ISO 42001 und AI Act: Wie die beiden Rahmenwerke sich ergänzen.
Die ISO/IEC 42001:2023 bietet einen strukturierten Rahmen zur Erfüllung der Anforderungen des AI Act, deckt jedoch nicht alle technischen Pflichten ab. Analyse der Entsprechungen, Grenzen und Strategien zur Harmonisierung für europäische Organisationen.
ISO 42001: Ein Managementsystem für Hochrisiko-KI-Systeme
Die im Dezember 2023 veröffentlichte ISO/IEC 42001:2023 ist die erste internationale Norm für Managementsysteme im Bereich künstliche Intelligenz.
Ihr Ziel: Einen strukturierten Rahmen für die verantwortungsvolle Entwicklung, Bereitstellung und Überwachung von KI-Systemen zu bieten. Die Norm folgt der Tradition anderer ISO-Managementstandards wie ISO 9001 für Qualität oder ISO 27001 für Informationssicherheit.
Die ISO 42001 übernimmt die gemeinsame Struktur Anhang SL, was ihre Integration in bestehende Managementsysteme erleichtert. Dieser modulare Ansatz ermöglicht es Organisationen, auf ihren Qualitäts- oder Sicherheitsprozessen aufzubauen und die spezifischen Anforderungen der KI-Governance zu ergänzen.
Die Norm deckt vier zentrale Dimensionen ab: Governance, Lebenszyklus von KI-Systemen, Transparenz und Verantwortung. Sie verlangt insbesondere die Einführung einer KI-Politik, die Benennung eines Verantwortlichen für die Governance sowie die Dokumentation der Entwicklungs- und Bereitstellungsprozesse.
Abbildung der Anforderungen zwischen ISO 42001 und AI Act
Die ISO 42001 und der AI Act verfolgen gemeinsame Ziele, unterscheiden sich jedoch in ihren Ansätzen. Die folgende Tabelle zeigt die wichtigsten Entsprechungen zwischen den Abschnitten der Norm und den Artikeln der Verordnung.
Erwägungsgrund 63 des AI Act erkennt ausdrücklich die Bedeutung internationaler Normen als Grundlage für die vorläufige Konformität an. Diese Bestimmung ermöglicht es zertifizierten Organisationen, ihr Engagement im Bereich der KI-Governance nachzuweisen, während sie auf die harmonisierten Normen CEN/CENELEC warten.
Was die ISO 42001 im AI Act nicht abdeckt
Trotz der Entsprechungen mit der europäischen Verordnung weist die ISO 42001 mehrere Grenzen auf, die es zu berücksichtigen gilt.
1. Prozessansatz vs. technische Anforderungen
Die ISO 42001 ist ein Rahmenwerk für Managementsysteme, das sich auf organisatorische Prozesse konzentriert. Sie legt keine technischen Kriterien zur Bewertung der Konformität der KI-Systeme selbst fest. Der AI Act hingegen schreibt präzise Anforderungen vor zu:
- Der Qualität der Trainingsdaten (Artikel 10)
- Robustheit und Cybersicherheit (Artikel 15)
- Erklärbarkeit von Entscheidungen (Artikel 13)
- Detaillierter technischer Dokumentation (Anhang IV)
2. Geografischer Anwendungsbereich
Die ISO 42001 ist eine internationale Norm, während der AI Act nur für Systeme gilt, die in der Europäischen Union in Verkehr gebracht oder genutzt werden. Organisationen, die außerhalb der EU tätig sind, können sich auf die ISO-Zertifizierung beschränken, während diejenigen, die den europäischen Markt bedienen, beide Rahmenwerke einhalten müssen.
3. Rechtliche Verpflichtung vs. freiwillige Maßnahme
Die Zertifizierung nach ISO 42001 bleibt eine freiwillige Maßnahme ohne rechtlich bindenden Charakter. Der AI Act hingegen ist ein Gesetzestext mit Sanktionen von bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes. Eine ISO-Zertifizierung garantiert daher keine regulatorische Konformität, kann jedoch deren Nachweis erleichtern.
