Eine KIMS-Zertifizierung nach ISO 42001 läuft in mehreren klar definierten Phasen ab: von der internen Vorbereitung und Gap-Analyse über den Aufbau eines KI-Managementsystems bis hin zum externen Audit durch eine akkreditierte Zertifizierungsstelle. Der gesamte Prozess folgt der bewährten Struktur anderer ISO-Normen und orientiert sich am PDCA-Zyklus. Dieser Artikel beantwortet die wichtigsten Fragen rund um Ablauf, Dauer, Kosten und Nutzen der KIMS-Zertifizierung nach ISO 42001 für Unternehmen.

Welche Voraussetzungen müssen Unternehmen vor der Zertifizierung erfüllen?

Bevor ein externes Zertifizierungsaudit stattfinden kann, muss ein Unternehmen ein funktionsfähiges KI-Managementsystem (KIMS) nach den Anforderungen der ISO/IEC 42001 aufgebaut und dokumentiert haben. Das bedeutet: Richtlinien, Prozesse, Verantwortlichkeiten und eine nachweisbare Risikobeurteilung für KI-Systeme müssen vorhanden sein und gelebt werden.

Konkret umfasst die Vorbereitung typischerweise folgende Schritte:

• Kontextanalyse: Das Unternehmen analysiert seine internen und externen Einflussfaktoren, Erwartungen interessierter Parteien sowie bestehende Strukturen und Prozesse.
• Gap-Analyse: Ein Abgleich des Ist-Zustands mit den Normkapiteln 4 bis 10 der ISO 42001 zeigt, wo noch Handlungsbedarf besteht.
• Aufbau des KIMS: Richtlinien, Rollen (z. B. ein KI-Beauftragter), Prozesse zur KI-Risikobeurteilung und -behandlung sowie die Erklärung zur Anwendbarkeit (Statement of Applicability) müssen erarbeitet werden.
• Dokumentation: Die Norm verlangt dokumentierte Informationen in definiertem Umfang, die nachweisbar gelenkt und aufrechterhalten werden.
• Internes Audit: Vor dem externen Audit sollte ein internes Audit durchgeführt werden, um Nichtkonformitäten frühzeitig zu erkennen und zu beheben.
• Managementbewertung: Die oberste Leitung muss das KIMS formal bewertet und seine Eignung, Angemessenheit und Wirksamkeit bestätigt haben.

Unternehmen, die bereits ein Managementsystem nach ISO 27001 oder ISO 9001 betreiben, haben einen strukturellen Vorteil: Die ISO 42001 folgt derselben Harmonized Structure, sodass viele Prozesse und Dokumentationsanforderungen direkt übertragbar sind.

Wie läuft ein ISO 42001-Audit Schritt für Schritt ab?

Ein ISO 42001-Audit gliedert sich in zwei Hauptstufen: das Dokumentenaudit (Stufe 1) und das Systemaudit vor Ort (Stufe 2). Beide Stufen werden von einer akkreditierten Zertifizierungsstelle durchgeführt und münden bei Erfolg in die Ausstellung des Zertifikats.

Stufe 1: Dokumentenprüfung

Im ersten Schritt prüft der Auditor die schriftliche Dokumentation des KIMS. Dazu gehören die KI-Richtlinie, die Risikobeurteilungen, die Erklärung zur Anwendbarkeit sowie Nachweise über interne Audits und Managementbewertungen. Ziel ist es festzustellen, ob das System grundsätzlich zertifizierungsreif ist oder ob wesentliche Lücken bestehen, die vor Stufe 2 geschlossen werden müssen.

Stufe 2: Systemaudit vor Ort

In Stufe 2 überprüft der Auditor, ob das dokumentierte KIMS im Unternehmen tatsächlich gelebt wird. Er führt Interviews mit Verantwortlichen, sichtet Nachweise und beobachtet Prozesse. Werden keine wesentlichen Nichtkonformitäten festgestellt, empfiehlt der Auditor die Zertifizierung. Kleinere Abweichungen können durch Korrekturmaßnahmen innerhalb einer gesetzten Frist behoben werden. Nach erfolgreicher Bewertung stellt die Zertifizierungsstelle das Zertifikat aus, das in der Regel drei Jahre gültig ist, verbunden mit jährlichen Überwachungsaudits.

Was prüfen Auditoren bei einer KIMS-Zertifizierung nach ISO 42001 konkret?

Auditoren prüfen bei einer KIMS-Zertifizierung nach ISO 42001, ob das KI-Managementsystem alle Anforderungen der Normkapitel 4 bis 10 sowie die relevanten Maßnahmen aus Anhang A erfüllt. Im Mittelpunkt stehen Nachweise, dass KI-Risiken systematisch identifiziert, bewertet und behandelt werden.

