Was ist KI-Governance?
KI-Governance ist das System aus Richtlinien, Mitarbeitern, Prozessen und Kontrollen, das eine Organisation einsetzt, um sicherzustellen, dass ihre künstliche Intelligenz verantwortungsvoll, sicher und transparent entwickelt, implementiert und genutzt wird. Man kann sie sich als das Betriebssystem für KI vorstellen. verantwortliche KI: die Struktur, die jedes Modell, jeden Datensatz, jede Pipeline und jeden Anwendungsfall umgibt, damit die Ergebnisse der KI mit den Werten, den rechtlichen Verpflichtungen und der Risikobereitschaft der Organisation übereinstimmen.
Auf praktischer Ebene beantwortet die KI-Governance Fragen wie:
- Wer ist für jedes im Produktiveinsatz befindliche KI-System verantwortlich und wer genehmigt wesentliche Änderungen?
- Welche Richtlinien und Standards gelten beim Erstellen, Kaufen oder Optimieren eines KI-Modells?
- Wie können wir Risiken, die spezifisch für KI sind, wie Verzerrungen, Halluzinationen, Modelldrift und unsicheres Verhalten, beurteilen und behandeln?
- Wie dokumentieren wir den beabsichtigten Einsatz, die Grenzen und die Auswirkungen jedes KI-Systems?
- Wie können wir Aufsichtsbehörden, Prüfern und Kunden beweisen, dass unsere KI vertrauenswürdig ist?
Die Governance der Informationssicherheit beantwortet dieselben Fragen für Daten. Die Datenschutz-Governance beantwortet sie für personenbezogene Daten. Die KI-Governance leistet dasselbe für KI-Systeme, und da KI neue Risiken mit sich bringt (Intransparenz, Autonomie, probabilistische Ergebnisse, rasche Veränderungen), benötigt sie eine eigene, dedizierte Struktur. Genau das ist es, was ISO 42001 bietet als ersten internationalen Standard für KI-Managementsysteme.
Warum ist KI-Governance jetzt wichtig?
KI-Governance war vor fünf Jahren noch ein Nischenthema. Heute ist sie ein Anliegen der Geschäftsleitung. Vier Faktoren treiben diesen Wandel voran:
- Die Regulierung ist da. Das EU-KI-Gesetz Die Regelung ist nun in Kraft und sieht gestaffelte Verpflichtungen vor, die sich nach dem Systemrisiko richten. Großbritannien, die USA, Kanada, Singapur und andere Länder entwickeln eigene Regelungen. Branchenaufsichtsbehörden (Finanzdienstleistungen, Gesundheitswesen, Beschäftigung) ergänzen diese um KI-spezifische Anforderungen.
- Die Kundenbeschaffung hat aufgeholt. Unternehmenskunden fordern in Ausschreibungen und Sicherheitsfragebögen Nachweise zur KI-Governance. „Verfügen Sie über eine KI-Richtlinie, eine KI-Risikobewertung und einen verantwortlichen Verantwortlichen?“ ist die neue Frage „Sind Sie nach ISO 27001 zertifiziert?“.
- Das Risikoprofil hat sich verschärft. Modellfehler verursachen mittlerweile reale wirtschaftliche, rechtliche und Reputationsschäden. Verzerrungen bei automatisierten Entscheidungen, Datenlecks durch generative Werkzeuge und unsicheres Agentenverhalten stehen allesamt auf der Tagesordnung des Vorstands.
- Vertrauen ist ein Wettbewerbsvorteil. Organisationen, die erklären können, wie ihre KI funktioniert, wo sie eingesetzt wird und wie sie kontrolliert wird, gewinnen mehr Aufträge und stoßen auf weniger Einwände. Diejenigen, die das nicht können, geraten ins Stocken.
