ISO 42001 für die IT-Branche
ISO 42001 für IT-Branche: KI-Management nachweisen
Wer Software mit KI-Funktionen liefert, KI-Modelle betreibt oder KI für Kunden integriert, muss auf Fragebögen und in Ausschreibungen belegen, wie er KI steuert. ISO 42001 liefert dafür den Rahmen. Mit Zertify beantworten Sie 40 Fragen online und erhalten das Zertifikat ohne Audit vor Ort.
01: Nachfrage
Warum Kunden von IT-Anbietern ISO 42001 verlangen
Ein IT-Unternehmen, das KI in seine Produkte einbaut, wird Teil der Risikokette seiner Kunden. Der Einkauf eines Kunden will wissen, wer im Unternehmen für ein Modell verantwortlich ist, mit welchen Daten es trainiert wurde und was passiert, wenn es falsche Ergebnisse liefert. Diese Fragen stehen im Lieferantenfragebogen, in der Ausschreibung oder im Kundenaudit.
Ohne Nachweis beantworten Sie sie jedes Mal von Grund auf, oft mit einem eigenen Dokument pro Kunde. Ein Zertifikat nach ISO 42001 ersetzt diese Einzelantworten durch einen einzigen, überprüfbaren Beleg: Das Unternehmen führt ein KI-Managementsystem mit Politik, Rollen, Risikobeurteilung und Kontrollen.
Das gilt für Anbieter und Nutzer von KI gleichermassen. Auch ein Systemintegrator, der Modelle Dritter in Kundenlösungen einbindet, wird danach gefragt.
02: Risiken
Welche Prozesse und Risiken ISO 42001 in IT-Unternehmen abdeckt
Der Standard folgt dem Lebenszyklus eines KI-Systems, von den Trainingsdaten bis zum Betrieb. Für IT-Unternehmen heisst das: Er greift dort, wo Entwicklung, Release und Support ohnehin stattfinden. Die folgenden Beispiele zeigen, wie sich die Begriffe des Standards im Alltag der Branche zeigen.
- KI-System
- Ein Empfehlungsmodul in einer SaaS-Plattform, ein Chatbot im Kundensupport, ein Code-Assistent im Entwicklungsteam oder ein Klassifikationsmodell im Ticketsystem.
- KI-Politik
- Die schriftliche Haltung der Geschäftsleitung: Welche KI-Anwendungen sind erlaubt, welche verboten, etwa die Eingabe von Kundendaten in öffentliche Sprachmodelle.
- KI-Risikobeurteilung
- Die systematische Prüfung, was schiefgehen kann: verzerrte Ergebnisse, erfundene Antworten, abfliessende Kundendaten, Ausfall eines externen Modell-Anbieters.
- Folgenabschätzung
- Die Analyse, wie ein KI-System Personen beeinflusst, die mit ihm in Kontakt kommen, zum Beispiel Endnutzer einer Software, die automatisch Bewerbungen vorsortiert.
- Anwendbarkeitserklärung
- Die Liste der Kontrollen aus Anhang A mit der Angabe, welche Sie umsetzen und warum Sie andere ausschliessen, etwa weil Sie kein eigenes Modell trainieren.
- Lebenszyklus-Kontrolle
- Freigabeprozess für neue Modellversionen, Protokollierung von Trainingsdaten, Überwachung im Betrieb und ein klarer Ablauf bei Störungen.
03: Umsetzung
Wie IT-Unternehmen die Kernanforderungen erfüllen
Die meisten IT-Firmen haben Teile davon bereits: Change-Management, Zugriffsrechte, Incident-Prozesse. ISO 42001 verlangt, diese Bausteine auf KI auszurichten und zu dokumentieren. Ein typischer Weg sieht so aus.
Rolle bestimmen
Sie halten fest, ob Sie KI-Systeme entwickeln, als Produzent bereitstellen oder als Nutzer einsetzen. Ein Softwarehaus mit eigenem Modell und zugekauften Komponenten ist oft beides.
KI-Politik und Verantwortliche festlegen
Die Geschäftsleitung (Kapitel 5, Führung) unterzeichnet die Politik. Eine Person trägt die Verantwortung für das Managementsystem, etwa die Leitung Entwicklung oder Informationssicherheit.
KI-Systeme inventarisieren und Risiken beurteilen
Sie erfassen jedes eingesetzte oder angebotene KI-System in einer Liste und bewerten Risiken und Folgen. Dies entspricht Kapitel 6, Planung.
Kontrollen wählen
Aus Anhang A wählen Sie die passenden Kontrollen und begründen Ausschlüsse in der Anwendbarkeitserklärung.
Betrieb steuern und überwachen
Release-Freigaben, Datenherkunft und Monitoring werden Teil des Alltags (Kapitel 8, Betrieb). Ergebnisse fliessen in die Bewertung durch die Leitung (Kapitel 9) und in Verbesserungen (Kapitel 10).
04: Einordnung
Welche Rolle Ihr Unternehmen im Standard hat
Der Schwerpunkt der Arbeit hängt davon ab, was Ihr Unternehmen mit KI macht. Die Tabelle ordnet gängige Typen der Branche ein.
| Unternehmenstyp | Rolle | Schwerpunkt |
|---|---|---|
| Softwareanbieter mit KI-Funktionen | KI-Anbieter | Folgenabschätzung für Endnutzer, Freigabe neuer Modellversionen |
| Entwickler von KI-Modellen und Plattformen | KI-Produzent | Datenherkunft, Training, Tests, Dokumentation für Kunden |
| IT-Dienstleister und Systemintegratoren | KI-Nutzer und Anbieter | Auswahl und Überwachung von Drittmodellen, Vertragsklauseln |
| IT-Abteilung mit eigenen KI-Werkzeugen | KI-Nutzer | KI-Politik, erlaubte Werkzeuge, Umgang mit Kundendaten |
Die Rolle bestimmt, welche Kontrollen aus Anhang A für Sie relevant sind. Das ist der erste Schritt der Anwendbarkeitserklärung.
05: Zertify
ISO 42001 online erhalten mit Zertify
Sie beantworten online 40 Ja/Nein-Fragen zu Ihrem KI-Managementsystem. 13 davon sind zwingende Anforderungen des Standards und müssen alle mit Ja beantwortet sein. Bei den übrigen 27 Fragen genügen mindestens 18 Ja-Antworten. Es gibt keinen Audit vor Ort und Sie brauchen kein Konto.
Das Zertifikat stellt die G6 Agency AG im Rahmen einer Lizenz der SICE (Swiss Institute of Certification and Education) aus. Die SICE prüft jede Selbstbeurteilung, bevor das Zertifikat ausgestellt wird. Nach bestandener Beurteilung und Zahlung erhalten Sie es innerhalb von 4 Stunden.
Der Preis beträgt 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive der jährlichen Online-Rezertifizierung. Das Zertifikat gilt 3 Jahre. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code auf dem PDF prüfen, sodass Ihr Kunde es selbst bestätigen kann.
06: FAQ
Häufige Fragen zu ISO 42001 in der IT-Branche
07: Leitfaden
Weiterführende Seiten
Prüfen Sie, ob Ihr KI-Management bereit ist
Die Selbstbeurteilung mit 40 Fragen zeigt Ihnen in wenigen Minuten, wo Ihr Unternehmen steht.
Kostenlos und ohne Registrierung.