Typische Prüfpunkte umfassen:

• Kapitel 4 (Kontext): Sind interne und externe Faktoren analysiert? Wurden Erwartungen relevanter Stakeholder berücksichtigt?
• Kapitel 5 (Führung): Hat die Unternehmensleitung eine KI-Richtlinie verabschiedet und Verantwortlichkeiten klar zugewiesen?
• Kapitel 6 (Planung): Liegen dokumentierte KI-Risikobeurteilungen vor? Sind Maßnahmen zur Risikobehandlung definiert?
• Kapitel 8 (Betrieb): Werden KI-Risikoanalysen in geplanten Abständen und bei wesentlichen Änderungen durchgeführt? Gibt es Auswirkungsabschätzungen für KI-Systeme?
• Anhang A (Maßnahmen): Sind die 38 normativen Controls den identifizierten Risiken zugeordnet? Ist die Erklärung zur Anwendbarkeit vollständig und begründet?
• Kapitel 9 (Leistungsbewertung): Wurden interne Audits durchgeführt und Managementbewertungen dokumentiert?
• Kapitel 10 (Verbesserung): Gibt es einen nachweisbaren Prozess zur kontinuierlichen Verbesserung des KIMS, etwa auf Basis des PDCA-Zyklus?

Besonderes Augenmerk legen Auditoren auf die Konsistenz zwischen Dokumentation und gelebter Praxis. Ein KIMS, das nur auf dem Papier existiert, besteht das Audit nicht.

Wie lange dauert eine KIMS-Zertifizierung nach ISO 42001?

Die Gesamtdauer einer KIMS-Zertifizierung nach ISO 42001 hängt stark vom Ausgangszustand des Unternehmens ab. Unternehmen, die von Grund auf starten, sollten realistisch mit sechs bis zwölf Monaten von der ersten Gap-Analyse bis zur Zertifikatsausstellung rechnen.

Folgende Faktoren beeinflussen die Dauer maßgeblich:

• Vorhandene Managementsysteme: Wer bereits ein ISO 27001-ISMS betreibt, kann viele Strukturen wiederverwenden und verkürzt die Implementierungszeit erheblich.
• Komplexität der KI-Systeme: Je mehr und je komplexere KI-Systeme im Einsatz sind, desto aufwändiger sind Risikobeurteilungen und Auswirkungsabschätzungen.
• Unternehmensgröße: In größeren Organisationen dauern die interne Abstimmung, die Schulung der Mitarbeitenden und die Dokumentation naturgemäß länger.
• Verfügbarkeit der Zertifizierungsstelle: Termine für Stufe-1- und Stufe-2-Audits müssen frühzeitig geplant werden, da die Nachfrage nach ISO 42001-Audits seit der Veröffentlichung der Norm 2023 stetig wächst.

Nach erfolgreicher Erstzertifizierung gilt das Zertifikat drei Jahre. In diesem Zeitraum finden jährliche Überwachungsaudits statt, bevor nach drei Jahren ein Rezertifizierungsaudit ansteht.

Was kostet eine KIMS-Zertifizierung nach ISO 42001 für Unternehmen?

Die Kosten einer KIMS-Zertifizierung nach ISO 42001 setzen sich aus internen Aufwänden und externen Gebühren zusammen. Eine pauschale Angabe ist nicht möglich, da die Gesamtkosten stark von Unternehmensgröße, Komplexität und Ausgangssituation abhängen.

Folgende Kostenpositionen sollten Unternehmen einkalkulieren:

• Normdokument: Die ISO/IEC 42001 muss offiziell erworben werden, z. B. über den Beuth Verlag oder die ISO-Website.
• Interne Aufwände: Arbeitszeit für Gap-Analyse, KIMS-Aufbau, Dokumentation, interne Audits und Managementbewertungen.
• Schulung der Mitarbeitenden: Mitarbeitende und Verantwortliche müssen die Normanforderungen verstehen und anwenden können. Entsprechende Trainings, etwa zum KIMS Auditor oder KI-Compliance Beauftragter, sind ein wesentlicher Investitionspunkt.
• Externe Zertifizierungsgebühren: Die Auditgebühren der Zertifizierungsstelle richten sich nach Unternehmensgröße und Audittagen. Für kleinere Unternehmen beginnen sie typischerweise im niedrigen vierstelligen Bereich, für größere Organisationen können sie deutlich höher liegen.
• Überwachungsaudits: Jährliche Folgeaudits verursachen laufende Kosten, die bei der Budgetplanung berücksichtigt werden sollten.

