Der entscheidende Perspektivwechsel liegt im Wort Managementsystem. Viele Unternehmen denken bei KI-Compliance zuerst an Technik: an Modelle, Datensätze, Testverfahren. Die ISO/IEC 42001 setzt eine Ebene darüber an. Sie fragt: Gibt es klare Verantwortlichkeiten? Existiert eine KI-Politik, die von der Leitung getragen wird? Werden Risiken und Auswirkungen strukturiert bewertet? Wird der gesamte Lebenszyklus eines KI-Systems – von der Idee über den Betrieb bis zur Außerbetriebnahme – bewusst gesteuert? Genau diese organisatorischen Fragen beantwortet die Norm mit einem erprobten Bauplan, wie ihn Fachleute aus ISO 9001 (Qualität) oder ISO/IEC 27001 (Informationssicherheit) bereits kennen.
Für Unternehmen in Deutschland, Österreich und der Schweiz ist die ISO/IEC 42001 aus zwei Gründen besonders interessant. Erstens liefert sie ein anerkanntes, zertifizierbares Gerüst, um den wachsenden regulatorischen Erwartungen an KI – allen voran dem EU AI Act – strukturiert zu begegnen. Zweitens ist sie ein Vertrauensinstrument: Ein zertifiziertes KI-Managementsystem signalisiert Kunden, Partnern und Aufsichtsbehörden, dass eine Organisation KI nicht dem Zufall überlässt, sondern nach einem international abgestimmten Standard verantwortungsvoll führt.
Die Veröffentlichung der ISO/IEC 42001 im Dezember 2023 fiel nicht zufällig mit dem Aufstieg generativer KI zusammen. Mit der breiten Verfügbarkeit leistungsfähiger Modelle wuchs die Erkenntnis, dass KI-Systeme besondere Eigenschaften mitbringen, die klassische Software-Governance nicht vollständig abdeckt: Sie lernen aus Daten, verhalten sich teils nicht vollständig deterministisch, können Verzerrungen aus Trainingsdaten übernehmen und beeinflussen mitunter unmittelbar Menschen – etwa bei Bewertungen, Empfehlungen oder Entscheidungen. Genau für diese KI-spezifischen Risiken und Auswirkungen schafft die Norm einen systematischen Umgang, der über allgemeine IT-Kontrollen hinausgeht.
Wichtig ist die Abgrenzung zum EU AI Act: Die ISO/IEC 42001 ist eine freiwillige Norm, kein Gesetz. Sie verpflichtet niemanden und garantiert für sich genommen auch keine Rechtskonformität. Ihr Wert liegt darin, die organisatorischen Anforderungen, die aus verschiedenen Regelwerken erwachsen, in einem kohärenten Managementsystem zu bündeln – nachvollziehbar, prüfbar und auf Wunsch zertifizierbar.
Die ISO/IEC 42001 ist bewusst branchen- und größenneutral formuliert. Sie richtet sich an jede Organisation, die KI-Systeme entwickelt, bereitstellt oder nutzt – vom Technologiekonzern über den öffentlichen Sektor bis zum mittelständischen Anwender, der eingekaufte KI-Werkzeuge einsetzt. Anders als ein technischer Standard schreibt sie keine konkreten Algorithmen oder Kennzahlen vor. Sie beschreibt vielmehr, welche Managementelemente vorhanden sein müssen, und überlässt die konkrete Ausgestaltung dem Kontext der Organisation. Genau diese Skalierbarkeit macht sie für kleinere und mittlere Unternehmen anschlussfähig: Ein AIMS darf schlank sein, solange es die Anforderungen erfüllt und wirksam ist.
Die ISO/IEC 42001 folgt der sogenannten Harmonized Structure (früher als High-Level Structure bezeichnet). Das ist ein einheitliches Gliederungsschema, das alle modernen ISO-Managementsystemnormen teilen – etwa ISO 9001, ISO/IEC 27001 oder ISO 14001. Der normative Kern besteht aus sieben Hauptkapiteln, die den bekannten Plan-Do-Check-Act-Zyklus (PDCA) abbilden: Sie reichen vom Verständnis des organisatorischen Kontexts über Führung, Planung und Unterstützung bis zu Betrieb, Leistungsbewertung und Verbesserung. Für Organisationen, die bereits ein anderes Managementsystem betreiben, ist das ein erheblicher Vorteil: Die Grundlogik ist identisch, und viele Elemente lassen sich gemeinsam nutzen.
