ISO/IEC 42001

ISO/IEC 42001 ist eine internationale Norm für Managementsysteme für künstliche Intelligenz. Sie beschreibt, wie eine Organisation den Einsatz von KI planen, steuern, überwachen und verbessern kann. Aufgebaut ist sie wie andere Managementsystemnormen, etwa zu Qualität oder Informationssicherheit: Es geht um Zuständigkeiten, Ziele, Risikobetrachtung, Dokumentation, Schulung, interne Prüfung und regelmäßige Bewertung durch die Leitung. Eine Zertifizierung durch eine unabhängige Stelle ist möglich, aber nicht vorgeschrieben.

Die Norm ist kein Gesetz und ersetzt die KI-Verordnung nicht. Sie liefert einen Rahmen, mit dem sich rechtliche Anforderungen und eigene Regeln ordnen lassen. Für große Bauunternehmen, Ingenieurbüros mit öffentlichen Auftraggebern oder Betriebe, die bereits nach anderen Normen zertifiziert sind, ist das ein naheliegender Anschluss.

Was das im Betrieb bedeutet

Für einen Betrieb mit zwanzig Beschäftigten ist eine Zertifizierung selten wirtschaftlich. Der Gedanke dahinter lässt sich trotzdem übernehmen, und zwar in kleinerem Maßstab. Nützlich sind vier Elemente: eine benannte verantwortliche Person, eine gepflegte Systemliste mit Zweck und Einordnung, verbindliche Regeln zur Nutzung und Prüfung sowie ein fester Termin, an dem beides überprüft wird. Damit ist der wesentliche Nutzen erreicht, ohne den Aufwand eines Zertifizierungsverfahrens.

Interessant wird die Norm dort, wo Nachweise verlangt werden. Bei größeren Auftraggebern und in Präqualifikationsverfahren tauchen zunehmend Fragen zum Umgang mit KI auf. Wer bereits ein Qualitätsmanagement führt, kann die KI-Themen dort andocken, statt ein zweites System aufzubauen: KI-Werkzeuge als Betriebsmittel behandeln, Prüfschritte in bestehende Freigabeprozesse einhängen, Unterweisungen im vorhandenen Schulungsplan führen.

Wer eine Zertifizierung anstrebt, sollte den Umfang eng fassen. Ein Geltungsbereich, der nur die tatsächlich eingesetzten Anwendungen umfasst, etwa Angebotserstellung und Baustellendokumentation, ist deutlich schneller belastbar als ein unternehmensweiter Anspruch.

Zu bedenken ist der laufende Aufwand. Ein Managementsystem lebt von interner Prüfung, Nachweisen und regelmäßiger Bewertung; wer das nicht dauerhaft bedienen kann, sollte eine Zertifizierung nicht anstreben. Für viele Betriebe ist die bessere Reihenfolge, zunächst die Grundlagen zu schaffen und erst dann über ein Zertifikat nachzudenken, wenn Auftraggeber es tatsächlich verlangen. Bis dahin genügt es, die eigenen Regeln so zu dokumentieren, dass sie einer Nachfrage standhalten.

Für den Einstieg genügt in den meisten Fällen die schlanke Variante. Wie sich der Einsatz strukturiert aufbauen lässt, zeigt der Ratgeber KI im Betrieb einführen; die Norm liefert dann die Struktur, wenn aus einzelnen Werkzeugen ein System mit vielen Beteiligten wird.