ISO 42001 Pflichtdokumente (KI-Managementsystem)

ISO/IEC 42001:2023 verlangt als dokumentierte Information unter anderem: den Anwendungsbereich des KI-Managementsystems (4.3), die KI-Leitlinie (5.2), Prozesse und Ergebnisse der KI-Risikobeurteilung und -behandlung (6.1.2, 6.1.3, 8.2 und 8.3), die Erklärung zur Anwendbarkeit (6.1.3), die Folgenabschätzung für KI-Systeme (6.1.4 und 8.4), die KI-Ziele (6.2) sowie Nachweise zu Kompetenz, Überwachung, internem Audit, Managementbewertung und Korrekturmaßnahmen.

Pflichtdokumente nach Kapitel

Dokument	Kapitel	Zweck
Anwendungsbereich des KI-Managementsystems	4.3	Legt fest, welche Systeme, Prozesse und KI-Rollen erfasst sind
KI-Leitlinie	5.2	Verpflichtungen der obersten Leitung und Rahmen für die Ziele
Prozess der KI-Risikobeurteilung	6.1.2	Kriterien, um Risiken zu identifizieren, zu analysieren und zu bewerten
Prozess der KI-Risikobehandlung	6.1.3	Wie Maßnahmen gewählt und Restrisiken freigegeben werden
Erklärung zur Anwendbarkeit	6.1.3	Notwendige Maßnahmen aus Anhang A, Begründung und Umsetzungsstand
Prozess der Folgenabschätzung für KI-Systeme	6.1.4	Wie die Folgen für Einzelne, Gruppen und Gesellschaft abgeschätzt werden
KI-Ziele	6.2	Messbare Ziele und Pläne zu ihrer Erreichung
Nachweise der Kompetenz	7.2	Schulung und Erfahrung der Personen, die mit KI-Systemen arbeiten
Betriebliche Informationen	8.1	Was nötig ist, um darauf zu vertrauen, dass Prozesse wie geplant laufen
Ergebnisse der Risikobeurteilung	8.2	Aktuelles Risikoregister
Ergebnisse der Risikobehandlung	8.3	Behandlungsplan und Fortschritt
Ergebnisse der Folgenabschätzung	8.4	Folgenabschätzungen je System
Ergebnisse von Überwachung und Messung	9.1	Kennzahlen und ihre Auswertung
Auditprogramm und Auditergebnisse	9.2	Plan, Berichte und Feststellungen
Ergebnisse der Managementbewertung	9.3	Entscheidungen und Maßnahmen der obersten Leitung
Nichtkonformitäten und Korrekturmaßnahmen	10.2	Was schiefging, Ursache, Maßnahme und Ergebnis

Kapitel 7.5.1 ergänzt die dokumentierten Informationen, die die Organisation selbst für die Wirksamkeit des Systems für nötig hält; außerdem verlangen mehrere Maßnahmen aus Anhang A dokumentierte Entscheidungen zu Lebenszyklus, Daten und Informationen für Nutzer.

Nachweise, nach denen Auditoren zusätzlich fragen

Inventar der KI-Systeme mit Zweck, Rolle der Organisation und betroffenen Personen.
Verzeichnis der KI-Lieferanten und der mit ihnen vereinbarten Verantwortlichkeiten.
Nachweise zu Schulung und KI-Kompetenz der Beschäftigten (vgl. Artikel 4 der KI-Verordnung).
Protokoll gemeldeter Vorfälle oder Bedenken zu KI-Systemen.
Versionskontrolle und Freigaben der Systemdokumente.

Häufige Fehler

Die Erklärung zur Anwendbarkeit aus ISO 27001 kopieren: ISO 42001 hat einen eigenen Anhang A mit 38 Maßnahmen.
Risiken für die Organisation beurteilen, aber die Folgenabschätzung für betroffene Personen vergessen.
Eine KI-Leitlinie ohne messbare Ziele oder Kennzahlen haben.
Die Rolle der Organisation je System (zum Beispiel Anbieter oder Nutzer) nicht festhalten.
Dokumente ohne Verantwortlichen oder Prüfdatum.

So ordnen Sie die Dokumentation

Eine praxistaugliche Struktur trennt Governance (Anwendungsbereich, Leitlinie, Rollen), Planung (Risikomethodik, Risikoregister, Folgenabschätzung, Erklärung zur Anwendbarkeit, Ziele), Betrieb (Verfahren zu Lebenszyklus, Daten und Lieferanten) sowie Bewertung und Verbesserung (Kennzahlen, Audit, Managementbewertung, Korrekturmaßnahmen). Hat die Organisation bereits ISO 27001, werden gemeinsame Managementdokumente erweitert statt doppelt geführt.

Kostenlose Probe herunterladen (Englisch) Zum ISO 42001 Kit auf Deutsch

Häufige Fragen

Wie viele Pflichtdokumente hat ISO 42001?

Es gibt keine feste Zahl: Die Norm verlangt dokumentierte Information in mehreren Kapiteln (Anwendungsbereich, Leitlinie, Risiken, Folgen, Erklärung zur Anwendbarkeit, Ziele sowie Nachweise zu Betrieb, Bewertung und Verbesserung). Jede Organisation ergänzt, was sie für nötig hält.

Ist die Folgenabschätzung Pflicht?

Ja. Kapitel 6.1.4 verlangt einen Prozess zur Folgenabschätzung für KI-Systeme, und Kapitel 8.4 verlangt, die Ergebnisse aufzubewahren.

Kann ich Dokumente aus ISO 27001 wiederverwenden?

Ja, für die gemeinsamen Teile des Managementsystems (Dokumentenlenkung, internes Audit, Managementbewertung, Korrekturmaßnahmen). KI-spezifische Dokumente müssen eigens erstellt werden.

In welchem Format müssen die Dokumente sein?

Die Norm schreibt kein Format vor. Es können Textdokumente, Tabellen oder Einträge in einem Werkzeug sein, solange sie gelenkt, verfügbar und geschützt sind.