Neben dem normativen Hauptteil enthält die ISO/IEC 42001 mehrere Anhänge, die für die Praxis besonders wertvoll sind. Der wichtigste ist Annex A: ein Katalog von Referenz-Controls, also Steuerungsmaßnahmen, die eine Organisation je nach Risikolage anwenden kann. Diese Controls sind nach Themenbereichen gegliedert – von KI-bezogenen Leitlinien über die interne Organisation, Ressourcen und die Auswirkungsbewertung bis hin zu Daten für KI-Systeme, Informationen für interessierte Parteien, dem Einsatz von KI-Systemen und dem Umgang mit Drittparteien. Analog zu ISO/IEC 27001 wird über eine Anwendbarkeitserklärung (Statement of Applicability) begründet, welche Controls relevant sind und wie sie umgesetzt werden.
Annex B liefert die passende Umsetzungshilfe: Er beschreibt, wie die Controls aus Annex A in der Praxis ausgestaltet werden können. Annex C systematisiert typische Ziele und Risikoquellen im Zusammenhang mit KI – etwa Fairness, Transparenz, Robustheit, Sicherheit oder Datenschutz – und dient als Denkgerüst für die Risiko- und Auswirkungsanalyse. Annex D schließlich ordnet ein, wie sich das AIMS über verschiedene Domänen und Sektoren hinweg anwenden lässt und wie es mit anderen Normen und branchenspezifischen Anforderungen zusammenspielt.
Der entscheidende Denkschritt: Die Kapitel 4 bis 10 legen fest, was ein Managementsystem leisten muss – der Anhang liefert einen strukturierten Werkzeugkasten, womit die identifizierten Risiken und Auswirkungen behandelt werden. Kein Unternehmen muss alle Controls umsetzen; maßgeblich ist die risikobasierte Auswahl. Ein Anwender, der ausschließlich eingekaufte KI nutzt, wird andere Controls priorisieren als ein Anbieter, der eigene Modelle trainiert und ausliefert. Diese Flexibilität ist ein Kernmerkmal der Norm – und zugleich der Grund, warum eine saubere Kontext- und Risikoanalyse (siehe Kapitel 03) am Anfang stehen muss.
Am Anfang steht die Frage nach dem Kontext der Organisation (Kapitel 4). Die Norm verlangt, das interne und externe Umfeld zu verstehen: Welche KI setzt die Organisation ein oder plant sie einzusetzen? Welche gesetzlichen und regulatorischen Erwartungen bestehen? Wer sind die relevanten interessierten Parteien – Kunden, Beschäftigte, Betroffene, Aufsichtsbehörden, Lieferanten – und was erwarten sie? Aus diesen Antworten leitet sich der Anwendungsbereich (Scope) des Managementsystems ab: die bewusste Festlegung, welche KI-Systeme, Prozesse und Organisationseinheiten das AIMS umfasst. Ein präzise gefasster Scope ist einer der wichtigsten Erfolgsfaktoren – zu weit gefasst, wird das System überfrachtet; zu eng, verfehlt es seinen Zweck.
Die Führung (Kapitel 5) trägt in Managementsystemnormen besonderes Gewicht. Die oberste Leitung muss das AIMS aktiv verantworten, eine KI-Politik festlegen und dafür sorgen, dass Rollen, Verantwortlichkeiten und Befugnisse klar zugewiesen sind. Die KI-Politik ist dabei kein Marketingdokument, sondern eine verbindliche Grundhaltung: Sie legt fest, nach welchen Prinzipien die Organisation KI einsetzt – etwa mit Blick auf Fairness, Transparenz, Sicherheit, menschliche Aufsicht und die Achtung von Rechten Betroffener. Ohne echtes Commitment der Leitung bleibt jedes Managementsystem ein Papiertiger; das gilt für die ISO/IEC 42001 in besonderem Maße, weil KI-Entscheidungen oft strategische Tragweite haben.
Die Planung (Kapitel 6) ist das analytische Rückgrat der Norm. Hier verlangt die ISO/IEC 42001, Risiken und Chancen im Zusammenhang mit KI systematisch zu bestimmen und zu behandeln, messbare Ziele für das KI-Managementsystem zu setzen und den Weg zu ihrer Erreichung zu planen. Zwei Instrumente stehen dabei im Mittelpunkt und sind sorgfältig auseinanderzuhalten: die KI-Risikobewertung und die KI-Auswirkungsanalyse.
