Künstliche Intelligenz bewegt sich rasch vom Experimentierstadium in den operativen Kern moderner Organisationen. KI beeinflusst heute Kundeninteraktion, Engineering, Fertigung, Finanzanalyse, Personalgewinnung, Cybersicherheit, Lieferketten, Gesundheitswesen, freiberufliche Dienstleistungen und zunehmend die Entscheidungen, die Organisationen täglich treffen.
Mit der zunehmenden Verbreitung stellt sich jedoch eine schwierigere Frage: Wie kann eine Organisation nachweisen, dass ihre Nutzung, Entwicklung oder Bereitstellung künstlicher Intelligenz systematisch und verantwortungsvoll gesteuert wird?
Dieser Herausforderung widmet sich ISO/IEC 42001:2023, die internationale Managementsystemnorm für künstliche Intelligenz.
Statt KI-Governance als Sammlung isolierter Richtlinien zu behandeln, bietet ISO/IEC 42001 Organisationen ein strukturiertes Managementsystem für künstliche Intelligenz – ein AIMS –, über das KI-bezogene Risiken, Chancen, Verantwortlichkeiten und Kontrollen in der gesamten Organisation gesteuert werden können.
KI hat sich von der Innovation zur Governance entwickelt
Mehrere Jahre lang konzentrierte sich die geschäftliche Diskussion über künstliche Intelligenz vor allem auf Fähigkeiten: was KI automatisieren, vorhersagen, generieren oder verbessern kann.
Diese Diskussion verändert sich.
Organisationen müssen zunehmend nicht nur berücksichtigen, was ein KI-System leisten kann, sondern auch, wie es gesteuert wird, auf welche Informationen es sich stützt, wer für seine Nutzung verantwortlich ist, welche Risiken es mit sich bringt und wie seine Leistung und Auswirkungen überwacht werden.
Die Verbreitung generativer KI hat diese Fragen besonders sichtbar gemacht. Mitarbeitende können heute leistungsfähige externe KI-Werkzeuge mit außerordentlicher Geschwindigkeit in alltägliche Geschäftsprozesse einführen – mitunter bevor formale Governance-Strukturen geschaffen wurden.
Infolgedessen wird KI-Governance zu einem Thema der Unternehmensführung, das oberste Leitung, IT, Cybersicherheit, Compliance, Recht, Risikomanagement, Qualität, Einkauf, Personalwesen und operative Funktionen betrifft.
Was ist ISO/IEC 42001?
ISO/IEC 42001:2023 legt Anforderungen an die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Managementsystems für künstliche Intelligenz im Kontext einer Organisation fest.
Sie richtet sich an Organisationen, die KI-basierte Produkte, Systeme und Dienstleistungen entwickeln, bereitstellen oder nutzen, und kann daher weit über Technologieunternehmen hinaus relevant sein.
Wie andere international anerkannte Managementsystemnormen folgt ISO/IEC 42001 einem systematischen Managementansatz, der Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und fortlaufende Verbesserung umfasst.
Die Zertifizierung nach ISO/IEC 42001 betrifft das Managementsystem für künstliche Intelligenz einer Organisation. Sie sollte nicht einfach als Zertifizierung verstanden werden, dass ein einzelnes KI-Produkt, ein Algorithmus oder ein Modell automatisch „sicher“ oder „zugelassen“ ist.
Warum die Zertifizierung nach ISO/IEC 42001 an Bedeutung gewinnt
KI schafft Chancen für Produktivität, Innovation und neue Geschäftsmodelle, kann aber auch Risiken mit sich bringen, für die herkömmliche Managementsysteme nicht speziell ausgelegt wurden.
Dazu können Fragen der Datenqualität, Transparenz, Rechenschaftspflicht, Privatsphäre, Sicherheit, Verzerrung (Bias), Zuverlässigkeit, unbeabsichtigter Ergebnisse, KI-Dienste Dritter und der Auswirkungen automatisierter oder KI-gestützter Entscheidungen gehören.
ISO/IEC 42001 bietet einen Rahmen, mit dem Organisationen diese Themen in ein systematisches Management überführen können.
Klarere Verantwortlichkeiten, Richtlinien, Ziele und organisatorische Aufsicht für künstliche Intelligenz festlegen.
