Wie läuft eine ISO 42001-Zertifizierung für Unternehmen ab?

Eine KI-Management-System-Zertifizierung (AIMS) nach ISO 42001 folgt mehreren klar definierten Phasen: von der internen Vorbereitung und Gap-Analyse über den Aufbau eines KI-Management-Systems bis hin zur externen Prüfung durch eine akkreditierte Zertifizierungsstelle. Der gesamte Prozess folgt der bewährten Struktur anderer ISO-Normen und basiert auf dem PDCA-Zyklus. Dieser Artikel beantwortet die wichtigsten Fragen zu Ablauf, Dauer, Kosten und Nutzen einer AIMS-Zertifizierung nach ISO 42001 für Organisationen.

Welche Voraussetzungen müssen Organisationen vor der Zertifizierung erfüllen?

Bevor ein externes Zertifizierungsaudit stattfinden kann, muss eine Organisation ein funktionsfähiges KI-Management-System (AIMS) gemäß den Anforderungen der ISO/IEC 42001 aufgebaut und dokumentiert haben. Das bedeutet, dass Richtlinien, Prozesse, Verantwortlichkeiten und eine nachvollziehbare Risikobewertung für KI-Systeme vorhanden und aktiv gelebt sein müssen.

Konkret umfasst die Vorbereitung typischerweise folgende Schritte:

Kontextanalyse: Die Organisation analysiert ihre internen und externen Einflussfaktoren, die Erwartungen interessierter Parteien sowie bestehende Strukturen und Prozesse.
Gap-Analyse: Ein Abgleich des Ist-Zustands mit den Normkapiteln 4 bis 10 der ISO 42001 zeigt, wo noch Handlungsbedarf besteht.
Aufbau des AIMS: Richtlinien, Rollen (z. B. ein KI-Beauftragter), Prozesse zur KI-Risikobewertung und -behandlung sowie das Statement of Applicability müssen entwickelt werden.
Dokumentation: Die Norm fordert dokumentierte Informationen in einem definierten Umfang, die nachweislich gesteuert und gepflegt werden.
Internes Audit: Vor dem externen Audit sollte ein internes Audit durchgeführt werden, um Nichtkonformitäten frühzeitig zu erkennen und zu beheben.
Management-Review: Das Top-Management muss das AIMS formell bewertet und dessen Eignung, Angemessenheit und Wirksamkeit bestätigt haben.

Organisationen, die bereits ein Managementsystem nach ISO 27001 oder ISO 9001 betreiben, haben einen strukturellen Vorteil: ISO 42001 folgt derselben Harmonized Structure, sodass viele Prozesse und Dokumentationsanforderungen direkt übernommen werden können.

Wie läuft ein ISO 42001-Audit Schritt für Schritt ab?

Ein ISO 42001-Audit gliedert sich in zwei Hauptphasen: das Dokumentenaudit (Stufe 1) und das Systemaudit vor Ort (Stufe 2). Beide Stufen werden von einer akkreditierten Zertifizierungsstelle durchgeführt und führen bei Erfolg zur Ausstellung des Zertifikats.

Stufe 1: Dokumentenprüfung

Im ersten Schritt prüft der Auditor die schriftliche Dokumentation des AIMS. Dazu gehören die KI-Richtlinie, die Risikobewertungen, das Statement of Applicability sowie Nachweise zu internen Audits und Management-Reviews. Ziel ist es festzustellen, ob das System grundsätzlich zertifizierungsreif ist oder ob wesentliche Lücken bestehen, die vor Stufe 2 geschlossen werden müssen.

Stufe 2: Systemaudit vor Ort

In Stufe 2 prüft der Auditor, ob das dokumentierte AIMS in der Organisation tatsächlich gelebt wird. Er führt Interviews mit Verantwortlichen, sichtet Nachweise und beobachtet Prozesse. Werden keine wesentlichen Nichtkonformitäten festgestellt, empfiehlt der Auditor die Zertifizierung. Kleinere Abweichungen können durch Korrekturmaßnahmen innerhalb einer festgelegten Frist behoben werden. Nach erfolgreicher Bewertung stellt die Zertifizierungsstelle das Zertifikat aus, das in der Regel drei Jahre gültig ist, kombiniert mit jährlichen Überwachungsaudits.

Was prüfen Auditoren konkret bei einer AIMS-Zertifizierung nach ISO 42001?

