Ihre Situation
Sie setzen KI ein oder entwickeln Produkte mit KI-Komponenten, doch Verantwortlichkeiten und Risikobewertungen sind noch nicht durchgängig geregelt? Ein KI-Managementsystem legt fest, wer KI-Anwendungen bewertet, freigibt und ihren Einsatz überwacht. Mit unserer ISO-42001-Beratung unterstützen wir Sie beim Aufbau oder der Weiterentwicklung.
Kostenfrei und unverbindlich.
Ihre Situation
Mitarbeitende nutzen generative KI, Produkte bekommen KI-Funktionen, Geschäftsprozesse werden automatisiert. Gleichzeitig fragen Auftraggeber, Partner und Aufsichtsbehörden, wie Sie diesen Einsatz steuern – und der EU AI Act bringt neue Pflichten.
Viele Organisationen haben bereits einzelne Richtlinien oder Sicherheitsmaßnahmen. Es fehlt aber ein Rahmen, der sie zusammenführt: Welche KI-Anwendungen werden eingesetzt oder entwickelt? Wer verantwortet sie? Welche Risiken müssen bewertet und dokumentiert werden? Wie bereiten Sie sich auf Audits oder eine Zertifizierung vor?
Diesen Rahmen schafft die ISO/IEC 42001, die erste internationale Norm für KI-Managementsysteme (AIMS). Der EU AI Act kann ein Anlass sein, ein KI-Managementsystem nach ISO/IEC 42001 einzuführen. Eine Zertifizierung verlangt der EU AI Act nicht; viele seiner organisatorischen Anforderungen lassen sich mit der Norm aber strukturiert umsetzen und nachweisen.
Wir beginnen mit Ihrer tatsächlichen KI-Nutzung, nicht mit Dokumentenvorlagen. Haben Sie bereits ein ISMS nach ISO/IEC 27001, integrieren wir das KI-Managementsystem dort, statt eine Parallelstruktur aufzubauen.
Leistung & Ergebnisse
Sie erhalten ein KI-Managementsystem nach ISO/IEC 42001, das festlegt, wer KI-Anwendungen in Ihrer Organisation bewertet, freigibt und ihren Einsatz überwacht. Der Weg führt vom Scoping Ihres KI-Einsatzes über die Bestandsaufnahme von Prozessen, Richtlinien und Verantwortlichkeiten bis zur Reifegrad- und Gap-Analyse; ein bestehendes ISMS wird einbezogen.
Sie können mit der Reifegrad- und Gap-Analyse beginnen oder einzelne Schritte wie Umsetzungsbegleitung oder Auditvorbereitung beauftragen. Ziel ist kein Dokumentenprojekt, sondern ein KI-Managementsystem, das im Arbeitsalltag funktioniert.
Gemeinsam analysieren wir, wie KI in Ihrer Organisation eingesetzt oder entwickelt wird und welche Ziele Sie mit dem KI-Managementsystem verfolgen: interne Steuerung, Nachweis gegenüber Auftraggebern, Vorbereitung auf eine Zertifizierung oder der EU AI Act als Anlass, den KI-Einsatz strukturiert zu regeln.
Wir sichten vorhandene Prozesse, Richtlinien, Dokumentationen und Verantwortlichkeiten sowie den aktuellen Umgang mit KI. Ob Sie bereits ein Managementsystem betreiben oder ganz am Anfang stehen, spielt dabei keine Rolle.
Wir bewerten den Reifegrad anhand der Anforderungen der ISO/IEC 42001, benennen konkrete Abweichungen und leiten die wesentlichen Handlungsfelder ab. Dabei betrachten wir unter anderem:
Stärken und Lücken
Eine klare Übersicht über bestehende Stärken, identifizierte Lücken und notwendige Handlungsfelder gegenüber ISO/IEC 42001.
Aus den Handlungsfeldern erstellen wir einen strukturierten Maßnahmenplan. Wir priorisieren die Anforderungen der ISO/IEC 42001 und übersetzen sie in praktikable Maßnahmen.
Ihr Maßnahmenplan
Priorisierte Handlungsempfehlungen, die zeigen, was als Nächstes zu tun ist.
Auf Wunsch begleiten wir die Umsetzung. Wir entwickeln mit Ihnen Prozesse und Verantwortlichkeiten weiter, unterstützen bei der erforderlichen Dokumentation und den Nachweisen und beraten zu fachlichen, organisatorischen und normativen Fragen.
Bestehende Prozesse für Informationssicherheit, Risikomanagement, Compliance oder Datenschutz nutzen wir als Grundlage.
