Klausel 4 + 5
KI-Kontext & Führung
KI-Anwendungsfälle, interessierte Parteien, KI-Politik und Leitungs-Commitment definieren. Der AIMS-Geltungsbereich muss den tatsächlichen KI-Einsatz abbilden, nicht nur Ambitionen.
ISO/IEC 42001:2023 · KI-Governance
ISO 42001
Readiness-Assessment
Der erste zertifizierbare KI-Management-Standard. Misst Governance-Strukturen, KI-Risiko- und Folgenabschätzungen und verantwortliche KI-Praxis für Organisationen, die KI entwickeln oder einsetzen.
- 18 FragenAssessment
- ~10 Min.Dauer
- KI-Entwickler & -NutzerGeltungsbereich
Für wen es gilt
- Organisationen, die KI-Systeme entwickeln, einsetzen oder bereitstellen — auch general-purpose AI, Entscheidungsunterstützung und KI in Produkten
- Lieferanten, die Enterprise-Kunden, öffentlichen Stellen oder regulierten Branchen verantwortliche KI-Governance nachweisen müssen
- Organisationen, die unter den EU AI Act fallen und eine anerkannte Good-Practice-Baseline suchen
Schlüsselartikel und Klauseln in Klartext
Die fünf Punkte, die Auditoren und Aufsichtsbehörden zuerst prüfen.
Klausel 6.1 / Annex A 5
KI-Risiko & Folgenabschätzung
Jedes KI-System verlangt eine dokumentierte Risikobewertung zu Sicherheit, Fairness, Datenschutz, Sicherheit und gesellschaftlichen Auswirkungen — getrennt von generischer IT-Risikobewertung.
Annex A 7
Datenmanagement für KI
Definierte Anforderungen an Datenqualität, Lineage, Bias-Monitoring und Datensatz-Dokumentation für Training, Validierung und Betrieb.
Annex A 9
Transparenz & menschliche Aufsicht
Sinnvolle menschliche Aufsicht folgenreicher KI-Entscheidungen, Klartext-Erklärungen und Offenlegung des KI-Einsatzes.
Annex A 10
KI-spezifisches Vorfallsmanagement
Prozess für Erkennung und Reaktion auf Modell-Drift, Bias, Halluzinationen und adversariale Angriffe — getrennt vom generellen IT-Vorfall.
Was dieses Assessment abdeckt
5 Themenbereiche · 18 Fragen zur Selbstbewertung.
- Domäne 01
KI-Governance & Leitung
ISO 42001 Klausel 5 verlangt von der obersten Leitung eine KI-Politik, dokumentierte Rollen und Verantwortungen sowie aktive Verantwortung für das KI-Managementsystem (AIMS). Erste Prüfpunkte jedes ISO-42001-Lead-Audits.
- Domäne 02
KI-Risiko & Folgenabschätzung
Klausel 6 verlangt einen formalen KI-Risikoprozess, AIIA für hochrelevante Systeme, Behandlung KI-spezifischer Risiken und eine SoA, die Risiken auf Annex-A-Maßnahmen abbildet.
- Domäne 03
Daten- & Modell-Governance
Annex-A 8.2–8.4 verlangt dokumentierte Daten-Governance: Trainingsdaten-Qualität, Repräsentations-Bias, Modelltests vor Einsatz und vollständige Datenherkunft.
- Domäne 04
Transparenz & menschliche Aufsicht
Annex-A 9.1–9.3 verlangt menschliche Aufsicht, erklärbare Entscheidungen und Information Betroffener — direkt anschlussfähig an DSGVO Art. 22 und EU AI Act.
- Domäne 05
Betrieb & kontinuierliche Verbesserung
Klauseln 8–10 verlangen kontrollierte KI-Deployments, KI-spezifisches Vorfallsmanagement, jährliches internes AIMS-Audit und formales Management-Review.
Häufigste Audit-Stolperfallen
- ISO-27001-Risikoregister wiederzuverwenden, ohne KI-spezifische Dimensionen (Fairness, Erklärbarkeit, Drift) zu ergänzen.
- Vendor-KI-Funktionen produktiv genutzt ohne dokumentierte Risikobewertung, weil sie kein ‚Projekt‘ waren.
- Kein definierter Prozess zum Re-Training oder Rollback von Modellen bei Bias oder Drift.
Häufig gestellte Fragen
Ja. ISO/IEC 42001:2023 ist der erste zertifizierbare KI-Management-Standard. Mehrere Akkreditierungsstellen stellten 2024–2025 erste akkreditierte Zertifikate aus.
Nicht automatisch, aber sie deckt einen wesentlichen Teil der Risikomanagement-, Transparenz-, Aufsichts- und Post-Market-Pflichten des AI Act ab. Der direkteste Weg zur AI-Act-Bereitschaft.
Nicht zwingend, aber ISO 42001 setzt reife Informationssicherheit voraus. Die meisten Organisationen führen 42001 parallel zu oder nach 27001 ein, um Doppelarbeit zu vermeiden.
Ja. ISO 42001 erfasst KI-Nutzer, nicht nur -Entwickler. Wer KI für folgenreiche Entscheidungen einsetzt, fällt unter die AIMS-Maßnahmen für die Steuerung dieser Nutzung.
Hochrisiko-KI braucht ein dokumentiertes Risikomanagement, Post-Market-Monitoring, technische Dokumentation und menschliche Aufsicht — alles bildet sich auf ISO-42001-Maßnahmen ab.
Aktuell hat eine kleine Gruppe von Zertifizierungsstellen Akkreditierung. Lead-Auditor-Qualifikation (z. B. PECB) ist Voraussetzung für Zertifizierungs-Audits.
Starten Sie Ihr ISO 42001 Assessment
18 Fragen · ~~10 Min. · Scorecard auf Basis Ihrer Antworten. Ohne Anmeldung starten.