Zum Inhalt springen
← Glossar
Glossar · Compliance & Regulierung

ISO 42001 - ISO/IEC 42001:2023 - AI Management System

Norm für KI-Managementsysteme (AIMS)

Was bedeutet ISO 42001?

ISO/IEC 42001 ist die internationale Norm für KI-Managementsysteme: Sie beschreibt, wie eine Organisation die Entwicklung und Nutzung von KI-Systemen nachvollziehbar steuert und dafür zertifiziert werden kann.

ISO/IEC 42001:2023 ist die erste international zertifizierbare Managementsystem-Norm für künstliche Intelligenz. Sie definiert ein AI Management System (AIMS, deutsch: KI-Managementsystem) - also die Prozesse, Rollen und Nachweise, mit denen eine Organisation den verantwortungsvollen Umgang mit KI-Systemen steuert. Die Norm folgt der High Level Structure, die auch ISO/IEC 27001 zugrunde liegt: Kapitel 4 bis 10 beschreiben Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung, ergänzt um einen normativen Anhang A mit 38 Referenz-Controls. Adressiert sind ausdrücklich nicht nur Entwickler von KI, sondern auch Organisationen, die KI-Systeme lediglich bereitstellen oder einsetzen.

Aufbau: Kapitel 4 bis 10 plus 38 Controls in Anhang A

Der Normtext selbst umfasst die Kapitel 4 bis 10 mit den verbindlichen Anforderungen an das Managementsystem. Anhang A ergänzt 38 Referenz-Controls in neun Zielbereichen: A.2 Politiken zur KI, A.3 Interne Organisation, A.4 Ressourcen für KI-Systeme, A.5 Bewertung der Auswirkungen, A.6 KI-System-Lebenszyklus, A.7 Daten für KI-Systeme, A.8 Informationen für interessierte Parteien, A.9 Nutzung von KI-Systemen und A.10 Beziehungen zu Dritten und Kunden. Anhang B liefert Umsetzungshinweise zu jedem Control. Wie bei ISO 27001 müssen nicht alle Controls angewendet werden - die Auswahl erfolgt risikobasiert und wird im Statement of Applicability begründet.

AIMS und ISMS: Was der Unterschied ist

Weil beide Normen dieselbe Grundstruktur nutzen, lassen sich AIMS und ISMS gemeinsam betreiben - Kontextanalyse, Rollen, Auditprogramm und Management-Review können zusammengelegt werden. Inhaltlich unterscheiden sie sich aber deutlich: Ein ISMS schützt Informationen vor Verlust von Vertraulichkeit, Integrität und Verfügbarkeit. Ein AIMS betrachtet zusätzlich Risiken, die aus dem Verhalten des KI-Systems selbst entstehen - Verzerrungen in Trainingsdaten, unklare Datenherkunft, fehlende Erklärbarkeit, Modell- und Datendrift im Betrieb sowie die Frage, wo menschliche Aufsicht vorgesehen ist. Ein zertifiziertes ISMS deckt diese Punkte nicht automatisch mit ab.

KI-System-Folgenabschätzung nach Kapitel 6.1.4

Die deutlichste Neuerung gegenüber ISO 27001 ist die KI-System-Folgenabschätzung. Während die klassische Risikobewertung fragt, welcher Schaden der Organisation droht, verlangt Kapitel 6.1.4 zusätzlich eine Bewertung der Konsequenzen für Einzelpersonen, Gruppen von Einzelpersonen und die Gesellschaft - einschließlich des vorhersehbaren Missbrauchs eines Systems. Bewertet werden unter anderem Fairness, Transparenz, Datenschutz, Zugänglichkeit und Auswirkungen auf Gesundheit und Sicherheit. Die Ergebnisse müssen dokumentiert werden und fließen in die Risikobewertung nach 6.1.2 zurück.

Verhältnis zur KI-Verordnung (EU AI Act)

ISO/IEC 42001 ist eine freiwillige internationale Norm und keine harmonisierte europäische Norm - eine Zertifizierung begründet daher keine Konformitätsvermutung nach der KI-Verordnung (EU) 2024/1689. Die harmonisierten Normen dazu entstehen separat bei CEN/CENELEC JTC 21. Praktisch überlappen sich die Anforderungen dennoch erheblich: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz gegenüber Nutzern und menschliche Aufsicht verlangen beide. Ein nach ISO 42001 aufgebautes AIMS liefert damit einen großen Teil der Struktur und Nachweise, die für die Pflichten aus der KI-Verordnung ohnehin gebraucht werden - es ersetzt deren Prüfung aber nicht. Eine artikelweise Zuordnung der zentralen Pflichten (Art. 9-17, 26, 50) zu den passenden AIMS-Kapiteln und Anhang-A-Controls enthält das AIMS-Handbuch im ISMS-Dokumentation-Tool.

