ISO 42001 für KMU: Was die KI-Management-Norm bedeutet
ISO/IEC 42001 ist der erste internationale Standard für KI-Management-Systeme. Veröffentlicht 2023, gibt er Organisationen einen Rahmen für verantwortungsvolle KI-Governance. Was bedeutet das für KMU — und wie setzt man es um?
Was ist ISO/IEC 42001?
ISO/IEC 42001 ist ein Management-System-Standard — wie ISO 9001 für Qualität oder ISO 27001 für Informationssicherheit, aber speziell für KI. Er beschreibt, wie eine Organisation ein KI-Management-System (AIMS) aufbaut, implementiert, betreibt und kontinuierlich verbessert.
Zentral: ISO 42001 regelt nicht die Technik von KI-Systemen, sondern die Governance-Prozesse — Verantwortlichkeiten, Risikobewertung, Richtlinien, Audits. Das macht ihn für KMU zugänglich.
Kern-Anforderungen im Überblick
ISO 42001 folgt der HLS-Struktur (High Level Structure) — wer ISO 9001 oder 27001 kennt, findet sich sofort zurecht.
Interne und externe Faktoren bestimmen. Interessierte Parteien und deren Anforderungen identifizieren. KI-Richtlinie formulieren.
Top-Management muss KI-Management-System aktiv unterstützen. KI-Richtlinie genehmigen, Verantwortlichkeiten zuweisen.
Risiken und Chancen aus KI-Einsatz bewerten. Messbare KI-Ziele definieren. Maßnahmenplanung.
KI-Systeme nach definierten Prozessen entwickeln und betreiben. Lieferanten und Partner in KI-Governance einbeziehen.
KI-Leistung messen. Interne Audits durchführen. Management-Review mindestens jährlich.
Nichtkonformitäten behandeln. Kontinuierliche Verbesserung des KI-Management-Systems.
4 Mythen über ISO 42001
ISO 42001 gilt für jeden Betreiber von KI-Systemen — auch SaaS-Nutzer.
KMU können mit strukturierter Vorbereitung unter €10.000 Gesamtkosten bleiben.
Mit dem richtigen Framework: 3–6 Monate für einfache KI-Umgebungen realistisch.
ISO 42001 ist freiwillig. Hochrisiko-KI im EU AI Act verlangt eigene Konformitätsbewertung.
Umsetzung in 6 Schritten
Aktuellen Stand gegen ISO 42001 bewerten. OCC-Glossar als Referenz nutzen.
Welche KI-Systeme fallen in den Geltungsbereich? Grenzen dokumentieren.
KI-Richtlinie schreiben (1–2 Seiten). Messbare KI-Ziele (z.B. Audit-Trail für alle KI-Entscheidungen).
KI-spezifische Risiken erfassen: Bias, Datenschutz, Abhängigkeiten, Erklärbarkeit.
Human-in-the-Loop für kritische Entscheidungen. IIO-Framework implementiert das systemisch.
Akkreditierte Zertifizierungsstelle wählen. Stage-1 (Dokumentenprüfung) → Stage-2 (Vor-Ort-Audit).
Kosten & Zeitaufwand für KMU
ISO 42001 vs. EU AI Act — was ist was?
ISO 42001
- Freiwilliger internationaler Standard
- Management-System (Governance-Prozesse)
- Für alle KI-Systeme anwendbar
- Zertifizierung möglich
- Zeigt KI-Governance-Reife
EU AI Act
- Verbindliche EU-Verordnung
- Produktregulierung (technische Anforderungen)
- Gilt nur für Hochrisiko-KI und verbotene Praktiken
- CE-Konformitätsbewertung (keine Zertifizierung)
- ISO 42001 kann als Nachweis genutzt werden