeitsalltag einfügt.

Welche Variante Ihr Kunde akzeptiert, steht in der Ausschreibung oder im Lieferantenfragebogen. Klären Sie das vor dem Kauf. Bei Unsicherheit fragen Sie beim Einkauf des Kunden nach.

• Zertifizierungswege vergleichen
• Zertifizierung ohne Audit vor Ort
• Kosten einer Zertifizierung