ISO 42001 und ISO 27001 verfolgen unterschiedliche Ziele: ISO 27001 schützt Informationen vor unbefugtem Zugriff, Verlust und Missbrauch. ISO 42001 hingegen regelt den verantwortungsvollen Umgang mit künstlicher Intelligenz in Organisationen. Beide Normen ergänzen sich sinnvoll, ersetzen sich aber nicht gegenseitig. Die folgenden Abschnitte beleuchten die wichtigsten Unterschiede, Gemeinsamkeiten und praktischen Konsequenzen für Unternehmen.

Was regelt ISO 42001, das ISO 27001 nicht abdeckt?

ISO 42001 regelt die Einführung, den Betrieb und die kontinuierliche Verbesserung eines KI-Managementsystems (KIMS). Sie adressiert Risiken, die spezifisch durch den Einsatz oder die Entwicklung von KI-Systemen entstehen, darunter algorithmische Verzerrungen, mangelnde Transparenz und ethische Fragen rund um automatisierte Entscheidungen. ISO 27001 deckt diese KI-spezifischen Dimensionen nicht ab.

Konkret geht ISO 42001 auf folgende Bereiche ein, die außerhalb des Geltungsbereichs von ISO 27001 liegen:

• Lebenszyklus von KI-Systemen: Von der Entwicklung über den Betrieb bis zur Außerbetriebnahme werden Anforderungen an Governance und Qualität gestellt.
• KI-spezifisches Risikomanagement: Die Norm fordert eine strukturierte Analyse von KI-Risiken, inklusive der Bewertung von Eintrittswahrscheinlichkeit und Schadenshöhe.
• Datenqualität für KI: ISO 42001 stellt Anforderungen an die Eignung und Qualität von Trainingsdaten.
• Transparenz und Nachvollziehbarkeit: Organisationen müssen dokumentieren, wie KI-Systeme Entscheidungen treffen und welche Auswirkungen diese haben.
• KI-Leitlinien und Verantwortlichkeiten: Die Norm verlangt eine klare KI-Politik sowie definierte Rollen innerhalb der Organisation.

ISO 27001 fokussiert sich dagegen auf den Schutz von Informationswerten durch technische und organisatorische Maßnahmen. Fragen wie „Wer darf auf welche Daten zugreifen?“ oder „Wie werden Sicherheitsvorfälle gemeldet?“ sind ihr Kerngebiet. KI-Governance, also die Frage, ob und wie KI-Systeme verantwortungsvoll eingesetzt werden, bleibt dabei außen vor.

Welche Anforderungen stellt ISO 42001 an Unternehmen?

ISO 42001 gilt für Organisationen jeder Größe und Branche, die KI-Systeme entwickeln, anbieten oder nutzen. Die Norm folgt der bekannten Hochstruktur (High Level Structure) anderer ISO-Managementnormen und umfasst zehn Kapitel, von denen die Kapitel 4 bis 10 verbindliche Anforderungen enthalten. Ausschlüsse einzelner Kapitel sind nicht zulässig, wenn Konformität beansprucht wird.

Organisatorische Anforderungen

Unternehmen müssen den Kontext ihrer KI-Nutzung analysieren, relevante interne und externe Interessengruppen identifizieren und eine dokumentierte KI-Politik verabschieden. Die Geschäftsführung trägt Verantwortung für das KIMS und muss aktiv Rückhalt zeigen. Zudem sind Rollen und Verantwortlichkeiten klar zu definieren, einschließlich der Zuständigkeiten für KI-Systeme gegenüber Lieferanten und Kunden.

Operative Anforderungen

Im Betrieb fordert die Norm eine strukturierte Bewertung der Auswirkungen von KI-Systemen sowie ein dokumentiertes Risikomanagement. Dazu gehört die Festlegung von Schwellenwerten für Wahrscheinlichkeiten und Schadenshöhen sowie die Ableitung konkreter Maßnahmen. Anhang A der Norm listet insgesamt über 30 Maßnahmen zu Themen wie KI-Leitlinien, interne Organisation, Ressourcen, Lebenszyklusmanagement und Datenqualität. Anhang B enthält ergänzende, informative Umsetzungshinweise zu diesen Maßnahmen.

Hinzu kommen Anforderungen an interne Audits, Managementreviews und einen kontinuierlichen Verbesserungsprozess. Organisationen müssen also nicht nur einmalig ein KIMS aufbauen, sondern dessen Wirksamkeit dauerhaft nachweisen und weiterentwickeln.

Wie ergänzen sich ISO 42001 und ISO 27001 in der Praxis?

ISO 42001 und ISO 27001 ergänzen sich, weil sie unterschiedliche Risikodimensionen desselben digitalen Ökosystems abdecken. Ein Unternehmen, das KI-Systeme einsetzt, braucht sowohl Informationssicherheit als auch KI-Governance, um vollständig abgesichert zu sein. Die beiden Normen teilen zudem dieselbe Hochstruktur, was eine integrierte Einführung erleichtert.

