ISO 42001 Anforderungen: Alle Clauses 4 bis 10 im Überblick

ISO 42001 Anforderungen

ISO 42001 stellt Anforderungen an ein KI-Managementsystem (AIMS) in 10 Clauses — von der Kontextanalyse bis zur kontinuierlichen Verbesserung. Wer nach ISO 42001 Anforderungen sucht, braucht vor allem eine klare Einordnung: Die normativen Pflichten stehen in Clause 4 bis 10, folgen dem PDCA-Zyklus und schaffen ein belastbares Betriebsmodell für Governance, Risiko und Nachweise rund um KI.

Letzte Aktualisierung: 23. März 2026

Der Standard ist deshalb relevant, weil er KI nicht als Einzelprojekt behandelt, sondern als dauerhaft steuerbares Managementsystem. Für Unternehmen in der EU ist das besonders nützlich, wenn sie ihre KI-Governance systematisch an Pflichten aus dem EU AI Act ausrichten wollen, etwa an Art. 4 zur KI-Kompetenz oder an Betreiberpflichten nach Art. 26. Einen breiten Einstieg bietet der ISO-42001-Leitfaden; die Grundlagen des Standards erklärt auch der Beitrag Was ist ISO 42001?.

Überblick — Clauses 4 bis 10 im PDCA-Zyklus

ISO 42001 ist wie andere moderne Managementsystem-Standards nach Annex SL aufgebaut. Das bedeutet: Clause 1 bis 3 definieren Anwendungsbereich, normative Verweisungen und Begriffe, während Clause 4 bis 10 die eigentlichen Managementsystem-Anforderungen enthalten. Genau deshalb sprechen die meisten Implementierungsprojekte vor allem über Clauses 4 bis 10.

Die zentrale Logik ist der PDCA-Zyklus. Clause 4 bis 7 schaffen die Grundlagen, auf denen das AIMS geplant und organisatorisch verankert wird. Clause 8 operationalisiert diese Grundlagen im laufenden Betrieb. Clause 9 bewertet die Wirksamkeit. Clause 10 sorgt dafür, dass aus Abweichungen und Erkenntnissen konkrete Verbesserungen entstehen.

Für die Praxis ist diese Struktur wichtiger als einzelne Fachbegriffe. Viele Unternehmen haben bereits Richtlinien für KI, einzelne Freigaben oder technische Kontrollen. ISO 42001 verlangt aber mehr als lose Einzeldokumente. Der Standard verbindet Kontextanalyse, Führung, Ziele, Ressourcen, operative Steuerung, Audits und Managementreview zu einem geschlossenen System. Genau darin liegt der Unterschied zwischen einer internen KI-Richtlinie und einem echten KI-Managementsystem.

Die folgende Tabelle ordnet alle 10 Clauses der Struktur und dem PDCA-Zyklus zu:

Diese Tabelle zeigt auch, warum Clause 4 bis 10 nicht isoliert verstanden werden sollten. Wenn etwa in Clause 8 ein KI-System in Betrieb genommen wird, aber in Clause 4 der Scope unklar bleibt, in Clause 5 Rollen fehlen und in Clause 9 keine Wirksamkeitskontrolle definiert ist, entsteht kein belastbares AIMS. Für die operative Umsetzung lohnt sich ergänzend der Beitrag zur ISO-42001-Implementierung.

Clause 4 — Kontext der Organisation

Clause 4 verlangt, dass die Organisation ihr KI-relevantes Umfeld systematisch versteht, bevor sie Kontrollen oder Prozesse festlegt. Das ist keine formale Vorübung, sondern die Basis aller späteren Entscheidungen. Wer nicht sauber beschreibt, welche KI-Systeme, Stakeholder, Märkte, Rechtsräume und Risiken betroffen sind, baut das gesamte AIMS auf unscharfen Annahmen auf.

