Reifegrad ISO/IEC 42001 · Managementsysteme für künstliche Intelligenz (AIMS)
Ihre KI-Governance, gemessen an ISO 42001 und übersetzt in einen bezifferten Maßnahmenplan.
10 Themenfelder, eine Skala mit 5 Stufen. Und die Maßnahme, die von einer Stufe zur nächsten führt.
Die 10 Themenfelder des Referenzrahmens, bereits ausformuliert von N1 bis N5. Ein Unternehmen, eine Business Unit, oder 300 gleichzeitig.
Reifegrad ISO/IEC 42001 · Managementsysteme für künstliche Intelligenz (AIMS)
10 Themenfelder, Skala mit 5 Stufen.
Nordhavn Industries
53 / 100
Sie messen ihren Reifegrad mit Datamensio
Ein Beispiel
Diese Situation könnte auch Ihre sein.
Nehmen wir das Beispiel eines Unternehmens: drei Standorte, drei Tabellen, keine gemeinsame Antwort.
Niemand weiß, wie man konsolidiert.
Nordhavn Industries, 2 400 Mitarbeitende in Hamburg, Lyon und Porto. Ein Auftraggeber fragt nach dem Stand des Konzerns. Jeder Standort antwortet mit seiner eigenen Tabelle und seinen eigenen Skalen.
Drei Wochen, eine einzige Grundlage.
Eine ISO/IEC 42001:2023-Analyse, gestartet an allen drei Standorten gleichzeitig, auf Basis der Gesprächsnotizen der Verantwortlichen. Der Referenzrahmen war bereits geschrieben, ebenso die 10 Themenfelder und die Stufen N1 bis N5.
Zwei Ausgaben vermieden, bevor sie entstanden.
Ein Score von 53 von 100, eine Abweichung, die sich auf drei Themen konzentriert. Der KI-Begleiter stellte fest, dass sich zwei Maßnahmen des Plans mit denen eines anderen Audits überschnitten. Der Ergebnisbericht für das Gremium war in einem Satz erstellt.
Was ihnen dadurch erspart blieb
- 3Standorte auf derselben Grundlage gemessen, statt drei nachzubearbeitende Fragebögen
- 2doppelte Maßnahmen erkannt, bevor die Ausgabe erfolgte
- 1Ergebnisbericht für das Gremium, ohne manuelle Nachbearbeitung
Diese Zahlen stammen aus einem Beispiel. Sie könnten Ihre eigenen sein.
Die Norm schreibt Prozesse vor. Datamensio zeigt, wo Sie stehen.
01
Der Referenzrahmen ist bereits geschrieben
Themenfelder, Fragen und Stufen N1 bis N5 ausformuliert. Sie starten nicht mit einer leeren Tabelle.
02
Der Score liegt noch am selben Tag vor
Online, per Selbstbewertungslink oder im Gespräch. Themenfeld für Themenfeld, im Zeitverlauf vergleichbar.
03
Die Abweichung wird zu einem bezifferten Plan
Jeder Stufenübergang trägt seine Maßnahme. Die KI priorisiert nach erwarteter Wirkung, nicht nach der Reihenfolge der Norm.
04
Der Fortschritt lässt sich belegen
Kampagne für Kampagne, gegen Ihr Ziel und gegen Ihre Vergangenheit. Genau das verlangt Ihr Vorstand.
Die Reifegradskala
Eine Stufe, die nächste, und die Maßnahme, die beide verbindet.
Dieser Mechanismus, ein Niveau, ein höheres Niveau und die verbindende Maßnahme, macht aus einer Feststellung eine Entwicklung.
Werden KI-Anwendungsfälle vor ihrer Produktivsetzung erfasst und bewertet?
- N1
Keine Erfassung. Anwendungsfälle entstehen in den Fachbereichen, ohne dass die Leitung deren Liste kennt.
- N2
Ein Verzeichnis existiert, gepflegt auf Initiative einzelner Teams. Es ist unvollständig, und die Bewertung vor Produktivsetzung bleibt informell.
- N3
Jeder neue Anwendungsfall wird gemeldet und nach einem gemeinsamen Raster vor der Produktivsetzung bewertet. Einige verspätete Meldungen bleiben bestehen.
- N4
Die Meldung ist Voraussetzung für den Zugang zu den Produktionsumgebungen. Bewertungen und Validierungsentscheidungen werden nachvollziehbar dokumentiert und einem namentlich benannten Verantwortlichen zugeordnet.
- N5
Das Verzeichnis wird periodisch überprüft, ausgemusterte Anwendungsfälle werden dokumentiert, und Erkenntnisse aus Vorfällen fließen in das Bewertungsraster ein.
