ISO-42001-Zertifizierung Damit das KI-Managementsystem kein Papiertiger bleibt

Anbieter zum Thema

TÜV SÜD Auto Plus GmbH

MicroConsult Academy GmbH

RTI Real-Time Innovations

Unternehmen der Industrie stehen bei KI-Technologien vor regulatorischen und ethischen Herausforderungen. Ein Managementsystem für Künstliche Intelligenz (KIMS) nach ISO/IEC 42001:2023 unterstützt dabei, die Systeme transparent und verantwortungsvoll zu entwickeln und zu verwenden – und so auch das Vertrauen von Kunden und Behörden zu stärken

Der im Sommer 2024 in Kraft getretene EU AI Act stellt konkrete Anforderungen an KI-Anwendungen, eingeteilt nach Risikoklassen. Unternehmen sind damit in die Pflicht genommen, KI-Systeme sicher und nachvollziehbar zu entwickeln und einzusetzen. Ein KI-Managementsystem (KIMS) nach ISO/IEC 42001:2023 ist dazu ein gangbarer Weg. Die Norm ist der weltweit erste und bisher einzige anerkannte Standard, nach dem Unternehmen ihr KIMS zertifizieren lassen können. Zwar garantiert die freiwillige Zertifizierung nach der Prozessnorm keine volle Compliance mit dem EU AI Act, der einen starken Produktfokus hat, dennoch bietet sie Unternehmen einen großen Mehrwert durch die Gestaltung der Managementsystemprozesse.

Gestaltungsspielraum nutzen

Als branchenunabhängige Prozessnorm verlangt die ISO/IEC 42001:2023 klar strukturierte Prozesse und Verantwortlichkeiten für den KI-Einsatz, definiert aber keine technischen Details. Darin verfolgt die Norm eine ähnliche Intention wie die ebenfalls branchenübergreifend genutzten Standards für Qualitäts- und Informationssicherheitsmanagement ISO 9001 und ISO 27001. Alle drei Normen unterstützen eine an die jeweiligen Unternehmensstrukturen angepasste Umsetzung des Managementsystems und ermöglichen so eine bedarfsgerechte Integration in bestehende Prozesse.

Diesen Spielraum sollten Unternehmen aktiv gestalten und nutzen, indem sie konkrete und wirksame Maßnahmen zur Steuerung und Überwachung des KI-Einsatzes aufbauen. Sonst bleibt das KI-Managementsystem ein Papiertiger – in der Theorie mag es gut aussehen, entfaltet in der Praxis aber keine Wirkung. Dass sie systematisch mit den spezifischen Risiken ihrer KI-Lösungen umgehen, müssen Entwickler, Entscheider und Anwender gegenüber den Auditoren nachweisen. Diese prüfen außerdem, ob die Prozesse dem konkreten Einsatzzweck und Umfang der KI-Systeme tatsächlich gerecht werden.

Intelligenz allerorten, Risiko auch?

Viele Anforderungen der ISO/IEC 42001:2023, darunter Risikobewertung und Datenqualitätsmanagement, spiegeln Kernpunkte des EU AI Acts wider. Sowohl der AI Act als auch die Norm fordern, dass KI von Menschen kontrolliert wird. Wie stark diese Kontrolle sein muss, hängt davon ab, wie riskant die KI-Anwendung ist. Ein Beispiel aus dem industriellen Umfeld ist die KI-gestützte Qualitätskontrolle. KI-Bildverarbeitungssysteme bewerten Bilder von Produkten und entscheiden anhand von Prüfmerkmalen über deren Qualität. In sicherheitskritischen Bereichen, etwa bei einer KI-gesteuerten automatischen Sicherheitsabschaltung von Maschinen, wenn Personen zu nahe kommen, geht mit übersehenen Fehlern in der KI-Entscheidungsfindung ein hohes Risiko einher. Hier reicht es nicht, der KI zu vertrauen. Ein KIMS nach ISO/IEC 42001:2023 stellt sicher, dass eine angemessene menschliche Aufsicht (Human Oversight) erfolgt. Was angemessen ist, entscheidet sich risikobasiert. Die Rolle des KIMS ist dabei unter anderem auch zu gewährleisten, dass Risiken weder über- noch unterschätzt werden.

KI-Governance ist jedoch nicht nur für die Technikabteilung ein Thema. Auch in scheinbar harmlosen Systemen kann "Hochrisiko" stecken: Beispiele sind intelligente Personalverwaltungstools, KI-gestützte Bewerberauswahl oder automatisierte Entscheidungsunterstützung im Einkauf. Dabei kann ein sogenannter Bias auftreten: Das bedeutet, dass ein KI-System aufgrund fehlerhafter oder einseitiger Trainingsdaten systematisch verzerrte Ergebnisse liefert. Beispielsweise könnten Bewerber aus bestimmten Stadtteilen, Regionen oder mit bestimmten Namen oder Bildungsabschlüssen benachteiligt werden. Die KI reproduziert dann möglicherweise Vorurteile, anstatt faire Entscheidungen zu treffen. Auch hier hilft ein KIMS, Prozesse und Entscheidungen transparent und steuerbar zu halten, indem ein strukturiertes Risikomanagement Unternehmen zur Auseinandersetzung mit Bias-Risiken, Fairness-Kriterien und zur regelmäßigen Kontrolle und Optimierung der genutzten Algorithmen veranlasst.