Konkret fordert Clause 4 die Analyse interner und externer Themen. Interne Themen sind zum Beispiel Datenreife, Governance-Strukturen, Rollen, eingesetzte KI-Anwendungen, Outsourcing-Modelle, vorhandene Managementsysteme oder die Frage, ob das Unternehmen selbst KI entwickelt oder nur fremde Systeme einsetzt. Externe Themen umfassen Marktanforderungen, Kundenerwartungen, regulatorische Vorgaben, Branchenbesonderheiten, Lieferantenabhängigkeiten und technologische Entwicklungen.

Ein zweiter Kernpunkt sind interessierte Parteien und deren Anforderungen. Dazu zählen je nach Kontext Geschäftsführung, Aufsichtsgremien, Mitarbeitende, Kunden, betroffene Personen, Betriebsrat, Aufsichtsbehörden, Auditoren, Technologiepartner und Versicherer. Im KI-Kontext reicht es nicht, diese Gruppen nur zu benennen. Unternehmen müssen nachvollziehbar ableiten, welche Erwartungen daraus für Transparenz, Qualität, Risikosteuerung, menschliche Aufsicht oder Nachweisfähigkeit entstehen.

Besonders relevant ist der Scope des AIMS. Clause 4 verlangt einen klar abgegrenzten Geltungsbereich. Dieser Scope kann auf bestimmte Geschäftseinheiten, Regionen, Produktlinien oder KI-Anwendungsfälle beschränkt werden. Er darf aber nicht willkürlich so eng definiert werden, dass kritische KI-Systeme faktisch ausgespart werden, obwohl sie organisatorisch mitgesteuert werden müssten. Ein sauberer Scope beantwortet mindestens diese Fragen:

1. Welche Gesellschaften, Teams und Prozesse sind umfasst?
2. Welche Arten von KI-Systemen sind umfasst?
3. Welche externen Anbieter und Plattformen spielen eine Rolle?
4. Welche Schnittstellen zu Datenschutz, Informationssicherheit, Qualität oder Compliance bestehen?

KI-spezifisch geht Clause 4 über klassische Managementsysteme hinaus. Die Kontextanalyse muss typischerweise auch Trainingsdaten, Modellarten, Einsatzgrenzen, Zielgruppen, potenzielle Fehlwirkungen und betroffene Personen einbeziehen. Bei generativer KI kann etwa schon die Frage relevant sein, ob Fachbereiche fremde Tools mit sensiblen Eingaben nutzen. Bei High-Impact-Use-Cases spielt stärker hinein, welche Entscheidungen mit KI vorbereitet oder automatisiert werden.

In der Praxis ist Clause 4 oft der Punkt, an dem Unternehmen erstmals ein vollständiges KI-Inventar aufbauen. Genau dort zeigt sich regelmäßig, dass mehr Systeme produktiv oder halboffiziell im Einsatz sind als gedacht. Wer diese Transparenz nicht herstellt, kann weder ISO 42001 belastbar umsetzen noch die Brücke zum EU AI Act schlagen.

Clause 5 — Führung

Clause 5 macht klar, dass ein AIMS kein Technikprojekt der IT ist, sondern eine Führungsaufgabe. Top-Management muss Verantwortung übernehmen, Ressourcen freigeben, Prioritäten setzen und nachweisbar zeigen, dass verantwortungsvolle KI Teil der Unternehmenssteuerung ist. Genau diese aktive Führungsrolle unterscheidet ein belastbares AIMS von einer Sammlung gut gemeinter Leitlinien.

Clause 5.1 verlangt Leadership and Commitment. Damit ist nicht nur die formale Genehmigung einer Richtlinie gemeint. Auditrelevant sind sichtbare Managemententscheidungen: Freigaben für Governance-Strukturen, Budget für Monitoring und Schulung, Eskalationswege für kritische KI-Themen, Review-Termine und die Einbindung von KI in Strategie- und Risikodiskussionen. Die Research-Auswertung zu Clause 5 zeigt deutlich, dass Auditoren gerade auf diese Umsetzungsnachweise achten.