Diese doppelte Betrachtung ist eine der wichtigsten konzeptionellen Besonderheiten der ISO/IEC 42001. Klassische Managementsysteme fragen vor allem: Welches Risiko entsteht für die Organisation? Die ISO/IEC 42001 ergänzt eine zweite, ethisch aufgeladene Frage: Welche Auswirkungen hat das KI-System auf Menschen – auf Einzelne, Gruppen und die Gesellschaft? Ein Kreditscoring-System etwa mag für das Unternehmen ein überschaubares Betriebsrisiko darstellen, aber erhebliche Auswirkungen auf die Betroffenen haben, deren Kreditzugang es mitbestimmt. Beide Blickwinkel müssen erfasst und behandelt werden.
Die Norm verlangt, für diese Bewertungen definierte Kriterien und einen wiederholbaren Prozess zu etablieren – nicht eine einmalige Momentaufnahme, sondern eine wiederkehrende, dokumentierte Praxis. Verwandte ISO-Dokumente liefern dabei nützliche Orientierung: Die ISO/IEC 23894 gibt Leitlinien zum KI-Risikomanagement, die ISO/IEC 42005 adressiert speziell die KI-Auswirkungsanalyse, und die ISO/IEC 22989 stellt die gemeinsame Begrifflichkeit bereit. Diese Normen sind keine Pflicht, erleichtern aber die methodisch saubere Umsetzung erheblich.
Der Betrieb (Kapitel 8) verlangt, die in der Planung festgelegten Prozesse tatsächlich umzusetzen, zu steuern und die Ergebnisse der Risiko- und Auswirkungsbehandlung wirksam in den Arbeitsalltag zu überführen. Dazu gehört, operative Abläufe für KI-Systeme zu definieren, Änderungen kontrolliert zu handhaben und auch ausgelagerte oder von Dritten bereitgestellte KI-Funktionen zu überwachen. Der Kerngedanke: KI-Systeme sind keine statischen Produkte, sondern verändern sich – durch neue Daten, neue Versionen, veränderte Einsatzkontexte. Ein AIMS muss diese Dynamik beherrschen.
Die ISO/IEC 42001 denkt KI konsequent entlang ihres Lebenszyklus – von der ersten Idee bis zur geordneten Außerbetriebnahme. Dieser Lebenszyklus ist kein reines IT-Thema, sondern ein Managementgegenstand: An jeder Phase hängen Verantwortlichkeiten, Prüfpunkte und Nachweise. Wer den Lebenszyklus explizit modelliert, verhindert, dass Systeme unbemerkt in Betrieb gehen, unkontrolliert altern oder ohne Bewertung verändert werden.
Ein wiederkehrendes Motiv der Norm ist die menschliche Aufsicht. KI-Systeme, die Menschen betreffen, sollen so gestaltet und betrieben werden, dass Menschen ihre Ergebnisse verstehen, hinterfragen und bei Bedarf eingreifen können. Ebenso wichtig ist die Transparenz gegenüber interessierten Parteien: Betroffene und Nutzer sollen angemessen darüber informiert sein, wie und wozu KI eingesetzt wird. Beides ist nicht nur ethisch geboten, sondern deckt sich mit zentralen Erwartungen des EU AI Act (siehe Kapitel 06).
Damit der Betrieb überprüfbar bleibt, verlangt die Norm dokumentierte Informationen – also Nachweise, dass die Prozesse tatsächlich gelebt werden. Das reicht von Protokollen und Freigabeentscheidungen über Bewertungsergebnisse bis zu Schulungsnachweisen. Entscheidend ist dabei nicht die Menge der Dokumente, sondern ihre Aussagekraft: Ein schlankes, konsistentes Nachweissystem ist einem überbordenden Aktenberg klar vorzuziehen.
Der größte praktische Vorteil der ISO/IEC 42001 liegt in ihrer Anschlussfähigkeit. Weil sie die Harmonized Structure teilt, spricht sie dieselbe „Grammatik“ wie ISO/IEC 27001 (Informationssicherheit) und ISO/IEC 27701 (Datenschutz-Managementsystem als Erweiterung von ISO 27001). Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung sind in allen drei Normen gleich aufgebaut. Das bedeutet: Rollen, Politiken, Risikoprozesse, Auditzyklen und Managementbewertungen müssen nicht dreifach erfunden, sondern können gemeinsam betrieben und lediglich um die KI-spezifischen Elemente ergänzt werden.
