KI-Governance nach ISO/IEC 42001
Was ist ISO/IEC 42001?
ISO/IEC 42001:2023 ist die internationale Norm, die beschreibt, wie eine Organisation ein KI-Managementsystem aufbaut, um künstliche Intelligenz verantwortungsvoll zu entwickeln, bereitzustellen oder zu nutzen. Sie beschreibt kein einzelnes Modell und kein Produkt, sondern wie die Organisation KI steuert: Richtlinie, Rollen und Verantwortlichkeiten, Risiko- und Folgenabschätzung, Lebenszyklus, Daten, Drittparteien, Überwachung und kontinuierliche Verbesserung. Die Struktur ist mit anderen Managementsystemnormen wie ISO/IEC 27001 abgestimmt und bietet daher Organisationen mit Informationssicherheitsmanagement ein vertrautes Gerüst.
Meine Position: Lead-Auditor-Schulung, keine Organisationszertifizierung
Yunus Sevğane hat im Juni 2025 die Schulung zum Lead Auditor für das KI-Managementsystem nach ISO/IEC 42001:2023 bei Sigmacert Global abgeschlossen. Es ist ein Schulungsnachweis; er bedeutet nicht, dass ich im Namen einer Organisation zertifiziere oder unabhängig auditiere. Ich nutze die Norm als Arbeitsmethode bei der Leitung von KI-Projekten. Wenn Ihre Organisation eine Zertifizierung braucht, empfehle ich eine unabhängige Fachperson oder eine akkreditierte Zertifizierungsstelle. Die vollständige Liste meiner Schulungen steht auf der Seite Zertifikate.
Was mache ich in der Projektleitung?
- Zweck und Umfang: Es wird festgehalten, welcher Geschäftsfrage das KI-System dient und wo es nicht eingesetzt werden darf.
- Verantwortung: Fachlicher Verantwortlicher, technischer Verantwortlicher und Eskalationsstelle werden benannt; wer über Ausweitung, Stopp oder Rückbau entscheidet, ist klar.
- Daten: Quelle, Berechtigung, Risiko personenbezogener Daten, Zugriffs- und Aufbewahrungsregeln werden in den ersten Wochen geklärt.
- Risiko und Auswirkungen: Risiken werden mit Verantwortlichem und Maßnahme erfasst; Stellen mit menschlicher Freigabe werden bestimmt.
- Drittparteien: Welche Daten an externe Modell-, Dienst- und Datenanbieter gehen und was bei einem Anbieterwechsel passiert, wird festgehalten.
- Überwachung und Verbesserung: Was im Betrieb wie oft überwacht wird und wie Erkenntnisse zur nächsten Entscheidung werden, wird definiert.
Die ausführliche Fragenliste finden Sie im Beitrag KI-Governance mit ISO/IEC 42001: eine Checkliste für den Projektleiter.
Was mache ich nicht?
Ich stelle keine ISO/IEC-42001-Zertifikate für Ihre Organisation aus, führe keine akkreditierten Audits durch und gebe keine rechtlichen Konformitätsgutachten ab. Die Norm ist freiwillig und ersetzt keine gesetzlichen Pflichten. Mein Beitrag ist, Governance von Anfang an als Aufzeichnung aufzubauen, die Entscheidungen speist, statt als Dokumentenstapel am Projektende.
Häufige Fragen
Was ist der Unterschied zwischen ISO/IEC 42001 und ISO/IEC 27001?
ISO/IEC 27001 beschreibt ein Informationssicherheits-Managementsystem, ISO/IEC 42001 ein KI-Managementsystem. Beide nutzen ein gemeinsames Gerüst für Managementsysteme; 42001 ergänzt KI-spezifische Themen wie Risiko, Auswirkungen, Transparenz und Lebenszyklus.
Sind Sie ISO-42001-Lead-Auditor?
Ich habe die Schulung zum Lead Auditor für ISO/IEC 42001:2023 abgeschlossen. Dieser Schulungsnachweis bedeutet nicht, dass ich Auditor einer Zertifizierungsstelle bin; die Perspektive daraus nutze ich im Projektmanagement.
Ist ISO 42001 verpflichtend?
Die Norm ist freiwillig. Sie kann wegen Kunden-, Ausschreibungs- oder Regulierungserwartungen relevant werden; sie ersetzt keine gesetzlichen Pflichten.
Gilt das auch für ein kleines KI-Projekt?
Ja, in angemessenem Umfang: Eine kurze Aufzeichnung zu Zweck, Verantwortlichem, Daten, Risiko und Überwachung ist für die meisten Projekte ein guter Anfang.
Gespräch vereinbaren
Der erste Schritt ist ein kurzes Kennenlerngespräch. Nutzen Sie die Kontaktseite, schreiben Sie per WhatsApp (+90 531 679 10 14) oder an yunus@sevgane.com.