Clause 5.2 behandelt die KI-Policy. Diese Policy muss mehr leisten als eine allgemeine IT-Richtlinie. Sie sollte den Zweck des AIMS, Geltungsbereich, Grundprinzipien, Governance-Struktur, Verantwortlichkeiten, Vorgaben für den KI-Lebenszyklus, Grundsätze zu Transparenz, Fairness, Sicherheit, Datenschutz und menschlicher Aufsicht sowie Regeln für Abweichungen und Reviews abdecken. Wer die Policy konkret aufbauen möchte, findet dazu einen eigenen Beitrag zur ISO-42001-KI-Policy.

Clause 5.3 fordert klare Rollen und Verantwortlichkeiten. Mindestens muss nachvollziehbar sein, wer die Konformität des AIMS sicherstellt und wer die Leistung des Systems an das Top-Management berichtet. In der Praxis kommen weitere Rollen hinzu: Fachverantwortliche für Use Cases, Risk Owner, Datenverantwortliche, interne Auditfunktion, Beschaffung, Datenschutz, Recht und gegebenenfalls ein KI-Governance-Board.

Der wesentliche Unterschied zu ISO 27001 liegt in der Breite der Führungsverantwortung. ISO 27001 fokussiert stärker auf Informationssicherheit. ISO 42001 erweitert den Blick auf Fairness, Transparenz, gesellschaftliche Wirkungen, Modellverhalten, menschliche Kontrolle und regulatorische Anschlussfähigkeit. Deshalb kann Clause 5 nicht sinnvoll allein an Security delegiert werden. Sie braucht interdisziplinäre Steuerung.

Für Unternehmen, die KI lediglich einkaufen, ist Clause 5 trotzdem relevant. Auch Betreiber fremder Systeme müssen festlegen, wer Beschaffung freigibt, wer Risiken bewertet, wer den produktiven Einsatz überwacht und wie Vorfälle eskaliert werden. Diese Logik passt auch zu Betreiberpflichten aus Art. 26 EU AI Act, weil dort ebenfalls organisatorische Verantwortung im laufenden Einsatz sichtbar werden muss.

Typische Schwachstellen sind passive Geschäftsführung, nicht gelebte Policies und unklare Verantwortlichkeiten zwischen IT, Compliance und Fachbereichen. Gerade deshalb ist Clause 5 in vielen Projekten früher ein Reifegradthema als ein Dokumentationsthema. Wer Führungsverantwortung nicht wirklich verankert, wird die späteren Clauses nur oberflächlich erfüllen.

Clause 6 — Planung

Clause 6 übersetzt den strategischen Rahmen aus Clause 4 und 5 in konkrete Risiko- und Maßnahmenplanung. Der Standard verlangt, dass Organisationen Risiken und Chancen identifizieren, bewerten und behandeln sowie AIMS-Ziele definieren und mit umsetzbaren Maßnahmen hinterlegen. Im KI-Kontext ist das besonders wichtig, weil technische, rechtliche, ethische und operative Risiken gleichzeitig auftreten.

Kern der Clause ist die KI-Risikoanalyse. Unternehmen müssen bewerten, welche negativen Auswirkungen aus ihren KI-Systemen entstehen können, welche Eintrittswahrscheinlichkeiten bestehen und welche Kontrollen erforderlich sind. Anders als in klassischen IT-Risikomodellen geht es nicht nur um Verfügbarkeit, Integrität oder Vertraulichkeit, sondern auch um Fehlentscheidungen, Bias, Intransparenz, ungeeignete Trainingsdaten, nicht überwachte Modelländerungen, Zweckentfremdung oder fehlerhafte menschliche Abstützung.

Eng damit verbunden ist das AI Impact Assessment. ISO 42001 schreibt nicht zwingend ein einziges Formular mit genau dieser Überschrift vor, aber die Research-Basis zeigt klar: In der Praxis brauchen Organisationen ein strukturiertes Bewertungsinstrument, das den Nutzungskontext, betroffene Gruppen, potenzielle Schäden, Schutzmaßnahmen, Verantwortliche und Freigabekriterien dokumentiert. Ein solches Assessment ist besonders wertvoll, wenn verschiedene Use Cases vergleichbar priorisiert werden sollen.

