Beim Aufbau eines AI Management Systems seit 2024 lag die schwierige Stelle nicht im Lesen des Standards.
Die Lücke entstand zwischen Managementsystem und technischer Realität. Welche KI-Systeme gehören in den Geltungsbereich? Wer entscheidet über ihren Einsatz? Und welcher Nachweis zeigt später, dass eine Kontrolle im Betrieb wirklich funktioniert?
Diese Fragen waren mein Einstieg in die Gap-Analyse. Nicht ein Stapel neuer Richtlinien.
Die erste Lücke liegt oft vor dem Dokument
Eine Gap-Analyse beginnt für mich mit dem tatsächlichen Bestand. Dazu gehören auch Scoring, Vorhersagemodelle oder eingebettete Funktionen, die intern nicht unter dem Etikett KI geführt werden. Erst danach lässt sich sinnvoll über Rollen, Risiken und Kontrollen sprechen.
Der praktische Implementierungsmoment war die Übersetzung. Eine allgemeine Forderung musste zu einer prüfbaren Frage werden. Wer genehmigt ein neues System? Welche Daten verarbeitet es? Wie wird ein Fehler bemerkt? Wer darf den Betrieb stoppen? Wo liegt der Nachweis?
Ich kenne diese Lücke aus dem eigenen Aufbau. Der Standard kann die Fragen ordnen. Er beantwortet nicht automatisch, wie ein konkretes Modell, eine Datenpipeline oder ein Agent technisch kontrolliert werden muss.
Was ISO/IEC 42001 leisten kann
ISO/IEC 42001:2023 ist laut ISO ein internationaler Standard für KI-Managementsysteme. Er enthält Anforderungen für das Einrichten, Umsetzen, Aufrechterhalten und fortlaufende Verbessern eines solchen Systems.
Wer bereits mit ISO-Managementsystemen arbeitet, erkennt viele Mechanismen wieder. Kontext, Verantwortlichkeiten, Risikobehandlung, interne Audits und Verbesserung müssen jedoch auf den eigenen KI-Einsatz übersetzt werden.
Eine Zertifizierung nach ISO/IEC 42001 ist kein automatischer Nachweis, dass jede anwendbare Vorgabe des EU AI Act erfüllt ist. Der Standard kann Prozesse und Evidenz strukturieren. Die rechtliche Einordnung eines Systems bleibt eine eigene Aufgabe.
Der EU AI Act läuft nach einem eigenen Zeitplan
Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft. Ihre Regeln werden gestaffelt anwendbar. Verbote bestimmter Praktiken und Pflichten zur KI-Kompetenz gelten seit 2. Februar 2025. Governance-Regeln und Pflichten für Modelle mit allgemeinem Verwendungszweck gelten seit 2. August 2025. Ein großer weiterer Teil gilt ab 2. August 2026, während einzelne Vorgaben später greifen.
Die Europäische Kommission führt den aktuellen Zeitplan und weist auf die Ausnahmen hin. Ob ein System als hochriskant gilt, folgt nicht aus der Branche allein. Entscheidend sind Zweck, Einsatzkontext und die Kategorien der Verordnung.
Für Hochrisiko-Systeme nennt der Rechtsakt unter anderem Risikomanagement, Protokollierung, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit. Welche Pflichten im Einzelfall gelten, sollte fachlich und rechtlich geprüft werden. Dieser Artikel ist keine Rechtsberatung.
Was der Standard nicht abnimmt
ISO/IEC 42001 hilft mir, aus verstreuten KI-Aktivitäten ein überprüfbares Managementsystem zu machen. Der Nutzen entsteht in der Übersetzung vom Standardsatz zur technischen Kontrolle. Genau dort zeigt eine ehrliche Gap-Analyse, was noch fehlt.
Gregor Lyttek ist Security Architect & AI Strategist und Threat Hunter im Versicherungsumfeld.