Was ISO 42001 ist
ISO/IEC 42001, Ende 2023 veröffentlicht, legt Anforderungen an ein KI-Managementsystem fest: die Richtlinien, Rollen, Risikoprozesse und Kontrollen, mit denen eine Organisation KI verantwortungsvoll entwickelt, bereitstellt oder nutzt. Sie folgt derselben Struktur wie ISO 27001 und kann von einer akkreditierten Stelle zertifiziert werden. Ihr Anhang A listet Kontrollen zu KI-Richtlinie, interner Organisation, Ressourcen, Folgenabschätzung, Lebenszyklus von KI-Systemen, Daten für KI-Systeme, Informationen für betroffene Personen, Nutzung von KI-Systemen und Beziehungen zu Dritten.
Was Kunden fragen
Ein Kunde, der ISO 42001 erwähnt, verlangt meist nicht als Erstes ein Zertifikat. Die Fragen folgen den Themen der Norm:
- Ob Sie eine KI-Richtlinie haben, wer sie freigegeben hat und wer im Unternehmen für KI verantwortlich ist.
- Wie Sie Risiken und Auswirkungen jeder KI-Funktion vor der Freigabe bewerten, auch für die Menschen, die von ihrer Ausgabe betroffen sind.
- Woher die Daten stammen, mit denen die Funktion aufgebaut, feinabgestimmt oder getestet wird, und ob Kundendaten dazugehören.
- Wie Sie die Ausgabe testen, was Sie im Betrieb überwachen und wie ein Fehler oder eine Beschwerde behandelt wird.
- Was Nutzer über die KI und ihre Grenzen erfahren und wie ein Mensch die Ausgabe prüfen oder übersteuern kann.
- Auf welche Modellanbieter Sie sich stützen und wie Sie diese bewerten.
Antworten mit Zertifikat
Hängen Sie das Zertifikat an und zitieren Sie den Geltungsbereich wörtlich, denn ein Prüfer wird kontrollieren, ob die KI-Funktionen, die er kauft, darin enthalten sind. Beantworten Sie dann jedes Thema aus Ihrer Erklärung zur Anwendbarkeit, genau wie bei ISO 27001.
Antworten ohne Zertifikat
Beantworten Sie jede Zeile für sich: was Sie tun, wer dafür verantwortlich ist und wo es dokumentiert ist. Zwei Dokumente tragen die meisten Antworten. Das eine ist eine KI-Richtlinie von ein oder zwei Seiten. Das andere ist ein Verzeichnis Ihrer KI-Funktionen, mit dem Modell, das jede nutzt, den Daten, die sie sieht, der Art, wie sie getestet wird, und der Person, die ihre Ausgabe prüft. Ist eine Zertifizierung geplant, nennen Sie den Zeitpunkt. Ein klares Verzeichnis und ein ehrlicher Plan überzeugen mehr als vage Beteuerungen, man richte sich nach der Norm.
In Responsemate
Die KI-Richtlinie, das Verzeichnis und etwaige Zertifikate liegen als Nachweise mit Prüfdatum in der Wissensdatenbank, neben den daraus entworfenen freigegebenen Antworten. Die eigenen Antworten von Responsemate auf diese Fragen, von der Modellwahl bis zur Person, die jede Antwort freigibt, stehen auf der Sicherheitsseite.
Häufige Fragen
Verlangt der EU AI Act ISO 42001?
Nein. ISO 42001 ist freiwillig. Sie hilft zu zeigen, dass KI geordnet gesteuert wird, und manche Kunden fragen danach als Zeichen von Reife, aber der AI Act verlangt kein Zertifikat.
Können wir uns nach ISO 42001 zertifizieren lassen, wenn wir nur KI-Modelle anderer Anbieter nutzen?
Ja. Die Norm gilt für Organisationen, die KI-Systeme entwickeln, bereitstellen oder nutzen. Ein Anbieter, der Funktionen auf dem Modell eines anderen Unternehmens aufbaut, fällt mit der Art, wie er diese Funktionen gestaltet, testet, einführt und überwacht, in den Anwendungsbereich.
Wir haben ISO 27001. Wie viel von ISO 42001 haben wir schon?
Die Teile zum Managementsystem sind gleich aufgebaut: Geltungsbereich, Richtlinie, Risikobeurteilung, internes Audit, Managementbewertung. Neu sind die KI-spezifischen Kontrollen, etwa Folgenabschätzung, Daten für KI-Systeme und der Lebenszyklus von KI-Systemen.