Maßnahme für den Übergang von N2 zu N3
Ein einheitliches Bewertungsraster für Anwendungsfälle veröffentlichen (Zweck, betroffene Personen, verwendete Daten, Risikoniveau) und dessen Prüfung als Pflichtpunkt in die Tagesordnung des bestehenden Datenkomitees aufnehmen, mit einem verbindlichen Kontrollpunkt vor jeder Produktivsetzung.
« Dank Datamensio erfüllen wir unsere Ziele viel effizienter. Die Prüfstellen des EFRE und unseres zuständigen Ministeriums haben diesen Ansatz besonders geschätzt, da er ihnen verlässliche Daten liefert. »
Direktorin der CCI 94CCI Île-de-France
« Wir sind überzeugt, dass dies die am besten geeignete Lösung ist, um unser Transformationsprojekt zu skalieren und die Wirkung nach unseren Bedürfnissen zu messen. »
Maja SucekChief Operating Officer, Interreg Danube
Selten allein
Ein Referenzrahmen lässt sich kombinieren. Verbinden Sie mehrere, um Ihre Tätigkeit abzudecken, oder lassen Sie Ihren eigenen von der KI schreiben.
Nehmen Sie Ihre erste Messung vorauf ISO 42001.
Worum es in diesem Referenzrahmen geht
ISO/IEC 42001, veröffentlicht 2023, ist die erste zertifizierbare internationale Norm für das Management künstlicher Intelligenz. Sie folgt der gemeinsamen Struktur der Managementsystemnormen: Kontext, Führung, Planung, Unterstützung, Durchführung der Tätigkeiten, Leistungsbewertung, Verbesserung. Ihre Besonderheit liegt in zwei KI-spezifischen Mechanismen: der Bewertung der Auswirkungen auf Personen und Gesellschaft, getrennt von der Risikobewertung für die Organisation, sowie der dokumentierten Beherrschung des Lebenszyklus von KI-Systemen, von der Konzeption bis zur Außerbetriebnahme, auch wenn das Modell von einem Anbieter stammt.
In der Praxis liegt die Schwierigkeit nicht im Verständnis der Norm, sondern darin, den eigenen Standort zu kennen. Sind die eingesetzten KI-Anwendungsfälle vollständig erfasst, auch jene, die durch eine Softwarekomponente eines Anbieters eingeführt wurden? Wer entscheidet, dass ein System in Produktion gehen darf, und nach welchen dokumentierten Kriterien? Werden die Auswirkungen auf betroffene Personen vor der Einführung bewertet oder erst nach den ersten Beschwerden festgestellt? Bei diesen drei Fragen klafft die Lücke zwischen dem Governance-Diskurs und der tatsächlichen Praxis oft weit auseinander.
Ein Missverständnis taucht immer wieder auf: ISO 42001 und die europäische KI-Verordnung ersetzen sich nicht gegenseitig. Die Verordnung klassifiziert Systeme nach Risikostufe und legt Anbietern und Betreibern verbindliche Pflichten auf. Die Norm hingegen beschreibt die interne Organisation, die es ermöglicht, diese Pflichten dauerhaft zu erfüllen. Ein ISO 42001 konformes Managementsystem bildet eine wiederverwendbare Grundlage, um die erwartete Beherrschung nachzuweisen, ersetzt aber nicht die artikelweise Anwendbarkeitsanalyse.
Die Reifegrad-Analyse beantwortet eine andere Frage als das Zertifizierungsaudit. Das Audit endet mit Konformität oder Abweichung. Die Analyse ordnet jede Praxis auf einer fortlaufenden Skala ein und zeigt die genaue Maßnahme, die zum nächsten Niveau führt. So lässt sich die Zertifizierung vorbereiten, ohne das Vorhaben ins Blaue hinein zu starten, und Business Units vergleichen, die nicht im gleichen Tempo vorankommen.
In Datamensio ist der Referenzrahmen einsatzbereit und anpassbar. Die KI passt Themenfelder, Fragen und Niveaus an Ihre Branche und Ihren Geltungsbereich an oder erstellt eine Variante aus Ihren eigenen Dokumenten: KI-Politik, Register der Anwendungsfälle, Verfahren zur Modellvalidierung.
Referenznorm: ISO/IEC 42001:2023
Die bewerteten Themenfelder
Kontext und Geltungsbereich des AIMS
Festlegung des Geltungsbereichs, Rollen der Organisation (Anbieter, Betreiber, Entwickler), interessierte Parteien, Erklärung zur Anwendbarkeit der Maßnahmen aus Anhang A.
Führung und KI-Politik
Formalisierte und verbreitete KI-Politik, Engagement der Leitung, Ressourcenzuweisung, Abstimmung mit anderen Managementsystemen.
Rollen, Verantwortlichkeiten und Governance
Zuweisung der Verantwortlichkeiten über den Lebenszyklus, Entscheidungsgremium für Anwendungsfälle, Trennung von Entwicklung und Validierung, Eskalation von Entscheidungen.
