ISO/IEC 42001:2023 ist ein Managementsystem-Standard für Künstliche Intelligenz: Er beschreibt nicht ein einzelnes Modell oder Produkt, sondern wie eine Organisation mit KI umgeht. Ich habe 2025 die Lead-Auditor-Schulung für diesen Standard abgeschlossen. Dieser Beitrag ist weder ein Zertifizierungsanspruch noch ein Ersatz für den Standard; er ist eine Fragenliste, die aus dieser Schulung und meiner Projektmanagement-Erfahrung entstanden ist und die Arbeit einer Projektleiterin oder eines Projektleiters erleichtert.
Zunächst eine Abgrenzung: Zertifikat einer Organisation und Arbeitsmethode
ISO/IEC 42001 ist ein Managementsystem-Standard, nach dem sich Organisationen zertifizieren lassen können. Ich selbst besitze kein Organisationszertifikat; die Perspektive aus der Lead-Auditor-Schulung nutze ich als Arbeitsmethode auf Projektebene. Die folgende Liste ist daher die Fragenliste eines Projektleiters, der sagt: „Governance darf nicht nachträglich hinzugefügt werden“. Wenn Ihr Ziel die Zertifizierung Ihrer Organisation ist, ist diese Liste nur ein guter Ausgangspunkt, kein Ersatz.
1. Zweck und Umfang
- Welcher Geschäftsfrage oder welchem Prozess dient das KI-System?
- Wer wird es in welchem Kontext nutzen, und in welchen Situationen darf es nicht eingesetzt werden?
- Sind die Punkte außerhalb des Umfangs schriftlich festgehalten?
2. Verantwortung und Rollen
- Wer ist der fachliche Eigentümer des Systems, und wer der technische?
- An wen wendet man sich, wenn ein Ergebnis angezweifelt oder ein Fehler bemerkt wird?
- Wer hat die Entscheidungsbefugnis, das System auszuweiten, zu stoppen oder zurückzunehmen?
3. Daten
- Woher stammen die Daten, und haben wir das Recht und die Erlaubnis, sie zu nutzen?
- Enthalten sie personenbezogene Daten und, falls ja, welche Regeln und Schutzmaßnahmen gelten?
- Wer hat auf welche Daten Zugriff, und wie lauten die Aufbewahrungs- und Löschregeln?
- Wer überwacht Datenqualität und Aktualität, und wie?
4. Risiko- und Auswirkungsbewertung
- Wer ist betroffen, wenn sich das System fehlerhaft verhält, und wie?
- Werden Risiken in einem Register mit jeweils einem Verantwortlichen und einer Gegenmaßnahme geführt?
- Wurden die Stellen identifiziert, an denen eine menschliche Freigabe nötig ist?
- Welche Kontrolle gibt es für falsche, verzerrte oder erfundene Ergebnisse?
5. Lebenszyklus und Änderungen
- Sind Entwurf, Test, Einführung, Wartung und Außerbetriebnahme definiert?
- Gibt es eine erneute Bewertung, wenn sich Modell, Prompt oder Daten ändern?
- Werden Änderungen dokumentiert?
6. Drittparteien
- Welches externe Modell, welcher Dienst oder Datenanbieter wird genutzt?
- Welche Daten gehen an diesen Anbieter, und decken Vertrag und Datenschutzbedingungen das ab?
- Was geschieht, wenn der Anbieter wechselt oder der Dienst eingestellt wird?
7. Überwachung und Verbesserung
- Was überwachen wir im laufenden Betrieb, und wie oft?
- Können Nutzer Probleme melden, und auf wessen Tisch landen die Meldungen?
- Wie werden Erkenntnisse zur nächsten Verbesserungsentscheidung?
Wie nutze ich diese Liste in einem Projekt?
Ich nutze die Liste als Teil der Planung, nicht als Prüfformular. In den ersten Wochen werden die Antworten gesammelt; Fragen, die sich nicht beantworten lassen, kommen mit einem Verantwortlichen und einem Datum ins Risikoregister. Nach dem Pilotprojekt wird die Liste erneut durchgegangen, und die Entscheidung über die Ausweitung wird anhand dieser Antworten getroffen. So wird Governance zu einer Dokumentation, die Entscheidungen speist, und nicht zu einem Stapel Dokumente, der am Projektende hinzugefügt wird.
Den Standard selbst zu bewerten und zu klären, ob Ihre Organisation eine Zertifizierung benötigt, ist eine eigene Aufgabe; dafür empfehle ich die Unterstützung eines unabhängigen Experten oder einer akkreditierten Zertifizierungsstelle. Zu meiner eigenen Arbeitsweise siehe die Seiten Informationssicherheit und ISO-Konformität und KI-Projekte.