Wann sich der Aufbau lohnt
Klar lohnend in drei Fällen:
- Wenn Sie Hochrisiko-KI im Sinne des EU AI Act einsetzen
- Wenn KI fest in Ihre Produkte eingebaut ist und Kunden Nachweise verlangen
- Wenn Sie bereits nach ISO/IEC 27001 zertifiziert sind und KI breit nutzen
Wird KI dagegen nur sporadisch genutzt und besteht weder Pflicht noch Kundenanforderung, sind kleinere Schritte sinnvoller:
- Bestandsaufnahme
- Nutzungsregeln
- Awareness
Kein zweites ISMS
ISO/IEC 42001 ist parallel zu ISO/IEC 27001 aufgebaut und nutzt dieselbe Risiko-Logik. Dokumenten-Lenkung, Management-Bewertung und Audits lassen sich gemeinsam betreiben.
Mit gepflegtem ISMS konzentriert sich der Aufbau auf die KI-spezifischen Erweiterungen und verkürzt sich erheblich. Ein zweites, getrenntes System entsteht nicht.
Wie wir vorgehen
Wir klären zuerst, ob und in welchem Umfang sich der Aufbau für Sie lohnt, und bauen nur auf, was tatsächlich Mehrwert bringt. Der Weg führt von Geltungsbereich und Risikolage über Grundsätze und Verantwortlichkeiten zu den nötigen Maßnahmen, abgesichert durch internes Audit und Management-Bewertung. Optional bereiten wir das externe Zertifizierungs-Audit vor, ohne dass Sie sich vorab darauf festlegen müssen.
Häufig gestellte Fragen
Sechs Fragen, die in fast jedem AIMS-Erstgespräch vorkommen. Klicken Sie eine Frage an, um die Antwort zu sehen.
Lohnt sich ISO/IEC 42001 für uns wirklich schon?
Das hängt davon ab, ob Sie regulatorisch betroffen sind, ob Kunden Nachweise verlangen und welche Rolle KI in Ihren Produkten spielt. Sind zwei dieser Punkte erfüllt, lohnt sich der Aufbau meist. Sonst ist es oft sinnvoller, klein zu starten und später nachzuziehen.
Wie lange dauert der Aufbau bei vorhandenem ISO/IEC 27001?
Deutlich kürzer als auf der grünen Wiese, weil Risiko-Methodik, Dokumenten-Lenkung und Audit-Prozesse nicht neu geschaffen werden müssen. Der Aufwand konzentriert sich auf die KI-spezifische Erweiterung.
Was kostet ein Aufbau?
Der Beratungs-Aufwand hängt von Reife und Anwendungsbereich ab und ist bei vorhandenem ISMS geringer. Interner Aufwand und ein etwaiges externes Zertifizierungs-Audit kommen hinzu. Die Kalkulation erfolgt aufwandsbasiert nach dem Scoping-Gespräch.
Was passiert, wenn sich der EU AI Act ändert?
Die Norm ändert sich langsamer als die Gesetzgebung. Ein gut aufgebautes Managementsystem ist gegenüber Konkretisierungen robust und lässt sich anpassen, ohne es neu aufzusetzen.
Kann ich ISO/IEC 42001 auch ohne ISO/IEC 27001 aufbauen?
Technisch ja, in der Praxis aber selten sinnvoll, weil sich KI-Risiken kaum sauber von Informationssicherheits-Risiken trennen lassen. Ohne bestehendes ISMS bauen wir die gemeinsamen Grundlagen parallel mit auf.
Wer im Unternehmen wird verantwortlich?
Wer im Unternehmen wird verantwortlich? Im Mittelstand meist eine vorhandene Person aus IT-Sicherheit, Datenschutz oder Compliance. Entscheidend ist nicht der Titel, sondern die Stellung: ein Berichtsweg zur Geschäftsführung und genug Unabhängigkeit, um ein KI-Vorhaben im Zweifel zu stoppen.
Wie wir ein AIMS aufbauen.
Wir konzipieren KI-Managementsysteme nach ISO/IEC 42001 mit klarem Bezug zu ISO/IEC 27001 und nutzen vorhandene Strukturen weiter, statt sie zu verdoppeln. Wir trennen dabei, was die Norm verlangt, was regulatorisch Pflicht ist und was sinnvolle Praxis bleibt.
Den Aufbau schneiden wir mandatsspezifisch zu, danach begleiten wir den laufenden Betrieb.