In der Praxis bedeutet das konkret:

• Gemeinsame Dokumentenstruktur: Richtlinien, Risikobewertungen und interne Audits lassen sich in einem integrierten Managementsystem zusammenführen.
• Synergie beim Risikomanagement: Risiken, die KI-Systeme für die Informationssicherheit darstellen, können in beiden Systemen gleichzeitig adressiert werden.
• Effizientere Zertifizierungsaudits: Wer bereits nach ISO 27001 zertifiziert ist, hat viele Grundstrukturen bereits etabliert und kann diese für ISO 42001 nutzen.
• Klare Abgrenzung der Verantwortlichkeiten: ISO 27001 regelt den Schutz der Daten, ISO 42001 regelt den verantwortungsvollen Umgang mit den Systemen, die diese Daten verarbeiten.

Wer ein ISO 42001 Audit plant, profitiert erheblich davon, wenn bereits Erfahrung mit ISO 27001 vorhanden ist. Die strukturellen Parallelen senken den Einführungsaufwand spürbar.

Welche Norm sollte ein Unternehmen zuerst einführen?

Unternehmen, die noch keine Managementnorm eingeführt haben, sollten zunächst prüfen, wo ihr größtes Risiko liegt. Wer primär sensible Daten verwaltet und keine eigenen KI-Systeme entwickelt, ist mit ISO 27001 als Einstieg gut beraten. Wer hingegen KI aktiv einsetzt oder entwickelt, sollte ISO 42001 priorisieren oder beide Normen parallel angehen.

Folgende Fragen helfen bei der Entscheidung:

1. Entwickeln oder betreiben wir KI-Systeme, die Entscheidungen beeinflussen?
2. Unterliegen wir regulatorischen Anforderungen durch den EU AI Act?
3. Haben wir bereits eine ISO 27001 Zertifizierung oder vergleichbare Strukturen?
4. Welche Risiken werden von Kunden, Partnern oder Behörden am stärksten eingefordert?

Unternehmen mit bestehender ISO 27001 Zertifizierung können ISO 42001 als logische Erweiterung einführen, ohne bei null anzufangen. Für Organisationen ohne jede Managementnorm empfiehlt sich ein integrierter Ansatz, der beide Systeme von Anfang an gemeinsam aufbaut.

Wie hängt ISO 42001 mit dem EU AI Act zusammen?

ISO 42001 ist keine direkte Umsetzungsnorm für den EU AI Act, aber sie unterstützt Unternehmen dabei, dessen Anforderungen strukturiert zu erfüllen. Der EU AI Act klassifiziert KI-Systeme nach Risikoklassen und fordert für Hochrisiko-KI unter anderem Dokumentation, Transparenz, Risikomanagement und menschliche Aufsicht. Ein nach ISO 42001 aufgebautes KIMS schafft genau diese Strukturen.

Konkrete Überschneidungspunkte zwischen ISO 42001 und dem EU AI Act sind:

• Risikobewertung: Beide verlangen eine systematische Analyse der Risiken von KI-Systemen.
• Dokumentationspflichten: ISO 42001 fordert dokumentierte Informationen, die auch für die Nachweispflichten des EU AI Act genutzt werden können.
• Lebenszyklusmanagement: Der EU AI Act stellt Anforderungen an Entwicklung, Betrieb und Überwachung von KI, die ISO 42001 systematisch abdeckt.
• Governance und Verantwortlichkeiten: Beide Regelwerke verlangen klare Zuständigkeiten für KI-Systeme innerhalb der Organisation.

ISO 42001 kann als Compliance-Grundlage dienen, ersetzt aber keine rechtliche Prüfung der spezifischen Pflichten nach dem EU AI Act. Für Unternehmen, die sich regulatorisch absichern wollen, ist die Norm dennoch ein wertvoller Rahmen, der weit über eine rein technische Betrachtung hinausgeht.

So unterstützt mITSM Unternehmen beim Thema ISO 42001

Wir bei mITSM bieten fundierte Weiterbildungen rund um ISO 42001 und KI-Managementsysteme, die Fach- und Führungskräfte gezielt auf die Anforderungen moderner KI-Governance vorbereiten. Unsere Trainer sind zertifizierte Experten, die das Thema aus der Praxis kennen und komplexe Normenanforderungen verständlich vermitteln.

Unser Angebot im Bereich ISO 42001 umfasst:

• ISO 42001 KI-Beauftragter: Kompaktes Training zu den Mindestanforderungen der Norm, KI-Governance und dem Aufbau eines KIMS
• KI-Manager Ausbildung: Vertiefte Weiterbildung für Fachkräfte, die ein KIMS implementieren oder weiterentwickeln wollen
• Personenzertifizierungen über ICO-Cert: Anerkannte Personenzertifizierungen, die den Marktwert auf dem Arbeitsmarkt konkret steigern
• Präsenz- und Online-Live-Formate: Flexibel buchbar an unseren Standorten deutschlandweit oder als Online-Live-Schulung
• Inhouse-Schulungen: Kursformate, die unter Berücksichtigung Ihrer Unternehmenssituation direkt bei Ihnen vor Ort durchgeführt werden, um KI-Kompetenz gezielt im Team aufzubauen

Ob Sie als Einzelperson Ihre Karriere voranbringen oder als Unternehmen Ihre Teams auf ISO 42001 vorbereiten möchten: Entdecken Sie unser gesamtes Schulungsangebot oder erfahren Sie mehr über unser ISO 42001 Audit. Sprechen Sie uns an, wir freuen uns auf Ihre Anfrage.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.