Eine gute KI-Governance wandelt diesen Druck in ein strukturiertes Programm um, anstatt ihn in hektisches Reagieren zu verwandeln. Richtig umgesetzt, bremst sie die KI-Einführung nicht aus, sondern ist der Sicherheitsgurt, der Ihnen mehr Sicherheit und Geschwindigkeit ermöglicht.
Was sind die Kernprinzipien der KI-Governance?
Alle glaubwürdigen Rahmenwerke basieren auf ähnlichen Prinzipien. Diese stammen aus den OECD-KI-Prinzipien (2019) und finden sich in ISO 42001, dem NIST-Rahmenwerk für KI-Risikomanagement und dem EU-KI-Gesetz wieder. Acht Prinzipien bilden den gemeinsamen Kern:
- Rechenschaftspflicht. Für jedes KI-System und dessen Ergebnisse ist eine namentlich genannte Person verantwortlich. Die Verantwortung kann nicht an das Modell selbst delegiert werden.
- Transparenz. Menschen, die von KI-Ergebnissen betroffen sind, sollten verstehen, wann KI eingesetzt wird, was sie bewirkt und welche Grenzen sie hat. Dies umfasst die Modelldokumentation, den Verwendungszweck, die Datenquellen und bekannte Risiken.
- Gerechtigkeit. KI-Systeme dürfen keine ungerechtfertigten diskriminierenden Ergebnisse liefern. Verzerrungen müssen während des gesamten Lebenszyklus aktiv bewertet, gemessen und minimiert werden.
- Sicherheit. KI-Systeme sollten zuverlässig funktionieren und keinen Schaden anrichten. Dazu gehören Robustheit gegenüber unerwarteten Eingaben, sichere Fehlermodi und kontinuierliche Überwachung.
- Privatsphäre. Personenbezogene Daten, die von KI verwendet werden, müssen gemäß den Datenschutzgesetzen geschützt werden. Trainingsdaten, Eingabeaufforderungen und Ergebnisse fallen gleichermaßen darunter.
- Menschliche Aufsicht. Der Mensch muss in der Lage sein, in KI-Systeme einzugreifen, diese zu übersteuern oder zu deaktivieren, insbesondere wenn Entscheidungen wesentliche Auswirkungen auf Einzelpersonen haben.
- Inklusivität. KI-Systeme sollten einer vielfältigen Nutzerbasis dienen und unter Berücksichtigung von Barrierefreiheit und Repräsentation konzipiert sein.
- Robustheit. KI-Systeme sollten fehler-, angriffs- und abweichungsresistent sein und daher einer kontinuierlichen Validierung und Leistungsüberwachung bedürfen.
Dies sind keine bloßen Wunschvorstellungen. Jedes Prinzip entspricht konkreten Anforderungen in den wichtigsten Rahmenwerken und wird nach seiner Umsetzung zu einer überprüfbaren Kontrollmaßnahme.
Was genau umfasst KI-Governance?
KI-Governance ist umfassender als Modellrisikomanagement oder ML-Betrieb. Sie deckt den gesamten Lebenszyklus eines KI-Systems ab, von der Entscheidung für Eigenentwicklung oder Kauf bis hin zur Außerbetriebnahme. Ein ausgereiftes Programm berücksichtigt sieben Ebenen:
- Strategie und Politik. Eine KI-Strategie, eine KI-Politik, Richtlinien zur akzeptablen Nutzung und themenbezogene Richtlinien (Daten, Sicherheit, Datenschutz, Ethik).
- Rollen und Verantwortlichkeiten. Klare Verantwortlichkeiten auf Vorstands-, Führungs-, Produkt- und Entwicklungsebene, mit einem benannten Leiter für KI-Governance und einem Ethik- oder Überprüfungsausschuss für KI, der wesentliche Entscheidungen trifft.
- Risiko- und Folgenabschätzung. Ein Verfahren zur Identifizierung KI-spezifischer Risiken (Verzerrung, Halluzination, Missbrauch, Drift) und zur Bewertung der Auswirkungen jedes KI-Systems auf Einzelpersonen, Gruppen und die Gesellschaft.