Für alle, die es ernst meinen

Auch wenn die ISO/IEC 42001:2023-Zertifizierung keine Pflicht ist, stellt sie eine solide Basis zur Compliance mit gegenwärtigen und künftigen KI-Regularien dar. Außerdem ist sie ein Instrument zur Vertrauensbildung und Prozessoptimierung. Der Aufbau eines KIMS lohnt sich vor allem für Unternehmen, die ihre KI langfristig verantwortungsvoll managen wollen und bereit sind, die erforderlichen Ressourcen zu investieren. Der Schweizer Finanzdienstleister Unique AG nutzt sein KIMS, um intern Verbesserungen zu schaffen, das Kundenvertrauen zu stärken und um auf zukünftige KI-Regularien besser vorbereitet zu sein. Außerdem schätzt Unique das KIMS als Instrument zur Absicherung des eigenen Wachstums.

Wie Unternehmen ein KIMS aufbauen

Der Aufbau eines KIMS folgt dem vom Qualitäts- und Informationssicherheitsmanagement bekannten Plan-Do-Check-Act-Zyklus und deckt folgende Elemente ab:

• Plan: Festhalten des Organisationskontexts und der Beteiligten, Festlegen der Reichweite und Grenzen das KIMS (Scope), Abstimmen der Aufgabenbereiche sowie der KI-Policy mit der Unternehmensführung, Durchführen einer Risiko- und Chancenbewertung, einschließlich Maßnahmen zur Datenqualität und Bias-Prävention.

• Do: Aufbau und Umsetzung des operativen Betriebs von der Modellentwicklung über das Deployment bis zum Monitoring. Hierzu zählen Maßnahmen zur Datengovernance wie Pseudonymisierung und Zugriffsmanagement sowie die Implementierung von Human-Oversight-Mechanismen bei Hochrisiko-Anwendungen.

• Check: Festlegung geeigneter Methoden und Metriken zur Bewertung der KI-Performance, Durchführung von Kontrollen und Prüfungen, etwa zur Erkennung von Halluzinationen oder zur Sicherstellung der Antwortqualität. Ergänzt wird dies durch interne Audits und regelmäßige Checks durch die Unternehmensführung.

• Act: Festlegung und Umsetzung von Verbesserungsmaßnahmen auf Basis der Bewertungsergebnisse, laufende Anpassung des KIMS zur Berücksichtigung neuer Risiken, regulatorischer Änderungen oder technischer Weiterentwicklungen.

Diesem Aufbau folgt auch Stufe 2 des Audit-Prozesses (die formale Auditierung). Damit wird die operative Umsetzung des KIMS präzise entlang der Norm-Struktur auditiert. Das Stufe-2-Audit führten TÜV SÜD und Unique innerhalb von fünf Tagen sowohl remote als auch am Standort durch. Da Unique die Anforderungen erfüllt, vergab der Prüfdienstleister ein Zertifikat. Dieses ist drei Jahre gültig. Bis zur Re-Zertifizierung sind laufende interne Audits sowie eine Überprüfung bei wesentlichen Systemanpassungen unabdingbar.

Erstes Zertifikat in der EU

Diese erste von TÜV SÜD in Europa vergebene Zertifizierung unterstreicht, welcher Stellenwert der Vorbereitung innerhalb und im Vorfeld des Audit- und Zertifizierprozesses zukommt. Das Audit prüft auf Stufe 1 zunächst die Zertifizierungsfähigkeit des KIMS sowie den definierten Anwendungsbereich der KI-Systeme samt zugehöriger Unterlagen. Unique profitierte davon, dass bereits Managementsysteme nach ISO 9001 und ISO 27001 etabliert und damit Routine im Umgang mit Managementsystem-Strukturen vorhanden war. Auch eine KI-Policy und Prozesse gab es bereits. Ob diese allerdings konform zur ISO/IEC 42001:2023 waren, musste erst geprüft werden.

Deshalb führte das Unternehmen, lange vor dem Auditprozess, mit einem externen Partner eine Soll-Ist-Analyse (Gap-Analyse) durch – also den strukturierten Abgleich zwischen aktuellem Stand und den Anforderungen der Norm. Aufgedeckte Schwachstellen ging Unique an, darunter die Erneuerung der KI-Policy sowie das Aufsetzen eines AI Impact Assessments. Verschiedene Prozesse mussten neu aufgebaut und implementiert werden. Erst nach Abschluss dieser Vorbereitungen wurde der Auditprozess eingeleitet.

Miteinander Reden ist Gold

Die ISO/IEC 42001:2023 deckt zentrale Forderungen des EU AI Acts ab und gibt Unternehmen eine Handhabe für deren Umsetzung. Ein zertifiziertes KIMS hilft, Innovationen zu sichern, Risiken zu minimieren und das Vertrauen von Stakeholdern und Kunden zu steigern. Um die Basis für ein erfolgreiches Audit zu legen, sollten Verantwortliche frühzeitig alle relevanten Unternehmensbereiche einbinden und eine offene Kommunikationskultur fördern. Nur offengelegte Schwächen und Risiken lassen sich im Sinne der Norm ausräumen und so das KI-Management zukunftsfähig aufstellen.  (sg)

* Thomas Janz ist Product Compliance Manager IT-Standards bei der TÜV SÜD Management Service GmbH.

* Dr. Ibrahim Halfaoui ist AI Expert Consultant bei der TÜV SÜD Digital Service GmbH.

(ID:50510137)