KI-Managementsystem nach ISO/IEC 42001 einführen: der Praxisleitfaden

Warum jetzt handeln?

High-Risk-KI-Systeme nach dem EU AI Act benötigen ein dokumentiertes Managementsystem – und die Zertifizierung wird ab 2026 für viele Anbieter relevant. Wer ein KI-Managementsystem einführen will, findet in ISO/IEC 42001:2023 den passenden Rahmen. Dieser Leitfaden führt durch die konkreten Schritte von der Entscheidung bis zum Zertifikat, mit Blick auf die Praxis in DE, AT und CH.

Schritt 1: Geltungsbereich festlegen

Bevor Sie Dokumente schreiben, definieren Sie den Scope. ISO/IEC 42001 verlangt in Abschnitt 4.3 eine klare Abgrenzung: Welche KI-Systeme, Standorte und Rollen (Anbieter, Betreiber, Auftragnehmer) sind erfasst? In Deutschland bietet es sich an, den Geltungsbereich an die eigenen High-Risk-Kategorien nach EU AI Act Anhang III zu koppeln. In der Schweiz und Österreich gilt derselbe EU-Rahmen, sofern Sie in den EU-Binnenmarkt liefern.

Praktisch bewährt hat sich eine zweistufige Abgrenzung: zuerst nach Produktfamilie, dann nach Risikoklasse. Systeme, die nur zur internen Prototypenerstellung dienen, können Sie vorerst ausschließen – dokumentieren Sie die Begründung.

Schritt 2: KI-Risikomanagement integrieren

Die ISO 42001 2023 KI-Risikomanagement Integration ist der Kern des Aufbaus. Sie verbinden die Risikobewertung nach Abschnitt 6.1 mit Ihrem bestehenden ISMS (ISO/IEC 27001) oder QMS (ISO 9001). Wichtig: Die Risikokriterien müssen KI-spezifische Aspekte abdecken – Datenqualität, Bias, Modell-Drift, Unsicherheit der Ausgaben und menschliche Aufsicht.

Konkrete Schritte

1. Risikoregister erweitern: Ergänzen Sie je KI-System Einträge zu Trainingsdaten, Modellversion, Einsatzgrenzen und Fehlerfolgen.
2. Schwellenwerte festlegen: Definieren Sie Toleranzen, z. B. maximal zulässige False-Positive-Rate je Anwendung, und dokumentieren Sie die Herleitung.
3. Maßnahmenplan ableiten: Verknüpfen Sie jede identifizierte Risikoart mit einer Maßnahme aus Anhang A (z. B. A.6 Daten-Governance, A.8 Transparenz).

Ein häufiger Fehler: Teams kopieren das ISMS-Risikoregister und ergänzen nur eine Zeile „KI“. Das genügt nicht – die Prüfer erwarten nachvollziehbare KI-spezifische Kriterien.

Schritt 3: Dokumentation und Governance aufbauen

ISO/IEC 42001 verlangt in Abschnitt 5 eine KI-Politik mit klaren Rollen. Legen Sie fest, wer die Freigabe für neue KI-Modelle erteilt und wer die Leistungsüberwachung verantwortet. In der Praxis hat sich ein Gremium aus Datenschutz, IT-Sicherheit, Fachbereich und Compliance bewährt.

Pflichtdokumente (Auswahl)

• KI-Risikobewertung je System (Abschnitt 6.1)
• Erklärung zur anwendbaren KI-Politik (Abschnitt 5.2)
• Dokumentation der Datenherkunft und -qualität (Anhang A.6)
• Verfahren zur Überwachung der Modellleistung (Anhang A.8)
• Verfahren zur Behandlung von Vorfällen (Abschnitt 10.2)

Halten Sie die Dokumente versionsgeführt und mit den EU-AI-Act-Nachweisen verknüpft. Die Konformitätsunterlagen nach der EU-Verordnung können Sie als Anhang referenzieren, statt sie doppelt zu schreiben.