Die Überschneidungen sind beträchtlich, aber nicht vollständig. Ein ISMS nach ISO/IEC 27001 liefert bereits viele Bausteine, die auch das AIMS braucht: ein etabliertes Risikomanagement, Zugriffs- und Datenkontrollen, Lieferantenmanagement, Vorfallbehandlung und eine Kultur dokumentierter Nachweise. Die ISO/IEC 42001 fügt jedoch KI-spezifische Elemente hinzu, die ein klassisches ISMS nicht abdeckt: die Auswirkungsanalyse auf Menschen und Gesellschaft, die Steuerung des KI-Lebenszyklus, Anforderungen an Trainings- und Eingabedaten, Transparenz gegenüber Betroffenen und die menschliche Aufsicht über KI-Ergebnisse. Informationssicherheit fragt „Sind die Daten geschützt?“ – das AIMS fragt zusätzlich „Ist der Einsatz der KI verantwortbar und fair?“.
Wer über ein ISO/IEC 27701 verfügt, hat einen weiteren Startvorteil, denn Datenschutzprozesse – Rechtsgrundlagen, Betroffenenrechte, Datenschutz-Folgenabschätzungen – berühren sich häufig mit KI-Fragestellungen. Dennoch bleibt eine klare Abgrenzung wichtig: Datenschutz und KI-Governance sind verwandt, aber nicht deckungsgleich. Nicht jede KI verarbeitet personenbezogene Daten, und nicht jedes Datenschutzrisiko ist ein KI-Risiko.
In der Praxis empfiehlt sich ein integriertes Managementsystem (IMS), das mehrere Normen unter einem gemeinsamen Dach vereint. Das spart Aufwand bei Audits, vermeidet widersprüchliche Regelungen und macht Governance für die Organisation greifbarer. Konkret heißt das: eine gemeinsame Politik-Landschaft mit KI-spezifischer Ergänzung, ein gemeinsamer Risikoprozess mit KI-Erweiterung, gemeinsame Rollen mit klar zugewiesener KI-Verantwortung und ein gemeinsamer Audit- und Managementbewertungszyklus. Für den Mittelstand ist dieser integrierte Ansatz besonders attraktiv, weil er Doppelarbeit vermeidet und die knappe Ressource Zeit schont.
Zunächst die grundlegende Unterscheidung: Der EU AI Act ist ein Gesetz – verbindliches EU-Recht, das KI risikobasiert reguliert. Das NIST AI Risk Management Framework (NIST AI RMF) ist ein freiwilliges Rahmenwerk der US-amerikanischen Normungsbehörde NIST, das Organisationen hilft, KI-Risiken zu erkennen und zu managen. Die ISO/IEC 42001 ist eine freiwillige, international abgestimmte und zertifizierbare Norm. Alle drei verfolgen ein ähnliches Ziel – vertrauenswürdige, verantwortungsvolle KI – aber mit unterschiedlichem Charakter und unterschiedlicher Verbindlichkeit.
Der EU AI Act verlangt von Anbietern und teils auch von Betreibern eine Reihe organisatorischer Vorkehrungen: ein Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht, Transparenz und eine fortlaufende Beobachtung nach dem Inverkehrbringen. Genau diese organisatorischen Anforderungen bildet ein AIMS nach ISO/IEC 42001 weitgehend ab. Deshalb wird die Norm häufig als organisatorisches Rückgrat der AI-Act-Umsetzung beschrieben: Sie liefert die Strukturen, mit denen sich viele gesetzliche Pflichten überhaupt erst nachweisbar und wiederholbar erfüllen lassen.
Wichtig ist jedoch eine klare Grenze: Eine Zertifizierung nach ISO/IEC 42001 ist kein automatischer Nachweis der Rechtskonformität mit dem EU AI Act. Der AI Act stützt sich für seine Konformitätsvermutung auf noch entstehende harmonisierte Normen; ob und wieweit die ISO/IEC 42001 diese Rolle einnimmt oder ergänzt, ist nach aktuellem Stand nicht abschließend geklärt und Gegenstand laufender Normungsarbeit. Praktisch bleibt sie ein starkes Fundament, aber kein rechtlicher Freibrief. Ob im Einzelfall zusätzliche Maßnahmen nötig sind, ist mit Fachexpert:innen zu klären – dies ist keine Rechtsberatung.