- Lebenszyklussteuerung. Anforderungen und Leitplanken in jeder Phase: Zielsetzung, Datenbeschaffung, Design, Entwicklung, Validierung, Implementierung, Betrieb, Überwachung, Änderungsmanagement und Außerbetriebnahme.
- Dokumentation und Transparenz. Modellkarten, Systemkarten, Datenblätter, Verwendungszweckangaben, Benutzerhinweise und Entscheidungsprotokolle.
- Verwaltung durch Dritte. Kontrollen für KI-Anbieter, Basismodelle und gehostete Dienste, einschließlich Vertragsbedingungen, Sorgfaltsprüfung und laufende Qualitätssicherung.
- Prüfung und Audit. Interne und externe Überprüfung, Monitoring, Kennzahlen, Managementbewertung und kontinuierliche Verbesserung.
Die meisten Organisationen verfügen bereits über Fragmente davon in ihren Sicherheits-, Datenschutz- oder Risikomanagementprogrammen. KI-Governance führt diese zu einem kohärenten, überprüfbaren System zusammen. Genau das ist die Aufgabe der KI-Managementsystem (AIMS) ISO 42001 ist dafür konzipiert.
Alles, was Sie für ISO 42001 brauchen
Strukturierte Inhalte, abgebildete Risiken und integrierte Workflows helfen Ihnen, KI verantwortungsvoll und sicher zu verwalten.
Welche Frameworks unterstützen die KI-Governance?
Es gibt keinen allgemeingültigen „KI-Governance-Standard“. Die meisten ausgereiften Programme nutzen eine Reihe sich ergänzender Rahmenwerke: eines für das Managementsystem, eines für das Risikomanagement, eines für die Regulierung und internationale Prinzipien als übergeordnete Säule. Die fünf am häufigsten anzutreffenden sind:
| Unser Ansatz | Typ | Gilt für | Zertifizierbar? | Primärer Anwendungsfall |
|---|---|---|---|---|
| ISO / IEC 42001 | Internationaler Managementsystemstandard | Jede Organisation, die KI entwickelt, bereitstellt oder nutzt | Ja, durch akkreditierte Zertifizierungsstellen. | Der operative Rahmen für ein zertifizierbares und auditierbares KI-Managementsystem |
| NIST AI RMF | Freiwilliger US-Risikomanagementrahmen | Jede Organisation, die in den USA weit verbreitet ist. | Nein | Strukturierter Ansatz für KI-Risiken in den Bereichen Steuerung, Kartierung, Messung und Management |
| EU-KI-Gesetz | Verordnung (rechtsverbindlich in der EU) | Anbieter und Anwender von KI-Systemen, die in der EU platziert oder verwendet werden | Konformitätsbewertung, nicht Zertifizierung | Obligatorische Compliance-Verpflichtungen, gestaffelt nach dem Risikoniveau des KI-Systems |
| OECD-KI-Grundsätze | Internationale politische Grundsätze | Regierungen und Organisationen weltweit | Nein | Hochrangige Prinzipien, die den meisten nationalen Regelungen und Standards zugrunde liegen |
| ISO / IEC 23894 | Internationaler Leitlinienstandard | Jede Organisation, die KI-Risikomanagement | Nein (Empfehlungen, keine Anforderungen) | Detaillierte KI-Risikomanagement-Leitlinien, die häufig zusammen mit ISO 42001 verwendet werden |
Das von den meisten Organisationen angewandte praktische Vorgehen ist unkompliziert. ISO 42001 ist das Rückgrat, da es ein zertifizierbares Managementsystem mit Annex-A-Kontrollen, normativen Umsetzungshinweisen und einer expliziten Zuordnung zu anderen Standards bietet. NIST AI RMF dient als detaillierte Risikoklassifizierung, insbesondere für US-amerikanische Niederlassungen. EU-KI-Gesetz Sie hat oberste Priorität als verbindliche Regelung für alles, was auf dem EU-Markt angeboten oder verwendet wird. OECD-Grundsätze sind die ethischen Aspekte. ISO 23894 vertieft die Risikomanagementebene.
