02 / Compliance und Zertifizierung
ISO/IEC 42001, ein Managementsystem für Maschinen, die entscheiden
Wir helfen Ihnen, ein KI-Managementsystem um die KI zu legen, die Sie entwickeln, einkaufen oder nutzen, mit dokumentierten und geprüften Risiken, Auswirkungen und Zuständigkeiten.
Überblick
Was ISO/IEC 42001 von Ihnen verlangt
ISO/IEC 42001 ist die internationale Norm für ein Managementsystem für künstliche Intelligenz (AIMS). Sie gilt für Organisationen, die KI-Systeme entwickeln, bereitstellen oder nutzen, und verlangt einen festgelegten Geltungsbereich, eine KI-Risikobeurteilung, eine Abschätzung der Auswirkungen von KI-Systemen auf Menschen und Gesellschaft sowie Maßnahmen für das, was Sie dabei finden.
Der Aufbau kommt Ihnen bekannt vor, wenn Sie ISO/IEC 27001 betreiben: Kapitel für das Managementsystem, ein Anhang mit Maßnahmen und eine Erklärung zur Anwendbarkeit. Der Inhalt ist ein anderer. Es geht um Daten für KI-Systeme, den Lebenszyklus von KI-Systemen, Transparenz gegenüber Nutzern und den Einsatz von KI Dritter.
Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus. Black Fox bereitet Sie vor, prüft auf Wunsch auch die Sicherheit der beteiligten Systeme, koordiniert das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl und begleitet Sie dabei.
Für wen es gedacht ist
Organisationen, die KI in ihre Produkte einbauen, Anbieter, deren Kunden wissen wollen, wie ihre KI gesteuert wird, und Unternehmen, die KI Dritter für Entscheidungen einsetzen, die Menschen betreffen. Zugleich eine strukturierte Grundlage für die Vorbereitung auf die Pflichten aus der KI-Verordnung der EU.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Bestandsaufnahme und Geltungsbereich
Wir erfassen die KI-Systeme, die Sie entwickeln, bereitstellen oder nutzen, Ihre Rolle bei jedem, und legen fest, was das Managementsystem umfasst.
Gap-Analyse
Ein Abgleich mit den Kapiteln und den Maßnahmen aus Anhang A, mit Feststellungen nach Risiko und Aufwand geordnet.
KI-Risiken und Folgenabschätzung
Eine Methode für KI-Risiken und für die Auswirkungen von KI-Systemen auf Einzelne und Gruppen, angewendet auf Ihre Systeme und aktuell gehalten.
Maßnahmen und Erklärung zur Anwendbarkeit
Jede Maßnahme aus Anhang A betrachtet, mit begründeter Entscheidung und Verweis auf den Nachweis.
Richtlinien und Lebenszyklus
Eine KI-Richtlinie, Rollen und Verfahren für Daten, Entwicklung, Betrieb, Überwachung und KI Dritter, eingebunden in Ihr ISMS, wo vorhanden.
Internes Audit
Ein internes Audit des Managementsystems, unabhängig von denen, die es aufgebaut haben.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Geltungsbereich, Beteiligte und Frist und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Bestandsaufnahme und Gap-Analyse
Interviews, Dokumentenprüfung und ein Gang durch Ihre KI-Systeme, am Ende ein priorisierter Bericht.
Begleitung der Umsetzung
Wir arbeiten mit Ihren Verantwortlichen an Risiko- und Folgenabschätzungen, Maßnahmen, Dokumenten und Nachweisen.
Internes Audit
Ein vollständiges internes Audit gegen die Norm, durchgeführt wie das echte.
Zertifizierungsaudit
Wir koordinieren das Audit mit einem unserer langjährigen Zertifizierungspartner oder der akkreditierten Stelle Ihrer Wahl, bereiten Sie vor und helfen bei etwaigen Feststellungen.
Was Sie erhalten
- Verzeichnis der KI-Systeme und Geltungsbereich des Managementsystems
- Gap-Analyse mit priorisiertem Maßnahmenplan
- KI-Risikobeurteilung und Folgenabschätzungen für KI-Systeme
- Erklärung zur Anwendbarkeit mit Verweisen auf Nachweise
- KI-Richtlinie und zugehörige Verfahren
- Bericht zum internen Audit
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Erfüllen wir mit einer ISO/IEC 42001-Zertifizierung die KI-Verordnung?
Nein. Es gibt Überschneidungen, etwa bei Risikomanagement, Dokumentation und menschlicher Aufsicht, aber die Verordnung hat eigene Pflichten, die von Ihrer Rolle und der Risikoklasse jedes Systems abhängen. Die Norm liefert das Managementsystem, das diese Arbeit trägt.
Wir nutzen KI nur, wir entwickeln sie nicht. Ist das relevant?
Durchaus. Die Norm gilt für Organisationen, die KI-Systeme nutzen, ebenso wie für solche, die sie entwickeln oder bereitstellen. Ihre Maßnahmen konzentrieren sich dann auf Auswahl, Einsatz, Aufsicht und Lieferanten.
Stellen Sie das Zertifikat aus?
Nein. Zertifikate stellen akkreditierte Zertifizierungsstellen aus, unabhängig von denen, die Sie bei der Umsetzung begleitet haben. Wir bereiten Sie vor, koordinieren das Audit mit einem unserer langjährigen Zertifizierungspartner oder einer Stelle Ihrer Wahl und unterstützen Sie dabei, sodass Sie in einem Auftrag von der Vorbereitung bis zum Zertifikat kommen.
Kann es ein Managementsystem mit ISO/IEC 27001 teilen?
Ja. Beide folgen der gemeinsamen Struktur, die ISO für Managementsystemnormen verwendet, vieles lässt sich also gemeinsam führen. Die KI-spezifischen Risiken, Auswirkungen und Maßnahmen brauchen trotzdem eigene Arbeit.
Verwandte Leistungen
- Compliance und ZertifizierungKI-VerordnungKI-Verordnung mit Black Fox Security: Inventar der KI-Systeme, Risikoeinstufung, Governance und Dokumentation für Hochrisiko-Systeme sowie KI-Sicherheitstests.
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Beratung und ReaktionDevSecOps und sichere EntwicklungDevSecOps von Black Fox Security: sichere Entwicklung, Bedrohungsmodellierung, Code-Review, Sicherheit in CI/CD, Abhängigkeits- und Secret-Scans, Schulung.
- Governance und RisikoRisikobewertungRisikobewertung von Infrastruktur, Netzwerk und Anwendungen durch Black Fox Security: Wahrscheinlichkeit gegen Schadensausmaß, Risikoregister und Behandlungsoptionen.
Beginnen Sie mit der Liste dessen, was Ihre KI tatsächlich tut
Erzählen Sie uns, welche KI-Systeme Sie entwickeln, verkaufen oder nutzen. Wir zeigen Ihnen, was die Norm für jedes davon erwartet.