4. Fehlende Abdeckung verbotener Praktiken
Die ISO 42001 behandelt nicht die spezifischen Verbote des AI Act (Artikel 5), wie:
- Subliminale Manipulation
- Ausnutzung von Schwachstellen
- Soziale Bewertung
- Echtzeit-Gesichtserkennung in öffentlichen Räumen
Diese Praktiken müssen unabhängig von der ISO-Zertifizierung einer separaten regulatorischen Analyse unterzogen werden.
Warum die ISO 42001 jetzt einführen
Trotz ihrer Grenzen ist die ISO 42001 ein strategischer Hebel für Organisationen, die dem AI Act unterliegen.
1. Reduzierung regulatorischer Risiken
Die Norm bietet eine strukturierte Methodik zur Identifizierung und Minderung von Risiken im Zusammenhang mit KI-Systemen. Ihr systematischer Ansatz erleichtert den Nachweis der gebotenen Sorgfalt bei Kontrollen durch die zuständigen Behörden wie das AI Office oder die nationalen Aufsichtsbehörden.
2. Vorbereitung auf harmonisierte Normen
Die harmonisierten Normen CEN/CENELEC, die für 2027-2028 erwartet werden, werden sich wahrscheinlich auf bestehende internationale Standards stützen. Eine ISO-42001-Zertifizierung positioniert Organisationen im Voraus für diese zukünftigen Anforderungen und reduziert so die Übergangskosten.
3. Integration in bestehende Systeme
Dank ihrer Anhang-SL-Struktur kann die ISO 42001 in bestehende Qualitätsmanagementsysteme (ISO 9001) oder Sicherheitsmanagementsysteme (ISO 27001) integriert werden. Dieser integrierte Ansatz ermöglicht die Bündelung von Ressourcen und die Senkung der Compliance-Kosten.
4. Wettbewerbsvorteil
Laut mehreren Studien wird die ISO-42001-Zertifizierung von Kunden und Partnern als Qualitäts- und Verantwortungsnachweis wahrgenommen. Sie kann den Zugang zu öffentlichen Aufträgen erleichtern und das Vertrauen der Stakeholder stärken.
Prozess und Akteure der ISO-42001-Zertifizierung
Die Zertifizierung nach ISO 42001 folgt einem standardisierten Prozess, ähnlich dem anderer ISO-Managementnormen.
Zertifizierungsschritte
- Erstbewertung: Bewertung des Ist-Zustands im Vergleich zu den Anforderungen der Norm.
- Anpassung an die Anforderungen: Einführung fehlender Prozesse (KI-Politik, Risikomanagement, Dokumentation).
- Internes Audit: Überprüfung der Konformität durch ein internes Team oder einen Berater.
- Zertifizierungsaudit: Durchgeführt von einer akkreditierten Stelle in zwei Phasen (Dokumentenprüfung und Vor-Ort-Audit).
- Ausstellung des Zertifikats: Gültig für 3 Jahre mit jährlichen Überwachungsaudits.
Zertifizierungsstellen
Mehrere Stellen bieten die ISO-42001-Zertifizierung in Europa an:
- BSI (Vereinigtes Königreich)
- DNV
- Bureau Veritas
- LRQA
- SGS
- TÜV SÜD
In Deutschland haben mehrere Organisationen die Zertifizierung in den Jahren 2024-2025 erhalten, insbesondere in den Bereichen Bankwesen, Versicherungen und Technologie.
Kosten und Dauer
Die Kosten einer Zertifizierung variieren je nach Größe und Komplexität der Organisation:
Diese Kosten umfassen in der Regel die Audits, nicht jedoch die Investitionen, die zur Anpassung der Prozesse an die Anforderungen erforderlich sind.
Ist Ihre Organisation bereit für den AI Act?
Identifizieren Sie Ihre regulatorischen Pflichten und bewerten Sie Ihr Compliance-Niveau mit unserer kostenlosen Diagnose in 3 Minuten.
Häufige Fragen
Antworten auf Fragen von Compliance-Verantwortlichen und Auditoren zur Verknüpfung von ISO 42001 und AI Act.