Einen direkten Vergleich der Interaktion der beiden wichtigsten Frameworks finden Sie hier: ISO 42001 vs. EU-KI-GesetzFür einen praktischen Fahrplan siehe Implementierungsanleitung wird jede einzelne Klausel durchgegangen. Und für Organisationen, die informell mit dem Aufbau einer KI-Governance begonnen haben, Schließung der KI-Governance-Lücke zeigt, wie man es in einen anerkannten Standard überführen kann.
Wer ist in einer Organisation für die KI-Governance verantwortlich?
KI-Governance ist Teamarbeit. Sie ist nicht einer einzelnen Funktion zuzuordnen, und die Konzentration auf nur eine (üblicherweise IT oder Compliance) führt häufig zum Scheitern. Eine ausgereifte Governance-Struktur weist klare Rollen auf vier Ebenen zu:
- Vorstand und Geschäftsführung. Verantwortet die KI-Strategie, die Risikobereitschaft und die letztendliche Verantwortung. Genehmigt die KI-Richtlinie und erhält regelmäßig Berichte zu KI-Risiken, -Leistung und -Vorfällen. In vielen Organisationen wird dies mittlerweile von einem Chief AI Officer oder einem designierten Führungskraft unterstützt.
- Leitung der KI-Governance oder des KI-Ethikausschusses. Eine eigens dafür zuständige Person oder eine funktionsübergreifende Gruppe (Recht, Sicherheit, Datenschutz, Risiko, Produkt, Entwicklung, Personalwesen), die wesentliche Anwendungsfälle von KI prüft, Systeme mit hohem Risiko genehmigt und den Governance-Rahmen im Tagesgeschäft pflegt.
- Risiko-, Sicherheits-, Datenschutz- und Rechtsfunktionen. Sie sind verantwortlich für die Spezialgebiete: KI-Risikobewertung, Modellsicherheit, Datenschutz-Folgenabschätzungen, vertragliche Kontrollen und Auslegung regulatorischer Vorgaben. Diese Rollen umfassen typischerweise die Durchführung von KI-Risiko- und Folgenabschätzungen gemäß Abschnitt 6 der ISO 42001.
- Produkt- und Entwicklungsteams. Entwicklung, Implementierung und Betrieb von KI-Systemen innerhalb der vorgegebenen Rahmenbedingungen. Verantwortlich für die Modelldokumentation, Validierung, Überwachung und Reaktion auf Störungen auf Systemebene.
Die goldene Regel: Jedes produktiv eingesetzte KI-System sollte einen namentlich benannten menschlichen Verantwortlichen haben, der drei Fragen ohne Zögern beantworten kann: Wozu dient dieses System? Welche Risiken und Einschränkungen sind bekannt? Wer hat die Inbetriebnahme genehmigt? Bleibt eine Antwort unklar, weist Ihre Governance-Struktur eine Lücke auf.
Welche Reifegrade gibt es im Bereich der KI-Governance?
Die Governance von KI scheint noch nicht vollständig ausgereift zu sein. Die meisten Organisationen durchlaufen vier Stufen:
- Ad hoc. Keine KI-Richtlinie, kein zentrales Inventar, einzelne Teams nutzen KI ohne Aufsicht. Das Risiko ist unsichtbar und nicht messbar.
- Reaktiv. Entwurf einer KI-Richtlinie, grundlegende Leitlinien zur akzeptablen Nutzung, gewisses Bewusstsein für regulatorische Risiken. Die Regulierung greift erst nach einem Vorfall ein, nicht präventiv.
