KI-Managementsystem nach ISO 42001
Wer KI einsetzt, braucht Governance dafür. ISO/IEC 42001 liefert die Struktur — und lässt sich in ein bestehendes ISMS integrieren, statt daneben aufgebaut zu werden.
Warum integriert statt eigenständig
Ein zweites Managementsystem will niemand betreiben
KI ist längst im Einsatz — nur selten dokumentiert
In den meisten Unternehmen wird KI bereits genutzt: in der Textverarbeitung, im Kundenservice, in Auswertungen, in Entwicklungswerkzeugen. Was fehlt, ist die Übersicht — welche Systeme laufen wo, mit welchen Daten, mit welcher Freigabe und mit welcher Verantwortung im Fall eines Fehlers.
ISO/IEC 42001 beschreibt dafür ein Managementsystem in derselben Struktur, die Sie von der ISO 27001 kennen: Kapitel 4 bis 10 plus ein Annex A mit Controls. Wer bereits ein ISMS betreibt, kann große Teile mitnutzen — Dokumentenlenkung, interne Audits, Management-Review und Verbesserungsprozess existieren dann schon.
Wichtig ist die nüchterne Einordnung zum EU AI Act. Die Norm ist eine belastbare Grundlage, ersetzt aber keine Prüfung der rechtlichen Anforderungen im Einzelfall. Wir sagen an jeder Stelle, was die Norm leistet und was nicht.
Was wir aufbauen
Eigenständig oder als Erweiterung Ihres bestehenden Managementsystems
Kontext und Anwendungsbereich
Einsatzfelder, betroffene Stakeholder, Rollen entlang der KI-Wertschöpfungskette und Abgrenzung des Systems.
KI-Inventar
Welche Systeme, mit welchem Zweck, auf welchen Daten, mit welcher Freigabe und welcher Verantwortung.
KI-Politik und Governance
Ziele, Rollen, Freigabe- und Bewertungsverfahren sowie der Umgang mit Auswirkungen auf betroffene Personen.
Risiko- und Auswirkungsbetrachtung
Methodik für KI-spezifische Risiken und die Bewertung von Auswirkungen — über die klassische Informationssicherheit hinaus.
Annex-A-Controls
Umsetzung der anwendbaren Controls mit Nachweisen und begründeter Erklärung zur Anwendbarkeit.
Betrieb und Verbesserung
Überwachung, interne Audits, Management-Review und kontinuierliche Verbesserung im Regelkreis.
Was wir liefern
- KI-Inventar mit Zweck, Datengrundlage und Verantwortlichkeiten
- Gap- und Readiness-Bewertung entlang der Kapitel 4 bis 10
- KI-Politik und Governance-Struktur mit Rollen und Freigabewegen
- Control-Katalog mit Mapping zu ISO 27001
- Erklärung zur Anwendbarkeit über die Controls des Annex A
- Verfahren für Auswirkungsbewertung und Freigabe neuer KI-Anwendungen
- Readiness für eine spätere Zertifizierung
So arbeiten wir
Kontext & Inventar
Einsatzfelder, Rollen, betroffene Daten und Stakeholder erheben — und feststellen, welche KI bereits produktiv läuft.
Gap & Readiness
Reifegrad entlang der Normkapitel und Annex-A-Gruppen mit Lücken und Empfehlungen.
Governance
KI-Politik, Ziele, Rollen, Freigabe- und Bewertungsverfahren festlegen und verankern.
Controls & SoA
Anwendbare Controls umsetzen, Nachweise aufbauen, Anwendbarkeitserklärung begründen.
Betrieb
Überwachung, interne Audits, Management-Review und kontinuierliche Verbesserung.
Häufige Fragen
Macht uns ISO 42001 AI-Act-konform?
Nein. Die Norm ist eine starke Grundlage, insbesondere für die Anforderungen an ein Qualitätsmanagementsystem, entfaltet aber keine Vermutungswirkung für die Konformität mit dem EU AI Act. Eine harmonisierte Norm, die diese Wirkung hätte, liegt derzeit nicht vor. Wer Ihnen das anders darstellt, verkürzt.
Wir haben ein ISO-27001-ISMS — was kommt dazu?
Deutlich weniger, als viele erwarten. Managementsystem, Dokumentenlenkung, interne Audits und Management-Review bestehen bereits und werden mitgenutzt. Hinzu kommen die KI-spezifische Governance, das KI-Inventar, die Auswirkungsbetrachtung und diejenigen Controls, die im ISMS keine Entsprechung haben.
Lohnt sich das ohne Zertifizierungsabsicht?
Häufig ja. Der praktische Nutzen entsteht schon durch das Inventar und die Freigabeverfahren: Viele Unternehmen wissen nicht, welche KI-Werkzeuge in Fachbereichen im Einsatz sind und mit welchen Daten sie arbeiten. Das zu klären ist unabhängig von jeder Norm sinnvoll.
Was hat das mit NIS2 zu tun?
Direkt wenig — NIS2 adressiert Cybersicherheit, nicht KI-Governance. Indirekt viel: KI-Systeme sind Informationssysteme, laufen häufig bei Dienstleistern und verarbeiten sensible Daten. Damit fallen sie unter Ihr Risikomanagement, Ihre Lieferantensteuerung und Ihre Zugriffskontrolle.
Lesetipp: Wie ein Managementsystem nach ISO 27001 aufgebaut wird, beschreibt unsere Leistungsseite zum ISMS-Aufbau.
Erst wissen, was läuft
Wir starten mit dem KI-Inventar. Das allein bringt in den meisten Häusern schon mehr Klarheit als jede Richtlinie.
ISO 42001 anfragen