Clause 6 verlangt außerdem, Ziele zu definieren. Gute AIMS-Ziele sind nicht abstrakt, sondern messbar und betrieblich anschlussfähig. Beispiele sind: vollständige Inventarisierung aller produktiven KI-Systeme, dokumentierte Freigabe für alle High-Impact-Use-Cases, definierte Fairness-Prüfungen vor Produktivsetzung, 100 Prozent Schulungsabdeckung für sensible Rollen oder ein Managementreview pro Quartal.

Planung bedeutet auch, Chancen nicht zu übersehen. ISO 42001 ist kein reines Abwehrsystem. Wenn ein Unternehmen etwa mit sauberer Governance schneller Kundenanforderungen beantwortet, Ausschreibungen besser bedient oder Third-Party-Risiken strukturierter steuert, ist das ebenfalls Teil der AIMS-Planung. Gerade im Mittelstand stärkt diese Sichtweise die Akzeptanz, weil Governance nicht nur als Kostenstelle erscheint.

Praktisch ist Clause 6 oft der Übergang vom konzeptionellen Verständnis in ein steuerbares Projektportfolio. Unternehmen priorisieren hier, welche Use Cases zuerst bewertet werden, welche Rollen geschult werden, welche Policies entstehen und wo der größte Nachholbedarf besteht. Deshalb ist Clause 6 eng mit Annex A Controls verzahnt: Die Risikoanalyse sollte begründen können, warum bestimmte Kontrollen nötig oder besonders relevant sind.

Clause 7 — Unterstützung

Clause 7 stellt sicher, dass das AIMS nicht nur geplant, sondern organisatorisch tragfähig unterstützt wird. Dazu gehören Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information. Gerade in KI-Projekten wird diese Clause häufig unterschätzt, obwohl viele Umsetzungsprobleme nicht an fehlenden Grundsätzen, sondern an fehlender Unterstützung scheitern.

Der erste Baustein sind Ressourcen. Ein AIMS braucht Zeit, Budget, Verantwortliche, Tools und oft auch externe Expertise. Wer KI-Systeme mit hohem Einfluss betreibt, benötigt zusätzlich Monitoring-Fähigkeiten, Dokumentationsprozesse und fachliche Eskalationswege. Ohne diese Ressourcen bleibt die beste Policy wirkungslos.

Der zweite Baustein ist Kompetenz. ISO 42001 verlangt, dass Personen, die unter Kontrolle der Organisation arbeiten und das AIMS beeinflussen, kompetent sind. Das betrifft nicht nur Data Scientists, sondern auch Management, Fachbereiche, Einkauf, Compliance, interne Auditfunktion und alle Rollen, die KI auswählen, konfigurieren, nutzen oder überwachen. Im EU-Kontext passt das direkt zu Art. 4 EU AI Act, der seit dem 2. Februar 2025 ein ausreichendes Niveau an KI-Kompetenz verlangt.

Bewusstsein geht noch einen Schritt weiter. Mitarbeitende sollen nicht nur theoretisch wissen, dass es Regeln gibt, sondern verstehen, warum das AIMS wichtig ist, welche Folgen Nichtkonformitäten haben können und welche Rolle sie selbst spielen. In der Praxis wird dieses Bewusstsein über Schulungen, interne Leitfäden, Freigabeprozesse, Checklisten und wiederkehrende Kommunikation aufgebaut. Genau dort entsteht der Unterschied zwischen einer einmal verteilten Richtlinie und einer gelebten Governance-Kultur.

Clause 7 verlangt außerdem geregelte Kommunikation. Unternehmen müssen festlegen, was intern und extern kommuniziert wird, wann dies geschieht, über welche Kanäle und durch wen. Das ist im KI-Kontext relevant, wenn etwa Kunden nach dem Einsatz von KI fragen, Fachbereiche Vorfälle melden müssen oder Management regelmäßige Berichte zur AIMS-Leistung erhält.