- Strukturiert. Dokumentierte KI-Richtlinie, KI-Anwendungsfallinventar, Prozess zur Risiko- und Folgenabschätzung, benannter Governance-Verantwortlicher, initiale Kontrollmechanismen vorhanden. Oft lose an einem Rahmenwerk wie dem NIST AI RMF orientiert.
- Verwaltet und zertifizierbar. Vollständiges KI-Managementsystem ausgerichtet auf ISO 42001 , mit allen 38 Anhang A-Kontrollen wird in der Anwendbarkeitserklärung behandelt und ist in umfassendere ISMS- und Datenschutzprogramme integriert. interner Prüfungszyklus Läuft, Managementprüfung durchgeführt. Bereit für die Zertifizierung durch Dritte.
Die Lücke zwischen Stufe 2 und Stufe 4 birgt den größten Arbeitsaufwand. Dort liegt auch der größte wirtschaftliche Wert, denn Stufe 4 ist die Stufe, die Aufsichtsbehörden, Kunden und Versicherer beruhigt.
Einfacher Einstieg mit einer persönlichen Produktdemo
Einer unserer Onboarding-Spezialisten führt Sie durch unsere Plattform, damit Sie selbstbewusst loslegen können.
Wie setzt ISMS.online KI-Governance in die Praxis um?
Prinzipien und Rahmenbedingungen sind der einfache Teil. Die Umsetzung der KI-Governance Woche für Woche, mit Nachweisen, die einer Prüfung standhalten, ist der Punkt, an dem die meisten Programme scheitern. ISMS.online macht aus dem ISO 42001-Standard ein funktionierendes Managementsystem, sodass KI-Governance etwas ist, das man aktiv gestaltet, und nicht etwas, worüber man nur spricht.
Die Plattform setzt die KI-Governance entlang fünf Achsen in die Praxis um:
- Strukturiertes KI-Managementsystem. Ein vorkonfiguriertes AIMS, das auf alle 10 Klauseln der ISO 42001 abgestimmt ist, sodass Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung jeweils einen eigenen Bereich mit entsprechenden Arbeitsvorlagen haben.
- KI-spezifische Risiko- und Wirkungsanalyse-Tools. Spezielle Register für KI-Risiken (Abschnitt 6.1.2) und Auswirkungen von KI-Systemen (Abschnitt 6.1.4) mit Bewertung, Behandlung, Zuweisung von Verantwortlichen, Überprüfungszyklen und automatischen Verknüpfungen zu den Kontrollen und Nachweisen, die sich mit jedem Befund befassen.
- Richtlinienbibliothek mit Bestätigungen. Vorgefertigte KI-Richtlinien, die auf Klausel 5.2 und Anhang A.2 abgestimmt sind und in Richtlinienpaketen mit Versionskontrolle, Genehmigungsworkflows und Benutzerbestätigungen enthalten sind, sorgen dafür, dass Ihre KI-Richtlinie aktiv und nicht inaktiv ist.
- Die Steuerungsbibliothek ist Anhang A zugeordnet. Alle 38 Kontrollen gemäß Anhang A in 9 Kontrollbereichen sind standardmäßig vorhanden, inklusive Implementierungsleitfaden und beigefügten Nachweisen, die in eine aktuelle Anwendbarkeitserklärung einfließen.
- Integrierte Qualitätssicherung. Auditmanagement für interne Audits (Klausel 9.2), Managementbewertungen (Klausel 9.3) und Korrekturmaßnahmen (Klausel 10), die alle mit den Risiken, Kontrollen, Richtlinien und Nachweisen verknüpft sind, die sie betreffen.
Da die Plattform mehrere Standards unterstützt, lässt sich Ihr KI-Governance-Programm nahtlos in bestehende ISO 27001-, DSGVO- und andere Compliance-Maßnahmen integrieren. Gemeinsame Risiken, gemeinsame Nachweise, gemeinsames Auditprogramm. Sie bauen Ihre KI-Governance auf Ihren bestehenden Strukturen auf, anstatt eine zweite Compliance-Abteilung einzurichten.
