ISO/IEC 42001 ist die erste internationale Norm, die speziell für das Management von KI-Systemen entwickelt wurde — nicht für Informationssicherheit allgemein, nicht für IT-Governance im weiteren Sinne, sondern für die besonderen Risiken des KI-Einsatzes: undurchsichtige Entscheidungen, Daten, die sich verschieben, und Systeme, die sich im Echtbetrieb anders verhalten als im Test. Ob sich Ihr Unternehmen schon jetzt damit befassen muss, hängt ehrlicherweise davon ab, wie stark eine falsche KI-Entscheidung Ihres Unternehmens andere betreffen könnte.

Was die Norm tatsächlich verlangt

Ohne die Sprache der Zertifizierungsstellen verlangt ISO/IEC 42001 vier Dinge: dokumentieren, was Ihre KI-Systeme tun und wer dafür verantwortlich ist; ein Risikoregister führen, das konkrete Anwendungsfälle und deren Risikostufe benennt; festlegen, wo ein Mensch das System prüfen oder übersteuern muss, bevor eine Entscheidung wirksam wird; und interne Audits durchführen, die bestätigen, dass all das tatsächlich gelebt wird und nicht nur irgendwo aufgeschrieben ist. Es ist dieselbe Disziplin, die ich als Lead Auditor nach ISO/IEC 27001 bereits anwende — erweitert um die KI-spezifischen Risiken, für die die ältere Norm nie geschrieben wurde.

Wer zuerst handeln muss

Nicht alle müssen gleich schnell handeln. Organisationen, die KI so einsetzen, dass Menschen wesentlich betroffen sind — medizinische Entscheidungen, finanzielle Bewertungen, Personalauswahl, alles mit echten Folgen bei Fehlern —, brauchen das jetzt, denn das regulatorische und reputative Risiko besteht bereits, ob ein formales Audit stattgefunden hat oder nicht. Unternehmen, die KI für weniger kritische interne Effizienz nutzen (Entwürfe, Terminplanung, Zusammenfassungen), haben mehr Spielraum — aber „mehr Spielraum“ heißt nicht „keiner“: Die Norm wird schneller vom Neuen zum Erwarteten, als die meisten Budgetplaner derzeit annehmen.

Zwei Wege, wie ich damit arbeite — und ein dritter für Teams, die es selbst verantworten wollen

Als ISO/IEC 27001 Lead Auditor und Lead Implementer biete ich beide Seiten gezielt für KI-Governance an: ein unabhängiges KI-Governance-Audit, das Ihnen die Lücken zeigt, ohne dass ein Verkaufsgespräch an den Ergebnissen hängt, oder eine praktische KI-Governance-Implementierung, bei der ich das KI-Managementsystem — Richtlinien, Risikoregister, Kontrollen — gemeinsam mit Ihrem Team aufbaue.

Für Organisationen, die diese Kompetenz intern aufbauen möchten, statt jedes Mal eine externe Prüfung zu beauftragen, biete ich jetzt auch die Schulung zum internen KI-Auditor an — ein strukturiertes Programm, das Ihre eigenen Mitarbeitenden befähigt, zwischen externen Prüfungen interne Audits nach ISO/IEC 42001 durchzuführen, konzipiert als Erweiterung meines Unternehmensschulungstags: ab £1.250/Tag online bzw. £1.600/Tag vor Ort für den eintägigen Grundkurs, oder £2.200 online / £2.800 vor Ort für das umfassendere zweitägige Programm, das tiefer in Auditmethodik und Nachweiserhebung einsteigt.

Warum eigene Auditoren ausbilden, statt immer jemanden von außen zu holen

Ein externes Audit ist eine Momentaufnahme — am Prüftag korrekt, doch zwischen den Prüfungen entsteht die eigentliche Abweichung. Ein Team, das eigene interne Audits durchführen kann, erkennt Probleme zwischen den formalen externen Prüfungen — aus demselben Grund, aus dem ISO/IEC 27001 interne Audits schon immer als festen Bestandteil der Norm verlangt, nicht als optionales Extra. Das ersetzt kein unabhängiges Audit; es ist das, was in den Monaten dazwischen passiert.