Nein. Die ISO 42001 deckt die Aspekte der Governance und des Managements von KI-Systemen ab, erfüllt jedoch nicht alle technischen Anforderungen des AI Act. Beispielsweise legt sie keine Kriterien für die Qualität der Trainingsdaten (Artikel 10) oder die Modalitäten der technischen Dokumentation (Anhang IV) fest. Eine ISO-42001-Zertifizierung kann den Nachweis der Konformität erleichtern, muss jedoch durch eine spezifische regulatorische Analyse und eine angepasste technische Dokumentation ergänzt werden.
Beide Normen teilen dieselbe Anhang-SL-Struktur, unterscheiden sich jedoch in ihren Zielen. Die ISO 27001 konzentriert sich auf die Informationssicherheit, während die ISO 42001 spezifisch die Risiken von KI-Systemen behandelt. Beispielsweise:
- ISO 42001 enthält Anforderungen zur Transparenz von KI-Systemen (Erklärbarkeit, Dokumentation).
- Sie behandelt algorithmische Verzerrungen und Fairness, die in der ISO 27001 nicht vorkommen.
- Sie verlangt eine Analyse gesellschaftlicher Auswirkungen, die über rein informationelle Risiken hinausgeht.
Die beiden Normen können jedoch integriert werden, insbesondere bei gemeinsamen Aspekten wie Risikomanagement oder internen Audits.
Abschnitt 6 der ISO 42001 (Planung) bietet eine strukturierte Methodik zur Erfüllung der Anforderungen von Artikel 9 des AI Act. Sie verlangt insbesondere:
- Die Identifizierung spezifischer Risiken von KI-Systemen (Verzerrungen, Robustheit, Erklärbarkeit).
- Die Einrichtung eines kontinuierlichen Prozesses zur Folgenabschätzung.
- Die Dokumentation von Minderungsmaßnahmen.
- Die regelmäßige Überprüfung der Wirksamkeit der Kontrollen.
Dieser systematische Ansatz ermöglicht den Nachweis der gebotenen Sorgfalt im Risikomanagement, wie es der AI Act verlangt. Die ISO 42001 legt jedoch keine technischen Kriterien zur Risikobewertung fest, die entsprechend den regulatorischen Anforderungen definiert werden müssen.
Mehrere internationale Stellen bieten die ISO-42001-Zertifizierung in Deutschland an, darunter:
- Bureau Veritas
- DNV
- LRQA
- SGS
- TÜV SÜD
Diese Stellen sind von der DAkkS oder europäischen Äquivalenten akkreditiert. Es wird empfohlen, ihre spezifische Akkreditierung für die ISO 42001 vor der Beauftragung zu überprüfen. Mehrere deutsche Organisationen, insbesondere in den Bereichen Bankwesen und Technologie, haben diese Zertifizierung in den Jahren 2024-2025 erhalten.
Die Integration der ISO 42001 in ein bestehendes ISO-9001-System wird durch ihre gemeinsame Anhang-SL-Struktur erleichtert. Hier ein schrittweiser Ansatz:
- Prozessabbildung: Identifizierung bestehender Prozesse (Managementbewertung, interne Audits, Behandlung von Nichtkonformitäten), die auf die KI-Governance ausgeweitet werden können.
- Erweiterung der Verantwortlichkeiten: Benennung eines KI-Verantwortlichen innerhalb der bestehenden Qualitätsstruktur.
- Integration der Risiken: Aufnahme KI-spezifischer Risiken in das Qualitätsrisikoregister.
- Vereinheitlichte Dokumentation: Erstellung gemeinsamer Verfahren für Querschnittsaspekte (Schulung, Kommunikation, kontinuierliche Verbesserung).
- Kombinierte Audits: Durchführung interner Audits, die sowohl die Anforderungen der ISO 9001 als auch der ISO 42001 abdecken.
Dieser Ansatz ermöglicht die Bündelung von Ressourcen und die Senkung der Compliance-Kosten. Er eignet sich besonders für Organisationen mit einer ausgereiften Qualitätskultur.