Das Wichtigste in Kürze
Das Wichtigste in Kürze- Die Norm beschreibt ein Managementsystem, keine technischen Anforderungen an Modelle
- Sie lohnt sich, wenn Kunden oder Ausschreibungen einen Nachweis verlangen
- Der grösste Teil des Aufwands liegt in der Dokumentation, die ohnehin fehlt
- Ohne gelebte Praxis dahinter erzeugt das Zertifikat nur Papier und Kosten
Seit der EU AI Act Gesprächsthema ist, taucht ISO 42001 in jeder zweiten Ausschreibung auf. Die Frage, ob sich eine Zertifizierung lohnt, ist berechtigt. Die Antwort hängt an Punkten, die mit der Norm selbst wenig zu tun haben.
Was die Norm ist und was nicht
ISO 42001 beschreibt ein Managementsystem. Sie verlangt, dass Zuständigkeiten geklärt sind, Risiken beurteilt werden, der Umgang mit Daten geregelt ist und der Betrieb überwacht wird.
Was sie nicht tut: Sie sagt nichts über die Qualität eines Modells, nichts über erlaubte Anwendungen und nichts über technische Architektur. Ein zertifiziertes Unternehmen kann ein schlechtes System betreiben, solange es dokumentiert, dass es das tut.
Wann sich der Aufwand rechnet
- 1Ein konkreter Kunde oder eine Ausschreibung verlangt den Nachweis
- 2Es laufen so viele Systeme im Haus, dass niemand mehr den Überblick hat
- 3Es besteht bereits eine ISO-Struktur, an die sich andocken lässt
- 4Die Branche steht unter besonderer Aufsicht, etwa Gesundheit oder Finanzen
Trifft keiner dieser Punkte zu, ist der Aufwand schwer zu rechtfertigen. Ein Zertifikat ohne Nachfrage ist eine teure Visitenkarte.
Der ehrliche Aufwand
Der grösste Posten ist nicht die Norm, sondern die Bestandsaufnahme. In den meisten Unternehmen weiss niemand vollständig, welche KI-Funktionen im Einsatz sind, weil viele davon in gekaufter Software stecken und nie bewusst entschieden wurden.
Dazu kommen Prozesse, die bisher informell liefen und nun aufgeschrieben werden müssen. Das ist unbequem, deckt aber zuverlässig auf, wo Zuständigkeiten fehlen.
Was nach dem Zertifikat kommt
Ein Managementsystem ist kein Zustand, sondern eine Praxis. Es verlangt interne Audits, Managementbewertungen und den Nachweis, dass Erkenntnisse tatsächlich zu Änderungen führen.
Wer das nicht leisten will, sollte die Zertifizierung lassen. Ein abgelaufenes oder entzogenes Zertifikat wirkt schlechter als gar keines.
Die Alternative für den Anfang
Wer den Nutzen ohne den Aufwand will, kann die Substanz herauslösen: ein Verzeichnis aller Systeme, je System ein Verantwortlicher, eine kurze Risikoeinschätzung und ein Protokoll der Schreibaktionen.
Das sind vier Artefakte statt eines Managementsystems. Sie beantworten die meisten Fragen, die in der Praxis gestellt werden, und lassen sich später zu einer Zertifizierung ausbauen, falls sie doch verlangt wird.
Fazit von Marcel
Ich rate niemandem zu einer Zertifizierung, weil sie gut aussieht. Ich rate dazu, wenn ein konkreter Kunde oder eine konkrete Ausschreibung sie verlangt, oder wenn im Haus so viele Systeme laufen, dass die Ordnung ohnehin fehlt. Der Nutzen steckt nicht im Zertifikat, sondern in dem, was man auf dem Weg dorthin aufräumt. Wer das Aufräumen ohne Zertifikat hinbekommt, hat neunzig Prozent des Nutzens zum Bruchteil der Kosten.
Marcel Kaschner · Founder & Managing Director, ZAVION
Häufige Fragen
Was regelt ISO 42001 genau?
Die Norm beschreibt ein Managementsystem für künstliche Intelligenz: Zuständigkeiten, Risikobeurteilung, Umgang mit Daten, Überwachung im Betrieb und kontinuierliche Verbesserung. Sie macht keine technischen Vorgaben zu Modellen und prüft auch nicht deren Qualität.
Ersetzt ISO 42001 die Anforderungen des EU AI Act?
Nein, aber es hilft. Viele Anforderungen der Verordnung verlangen dokumentierte Prozesse, und genau die baut die Norm auf. Ein Zertifikat ist kein Freibrief, erleichtert aber den Nachweis erheblich.
Wann lohnt sich der Aufwand?
Wenn Kunden oder Ausschreibungen danach fragen, wenn viele Systeme parallel laufen und die Übersicht fehlt, oder wenn bereits eine ISO-9001- oder ISO-27001-Struktur besteht, an die man andocken kann. Ohne einen dieser Gründe ist das Geld meistens anderswo besser angelegt.
Wie lange dauert eine Zertifizierung?
Bei vorhandener ISO-Struktur realistisch sechs bis neun Monate, ohne eine solche deutlich länger. Der grösste Zeitfresser ist nicht die Norm selbst, sondern das Zusammentragen dessen, was im Haus tatsächlich läuft.