Unternehmen, die die Investition in Relation setzen möchten, sollten den Nutzen einer KIMS-Zertifizierung nach ISO 42001 berücksichtigen: reduzierte KI-Risiken, nachweisbare Compliance und ein klarer Wettbewerbsvorteil gegenüber nicht zertifizierten Mitbewerbern.

Welche Vorteile bringt eine KIMS-Zertifizierung nach ISO 42001 gegenüber dem EU AI Act?

Eine KIMS-Zertifizierung nach ISO 42001 ist kein gesetzliches Muss, erleichtert aber die Erfüllung der Pflichten aus dem EU AI Act erheblich. Wer ein zertifiziertes KI-Managementsystem betreibt, hat die meisten Anforderungen des EU AI Act an Hochrisiko-KI-Systeme strukturell bereits abgedeckt.

Der EU AI Act legt Unternehmen, die Hochrisiko-KI-Systeme einsetzen oder entwickeln, konkrete Pflichten auf: Risikomanagementsysteme, technische Dokumentation, Maßnahmen zur Datenverwaltung, Transparenzpflichten und interne Kontrollmechanismen. Die ISO 42001 adressiert genau diese Bereiche durch ihren systematischen Ansatz aus Risikobeurteilung, Maßnahmenkatalog (Anhang A) und kontinuierlicher Verbesserung.

Die wichtigsten Vorteile einer KIMS-Zertifizierung nach ISO 42001 im Kontext des EU AI Act:

• Nachweisbare Compliance: Ein Zertifikat dokumentiert gegenüber Behörden, Kunden und Partnern, dass KI verantwortungsvoll und regelkonform eingesetzt wird.
• Strukturiertes Risikomanagement: Die Norm liefert einen anerkannten Rahmen zur Klassifizierung und Behandlung von KI-Risiken, der direkt auf die Anforderungen des EU AI Act einzahlt.
• Wettbewerbsvorteil: In Ausschreibungen und Geschäftsbeziehungen kann eine KIMS-Zertifizierung nach ISO 42001 als Alleinstellungsmerkmal wirken und Vertrauen bei Kunden schaffen.
• Reduziertes Haftungsrisiko: Wer nachweist, dass er KI-Risiken systematisch steuert, ist bei möglichen Vorfällen besser abgesichert als Unternehmen ohne formales KIMS.
• Zukunftssicherheit: Während der EU AI Act regulatorische Mindestanforderungen setzt, bietet die ISO 42001 einen proaktiven Rahmen, der auch zukünftige Entwicklungen in der KI-Regulierung auffangen kann.

Kurz gesagt: Der EU AI Act definiert, was Unternehmen einhalten müssen. Die ISO 42001 zeigt, wie sie es systematisch und nachweisbar tun können.

Wie mITSM Unternehmen bei der KIMS-Zertifizierung nach ISO 42001 unterstützt

Wir von mITSM begleiten Unternehmen auf dem Weg zur KIMS-Zertifizierung nach ISO 42001 mit praxisnahen Trainings und Zertifizierungsprogrammen. Unsere Trainer sind zertifizierte Experten, die nicht nur Normwissen vermitteln, sondern KI-Managementsysteme aus der täglichen Praxis kennen.

Unser Angebot umfasst unter anderem:

• ISO 42001 Auditor-Training: Vorbereitung auf die Rolle des internen oder externen Auditors, mit Fokus auf Auditplanung, Durchführung und Nachbereitung.
• KI-Beauftragter-Schulung: Ausbildung der verantwortlichen Personen im Unternehmen, die das KIMS operativ steuern und weiterentwickeln.
• KI-Manager-Zertifizierung: Umfassendes Programm zu KI-Governance, KI-Management und den Anforderungen der ISO 42001, mit Personenzertifizierungen über ICO-Cert als anerkanntem Zertifizierungspartner für KI-Themen.
• Flexible Formate: Alle Trainings sind als Präsenzseminar, Online-Live-Training oder Firmen-Inhouse-Schulung buchbar.

Ob Sie gerade mit einer Gap-Analyse starten oder kurz vor dem Zertifizierungsaudit stehen: Wir unterstützen Sie mit fundiertem Fachwissen und hoher Praxisrelevanz. Erfahren Sie mehr über unser Schulungsangebot oder nehmen Sie direkt Kontakt zu uns auf, um den nächsten Schritt in Richtung KIMS-Zertifizierung nach ISO 42001 zu gehen.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.