ISO/IEC 42001:2023
Einführung eines KI-Managementsystems nach ISO/IEC 42001
Steuern Sie die KI, die Sie entwickeln, anbieten oder nutzen, mit einem KI-Managementsystem (AIMS) nach ISO/IEC 42001. Aegentra grenzt das AIMS ab, inventarisiert KI-Systeme, führt Risiko- und Folgenabschätzungen durch, erstellt die Erklärung zur Anwendbarkeit, setzt vereinbarte Maßnahmen um und ordnet die Nachweise für eine unabhängige Zertifizierungsstelle – mit Beraterinnen und Beratern in Europa, remote und vor Ort in Deutschland.
Was wir liefern
Was die Einführung liefert
Ihr schriftlicher Leistungsumfang legt die Ergebnisse und die Verantwortlichen fest. Das Projekt ist auf diese Ergebnisse ausgerichtet.
- KI-Inventar
- Ein Verzeichnis der KI-Systeme im Anwendungsbereich – eigene Modelle, KI-Dienste Dritter und KI-Funktionen in Produkten und Abläufen – mit verantwortlichen Personen.
- KI-Risikobeurteilung
- Risikokriterien und eine Beurteilung der Risiken, die KI-Systeme für die Organisation mit sich bringen, mit Behandlungsentscheidungen.
- Folgenabschätzung für KI-Systeme
- Eine Abschätzung der möglichen Auswirkungen jedes KI-Systems auf Einzelpersonen, Gruppen und die Gesellschaft, etwa in Bezug auf Fairness, Transparenz, Datenschutz und Sicherheit.
- Erklärung zur Anwendbarkeit
- Die anwendbaren Maßnahmen aus Anhang A, ihr Stand und die Begründung jedes Ausschlusses.
- KI-Politik und Maßnahmen
- Eine KI-Politik, definierte Rollen, menschliche Aufsicht, Daten- und Lebenszykluskontrollen sowie Anforderungen an Lieferanten von KI.
- Nachweise und Übergabe
- Betriebsnachweise, Vorbereitung der Managementbewertung und eine geordnete Übergabe für das Zertifizierungsaudit.
Hintergrund
Was ISO/IEC 42001 ist
ISO/IEC 42001:2023 ist die internationale Managementsystemnorm für künstliche Intelligenz. Sie steuert KI als Portfolio statt als einzelnes Modell und nutzt dieselbe übergeordnete Struktur wie ISO/IEC 27001; wer ein ISMS betreibt, erkennt die Abschnitte 4 bis 10 wieder. Anhang A ergänzt KI-spezifische Maßnahmen, und die Folgenabschätzung für KI-Systeme steht im Mittelpunkt der Arbeit.
Keine der beiden Normen ist Voraussetzung für die andere. Ein bestehendes ISMS kann jedoch Prozesse liefern, die sich nach Prüfung wiederverwenden lassen.
ISO/IEC 42001 und die KI-Verordnung
Die KI-Verordnung der EU (Verordnung (EU) 2024/1689) legt Pflichten fest, die vom KI-System, seiner Risikoeinstufung, Ihrer Rolle (zum Beispiel als Anbieter oder Betreiber) und dem Einsatzzweck abhängen. Ein KI-Managementsystem kann helfen, Governance, Risikomanagement und Dokumentation zu ordnen, die diese Pflichten unterstützen.
Eine Zertifizierung nach ISO/IEC 42001 begründet keine Konformität mit der KI-Verordnung. Die geltenden Pflichten müssen gesondert geprüft werden, bei Bedarf mit qualifizierter Rechtsberatung.
Was diese Leistung nicht ist
Sie ist keine Zertifizierung, keine Rechtsberatung und keine Konformitätsbewertung nach der KI-Verordnung. Das interne Audit eines von uns eingeführten AIMS wird gesondert beauftragt und von einer Person durchgeführt, die an der Einführung nicht beteiligt war, oder von einem anderen Anbieter.
So läuft es ab
Vom KI-Inventar zum Zertifizierungsaudit
Erstgespräch
Wir klären, welche KI-Systeme, Rollen und Standorte relevant sind, was das Vorhaben antreibt und welche Termine Sie anstreben, und bieten dann einen Festpreis an.
KI-Inventar
Wir erstellen das Verzeichnis der KI-Systeme im Anwendungsbereich und benennen Verantwortliche.
Risiko- und Folgenabschätzung
Wir beurteilen Risiken und Auswirkungen jedes KI-Systems, vereinbaren die Behandlung und dokumentieren die anwendbaren Maßnahmen in der Erklärung zur Anwendbarkeit.
Aufbau
Richtlinien, Aufsichtsregelungen sowie Daten- und Lieferantenkontrollen werden mit Ihrem Team umgesetzt und nachgewiesen.
Internes Audit und Managementbewertung
Ein unabhängiges, gesondert beauftragtes internes Audit prüft das AIMS; danach bewertet die Leitung Ergebnisse und Maßnahmen.
Übergabe zur Zertifizierung
Wir ordnen die Nachweise für die Audits der Stufen 1 und 2 der Zertifizierungsstelle.
Für wen es passt
Für wen sich die Leistung eignet
- Softwareunternehmen, die KI-Funktionen in ihre Produkte einbauen.
- Organisationen, die generative KI oder KI-Dienste Dritter im Betrieb einsetzen.
- Lieferanten, deren Kunden im Einkauf Nachweise zur KI-Governance verlangen.
- Organisationen, die sich auf Pflichten aus der KI-Verordnung vorbereiten und dafür eine Managementsystem-Struktur nutzen möchten.
- Organisationen mit einem ISMS nach ISO/IEC 27001, die die Governance auf KI ausweiten möchten.
Fragen
Häufige Fragen
Macht uns eine ISO/IEC-42001-Zertifizierung konform mit der KI-Verordnung?
Nein. Ein KI-Managementsystem kann Governance-Nachweise ordnen, aber eine Zertifizierung begründet keine Konformität mit der Verordnung (EU) 2024/1689. Ihre Pflichten hängen vom System, seiner Einstufung, Ihrer Rolle und dem Einsatzzweck ab und müssen gesondert geprüft werden.
Brauchen wir zuerst ISO/IEC 27001?
Nein. Keine der beiden Normen ist Voraussetzung für die andere. Wenn Sie bereits ein ISMS betreiben, lassen sich einige Prozesse wie Dokumentenlenkung, internes Audit und Managementbewertung nach Prüfung wiederverwenden.
Welche KI-Systeme gehören in den Anwendungsbereich?
Das legen Sie fest. Meist umfasst er die KI in Ihren Produkten, die zugeführten Daten, den Lebenszyklus der Modelle, die menschliche Aufsicht und die KI-Dienste Dritter, auf die Sie sich stützen.
Wer stellt das Zertifikat aus?
Eine unabhängige akkreditierte Zertifizierungsstelle. Aegentra führt das AIMS ein und bereitet es vor; Aegentra ist keine Zertifizierungsstelle.
Was kostet es?
Wir veröffentlichen keinen Preis. Nach einem Erstgespräch bieten wir einen Festpreis für den vereinbarten Umfang an. Gebühren der Zertifizierungsstelle sind gesondert.
Sie wollen KI nach ISO/IEC 42001 steuern?
Nennen Sie uns die KI-Systeme im Anwendungsbereich und den Anlass für das Vorhaben.