Risiken im Zusammenhang mit Entwicklung, Einsatz und Nutzung von KI-Systemen ermitteln, bewerten, behandeln und überwachen.
Das Verständnis von KI-Systemen, ihrer vorgesehenen Verwendung und der sie umgebenden Kontrollen verbessern.
Festlegen, wer für KI-bezogene Entscheidungen, Prozesse, Aufsicht und Korrekturmaßnahmen verantwortlich ist.
Kunden, Behörden, Investoren und Partnern Nachweise für einen strukturierten Ansatz zur KI-Governance liefern.
Governance-Regelungen überwachen und verbessern, während sich Technologie, Risiken und externe Erwartungen weiterentwickeln.
Was Organisationen tatsächlich steuern müssen
Die Einführung eines KI-Managementsystems umfasst wesentlich mehr als das Verfassen einer KI-Richtlinie.
Organisationen müssen zunächst verstehen, wo künstliche Intelligenz in ihrem Betrieb vorhanden ist und wie diese Systeme Geschäftsprozesse, Kunden, Mitarbeitende und andere interessierte Parteien beeinflussen.
- Inventare von KI-Systemen und Ermittlung von KI-Anwendungen;
- Kontext der Organisation und vorgesehene Verwendung von KI-Systemen;
- Rollen, Verantwortlichkeiten und Rechenschaftspflicht;
- KI-Richtlinien und Managementziele;
- Bewertung und Behandlung KI-bezogener Risiken;
- Bewertung möglicher Auswirkungen von KI-Systemen;
- Daten-Governance und Datenqualität;
- Kontrollen über den Lebenszyklus von KI-Systemen;
- KI-Technologien Dritter und extern bezogene KI-Technologien;
- Lieferanten- und Beschaffungskontrollen;
- Transparenz- und Informationsanforderungen;
- menschliche Aufsicht, soweit angemessen;
- Überwachung und Leistungsbewertung;
- Prozesse für Vorfälle und Korrekturmaßnahmen;
- internes Audit und Managementbewertung; sowie
- fortlaufende Verbesserung des AIMS.
KI-Governance entwickelt sich von Grundsatzerklärungen zu nachweisbaren Managementkontrollen. ISO/IEC 42001 bietet Organisationen einen Rahmen für diesen Übergang.
KI-Risiko- und Folgenabschätzung rücken in den Mittelpunkt
Eines der prägenden Merkmale verantwortungsvoller KI-Governance ist die Notwendigkeit, sowohl Risiken als auch Auswirkungenzu verstehen.
Eine Organisation muss möglicherweise nicht nur berücksichtigen, ob ein KI-System seine vorgesehene technische Funktion erfüllt, sondern auch, welche Folgen seine Nutzung für Einzelpersonen, Organisationen und andere Beteiligte haben kann.
Hier ist ISO/IEC 42001 zunehmend Teil einer umfassenderen Familie internationaler KI-Normen.
Ein wachsendes internationales Ökosystem von KI-Normen
ISO/IEC 42001 sollte nicht unbedingt isoliert betrachtet werden. Die internationale Normung zur künstlichen Intelligenz entwickelt sich zu einem umfassenderen Ökosystem, das Governance, Risiko, Auswirkungen, Terminologie, Informationssicherheit und Konformitätsbewertung behandelt.
Legt den organisationsweiten Managementsystemrahmen für die verantwortungsvolle Entwicklung, Bereitstellung und Nutzung künstlicher Intelligenz fest.
Bietet Leitlinien zur Ermittlung, Bewertung und Steuerung von Risiken, die speziell mit künstlicher Intelligenz zusammenhängen.
Bietet einen strukturierten Rahmen zur Bewertung möglicher Auswirkungen von KI-Systemen.
Bietet den Managementsystemrahmen für Informationssicherheit und kann die KI-Governance ergänzen, wenn Informationswerte betroffen sind.
Für Organisationen, die bereits zertifizierte Managementsysteme betreiben, ergibt sich daraus eine wichtige Chance: KI-Governance muss nicht zwangsläufig als völlig separate Managementinfrastruktur aufgebaut werden.
Elemente eines AIMS können, soweit angemessen, in bestehende Governance-, Informationssicherheits-, Qualitäts-, Risikomanagement- und Auditprozesse integriert werden.
