ISO 42001 AIMS-Check
Wie reif ist Ihr KI-Management?
20 Fragen, 5 Kategorien, 3 Minuten. Finden Sie heraus, wie gut Ihr Unternehmen KI-Systeme verantwortungsvoll steuert — im Einklang mit ISO 42001 und EU AI Act.
Wie reif ist Ihr KI-Management?
ISO/IEC 42001:2023 ist die erste internationale Norm für ein KI-Managementsystem (AI Management System, AIMS). Sie beantwortet die Frage, die sich mit dem EU AI Act für viele Unternehmen stellt: Wie steuere ich KI systematisch – statt in jedem Projekt neu zu improvisieren? Der Check oben schätzt Ihren Reifegrad entlang der Normstruktur ein.
Was die Norm verlangt
Die ISO 42001 folgt derselben harmonisierten Struktur wie ISO 27001 und ISO 9001. Wer eine dieser Normen kennt, findet sich sofort zurecht:
| Teil | Inhalt |
|---|---|
| Klauseln 4–10 | Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung – der Managementsystem-Kern |
| Anhang A | Controls für den KI-Kontext, u. a. KI-Richtlinie, Rollen, Ressourcen, Auswirkungsanalyse, Lebenszyklus, Daten, Informationen für Dritte |
| Anhang B | Umsetzungsleitfaden zu den Controls – praktisch der nützlichste Teil |
| Anhänge C/D | Ziele und Risikoquellen sowie Hinweise zur Anwendung über Domänen und Branchen hinweg |
Der entscheidende Unterschied zur ISO 27001
Die ISO 27001 schützt Informationen. Die ISO 42001 fragt zusätzlich nach den Auswirkungen auf Menschen und Gesellschaft – Fairness, Transparenz, Nachvollziehbarkeit, unbeabsichtigte Folgen. Dieses Element, die AI System Impact Assessment, hat kein Gegenstück in der ISO 27001 und ist für viele der ungewohnteste Teil.
Der häufigste Denkfehler: „Wir zertifizieren nach ISO 42001, dann sind wir AI-Act-konform." So einfach ist es nicht. Der AI Act ist Recht, die ISO 42001 eine freiwillige Norm. Sie ist ein exzellenter Rahmen, um die Anforderungen nachweisbar umzusetzen – ein Automatismus ist sie nicht.
Für wen sich das lohnt
- Anbieter von KI-Produkten – Sie brauchen ohnehin Risikomanagement, Daten-Governance und Lebenszyklussteuerung. Ein AIMS bündelt das und ist gegenüber Kunden nachweisbar.
- Unternehmen mit KI in kritischen Prozessen – Personal, Kredit, Medizin, Infrastruktur: Hier trifft der AI Act als Hochrisiko-Kategorie zu, und der Nachweisdruck ist hoch.
- Auftragnehmer von Konzernen – KI-Governance taucht zunehmend in Lieferantenfragebögen auf, ähnlich wie ISO 27001 vor zehn Jahren.
Wie Sie Ihr Check-Ergebnis lesen
- Niedriger Reifegrad – KI wird eingesetzt, aber nicht gesteuert. Es fehlt der Überblick, welche Systeme überhaupt im Haus sind. Erster Schritt ist immer das Inventar.
- Mittlerer Reifegrad – Einzelne Projekte sind gut dokumentiert, aber es gibt keine übergreifenden Regeln, Rollen oder Freigabewege.
- Hoher Reifegrad – Ein Managementsystem ist erkennbar. Der Feinschliff liegt meist bei Auswirkungsanalyse, Wirksamkeitsmessung und internem Audit.
Der Check ist eine Selbsteinschätzung und ersetzt keine Gap-Analyse gegen die Norm.
Der pragmatische Weg
Bauen Sie kein zweites Managementsystem neben Ihrem ISMS auf. Die ISO 42001 teilt sich Struktur, Dokumentenlenkung, internes Audit, Managementbewertung und Verbesserungsprozess vollständig mit der ISO 27001. Sinnvoll ist ein integriertes System: ein Satz Prozesse, zwei Normen – ergänzt um die KI-spezifischen Controls und die Auswirkungsanalyse. Wer bereits ISO 27001 betreibt, schafft die Ergänzung erfahrungsgemäß in einem Bruchteil der Zeit.
Häufige Fragen zur ISO 42001
Ist die ISO 42001 zertifizierbar?
Ja. Sie ist als Managementsystemnorm aufgebaut und kann durch akkreditierte Stellen zertifiziert werden – analog zur ISO 27001, mit Stage-1- und Stage-2-Audit, Überwachungsaudits und Rezertifizierung.
Macht uns ISO 42001 automatisch AI-Act-konform?
Nein. Der AI Act ist verbindliches Recht, die ISO 42001 eine freiwillige Norm. Sie deckt viele Anforderungen strukturell ab – etwa Risikomanagement, Daten-Governance und Dokumentation – ersetzt aber weder die Konformitätsbewertung für Hochrisiko-Systeme noch die Registrierung.
Brauchen wir vorher ISO 27001?
Nein, das ist keine Voraussetzung. In der Praxis ist es aber der übliche und wirtschaftlichere Weg, weil beide Normen dieselbe Struktur nutzen und sich Prozesse, Dokumentenlenkung und Audits teilen lassen.
Was ist eine AI System Impact Assessment?
Eine strukturierte Bewertung, welche Auswirkungen ein KI-System auf Personen und Gruppen haben kann – über die klassische Risikobetrachtung hinaus. Themen sind unter anderem Fairness, Diskriminierungsfreiheit, Nachvollziehbarkeit und unbeabsichtigte Folgen. Sie ist ein Kernelement der Norm.
Lohnt sich das schon, wenn wir KI nur punktuell einsetzen?
Eine Zertifizierung meist noch nicht. Ein KI-Inventar, eine kurze KI-Richtlinie und geklärte Verantwortlichkeiten lohnen sich aber ab dem ersten produktiven System – schon wegen der AI-Literacy-Pflicht aus dem AI Act.
Wie lange dauert die Einführung?
Ohne bestehendes Managementsystem sind sechs bis zwölf Monate realistisch. Mit einem gelebten ISMS nach ISO 27001 reduziert sich das deutlich, weil der Managementsystem-Kern bereits steht.