Besonders auditrelevant ist die dokumentierte Information. ISO 42001 schreibt keine starre Dokumentenliste vor, verlangt aber, dass Informationen erstellt, aktualisiert, gelenkt und verfügbar gemacht werden. Typische Nachweise sind Policy, Scope-Beschreibung, Rollenmatrix, Risikoregister, Freigabeverfahren, Trainingsnachweise, Auditpläne, Managementreview-Protokolle und Betriebsdokumentation. Wer Clause 7 sauber umsetzt, schafft damit die Belegbasis für fast alle übrigen Clauses.

Clause 8 — Betrieb

Clause 8 ist der operative Kern der ISO 42001 Anforderungen. Hier zeigt sich, ob das AIMS im Alltag funktioniert oder nur auf dem Papier existiert. Der Standard verlangt operative Planung und Steuerung, damit KI-Systeme kontrolliert entwickelt, eingeführt, genutzt, überwacht, geändert und gegebenenfalls außer Betrieb genommen werden können.

Im Zentrum steht der KI-System-Lebenszyklus. Unternehmen müssen Prozesse definieren, die von der Idee und Auswahl eines Use Cases über Daten, Entwicklung, Validierung, Einführung, Monitoring, Anpassung bis zur Stilllegung reichen. Diese Lifecycle-Sicht ist entscheidend, weil Risiken nicht nur am Anfang entstehen. Modelle driften, Datenquellen ändern sich, Prompts werden angepasst, Schnittstellen werden erweitert und neue Nutzergruppen kommen hinzu.

Clause 8 verlangt deshalb klare operative Freigaben. Vor dem Einsatz sollte dokumentiert sein, welche Ziele das System verfolgt, welche Risiken bestehen, welche Tests durchgeführt wurden, welche Verantwortlichen freigegeben haben und unter welchen Bedingungen das System betrieben werden darf. Besonders bei generativer KI und bei zugekauften Plattformen ist das wichtig, weil Organisationen oft Funktionen produktiv nutzen, ohne ihre Grenzen, Trainingsannahmen oder Monitoring-Anforderungen sauber dokumentiert zu haben.

Ein weiterer Schwerpunkt ist Änderungsmanagement. KI-Systeme verändern sich durch Retraining, Parametertuning, Prompt-Änderungen, Modellwechsel oder Datenanpassungen. Clause 8 verlangt, dass solche Änderungen kontrolliert geplant, bewertet und dokumentiert werden. Ohne diese Disziplin kann ein System formell freigegeben sein, praktisch aber längst ein anderes Risikoprofil aufweisen als zum Zeitpunkt der ursprünglichen Bewertung.

Drittanbieter und Lieferketten spielen ebenfalls eine zentrale Rolle. Viele Unternehmen entwickeln keine eigenen Modelle, sondern integrieren externe APIs, SaaS-Tools, Foundation Models oder branchenspezifische KI-Lösungen. Clause 8 verlangt hier keine blinde Übernahme von Anbieterzusagen. Stattdessen müssen Auswahl, Due Diligence, vertragliche Steuerung, Nutzungsgrenzen, Datenflüsse, Abhängigkeiten und Überwachungsmaßnahmen nachvollziehbar geregelt sein.

Auch menschliche Aufsicht gehört in den Betrieb. Ein KI-System darf nicht einfach laufen, wenn kritische Entscheidungen oder sensible Auswirkungen zu erwarten sind. Unternehmen müssen festlegen, wann Menschen Ergebnisse prüfen, wie Overrides dokumentiert werden, wer bei Auffälligkeiten eingreift und wann ein System pausiert oder zurückgezogen wird.

In der Praxis ist Clause 8 häufig die aufwändigste Clause, weil hier die Brücke zwischen Governance und Realität gebaut wird. Wer nur ein Dokumentationsprojekt betreibt, scheitert meist genau an diesem Punkt. Wer dagegen Lifecycle, Change Management und Drittanbietersteuerung im Betrieb sauber aufsetzt, gewinnt schnell ein deutlich belastbareres AIMS.

Clause 9 — Leistungsbewertung

Clause 9 macht aus ISO 42001 ein lebendes Managementsystem. Die Anforderungen drehen sich um Monitoring, Messung, Analyse, interne Audits und Managementbewertung. Ohne diese Elemente bleibt unklar, ob das AIMS tatsächlich wirksam ist oder nur formal eingerichtet wurde.