ISO/IEC 42005 ergänzt die Dimension der Folgenabschätzung
Die Veröffentlichung von ISO/IEC 42005:2025 stärkt den internationalen Rahmen für verantwortungsvolle künstliche Intelligenz weiter.
Sie bietet einen strukturierten Ansatz zur Folgenabschätzung von KI-Systemen und hilft Organisationen, beabsichtigte und unbeabsichtigte Auswirkungen von KI-Systemen zu ermitteln, zu analysieren und zu dokumentieren.
Eine wichtige Entwicklung für die Zertifizierung: ISO/IEC 42006
Eine weitere wichtige Entwicklung kam mit ISO/IEC 42006:2025.
Diese Norm legt zusätzliche Anforderungen an Stellen fest, die Managementsysteme für künstliche Intelligenz nach ISO/IEC 42001 auditieren und zertifizieren.
Sie baut auf etablierten Anforderungen an die Managementsystemzertifizierung auf und behandelt die zusätzliche Kompetenz und Sorgfalt, die bei der Bewertung von KI-Managementsystemen erforderlich sind.
Wer sollte aufmerksam sein?
ISO/IEC 42001 ist nicht nur für Unternehmen relevant, die KI-Modelle entwickeln.
Ihre mögliche Relevanz erstreckt sich auf Organisationen, die KI-gestützte Systeme und Dienstleistungen entwickeln, bereitstellen, einsetzen oder in wesentlichem Umfang nutzen.
Die Frage der KI von Drittanbietern
Ein besonders wichtiges Thema ist die rasche Einführung extern bezogener künstlicher Intelligenz.
Eine Organisation muss kein eigenes KI-Modell entwickeln, um KI-bezogene Risiken zu übernehmen.
KI-Funktionen können über Cloud-Plattformen, Unternehmenssoftware, Produktivitätsanwendungen, Recruiting-Systeme, Cybersicherheitswerkzeuge, Kundenservice-Plattformen, Engineering-Software und viele andere Technologien Dritter in die Organisation gelangen.
Von der KI-Einführung zur nachweisbaren KI-Governance
Die Bedeutung von ISO/IEC 42001 reicht letztlich über den Erwerb eines Zertifikats hinaus.
Sie steht für einen umfassenderen Wandel in der Art und Weise, wie Organisationen mit künstlicher Intelligenz umgehen sollen.
Diese Fragen dürften bei Kundenqualifizierung, Beschaffung, Absicherung der Lieferkette, Unternehmensführung, Risikomanagement und Konformitätsbewertung zunehmend an Bedeutung gewinnen.
Der Aufstieg der Zertifizierung von KI-Managementsystemen
ISO/IEC 42001 überführt künstliche Intelligenz in eine vertraute Managementsystemdisziplin: Politik und Ziele festlegen, Risiken verstehen, Kontrollen umsetzen, Verantwortung zuweisen, Leistung bewerten, das System auditieren und fortlaufend verbessern.
Was die Norm unterscheidet, ist der Gegenstand der Steuerung. Künstliche Intelligenz kann sich rasch weiterentwickeln, stark von Daten abhängen, auf komplexe Weise mit Menschen interagieren und Folgen haben, die über das herkömmliche IT-Management hinausgehen.
Für Organisationen, die KI in erheblichem Umfang nutzen, kann die Einrichtung eines strukturierten AIMS daher mehr als eine Zertifizierungsübung sein. Es kann die Managementarchitektur bieten, die erforderlich ist, um von fragmentierten KI-Initiativen zu einer einheitlichen, unternehmensweiten Governance zu gelangen.
Ist Ihre Organisation bereit für die Zertifizierung eines KI-Managementsystems?
Organisationen müssen nicht warten, bis Herausforderungen der KI-Governance zu Compliance-Problemen werden.
Eine frühzeitige Prüfung kann aufzeigen, wo KI bereits eingesetzt wird, ob Verantwortlichkeiten klar zugewiesen sind, wie Risiken und Auswirkungen bewertet werden und ob bestehende Managementsysteme eine geeignete Grundlage für ISO/IEC 42001 bieten.
Für viele Organisationen lautet die Frage nicht mehr, ob sie künstliche Intelligenz nutzen. Sie lautet, ob sie nachweisen können, dass die mit dieser KI verbundenen Risiken, Verantwortlichkeiten und Auswirkungen systematisch gesteuert werden.