Schritt 4: Interne Prüfung und Managementbewertung

Vor dem Zertifizierungsaudit steht die interne Prüfung (Abschnitt 9.2 revidiert) und die Managementbewertung (Abschnitt 9.3). Prüfen Sie mindestens: Wirksamkeit der Risikomaßnahmen, Ergebnisse der Modellüberwachung, offene Vorfälle und den Status der Korrekturmaßnahmen.

Ein realistischer Zeitplan: vier bis sechs Wochen zwischen Auftakt und internem Audit, danach zwei Wochen für die Bewertung durch die oberste Leitung. Wer die Managementbewertung erst in der Auditwoche ansetzt, riskiert eine Feststellung wegen fehlender Nachweise.

Schritt 5: Zertifizierung vorbereiten und kalkulieren

Der Ablauf einer KI-Managementsystem Zertifizierung folgt dem üblichen Muster: Angebot und Vertrag, Dokumentenprüfung (Stufe 1), Zertifizierungsaudit (Stufe 2), Zertifikatsentscheidung, danach jährliche Überwachungsaudits und eine Rezertifizierung nach drei Jahren. Die Kosten hängen von der Anzahl der Mitarbeitenden im Geltungsbereich und der Anzahl der KI-Systeme ab. Für kleinere Organisationen sind Aufwände im Bereich von 15 bis 25 Audittagen realistisch; bei größeren Konzernen deutlich mehr.

Was Sie vor dem Audit bereitlegen sollten

• Risikoregister mit KI-Kriterien und Schwellenwerten
• Nachweise über Datenqualität und Bias-Prüfungen
• Protokolle der Managementbewertung
• Liste aller High-Risk-KI-Systeme mit Zuordnung zum EU AI Act
• Verfahren für Vorfälle und Meldungen an Aufsichtsbehörden

Schritt 6: EU AI Act und ISO 42001 verzahnen

Die Anforderungen an High-Risk-KI-Systeme nach dem EU AI Act (Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht, Genauigkeit und Robustheit) überschneiden sich stark mit ISO/IEC 42001. Nutzen Sie eine gemeinsame Nachweisstruktur: Verweisen Sie in der EU-Konformitätsdokumentation auf die entsprechenden Abschnitte Ihres KI-Managementsystems. So vermeiden Sie doppelte Arbeit und halten die Dokumente konsistent.

Wichtig für die Schweiz: Das Eidgenössische Institut für Metrologie (METAS) und die Schweizerische Akkreditierungsstelle (SAS) spielen bei der Akkreditierung von Zertifizierungsstellen eine Rolle. In Deutschland ist die DAkkS zuständig, in Österreich die Akkreditierung Austria. Prüfen Sie vor der Beauftragung, ob die Zertifizierungsstelle für den Scope akkreditiert ist.

Häufige Fehler und wie Sie sie vermeiden

• Scope zu weit gefasst: Jedes zusätzliche KI-System erhöht den Auditaufwand. Starten Sie mit den High-Risk-Systemen und erweitern Sie später.
• Risikobewertung ohne Schwellenwerte: Ohne messbare Toleranzen ist die Bewertung nicht prüfbar. Legen Sie Zahlen fest und dokumentieren Sie die Herleitung.
• Managementbewertung als Formalie: Die oberste Leitung muss Entscheidungen zu Ressourcen und Risikoakzeptanz treffen. Protokollieren Sie Beschlüsse, nicht nur Anwesenheiten.
• EU-AI-Act-Nachweise doppelt führen: Verlinken Sie auf bestehende Dokumente und pflegen Sie eine zentrale Nachweisliste.

Fazit

Ein KI-Managementsystem nach ISO/IEC 42001 ist kein Papierberg, sondern ein Steuerungsinstrument – besonders dann, wenn Sie High-Risk-KI-Systeme nach dem EU AI Act betreiben. Der Leitfaden zeigt: Wer Scope, Risikokriterien und Nachweise früh sauber strukturiert, spart im Audit Zeit und Kosten. Beginnen Sie mit den High-Risk-Systemen, verankern Sie die Managementbewertung im Kalender und prüfen Sie die Akkreditierung Ihrer Zertifizierungsstelle, bevor Sie unterschreiben.