Das NIST AI RMF und die ISO/IEC 42001 stehen nicht in Konkurrenz, sondern ergänzen sich. Das RMF organisiert KI-Risikoarbeit entlang der vier Funktionen Govern, Map, Measure und Manage und ist besonders stark in der methodischen Ausgestaltung der Risiko- und Vertrauenswürdigkeitsarbeit. Die ISO/IEC 42001 wiederum liefert das formale Managementsystem-Gerüst mit klaren Anforderungen und Zertifizierbarkeit. Viele Organisationen nutzen das RMF als inhaltliche Methodik innerhalb eines Managementsystems, das der ISO/IEC 42001 folgt – so verbinden sie die Praxisnähe des einen mit der Struktur und Nachweisbarkeit des anderen. Wer international tätig ist, profitiert davon besonders, weil beide Rahmenwerke breit anerkannt sind.
Zunächst die wichtigste Klarstellung: Ein Unternehmen kann die ISO/IEC 42001 vollständig ohne Zertifizierung nutzen – als internen Ordnungsrahmen, an dem sich die eigene KI-Governance orientiert. Die Zertifizierung ist ein zusätzlicher Schritt, der den Reifegrad des Managementsystems durch eine unabhängige Stelle bestätigen lässt. Sinnvoll ist sie vor allem dann, wenn ein Unternehmen den Nachweis gegenüber Kunden, Partnern oder im Wettbewerb aktiv nutzen möchte oder wenn Auftraggeber ihn perspektivisch verlangen.
Die Zertifizierung erfolgt durch eine unabhängige Zertifizierungsstelle, die selbst nach den Regeln für Zertifizierungsstellen (in Anlehnung an ISO/IEC 17021) arbeitet und idealerweise akkreditiert ist. Der eigentliche Zertifizierungsaudit ist – wie bei anderen Managementsystemnormen – klassisch zweistufig aufgebaut, gefolgt von wiederkehrenden Überwachungsaudits.
Bevor eine externe Zertifizierung überhaupt sinnvoll ist, verlangt die Norm selbst interne Audits und eine Managementbewertung (Kapitel 9). Das interne Audit prüft aus eigener Kraft, ob das AIMS die Anforderungen erfüllt und wirksam ist; die Managementbewertung bringt die Ergebnisse auf die Leitungsebene und stößt Verbesserungen an. Diese beiden Elemente sind nicht nur Zertifizierungsvoraussetzung, sondern der eigentliche Motor der kontinuierlichen Verbesserung – sie sollten auch dann etabliert werden, wenn keine Zertifizierung geplant ist.
Wie viel Aufwand eine Zertifizierung bedeutet, lässt sich seriös nur qualitativ beantworten, weil er stark von Ausgangslage, Scope und Reifegrad abhängt. Grundsätzlich gilt: Der Aufwand steigt mit der Breite des Anwendungsbereichs (wie viele KI-Systeme und Einheiten umfasst das AIMS?), mit der Rolle der Organisation (ein Anbieter, der eigene Modelle entwickelt, hat mehr abzudecken als ein reiner Anwender) und mit dem bestehenden Managementsystem-Reifegrad (mit vorhandenem ISO/IEC 27001 ist das Delta deutlich kleiner). Wer bereits geordnete Governance betreibt, kann große Teile wiederverwenden; wer bei null startet, sollte einen realistischen Vorlauf einplanen. Konkrete Kosten- oder Dauerangaben wären an dieser Stelle unseriös – sie ergeben sich erst aus einer individuellen Scoping-Betrachtung.
Der wichtigste Erfolgsfaktor im Mittelstand heißt Fokussierung. Die ISO/IEC 42001 lässt bewusst offen, wie umfangreich ein AIMS ausfällt – ein kleineres Unternehmen darf und soll es schlank halten. Der Schlüssel liegt in einem sinnvoll abgegrenzten Anwendungsbereich: Statt sämtliche denkbaren KI-Aktivitäten auf einmal abzudecken, empfiehlt es sich, mit den tatsächlich relevanten und risikoreicheren Systemen zu beginnen und den Scope später bewusst zu erweitern.