Warum ISMS.online für KI-Governance wählen?
ISMS.online Es wurde speziell für die Umsetzung von KI-Governance gemäß ISO 42001 entwickelt und nicht nachträglich in ein Informationssicherheitsprodukt integriert. Das erhalten Sie:
- Ein sofort einsatzbereites AIMS. Vorkonfiguriertes Managementsystem, das alle 10 Klauseln der ISO 42001 und alle 38 Anhang A-KontrollenIhr Team passt die Lösungen also an, anstatt von Grund auf neu zu entwickeln.
- KI-basierte Risiko- und Folgenabschätzungen. Spezielle Register für KI-Risiken und die Auswirkungen von KI-Systemen, mit Bewertung, Behandlung, Überprüfungszyklen und nachvollziehbaren Verknüpfungen zu jeder Kontrollmaßnahme und jedem Beweisstück.
- Richtlinienvorlagen, die die Grundsätze widerspiegeln. Vorgefertigte KI-Richtlinien, die Verantwortlichkeit, Transparenz, Fairness, Sicherheit, Datenschutz, menschliche Aufsicht, Inklusivität und Robustheit abdecken, mit Genehmigungsprozessen und Bestätigungen.
- Live-Anwendungserklärung. Jede im Anhang A festgelegte Kontrolle ist begründet, den Kontrollen, Nachweisen und Verantwortlichen zugeordnet und stets aktuell, kein statisches Dokument.
- Auditbereit standardmäßig. Interne Auditprogramme, Beiträge zur Managementbewertung, Korrekturmaßnahmen und Nachweise sind alle miteinander verknüpft und versioniert, sodass Zertifizierungsaudits vorhersehbar und nicht schmerzhaft sind.
- Methode mit gesicherten Ergebnissen. Ein bewährter Implementierungsansatz, unterstützt durch Einarbeitung, Schulung und persönlichen Support, der Hunderten von Organisationen geholfen hat, die Zertifizierung nach ISO 27001, ISO 42001 und anderen Standards beim ersten Mal zu erreichen.
Ob Sie Ihre erste KI-Richtlinie verfassen, eine Gap-Analyse durchführen oder sich auf eine Zertifizierung durch Dritte vorbereiten, ISMS.online bietet Ihnen die Plattform, um KI-Governance von einer Präsentation in ein Betriebssystem zu verwandeln. Den vollständigen Kontext zu den Anforderungen des Standards finden Sie in unserem Implementierungsanleitung oder das Stück über Schließung der KI-Governance-Lücke.
Bereit, die Plattform in Aktion zu sehen? Kontakt.
FAQs
Was ist KI-Governance in einfachen Worten?
KI-Governance umfasst die Richtlinien, Mitarbeiter, Prozesse und Kontrollen, die sicherstellen, dass die KI Ihres Unternehmens sicher, fair, nachvollziehbar und gesetzeskonform entwickelt, eingesetzt und genutzt wird. Sie ist für KI das, was Informationssicherheits-Governance für Daten oder Datenschutz-Governance für personenbezogene Daten ist – ein speziell auf die Risiken und Verpflichtungen von KI zugeschnittenes Betriebsmodell.
Was sind die Hauptprinzipien der KI-Governance?
Die meisten anerkannten Rahmenwerke stimmen in acht Kernprinzipien überein: Verantwortlichkeit, Transparenz, Fairness, Sicherheit, Datenschutz, menschliche Aufsicht, Inklusivität und Robustheit. Diese Prinzipien haben ihren Ursprung in den OECD-KI-Prinzipien und finden sich in ISO 42001, dem NIST-Rahmenwerk für KI-Risikomanagement und dem EU-KI-Gesetz wieder. Jedes Prinzip lässt sich in konkrete, überprüfbare Kontrollen umsetzen, wenn es in einem KI-Managementsystem operationalisiert wird.
