Definition
Erster internationaler Standard für KI-Managementsysteme (AIMS). Veröffentlicht 2023. Definiert Anforderungen an verantwortungsvolle Entwicklung und Nutzung von KI-Systemen, parallel zur EU AI Act-Verordnung. Komplementär zu ISO 27001 (Informationssicherheit) und 9001 (Qualität).
In der Praxis
Der häufigste Fehler beim AIMS-Aufbau ist die Unterschätzung: „Wir haben doch schon ISO 27001, das mappen wir kurz." Das greift zu kurz. Das eigentlich Neue der ISO/IEC 42001 sind die KI-spezifischen Bewertungen — die KI-Risikobeurteilung und die KI-System-Folgenabschätzung, die Auswirkungen auf Einzelpersonen, Gruppen und Gesellschaft systematisch erfassen. Wer die als Formalismus abhakt, baut ein Managementsystem ohne Substanz. Zweiter Praxis-Schock, den ich fast überall erlebe: die Inventarisierung. Bevor irgendjemand über Zertifizierung spricht, muss das Unternehmen wissen, welche KI-Systeme es überhaupt einsetzt — und die Belegschaft nutzt längst Schatten-KI, vom Marketing-Textgenerator bis zum privaten Chatbot für Angebotskalkulationen. Diese Bestandsaufnahme ist der ehrlichste erste Schritt. Danach greift die bekannte Logik: Kontext der Organisation, KI-Richtlinie, Rollen, dokumentierte Information, Managementbewertung. Wer ISO 27001 oder ISO 9001 lebt, hat das Handwerkszeug — aber die inhaltliche Tiefe bei Datenqualität, Bias und Folgenabschätzung müssen Sie neu aufbauen.
Verwandte Begriffe
Häufige Fragen zu ISO/IEC 42001
Was unterscheidet ISO/IEC 42001 von der ISO 27001 — reicht unser ISMS nicht?
Beide Normen teilen die harmonisierte Managementsystem-Struktur, deshalb lassen sich viele Artefakte gemeinsam nutzen — Richtlinien, interne Audits, Managementbewertung, dokumentierte Information. Der Inhalt unterscheidet sich aber grundlegend: ISO 27001 schützt Informationen, ISO/IEC 42001 steuert die verantwortungsvolle Entwicklung und Nutzung von KI-Systemen. Dafür fordert sie eigene Prozesse, die ein ISMS nicht kennt: die KI-Risikobeurteilung, die KI-Risikobehandlung mit Wirksamkeitsverifizierung und die KI-System-Folgenabschätzung für Auswirkungen auf Menschen und Gesellschaft. Dazu kommen Themen wie Datenqualität, Bias-Management und Erklärbarkeit, die im Informationssicherheits-Kontext nicht vorkommen. Kurz: Das ISMS ist ein hervorragendes Fundament, aber kein Ersatz. Die Norm selbst beschreibt die integrierte Nutzung ausdrücklich als sinnvollen Weg (ISO/IEC 42001:2023, Kap. 8.2 bis 8.4).
Ist ein AIMS nach ISO/IEC 42001 wegen des EU AI Act Pflicht?
Nein — und diese Unterscheidung sollten Sie sauber treffen. Die KI-VO ist das Gesetz: Sie verpflichtet Anbieter von Hochrisiko-Systemen unter anderem auf ein Qualitätsmanagementsystem (Art. 17) und ein Risikomanagementsystem (Art. 9), und sie kennt Pflichten für Betreiber. ISO/IEC 42001 ist dagegen eine freiwillige, zertifizierbare Norm. Ihr Wert liegt in der Umsetzung: Die harmonisierten europäischen Normen zur KI-VO befinden sich noch in Entwicklung, und ein AIMS nach ISO/IEC 42001 deckt die Management-Anforderungen der Verordnung strukturell weitgehend ab — es ist der belastbarste verfügbare Rahmen, um die gesetzlichen Pflichten systematisch zu erfüllen und gegenüber Kunden und Behörden nachzuweisen. Wer also KI-Systeme anbietet oder betreibt, fährt mit einem AIMS deutlich besser als mit einer Sammlung guter Absichten (Verordnung (EU) 2024/1689, Art. 17 und Art. 9; ISO/IEC 42001:2023).
Wie starten wir mit dem AIMS, ohne ein Bürokratie-Monster zu bauen?
Beginnen Sie mit dem KI-Inventar: Erfassen Sie alle KI-Systeme im Haus — gekaufte, selbst entwickelte und die inoffiziellen —, mit Zweck, Datenbasis, Verantwortlichem und betroffenen Personengruppen. Das ist die halbe Miete und gleichzeitig die Grundlage für die KI-Risikobeurteilung. Zweiter Schritt: eine einseitige KI-Richtlinie der Geschäftsführung, die regelt, welche Systeme für welche Daten freigegeben sind — das ist der schnellste Risiko-Gewinn überhaupt. Drittens: Klassifizieren Sie die Systeme nach der KI-Risikologik und priorisieren Sie die Folgenabschätzung dort, wo Menschen nennenswert betroffen sind. Erst dann bauen Sie die Systematik aus — Rollen, Bewusstsein, Dokumentationslenkung, Managementbewertung. Wer mit einer Gap-Analyse gegen die Norm startet, sieht schnell: Das meiste existiert schon, es ist nur nicht KI-spezifisch gedacht (ISO/IEC 42001:2023, Kap. 4.4 und 8.2).