Wir planen und führen interne Audits nach ISO/IEC 42001 durch und beziehen bestehende Auditprogramme, etwa nach ISO/IEC 27001, ein – das vermeidet Doppelarbeit. Vor einem Zertifizierungsaudit oder einer externen Prüfung bewerten wir die Auditfähigkeit Ihres KI-Managementsystems:
Auditbereit
Sie wissen, welche Unterlagen und Maßnahmen vor der externen Prüfung noch offen sind – und Ihre Verantwortlichen kennen den Ablauf eines Audits.
Informationssicherheitsmanagementsysteme begleiten unsere Arbeit seit Jahrzehnten – im IT-Grundschutz ebenso wie nach ISO/IEC 27001. Diese Erfahrung mit Managementsystemen, Risikobewertung und Audits bringen wir in ISO/IEC-42001-Projekte ein.
Weil wir auch ISO-27001-Beratung, interne Audits sowie Beratung zu NIS2 und zum Cyber Resilience Act anbieten, betrachten wir diese Themen gemeinsam. Das KI-Managementsystem wird in Ihre bestehenden Strukturen integriert.
Für die technische Seite führen wir KI-Pentests durch, etwa für Chatbots oder Systeme zur automatisierten Dokumentenverarbeitung. So lassen sich organisatorische und technische Nachweise aufeinander abstimmen.
Zu den Qualifikationen unserer Cyber-Sicherheitsberater:innen gehört ISO/IEC 42001 Provisional Implementer. Ihr Schwerpunkt ist die Implementierung eines KI-Managementsystems.
ISO/IEC-42001-Qualifikationsprofil bei PECB
Wir beraten nicht nur zu ISO 27001. Auch unser eigenes Informationssicherheitsmanagementsystem ist nach ISO/IEC 27001:2022 zertifiziert. Es umfasst unsere Prüf- und Beratungsleistungen sowie die zugehörigen Unterstützungsprozesse.
Veröffentlichung zu unserem zertifizierten ISMS lesenIhr Einstieg
Beschreiben Sie uns, welche KI-Anwendungen Sie nutzen oder entwickeln. Hilfreich sind vorhandene Richtlinien, Risikobewertungen und benannte Zuständigkeiten. Klären Sie mit uns auch, ob eine externe Prüfung geplant ist. Daraus grenzen wir den Beratungs- oder Auditauftrag ab.
Ihre Verantwortlichen erläutern die KI-Nutzung und stellen die vorhandenen Unterlagen bereit. Sie entscheiden über Zuständigkeiten, Freigaben und Maßnahmen und setzen die vereinbarten Regeln im Alltag um. Wir unterstützen die vereinbarten Aufgaben fachlich; die Verantwortung für den KI-Einsatz bleibt bei Ihrer Organisation.
Die Beratung und Auditvorbereitung ersetzen keine Zertifizierungsentscheidung oder individuelle Bewertung regulatorischer Pflichten.
Ja. Ein vorhandenes ISMS oder ein anderes Managementsystem ist keine Voraussetzung für unsere Beratung. Wir beziehen ein, was Sie bereits geregelt haben. Auch einzelne Richtlinien und festgelegte Zuständigkeiten helfen, den weiteren Aufbau zu planen.
Nein. Sie können zunächst den Umgang mit KI in Ihrer Organisation verbessern, ohne ein Zertifizierungsaudit zu beauftragen. Ob Sie später eine externe Zertifizierung anstreben, besprechen wir anhand Ihrer Ziele. Die Beratung setzt dieses Ziel nicht voraus.
Ja. Wir prüfen, welche Abläufe zur Risikobewertung Sie für KI-Anwendungen mitnutzen und ergänzen können. Interne KI-Audits können wir mit Ihrem bestehenden Auditprogramm nach ISO 27001 abstimmen. Die KI-spezifischen Zuständigkeiten, Bewertungen und Nachweise werden dabei zusätzlich berücksichtigt.
Nein, sie ist eine eigene Leistung. Die ISO-42001-Beratung betrachtet, wie Sie KI-Nutzung, Verantwortung und Risikobewertung organisieren. Ein KI-Pentest untersucht dagegen einzelne KI-gestützte Anwendungen wie Chatbots oder Systeme zur automatisierten Dokumentenverarbeitung auf Schwachstellen. Beides lässt sich kombinieren; ein KI-Managementsystem allein belegt nicht die technische Sicherheit Ihrer Anwendungen.
Nein. Die Norm bietet aber einen international anerkannten Ansatz, um viele organisatorische Anforderungen des EU AI Act strukturiert umzusetzen und gegenüber Auftraggebern, Partnern und Aufsichtsbehörden nachzuweisen. Eine individuelle Bewertung Ihrer Pflichten aus dem EU AI Act ersetzt sie nicht.