Clause 9.1 verlangt, dass Organisationen festlegen, was überwacht und gemessen wird, mit welchen Methoden, in welcher Frequenz und wie Ergebnisse ausgewertet werden. Im KI-Kontext reicht es nicht, nur technische Modellmetriken zu beobachten. Die Research-Auswertung zu Clause 9 zeigt vier relevante Ebenen: technische Leistung, Fairness- und Ethikmetriken, Governance-Kennzahlen und strategische Risikometriken.

KI-spezifische KPIs können zum Beispiel Genauigkeit, Drift, Fehlerraten, Datenqualität, Human-Override-Rate, Beschwerdevolumen, Incident-Zeit bis Erkennung, Anteil inventarisierter Systeme, Schulungsabdeckung, Audit-Feststellungen oder Abschlussquoten von Korrekturmaßnahmen umfassen. Entscheidend ist nicht die Länge der KPI-Liste, sondern dass jede Kennzahl Zielwert, Datenquelle, Frequenz, Verantwortliche und Eskalationsweg hat.

Clause 9.2 behandelt interne Audits. Ein internes Audit nach ISO 42001 muss prüfen, ob das AIMS den Normanforderungen und den eigenen organisatorischen Vorgaben entspricht und wirksam umgesetzt wird. Dafür braucht es ein Auditprogramm, definierte Kriterien, unabhängige Auditoren, belastbare Evidenz und dokumentierte Feststellungen. Ein reiner Dokumentencheck reicht nicht aus. Gerade bei KI müssen auch Freigaben, Monitoring, Kontrollwirksamkeit, Vorfälle und Rollen praktisch nachvollzogen werden.

Clause 9.3 fordert die Managementbewertung. Das Top-Management muss in definierten Abständen bewerten, ob das AIMS geeignet, angemessen und wirksam bleibt. Eingaben in diesen Review sind typischerweise Auditergebnisse, KPI-Trends, Vorfälle, Beschwerden, Status von Maßnahmen, Ressourcenbedarf, regulatorische Änderungen und Chancen zur Verbesserung. Das Ergebnis sollte konkrete Entscheidungen, Prioritäten und Maßnahmen enthalten, nicht nur eine Kenntnisnahme.

Im Vergleich zu ISO 27001 ist Clause 9 in ISO 42001 stärker auf KI-spezifische Leistungs- und Wirkungsfragen ausgerichtet. Ein Unternehmen muss nicht nur wissen, ob eine Policy existiert, sondern ob das eingesetzte System im Betrieb noch fair, nachvollziehbar, kontrollierbar und risikoadäquat bleibt. Genau dadurch wird Clause 9 zu einem zentralen Bindeglied zwischen Technik, Governance und Management.

Clause 10 — Verbesserung

Clause 10 verlangt, dass Unternehmen mit Nichtkonformitäten, Vorfällen und Verbesserungspotenzial systematisch umgehen. Die Norm endet also nicht bei der Feststellung eines Problems. Sie verlangt, dass Ursachen analysiert, Korrekturmaßnahmen umgesetzt, deren Wirksamkeit geprüft und das AIMS fortlaufend verbessert wird.

Der erste Baustein sind Nichtkonformitäten und Korrekturmaßnahmen. Wenn etwa ein KI-System ohne dokumentierte Freigabe eingeführt wurde, Monitoring unzureichend ist, Rollen unklar bleiben oder ein Bias-Befund ohne Nachverfolgung stehen bleibt, genügt es nicht, das Thema informell zu besprechen. Die Organisation muss das Problem erfassen, seine Ursachen untersuchen, Maßnahmen definieren und deren Umsetzung nachhalten.

Der zweite Baustein ist kontinuierliche Verbesserung. Diese Verbesserung kann aus Audits, KPI-Analysen, Vorfällen, Beschwerden, neuen regulatorischen Anforderungen, Technologiewechseln oder Lessons Learned entstehen. Typische Beispiele sind die Nachschärfung von Freigabeprozessen, bessere Lieferantenbewertung, zusätzliche Schulungen für bestimmte Rollen, feinere Risikokategorien oder verbesserte Monitoring-Schwellen.

