Was ist ISO/IEC 42001? Das Managementsystem für künstliche Intelligenz

ISO/IEC 42001:2023 ist die internationale Norm mit den Anforderungen an ein KI-Managementsystem (englisch AIMS): Leitlinien, Rollen, Risiko- und Folgenabschätzung, Maßnahmen und fortlaufende Verbesserung, um KI-Systeme verantwortungsvoll zu entwickeln, bereitzustellen oder zu nutzen. Sie wurde im Dezember 2023 veröffentlicht, folgt derselben Struktur wie ISO 27001 (Kapitel 4 bis 10) und enthält in Anhang A 38 Referenzmaßnahmen.

Für wen ist ISO 42001 gedacht?

Sie gilt für jede Organisation, die KI-Systeme entwickelt, bereitstellt oder nutzt – unabhängig von Größe oder Branche: vom Unternehmen mit einem Chatbot im Kundenservice oder einem Tool zur Vorauswahl von Bewerbungen bis zum Anbieter, der eigene Modelle trainiert.

Unternehmen, die KI von Drittanbietern in ihre Prozesse einbauen und Risiken und Verantwortlichkeiten steuern müssen.
Softwareanbieter mit KI-Funktionen, die von Kunden nach ihrer KI-Governance gefragt werden.
Organisationen mit ISO 27001, die ihr Managementsystem auf KI erweitern wollen.
Teams, die gegenüber Kunden, Auditoren oder Behörden einen verantwortungsvollen Umgang mit KI nachweisen müssen.

Aufbau der Norm: Kapitel 4 bis 10

Kapitel	Thema	Was es in der Praxis bedeutet
4	Kontext der Organisation	Anwendungsbereich, interessierte Parteien und Rolle der Organisation gegenüber KI (Anbieter, Nutzer usw.) festlegen
5	Führung	Verpflichtung der obersten Leitung, KI-Leitlinie, Rollen und Verantwortlichkeiten
6	Planung	KI-Risiken beurteilen und behandeln, Folgen für Menschen abschätzen, Ziele setzen und die Erklärung zur Anwendbarkeit erstellen
7	Unterstützung	Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information
8	Betrieb	Den Plan umsetzen: Risiko- und Folgenabschätzungen und Behandlung über den Lebenszyklus des Systems
9	Bewertung der Leistung	Kennzahlen, internes Audit und Managementbewertung
10	Verbesserung	Nichtkonformitäten, Korrekturmaßnahmen und fortlaufende Verbesserung

Anhang A: 38 Maßnahmen in 9 Zielbereichen

Anhang A gruppiert die Referenzmaßnahmen in neun Bereiche. Wie bei ISO 27001 entscheidet die Organisation anhand ihrer Risiken, welche sie braucht, und begründet das in einer Erklärung zur Anwendbarkeit.

Bereich	Schwerpunkt
A.2	Leitlinien zu KI
A.3	Interne Organisation: Rollen, Verantwortlichkeiten und Meldung von Bedenken
A.4	Ressourcen für KI-Systeme: Daten, Werkzeuge, Rechenleistung und Personen
A.5	Abschätzung der Folgen von KI-Systemen für Menschen und Gesellschaft
A.6	Lebenszyklus von KI-Systemen: Entwurf, Verifizierung, Einführung und Betrieb
A.7	Daten für KI-Systeme: Qualität, Herkunft und Aufbereitung
A.8	Information für interessierte Parteien: Transparenz und Dokumentation
A.9	Verantwortungsvolle Nutzung von KI-Systemen
A.10	Beziehungen zu Dritten und Kunden: Lieferanten und geteilte Verantwortung

Die Norm enthält außerdem Anhang B (Umsetzungshinweise zu den Maßnahmen), Anhang C (KI-bezogene Ziele und Risikoquellen) und Anhang D (Nutzung des Managementsystems in verschiedenen Branchen).

ISO 42001 und ISO 27001 im Vergleich

Aspekt	ISO/IEC 27001:2022	ISO/IEC 42001:2023
Gegenstand	Informationssicherheit	Verantwortungsvolle Entwicklung, Bereitstellung und Nutzung von KI
Struktur	Kapitel 4 bis 10	Kapitel 4 bis 10 (gleiche Struktur)
Maßnahmen in Anhang A	93 Maßnahmen in 4 Themen	38 Maßnahmen in 9 Zielbereichen
Spezifische Beurteilung	Informationssicherheitsrisiken	KI-Risiken und Folgenabschätzung je KI-System
Erklärung zur Anwendbarkeit	Pflicht	Pflicht

Weil die Struktur gleich ist, kann eine Organisation mit ISO 27001 ihre Prozesse für Dokumentenlenkung, internes Audit, Managementbewertung und Korrekturmaßnahmen weiterverwenden und nur das KI-Spezifische ergänzen.

Bezug zur KI-Verordnung der EU

Die Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-Verordnung, AI Act) ist am 1. August 2024 in Kraft getreten; seit dem 2. Februar 2025 gelten die verbotenen Praktiken und die Pflicht zur KI-Kompetenz der Beschäftigten (Artikel 4). ISO 42001 ersetzt die Verordnung nicht und bedeutet für sich allein keine Konformität, bietet aber einen geordneten Weg, Systeme zu erfassen, Risiken und Folgen zu beurteilen, Verantwortlichkeiten festzulegen und Nachweise zu führen – die Grundlage, die jede Umsetzung braucht.

Schritte zur Einführung eines KI-Managementsystems

Die entwickelten, bereitgestellten oder genutzten KI-Systeme erfassen und den Anwendungsbereich festlegen.
Eine KI-Leitlinie freigeben und Rollen zuweisen (auch, wer über jedes System entscheidet).
Kriterien festlegen und KI-Risiken sowie die Folgen jedes Systems für Menschen beurteilen.
Maßnahmen auswählen und die Erklärung zur Anwendbarkeit gegen die 38 Maßnahmen aus Anhang A dokumentieren.
Beschäftigte schulen, Maßnahmen betreiben und mit Kennzahlen messen.
Interne Audits und Managementbewertungen durchführen und Feststellungen korrigieren.

Kostenlose Probe herunterladen (Englisch) Zum ISO 42001 Kit auf Deutsch

Häufige Fragen

Ist ISO 42001 zertifizierbar?

Ja. Es ist eine Anforderungsnorm, eine Organisation kann sich also von einer Zertifizierungsstelle auditieren lassen. Das Ergebnis hängt davon ab, wie das System in der jeweiligen Organisation umgesetzt und betrieben wird.

Wie viele Maßnahmen hat ISO 42001?

Anhang A enthält 38 Maßnahmen in 9 Zielbereichen (A.2 bis A.10). Die Organisation entscheidet anhand ihrer Risiken, welche anwendbar sind, und begründet das in der Erklärung zur Anwendbarkeit.

Braucht man ISO 27001, um ISO 42001 einzuführen?

Nein. Beide Normen sind unabhängig, haben aber dieselbe Struktur; Organisationen mit ISMS können einen großen Teil ihres Managementsystems weiterverwenden.

Lohnt sich ISO 42001, wenn wir nur KI von Drittanbietern nutzen?

Ja. Die Norm berücksichtigt verschiedene Rollen gegenüber KI, auch die Nutzung von Systemen anderer Anbieter, und für Beziehungen zu Dritten gibt es einen eigenen Maßnahmenbereich (A.10).