Bei einer AIMS-Zertifizierung nach ISO 42001 prüfen Auditoren, ob das KI-Management-System alle Anforderungen der Normkapitel 4 bis 10 sowie die relevanten Maßnahmen aus Anhang A erfüllt. Der Fokus liegt auf Nachweisen, dass KI-Risiken systematisch identifiziert, bewertet und behandelt werden.

Typische Prüfpunkte sind:

Kapitel 4 (Kontext): Wurden interne und externe Faktoren analysiert? Wurden die Erwartungen relevanter Interessengruppen berücksichtigt?
Kapitel 5 (Führung): Hat das Top-Management eine KI-Richtlinie verabschiedet und Verantwortlichkeiten klar zugewiesen?
Kapitel 6 (Planung): Liegen dokumentierte KI-Risikobewertungen vor? Wurden Maßnahmen zur Risikobehandlung festgelegt?
Kapitel 8 (Betrieb): Werden KI-Risikoanalysen in geplanten Abständen und bei wesentlichen Änderungen durchgeführt? Sind Folgenabschätzungen für KI-Systeme vorhanden?
Anhang A (Maßnahmen): Wurden die 38 normativen Maßnahmen den identifizierten Risiken zugeordnet? Ist das Statement of Applicability vollständig und begründet?
Kapitel 9 (Leistungsbewertung): Wurden interne Audits durchgeführt und Management-Reviews dokumentiert?
Kapitel 10 (Verbesserung): Gibt es einen nachweisbaren Prozess zur kontinuierlichen Verbesserung des AIMS, beispielsweise auf Basis des PDCA-Zyklus?

Auditoren achten besonders auf die Konsistenz zwischen Dokumentation und gelebter Praxis. Ein AIMS, das nur auf dem Papier existiert, wird das Audit nicht bestehen.

Wie lange dauert eine AIMS-Zertifizierung nach ISO 42001?

Die Gesamtdauer einer AIMS-Zertifizierung nach ISO 42001 hängt stark vom Ausgangspunkt der Organisation ab. Wer von Grund auf neu beginnt, sollte realistisch mit sechs bis zwölf Monaten von der ersten Gap-Analyse bis zur Ausstellung des Zertifikats rechnen.

Folgende Faktoren beeinflussen die Dauer wesentlich:

Bestehende Managementsysteme: Wer bereits ein ISO 27001-ISMS betreibt, kann viele Strukturen wiederverwenden und die Implementierungszeit deutlich verkürzen.
Komplexität der KI-Systeme: Je zahlreicher und komplexer die eingesetzten KI-Systeme, desto aufwändiger werden die Risikobewertungen und Folgenabschätzungen.
Organisationsgröße: In größeren Organisationen nehmen interne Abstimmung, Mitarbeiterschulungen und Dokumentation naturgemäß mehr Zeit in Anspruch.
Verfügbarkeit der Zertifizierungsstelle: Termine für Stufe-1- und Stufe-2-Audits müssen frühzeitig geplant werden, da die Nachfrage nach ISO 42001-Audits seit der Veröffentlichung der Norm im Jahr 2023 stetig wächst.

Nach erfolgreicher Erstzertifizierung ist das Zertifikat drei Jahre gültig. In diesem Zeitraum finden jährliche Überwachungsaudits statt, bevor nach drei Jahren ein Rezertifizierungsaudit fällig wird.

Was kostet eine AIMS-Zertifizierung nach ISO 42001?

Die Kosten einer AIMS-Zertifizierung nach ISO 42001 setzen sich aus internem Aufwand und externen Gebühren zusammen. Eine Pauschalaussage ist nicht möglich, da die Gesamtkosten stark von der Größe der Organisation, der Komplexität und der Ausgangssituation abhängen.

Folgende Kostenpositionen solltest du einplanen:

Normdokument: ISO/IEC 42001 muss offiziell erworben werden, z. B. über den Beuth Verlag oder die ISO-Website.
Interner Aufwand: Arbeitszeit für Gap-Analyse, AIMS-Aufbau, Dokumentation, interne Audits und Management-Reviews.
Mitarbeiterschulungen: Mitarbeitende und Verantwortliche müssen die Anforderungen der Norm verstehen und anwenden können. Relevante Schulungen, etwa zum AIMS Auditor oder AI Compliance Officer, stellen eine wesentliche Investition dar.
Externe Zertifizierungsgebühren: Die Auditgebühren der Zertifizierungsstelle richten sich nach der Größe der Organisation und der Anzahl der Audittage. Bei kleineren Organisationen beginnen sie typischerweise im unteren vierstelligen Bereich; bei größeren Organisationen können sie deutlich höher ausfallen.
Überwachungsaudits: Jährliche Folgeaudits verursachen laufende Kosten, die bei der Budgetplanung berücksichtigt werden sollten.