Clause 10 ist im KI-Kontext besonders wichtig, weil sich sowohl Technik als auch Regulierung schnell verändern. Ein AIMS, das heute angemessen erscheint, kann morgen Lücken haben, wenn neue Use Cases, neue Foundation Models oder neue aufsichtsrechtliche Erwartungen hinzukommen. Kontinuierliche Verbesserung bedeutet deshalb nicht permanente Umorganisation, sondern eine belastbare Fähigkeit zur geordneten Anpassung.

In der Praxis ist Clause 10 oft der Reifegradtest eines AIMS. Viele Organisationen können Vorfälle benennen, aber nicht zeigen, was daraus systematisch gelernt wurde. Auditorisch und organisatorisch stark ist dagegen ein Unternehmen, das Probleme nicht nur dokumentiert, sondern sichtbar in Governance, Prozesse und Kontrollen zurückspielt.

Annexes B, C und D

Annexes B, C und D sind informativ, aber praktisch sehr wertvoll. Sie erweitern das Verständnis der normativen Anforderungen und helfen bei der Umsetzung, ohne selbst neue Grundpflichten auf Ebene der Clauses 4 bis 10 zu schaffen.

Annex B liefert Implementierungsleitlinien. Dieser Anhang hilft Unternehmen zu verstehen, wie die Normanforderungen in reale Prozesse, Rollen und Nachweise übersetzt werden können. Gerade für Organisationen ohne lange ISO-Erfahrung ist Annex B nützlich, weil er die abstrakte Managementsystem-Sprache anwendungsnäher macht.

Annex C beschreibt Ziele und potenzielle Risikoquellen für KI-Systeme. Das ist hilfreich, wenn Unternehmen ihr Risikoregister, AI Impact Assessment oder Control-Mapping schärfen wollen. Annex C unterstützt damit vor allem Clause 6 und Clause 8, weil dort Risikoplanung und operative Steuerung konkret werden.

Annex D erklärt die Verbindung zu anderen Standards und Managementsystemen. Für Unternehmen mit ISO 27001, ISO 9001 oder etabliertem Enterprise Risk Management ist dieser Anhang besonders relevant, weil er Integrationspotenziale sichtbar macht. Genau hier zeigt sich auch, dass ISO 42001 keine isolierte Insel sein muss, sondern in bestehende Governance-Strukturen eingebettet werden kann.

Zusammen mit dem normativen Annex A ergeben diese Anhänge ein vollständigeres Bild: Clause 4 bis 10 definieren die Managementsystem-Anforderungen, Annex A liefert Controls, Annex B hilft bei der Umsetzung, Annex C bei Ziel- und Risikoableitung und Annex D bei der Einbettung in bestehende Systeme. Wer tiefer in die Kontrollen einsteigen möchte, sollte ergänzend den Beitrag zu ISO 42001 Annex A Controls lesen.

Für die Praxis bedeutet das: PDCA endet nicht bei einer PowerPoint-Struktur. Plan entsteht aus Kontext, Führung, Planung und Unterstützung. Do entsteht im gesteuerten Betrieb. Check entsteht aus KPIs, Audit und Managementreview. Act entsteht aus Korrekturmaßnahmen und Verbesserung. Genau diese Logik macht ISO 42001 zu einem belastbaren Rahmen, wenn Unternehmen KI nachhaltig steuern wollen.

Wenn Sie die Anforderungen nicht nur lesen, sondern in ein umsetzbares Governance-Modell für Ihr Unternehmen übersetzen möchten, ist die ISO-42001-Schulung der sinnvollste nächste Schritt. Für die Einordnung von Grundlagen und Begriffen helfen außerdem der ISO-42001-Leitfaden und das Glossar zu KI-Managementsystem.

FAQ

Welche Anforderungen stellt ISO 42001 an Unternehmen?