Was der Aufbau im Mittelstand konkret bedeutet

Für KMU beginnt ein AIMS meist nicht bei der Modellentwicklung, sondern bei einer Bestandsaufnahme: Welche KI-Systeme sind überhaupt im Einsatz - inklusive eingekaufter SaaS-Funktionen und Assistenzsysteme -, und in welcher Rolle tritt das Unternehmen dabei auf? Darauf folgen KI-Politik und Zuständigkeiten, die Folgenabschätzung je System, die Auswahl der Controls im Statement of Applicability und schließlich der Nachweis, dass Betrieb und Überwachung tatsächlich laufen. Da Anhang A ausdrücklich auch Beschaffung und Lieferantenbeziehungen abdeckt (A.10), ist die Norm auch für reine Anwender relevant.

Praxis-Tool

Prüfe dein KI-Managementsystem gegen alle 106 Anforderungen der ISO/IEC 42001 - kostenlos, lokal im Browser

Zum AIMS-Anforderungs-Checkliste →

Auch bekannt als

ISO/IEC 42001 · ISO 42001:2023 · AIMS · KI-Managementsystem · AI Management System · KI-Management

Teil des Themenbereichs: Compliance & Regulierung

Verwandte Begriffe

Quellen

Zuletzt aktualisiert: 2026-08-02

Häufige Fragen zu ISO 42001

Ist ISO 42001 verpflichtend?

Nein. ISO/IEC 42001 ist eine freiwillige Norm - es gibt keine gesetzliche Pflicht zur Zertifizierung. Verpflichtend sind in der EU die Anforderungen der KI-Verordnung, und zwar unabhängig davon, ob eine Zertifizierung vorliegt. In der Praxis wird ISO 42001 zunehmend über Kundenverträge und Ausschreibungen eingefordert, ähnlich wie ISO 27001 im IT-Umfeld.

Brauche ich ISO 42001, wenn ich bereits nach ISO 27001 zertifiziert bin?

Ein ISMS deckt die KI-spezifischen Themen nicht mit ab - Trainingsdatenqualität, Bias, Erklärbarkeit, menschliche Aufsicht und die Folgenabschätzung für Betroffene sind in ISO 27001 nicht vorgesehen. Weil beide Normen aber dieselbe Struktur nutzen, lässt sich das AIMS auf ein bestehendes ISMS aufsetzen: Kontext, Rollen, internes Audit und Management-Review können gemeinsam geführt werden, ergänzt um die KI-spezifischen Prozesse und Anhang-A-Controls.

Gilt ISO 42001 auch, wenn wir KI nur einkaufen und nicht selbst entwickeln?

Ja. Die Norm unterscheidet ausdrücklich zwischen Rollen wie Entwickler, Anbieter und Nutzer eines KI-Systems und richtet sich an alle. Für reine Anwender liegt der Schwerpunkt auf den Controls zu verantwortungsvoller Nutzung (A.9) und zu Beziehungen zu Dritten und Kunden (A.10) - also darauf, Zuständigkeiten mit dem Anbieter zu klären, Nutzungsgrenzen einzuhalten und menschliche Aufsicht sicherzustellen. Controls zur Entwicklung können im Statement of Applicability begründet ausgeschlossen werden.

Wie viele Controls hat ISO 42001 und müssen alle umgesetzt werden?

Anhang A enthält 38 Controls in neun Zielbereichen (A.2 bis A.10). Umgesetzt werden müssen nur die Controls, die zur Behandlung der eigenen KI-Risiken und zum Erreichen der KI-Ziele erforderlich sind. Für jeden Control - eingeschlossen wie ausgeschlossen - verlangt Kapitel 6.1.3 f) eine dokumentierte Begründung im Statement of Applicability.

Was ist der Unterschied zwischen AIMS und ISMS?

AIMS steht für AI Management System und bezeichnet das Managementsystem nach ISO/IEC 42001, ISMS für Informationssicherheits-Managementsystem nach ISO/IEC 27001. Das ISMS steuert den Schutz von Informationen, das AIMS den verantwortungsvollen Umgang mit KI-Systemen. Beide folgen derselben Kapitelstruktur und lassen sich zu einem integrierten Managementsystem zusammenführen.