ISO 42001 Pflicht: Muss Ihr Unternehmen zertifiziert sein?

ISO/IEC 42001:2023 ist ein internationaler Standard für KI-Managementsysteme. Er ist keine Rechtsvorschrift. Aus der Norm selbst ergibt sich keine Pflicht, sich zertifizieren zu lassen, auch wenn Sie KI-Systeme entwickeln oder einsetzen.

Gesetzliche Vorgaben zu KI sind ein eigenes Thema. Sie hängen von Land, Branche und Anwendung ab und gehören in eine rechtliche Prüfung. Ein ISO-Zertifikat ersetzt diese Prüfung nicht.

Für Ihr Tagesgeschäft stellt sich die Frage deshalb anders: Verlangt ein Kunde, eine Ausschreibung oder Ihre Branche einen Nachweis? Dann ist das Zertifikat keine Pflicht im rechtlichen Sinn, aber eine Voraussetzung, um den Auftrag zu behalten oder zu gewinnen.

Verbindlich wird der Standard dort, wo jemand in Ihrer Lieferkette ihn einfordert. Diese Situationen kommen am häufigsten vor.

Lieferantenfragebogen

Der Einkauf eines Grosskunden fragt, ob Sie KI nach einem anerkannten Managementstandard steuern. Ohne Zertifikat bleibt das Feld leer oder Sie müssen jede Frage einzeln belegen.

Ausschreibung

Eignungskriterien können ein Managementsystem-Zertifikat verlangen oder Punkte dafür vergeben. Fehlt es, scheiden Sie aus oder liegen in der Bewertung zurück.

Kundenaudit

Prüfer fragen nach KI-Politik, Risikobeurteilung und Verantwortlichkeiten. Mit Zertifikat und Anwendbarkeitserklärung beantworten Sie einen Grossteil davon mit einem Dokument.

Branchenerwartung

Im Finanz-, Versicherungs- und Gesundheitssektor wollen Compliance-Abteilungen wissen, wie ein Dienstleister mit KI umgeht. Ein verifizierbares Zertifikat beantwortet diese Frage.

Weitergabe an Ihre Kunden

Bauen Sie KI-Funktionen in Ihre Software oder Dienstleistung ein, stellen Ihre Kunden Ihnen dieselben Fragen, die Sie selbst Ihren Lieferanten stellen.

Die Nachfrage beginnt dort, wo KI Teil des Produkts oder eines kritischen Prozesses ist. Die Tabelle zeigt, welche Frage Sie erwartet und womit Sie antworten.

• ISO 42001 im Überblick

Wer zertifiziert werden will, muss ein KI-Managementsystem aufbauen und belegen können. Der Standard folgt der üblichen Struktur von Managementsystemen, von Kontext (Kapitel 4) bis Verbesserung (Kapitel 10). Inhaltlich geht es um diese Punkte.

1. 01

   Rolle bestimmen

   Sie legen fest, ob Sie KI-Anbieter, KI-Produzent oder KI-Nutzer sind. Davon hängt ab, welche Anforderungen für Sie gelten.

2. 02

   KI-Politik und Verantwortlichkeiten

   Die Leitung beschliesst eine KI-Politik und benennt Personen, die für KI-Systeme verantwortlich sind.

3. 03

   Risiken beurteilen und behandeln

   Sie erfassen die Risiken Ihrer KI-Systeme und entscheiden, wie Sie damit umgehen.

4. 04

   Folgenabschätzungen

   Sie prüfen, wie ein KI-System Personen beeinflusst, die davon betroffen sind.

5. 05

   Anwendbarkeitserklärung

   Sie halten fest, welche Kontrollen aus Anhang A für Sie gelten und welche nicht, jeweils mit Begründung.

6. 06

   Daten, Entwicklung und Betrieb steuern

   Sie regeln den Lebenszyklus der Systeme, von den Trainingsdaten bis zum laufenden Betrieb.

Bei Zertify beantworten Sie online 40 Ja/Nein-Fragen zum Standard. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet sein. Bei den übrigen 27 Fragen braucht es mindestens 18 Ja-Antworten. SICE prüft jede Selbstbeurteilung, bevor das Zertifikat ausgestellt wird. Das Zertifikat stellt die G6 Agency AG im Auftrag von SICE aus, also unter Lizenz von SICE.

Nach bestandener Selbstbeurteilung und Zahlung liegt das Zertifikat innert 4 Stunden vor. Es trägt eine Nummer und einen QR-Code auf dem PDF. Ihr Kunde kann es auf der öffentlichen Verifikationsseite selbst prüfen. Sie müssen nichts nachreichen.

Das Zertifikat kostet 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive der jährlichen Online-Rezertifizierung. Es gilt 3 Jahre. Das Abonnement verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Dann endet auch das Zertifikat mit dem bezahlten Jahr. Für den Kauf brauchen Sie kein Konto. Bei mehreren Standards gilt ein Rabatt von 20% für zwei und 30% für drei oder mehr, auch auf die jährliche Gebühr.

• Kostenlose Selbstbeurteilung starten
• Preise ansehen
• So funktioniert es

Der klassische Weg läuft über eine Zertifizierungsstelle, die Ihr Unternehmen vor Ort prüft. Er dauert länger und ist aufwendiger. Das Zertifikat von Zertify beruht auf einer Online-Selbstbeurteilung ohne Vor-Ort-Audit und wird jedes Jahr durch ein kurzes Online-Audit bestätigt.

Lesen Sie zuerst im Fragebogen oder in den Ausschreibungsunterlagen nach, welchen Nachweis der Kunde genau verlangt. Meist genügt ein gültiges, prüfbares Zertifikat nach ISO/IEC 42001:2023. Im Zweifel fragen Sie beim Einkauf nach, bevor Sie sich entscheiden.

• Zertifizierungswege vergleichen
• Zertifizierung ohne Vor-Ort-Audit
• Was Zertifizierung kostet