KI-Zertifizierung: ISO/IEC 42001 und weitere Standards

Die wichtigsten Normen im Überblick

Die internationale Normung zu KI findet vor allem im Gremium ISO/IEC JTC 1/SC 42 statt. Nicht jede dieser Normen ist zertifizierbar; viele dienen als Leitfaden oder begriffliche Grundlage.

ISO/IEC 42001 im Detail

ISO/IEC 42001 folgt der Harmonized Structure, die auch ISO 27001 und ISO 9001 verwenden: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Dadurch lässt sie sich gut in bestehende Managementsysteme integrieren. KI-spezifisch sind insbesondere:

• KI-Politik und Rollen: festgelegte Ziele und Verantwortlichkeiten für die Entwicklung und Nutzung von KI
• KI-Risikobeurteilung und Folgenabschätzung: Bewertung der Risiken für die Organisation sowie der Auswirkungen von KI-Systemen auf Einzelpersonen und Gesellschaft
• Anhang A mit Maßnahmen (Controls): unter anderem zu Datenqualität und -herkunft, Lebenszyklus von KI-Systemen, Information von Betroffenen, verantwortungsvoller Nutzung und Beziehungen zu Dritten
• Erklärung zur Anwendbarkeit: wie bei ISO 27001 wird begründet, welche Maßnahmen umgesetzt werden und welche nicht

Die Norm gilt für Anbieter, Entwickler und reine Nutzer von KI gleichermaßen. Ein Unternehmen, das KI nur einsetzt, wählt entsprechend andere Schwerpunkte als ein Softwarehersteller.

Ablauf einer Zertifizierung

1. Geltungsbereich festlegen: Welche Standorte, Prozesse und KI-Systeme sollen erfasst werden?
2. Gap-Analyse: Abgleich des Ist-Zustands mit den Anforderungen der Norm, idealerweise aufbauend auf einem vorhandenen ISMS.
3. Aufbau des Managementsystems: Richtlinien, Risiko- und Folgenabschätzung, Erklärung zur Anwendbarkeit, Schulungen und Dokumentation.
4. Internes Audit und Managementbewertung: Nachweis, dass das System tatsächlich gelebt wird.
5. Zertifizierungsaudit: Zweistufiges Audit durch eine akkreditierte Zertifizierungsstelle (Dokumentenprüfung, dann Prüfung der Umsetzung).
6. Aufrechterhaltung: Jährliche Überwachungsaudits und Rezertifizierung nach drei Jahren.

Wer bereits nach ISO 27001 zertifiziert ist, kann viele Elemente wiederverwenden und ein kombiniertes Audit anstreben. Bei der Auswahl der Zertifizierungsstelle sollten Sie darauf achten, dass sie für ISO/IEC 42001 akkreditiert ist.

BSI AIC4 für KI-Cloud-Dienste

Der AI Cloud Service Compliance Criteria Catalogue (AIC4) des BSI legt Kriterien für die Sicherheit von KI-Diensten in der Cloud fest, etwa zu Robustheit, Datenqualität, Erklärbarkeit und Performance. Er baut auf dem Cloud-Kriterienkatalog C5 auf und wird im Rahmen einer Prüfung durch Wirtschaftsprüfer nachgewiesen. Für Unternehmen, die KI-Dienste einkaufen, ist ein AIC4-Testat ein nützlicher Anhaltspunkt bei der Anbieterbewertung.

Verhältnis zum EU AI Act

Eine ISO/IEC-42001-Zertifizierung ist keine Konformitätsbewertung nach dem AI Act und ersetzt sie nicht. Für Hochrisiko-KI-Systeme verlangt die Verordnung (EU) 2024/1689 eine eigene Konformitätsbewertung, je nach Anwendungsbereich durch interne Kontrolle oder unter Beteiligung einer notifizierten Stelle, sowie eine CE-Kennzeichnung. Harmonisierte europäische Normen, deren Einhaltung eine Konformitätsvermutung auslösen soll, werden derzeit bei CEN und CENELEC erarbeitet. Ein KI-Managementsystem nach ISO/IEC 42001 hilft dennoch erheblich, weil es Risikomanagement, Dokumentation, menschliche Aufsicht und Überwachung strukturiert, die auch der AI Act fordert.

Für wen lohnt sich eine Zertifizierung?

• Softwarehersteller und Dienstleister, deren Kunden Nachweise zur verantwortungsvollen KI-Entwicklung verlangen
• Unternehmen, die KI in sensiblen Bereichen wie Personal, Kreditvergabe oder Gesundheit einsetzen
• Organisationen mit bestehendem ISMS, die KI-Governance mit überschaubarem Mehraufwand ergänzen wollen

Für Unternehmen, die KI nur in geringem Umfang nutzen, genügt oft eine Orientierung an der Norm ohne formale Zertifizierung.

Fazit

ISO/IEC 42001 ist derzeit der zentrale zertifizierbare Standard für KI-Governance und lässt sich gut mit ISO 27001 verbinden, ersetzt aber nicht die Pflichten aus dem AI Act. SecTepe unterstützt bei Gap-Analyse und Aufbau eines KI-Managementsystems, bevorzugt integriert in ein bestehendes ISMS.

Häufige Fragen

Ist eine ISO/IEC-42001-Zertifizierung gesetzlich vorgeschrieben?

Nein. Die Zertifizierung ist freiwillig. Sie kann aber vertraglich von Kunden verlangt werden und erleichtert den Nachweis einer strukturierten KI-Governance.

Wie lange dauert der Weg zum Zertifikat?

Das hängt von Größe, Geltungsbereich und Vorarbeiten ab. Mit einem funktionierenden ISMS nach ISO 27001 ist der Aufwand deutlich geringer als bei einem Neuaufbau.