ISO 42001 verlangt ein dokumentiertes KI-Managementsystem mit festgelegtem Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Praktisch heißt das: Unternehmen müssen Rollen, Risiken, Kontrollen, Nachweise, interne Audits und Managementreviews für KI strukturiert aufbauen.

Was sind die 10 Clauses der ISO 42001?

Die ISO 42001 folgt der Annex-SL-Struktur mit 10 Clauses. Clause 1 bis 3 behandeln Anwendungsbereich, normative Verweisungen und Begriffe. Die normativen Managementsystem-Anforderungen stehen in Clause 4 bis 10: Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung.

Welche Clauses sind normativ und welche informativ?

Für die konkrete Umsetzung des KI-Managementsystems sind Clause 4 bis 10 normativ maßgeblich. Die Annexe B, C und D sind informativ und unterstützen bei Interpretation, Kontrollauswahl und Integration in andere Standards. Annex A enthält die Controls als normativen Anhang.

Wie hängen die ISO 42001 Clauses mit dem PDCA-Zyklus zusammen?

Die Clauses 4 bis 7 bilden überwiegend den Plan-Teil, Clause 8 steht für Do, Clause 9 für Check und Clause 10 für Act. Genau diese PDCA-Logik macht ISO 42001 zu einem Managementsystem statt zu einer losen KI-Richtlinie.

Kann man einzelne Anforderungen ausschließen?

Einzelne Kernanforderungen aus Clause 4 bis 10 lassen sich nicht beliebig ausschließen, wenn ein AIMS konform betrieben werden soll. Der Scope kann begrenzt werden, etwa auf bestimmte Gesellschaften oder KI-Anwendungen, aber innerhalb dieses Geltungsbereichs müssen die relevanten Anforderungen systematisch umgesetzt und begründet dokumentiert werden.

Wie unterscheiden sich die Clauses von ISO 42001 und ISO 27001?

Beide Standards nutzen Annex SL und damit eine ähnliche Managementsystem-Struktur. ISO 42001 erweitert diese Struktur aber um KI-spezifische Anforderungen wie AI Impact Assessment, Fairness, Transparenz, menschliche Aufsicht, Modellüberwachung und Governance über den gesamten KI-Lebenszyklus.

Welche Clause ist am aufwändigsten umzusetzen?

In der Praxis ist Clause 8 oft am aufwändigsten, weil dort operative Anforderungen an Entwicklung, Einführung, Überwachung, Änderungsmanagement und Drittanbieter zusammenlaufen. In Organisationen mit geringer Governance-Reife kann aber auch Clause 5 besonders anspruchsvoll sein, weil echte Top-Management-Verantwortung und klare Rollen geschaffen werden müssen.

Muss man alle Clauses gleichzeitig implementieren?

Nein, die Umsetzung erfolgt typischerweise in Wellen. Dennoch sollten Unternehmen Clause 4 bis 10 als zusammenhängendes System planen, weil isolierte Einzelmaßnahmen ohne Scope, Rollen, Nachweise und Review-Prozesse schnell inkonsistent werden.

Was sind die Mindestanforderungen für ein internes Audit nach Clause 9?

Mindestens erforderlich sind ein dokumentiertes Auditprogramm, definierter Scope und Kriterien, unabhängige Auditoren, belastbare Evidenz, dokumentierte Feststellungen und verfolgte Korrekturmaßnahmen. Für KI reicht ein Papiercheck nicht aus: Auch Monitoring, Rollen, Risikobehandlung und operative Kontrollen müssen praktisch geprüft werden.

Wie dokumentiert man die Anforderungen aus Clause 7?

Clause 7 wird typischerweise über Kompetenzmatrizen, Schulungsnachweise, Kommunikationsregeln, Dokumentenlenkung, Richtlinien, Verfahrensanweisungen und nachvollziehbare Versionierung dokumentiert. Entscheidend ist, dass Informationen verfügbar, aktuell, freigegeben und für die betroffenen Rollen zugänglich sind.

Primärquellen

• ISO/IEC 42001:2023 bei ISO
• Art. 4 EU AI Act
• Art. 9 EU AI Act
• Art. 26 EU AI Act
• Art. 40 EU AI Act