Ein gutes Scoping beantwortet drei Fragen: Welche KI-Systeme setzen wir tatsächlich ein oder entwickeln wir? Welche davon berühren Menschen, Sicherheit oder sensible Entscheidungen unmittelbar? Und welche Organisationseinheiten sind beteiligt? Aus den Antworten ergibt sich ein Anwendungsbereich, der ambitioniert genug ist, um Wirkung zu entfalten, aber schlank genug, um beherrschbar zu bleiben. Ein häufiger Fehler ist der zu große Scope, der Ressourcen bindet, ohne den Nutzen zu steigern. Gerade Anwender, die überwiegend eingekaufte KI nutzen, können mit einem fokussierten Scope beginnen und dennoch ein aussagekräftiges Managementsystem aufbauen.
Ein AIMS braucht klare Verantwortlichkeiten – im Mittelstand oft ohne eigene Stabsstellen, aber mit eindeutiger Zuordnung. Bewährt hat sich ein schlankes Rollenmodell an der Schnittstelle von Leitung, IT, Datenschutz und Fachbereichen.
Aus unserer Beratungspraxis führt ein pragmatischer Pfad zuverlässig zum Ziel. Er beginnt mit Transparenz über den Bestand und endet in einem lebendigen, kontinuierlich verbesserten System.
Der Nutzen der ISO/IEC 42001 lässt sich auf mehreren Ebenen beschreiben. Auf der strategischen Ebene schafft sie ein Vertrauensinstrument: Ein anerkanntes KI-Managementsystem signalisiert Kunden, Partnern und Aufsicht, dass die Organisation KI verantwortungsvoll führt. Auf der operativen Ebene stiftet sie Ordnung, wo zuvor oft nur verstreute Einzelinitiativen existierten. Auf der regulatorischen Ebene bereitet sie die Organisation strukturiert auf Anforderungen wie den EU AI Act vor. Und auf der Markt-Ebene kann sie in Ausschreibungen und Lieferketten zum Differenzierungsmerkmal werden, wenn Auftraggeber Nachweise verantwortungsvoller KI verlangen.
Zu den Kosten gilt derselbe Grundsatz wie beim Zertifizierungsaufwand: Seriös sind nur qualitative Aussagen. Der finanzielle und personelle Aufwand hängt von Scope, Rolle und bestehendem Reifegrad ab. Wer ein ISMS betreibt, kann viele Bausteine wiederverwenden und startet mit einem kleineren Delta; wer ohne Governance-Grundlage beginnt, sollte den Aufbau als eigenständiges Vorhaben mit angemessenem Vorlauf behandeln. Konkrete Euro- oder Zeitangaben ergeben sich erst aus einer individuellen Betrachtung – pauschale Zahlen wären irreführend.
Im DACH-Raum ist der Datenschutz ein zentrales Anliegen, und die ISO/IEC 42001 berührt ihn an vielen Stellen – ersetzt ihn aber nicht. Verarbeitet ein KI-System personenbezogene Daten, gilt die DSGVO unverändert weiter: Rechtsgrundlagen, Datenminimierung, Betroffenenrechte und gegebenenfalls eine Datenschutz-Folgenabschätzung bleiben verpflichtend. Das AIMS liefert hierfür wertvolle Struktur, etwa durch seine Daten-Governance-Anforderungen und die Auswirkungsanalyse, die sich mit der Datenschutz-Folgenabschätzung sinnvoll verzahnen lässt. Wichtig bleibt die klare Trennung: Die ISO/IEC 42001 ist ein Managementsystem für KI, kein Datenschutznachweis – beide Ebenen sollten bewusst zusammengeführt, aber nicht verwechselt werden. Wie sie im Einzelfall ineinandergreifen, ist mit Datenschutz-Fachexpert:innen zu klären; dies ist keine Rechtsberatung.
Ein für den Mittelstand oft unterschätzter Aspekt ist die Datenhoheit. KI-Systeme – insbesondere generative – verarbeiten häufig sensible Unternehmensdaten, und die Frage, wo diese Daten liegen, wer darauf zugreift und wie sie weiterverwendet werden, ist strategisch bedeutsam. Ein AIMS nach ISO/IEC 42001 zwingt eine Organisation, genau diese Fragen strukturiert zu beantworten: Es verlangt, Datenflüsse, Drittparteien und Abhängigkeiten transparent zu machen und zu bewerten. Damit wird die Norm indirekt zu einem Instrument der Datensouveränität – ein Aspekt, der im DACH-Raum mit seinem hohen Anspruch an Datenschutz und digitale Selbstbestimmung besonders schwer wiegt.