Ist KI-Governance dasselbe wie KI-Ethik?
Sie sind verwandt, aber nicht identisch. KI-Ethik umfasst die Werte und Prinzipien, die beschreiben, wie verantwortungsvolle KI aussehen sollte. KI-Governance ist das Betriebssystem, das diese Prinzipien in Richtlinien, Prozesse, Kontrollen und Nachweise umsetzt. Die Ethik beantwortet die Frage: „Was sollen wir tun?“ Die Governance beantwortet die Frage: „Wie stellen wir sicher, dass wir es auch tatsächlich tun, und wie beweisen wir es?“
Welchen Rahmen für die KI-Governance sollten wir wählen?
Für die meisten Organisationen ist folgender sinnvoller Stack vorgesehen: ISO 42001 als zertifizierbare Managementsystem-Grundlage, NIST AI RMF als detaillierte Risikoklassifizierung, die EU-KI-Gesetz Als verbindliche Regelung, wo anwendbar, und als ethische Grundlage dienen die OECD-KI-Prinzipien. ISO 42001 ist in der Regel die erste Wahl, da sie international anerkannt, zertifizierbar und explizit auf andere Normen wie ISO 27001 abgestimmt ist.
Wer sollte die Verantwortung für die KI-Governance im Unternehmen tragen?
Die letztendliche Verantwortung liegt beim Vorstand und der Geschäftsführung. Die operative Verantwortung liegt in der Regel bei einem benannten KI-Governance-Beauftragten, der häufig von einem KI-Ethik- oder Prüfausschuss unterstützt wird. Dieser setzt sich aus Experten aus den Bereichen Recht, Risikomanagement, Sicherheit, Datenschutz, Produktentwicklung und Technik zusammen. Jedes produktiv eingesetzte KI-System sollte zudem einen benannten Systemverantwortlichen haben, der Zweck, Risiken und Genehmigungsstatus erläutern kann. Die Konzentration der Governance auf eine einzelne Funktion (z. B. die IT) ist ein häufiger Fehler.
Gilt die KI-Governance auch dann, wenn wir KI nur nutzen, anstatt sie zu entwickeln?
Ja. KI-Governance gilt für Organisationen, die KI-Systeme entwickeln, bereitstellen oder nutzen. Wenn Sie KI-Systeme einsetzen Drittanbieter-KI Auch wenn in geschäftskritischen Prozessen KI-Tools eingesetzt werden (z. B. Copiloten zur Verarbeitung von Kundendaten oder KI-Systeme zur automatisierten Entscheidungsfindung), sind weiterhin eine KI-Richtlinie, eine Anwendungsfallliste, Risiko- und Folgenabschätzungen sowie die Sorgfaltspflicht gegenüber Lieferanten und deren Überwachung erforderlich. ISO 42001 deckt explizit Organisationen ab, die KI nutzen, nicht nur solche, die sie entwickeln.
In welchem Verhältnis steht KI-Governance zu ISO 27001 und DSGVO?
Die Governance von KI ergänzt die Governance von Informationssicherheit und Datenschutz, anstatt sie zu ersetzen. ISO 27001 schützt Informationswerte, die DSGVO schützt personenbezogene Daten und ISO 42001 regelt KI-Systeme. Die drei ergänzen sich und weisen große Überschneidungen auf: ISO 42001 folgt der Managementsystemstruktur von Anhang SL, die auch in ISO 27001 verwendet wird, und Anhang D von ISO 42001 bietet eine explizite Zuordnung zu den Kontrollen von ISO 27001. Die gleichzeitige Nutzung auf einer einzigen Plattform wie beispielsweise ISMS.online Vermeidet die Doppelung von Risiken, Nachweisen und Prüfungen.