Bewertung der mit KI verbundenen Risiken
Bewertungsmethode, Akzeptanzkriterien, Priorisierung der Anwendungsfälle, Behandlung von Risiken und Akzeptanz von Restrisiken.
Bewertung der Auswirkungen auf Personen und Gesellschaft
Identifikation betroffener Personen, Analyse der Auswirkungen auf Grundrechte, Berücksichtigung schutzbedürftiger Gruppen, Nachvollziehbarkeit der Schlussfolgerungen.
Lebenszyklus der KI-Systeme
Anforderungen an die Konzeption, Datensätze und ihre Herkunft, Überprüfung und Validierung vor der Produktivsetzung, technische Dokumentation, Bedingungen der Außerbetriebnahme.
Von KI-Systemen genutzte Daten
Qualität und Repräsentativität der Daten, Umgang mit Verzerrungen, Nachvollziehbarkeit der Herkunft, Nutzungsrechte, Kontrolle der Daten für das Nachtraining.
Transparenz und Information der Nutzer
Information über den Einsatz von KI, dem Anwendungsfall angemessene Erklärbarkeit, an Betreiber übergebene Dokumentation, Umgang mit Beschwerden und menschlicher Überprüfung.
Anbieter und Dritte
Auswahlkriterien, vertragliche Anforderungen an KI-Modelle und -Dienste, Bewertung wiederverwendeter Komponenten, Überwachung von durch den Anbieter auferlegten Änderungen.
Überwachung, internes Audit und Verbesserung
Leistungsindikatoren der produktiven Systeme, Erkennung von Abweichungen, interne Audits, Managementbewertung, Korrekturmaßnahmen und Erfahrungsauswertung.
Eine Kurzversion des Referenzrahmens mit 32 Fragen steht für die Online-Selbstbewertung zur Verfügung.
Häufige Fragen
Ist ISO 42001 zertifizierbar?
Ja, es handelt sich um eine zertifizierbare Managementsystemnorm, die von einer akkreditierten Stelle geprüft wird, nach dem Vorbild von ISO 27001. Datamensio misst Ihren Reifegrad und bereitet das Audit vor: Es stellt keine Zertifizierung aus.
Was unterscheidet diese Analyse von einem Zertifizierungsaudit?
Das Audit prüft das Vorhandensein der Anforderungen und endet mit Konformität oder Abweichung. Die Analyse ordnet jede Praxis auf einer Reifegradskala ein und zeigt die Maßnahme, die zum nächsten Niveau führt. Die Analyse bereitet vor, das Audit bestätigt.
Muss man bereits nach ISO 27001 zertifiziert sein, um zu starten?
Nein, aber es ist ein Vorteil. Die Struktur beider Normen ist gemeinsam: Kontext, Führung, Planung, Leistungsbewertung. Organisationen mit einem bestehenden Managementsystem können einen Teil ihrer Verfahren und Dokumentation wiederverwenden.
Wie fügt sich diese Analyse in die europäische KI-Verordnung ein?
Die Verordnung legt Pflichten je nach Risikostufe des Systems fest. Die Norm beschreibt die Organisation, die deren dauerhafte Einhaltung ermöglicht. Eine solide ISO 42001 Analyse bildet eine wiederverwendbare Grundlage, und die übergreifende Roadmap erlaubt es, beide Themen zu verknüpfen, ohne Maßnahmen zu duplizieren.
Wie lange dauert die Bewertung?
Die Kurzversion wird in 20 bis 30 Minuten ausgefüllt. Die vollständige Version im kollaborativen Modus erstreckt sich in der Regel über ein bis zwei Wochen: Der Großteil der Zeit dient der Erhebung von Informationen bei den Daten-, Sicherheits-, Rechts- und Fachteams.
Kann der Referenzrahmen an unseren Kontext angepasst werden?
Ja. Sie ändern Fragen, Niveaus und Themenfelder oder gehen von Ihren eigenen Dokumenten aus, um eine Variante zu erstellen. Die KI verfasst die Inhalte und verfeinert die Niveaus nach der CMMI-Methode. Der Referenzrahmen bleibt unter Ihrer Kontrolle.
Braucht man technisches Fachwissen im maschinellen Lernen, um zu antworten?
Die Fragen betreffen Governance- und Managementpraktiken, nicht die Architektur der Modelle. Einige erfordern den Beitrag eines Data Scientists oder Architekten: Der kollaborative Modus erlaubt es, diese Fragen der richtigen Person zuzuweisen.
Wo werden die Daten gehostet?
In Frankreich, bei OVH, mit Sicherung bei Scaleway. Keine Übertragung außerhalb der Europäischen Union. Die eingesetzten KI-Modelle können ausgewählt werden, auch aus europäischen Lösungen.