Wer die Investition in Relation setzen möchte, sollte die Vorteile einer AIMS-Zertifizierung nach ISO 42001 bedenken: reduzierte KI-Risiken, nachweisbare Compliance und ein klarer Wettbewerbsvorteil gegenüber nicht zertifizierten Mitbewerbern.

Welche Vorteile bietet eine AIMS-Zertifizierung nach ISO 42001 im Hinblick auf den EU AI Act?

Eine AIMS-Zertifizierung nach ISO 42001 ist keine gesetzliche Pflicht, erleichtert jedoch die Erfüllung der Verpflichtungen aus dem EU AI Act erheblich. Wer ein zertifiziertes KI-Management-System betreibt, hat die meisten Anforderungen des EU AI Act an Hochrisiko-KI-Systeme bereits strukturell abgedeckt.

Der EU AI Act stellt konkrete Anforderungen an Organisationen, die Hochrisiko-KI-Systeme einsetzen oder entwickeln: Risikomanagementsysteme, technische Dokumentation, Maßnahmen zur Datenqualität, Transparenzpflichten und interne Kontrollmechanismen. ISO 42001 adressiert genau diese Bereiche durch seinen systematischen Ansatz aus Risikobewertung, einem Maßnahmenkatalog (Anhang A) und kontinuierlicher Verbesserung.

Die wesentlichen Vorteile einer AIMS-Zertifizierung nach ISO 42001 im Kontext des EU AI Act:

Nachweisbare Compliance: Ein Zertifikat dokumentiert gegenüber Behörden, Kunden und Partnern, dass KI verantwortungsvoll und regelkonform eingesetzt wird.
Strukturiertes Risikomanagement: Die Norm bietet einen anerkannten Rahmen zur Klassifizierung und Behandlung von KI-Risiken, der direkt auf die Anforderungen des EU AI Act einzahlt.
Wettbewerbsvorteil: Bei Ausschreibungen und Geschäftsbeziehungen kann eine AIMS-Zertifizierung nach ISO 42001 als Alleinstellungsmerkmal dienen und Vertrauen bei Kunden aufbauen.
Reduziertes Haftungsrisiko: Wer nachweist, dass KI-Risiken systematisch gemanagt werden, ist im Schadensfall besser geschützt als Organisationen ohne formales AIMS.
Zukunftssicherheit: Während der EU AI Act Mindestanforderungen regulatorisch festlegt, bietet ISO 42001 einen proaktiven Rahmen, der auch künftige Entwicklungen in der KI-Regulierung aufnehmen kann.

Kurz gesagt: Der EU AI Act definiert, was Organisationen einhalten müssen. ISO 42001 zeigt, wie sie das systematisch und nachweisbar tun können.

Wie mITSM Organisationen bei der AIMS-Zertifizierung nach ISO 42001 unterstützt

Wir bei mITSM begleiten Organisationen auf dem Weg zur AIMS-Zertifizierung nach ISO 42001 mit praxisnahen Schulungen und Zertifizierungsprogrammen. Unsere Trainer sind zertifizierte Experten, die nicht nur Normwissen vermitteln, sondern KI-Management-Systeme auch aus der täglichen Praxis kennen.

Unser Angebot umfasst unter anderem:

ISO 42001 Auditor Training: Vorbereitung auf die Rolle des internen oder externen Auditors, mit Schwerpunkt auf Auditplanung, -durchführung und -nachbereitung.
AI Officer Training: Schulung für die verantwortlichen Personen innerhalb der Organisation, die das AIMS operativ steuern und weiterentwickeln.
AI Manager Certification: Ein umfassendes Programm zu KI-Governance, KI-Management und den Anforderungen der ISO 42001, mit persönlichen Zertifizierungen über ICO-Cert als anerkannten Zertifizierungspartner für KI-Themen.
Flexible Formate: Alle Schulungen sind als Präsenzseminare, Online-Live-Training oder als Inhouse-Firmenschulung verfügbar.

Ob du gerade mit einer Gap-Analyse beginnst oder kurz vor deinem Zertifizierungsaudit stehst: Wir unterstützen dich mit fundiertem Fachwissen und einem hohen Maß an Praxisnähe. Erfahre mehr über unser Schulungsangebot oder melde dich direkt über unsere Kontaktseite, um den nächsten Schritt zur AIMS-Zertifizierung nach ISO 42001 zu gehen.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.