Implementierung von ISO/IEC 42001 Abschnitt 6: Risikomanagement für künstliche Intelligenz

Abschnitt 6 der ISO/IEC 42001 spezifiziert die Planungsanforderungen für ein Managementsystem für künstliche Intelligenz (AIMS). Er schreibt vor, dass Organisationen systematisch Risiken und Chancen identifizieren, bewerten und angehen, die mit Systemen der künstlichen Intelligenz während ihres gesamten Betriebslebenszyklus verbunden sind.

Das Kernmandat von Abschnitt 6

Im Gegensatz zu allgemeinen IT-Sicherheitsstandards erfordert ISO/IEC 42001 Abschnitt 6, dass Organisationen Risiken bewerten, die spezifisch für KI sind, einschließlich Model Drift, nicht-deterministisches Verhalten, algorithmische Voreingenommenheit (Bias), Einschränkungen der Datenqualität und gesellschaftliche Auswirkungen.

Abschnitt 6 ist in zwei primäre Anforderungen unterteilt:

• Abschnitt 6.1 (Maßnahmen zum Umgang mit Risiken und Chancen): Einrichtung systematischer Methoden zur Identifizierung und Bewertung von KI-Systemrisiken, gekoppelt mit einem KI-Risikobehandlungsplan.
• Abschnitt 6.2 (KI-Ziele und Planung zu deren Erreichung): Festlegung messbarer, richtlinienkonformer Ziele in den Bereichen technische Leistung, Compliance und ethische Sicherheitsgrundlagen.

Schritt-für-Schritt-Implementierungsrahmen

Um einen prüfungsbereiten Risikomanagementprozess gemäß Abschnitt 6 zu implementieren, müssen Engineering- und Governance-Teams einen vierstufigen Workflow durchführen:

1. Definition von Kontext und Risikokriterien

Festlegung der organisatorischen Risikoakzeptanzkriterien. Definition expliziter Schwellenwerte für akzeptable Bias-Varianz, Halluzinationstoleranz, Systemverfügbarkeit und Anforderungen an die Datenherkunft. Sicherstellung der Abstimmung mit den umfassenderen Enterprise Risk Management (ERM)-Richtlinien der Organisation.

2. KI-Risikoidentifizierung und Auswirkungsprofilierung

Katalogisierung jedes aktiven und geplanten KI-Systems in einem zentralen Register. Bewertung für jedes System hinsichtlich:

• Beabsichtigter Zweck und vorhersehbarer Missbrauch;
• Technische Komplexität und Abhängigkeit von externen Basismodellen;
• Abhängigkeiten bei der Datenaufnahme und Datenschutzbeschränkungen;
• Potenzielle Auswirkungen auf Einzelpersonen, den Betrieb und den regulatorischen Status.

3. Formaler KI-Risikobehandlungsplan

Für identifizierte Risiken, die akzeptable Schwellenwerte überschreiten, Auswahl von Kontrollen aus ISO/IEC 42001 Anhang A. Dokumentation spezifischer Minderungsmaßnahmen, Zuweisung der Verantwortlichkeit an benannte technische Leiter und Festlegung von Zeitplänen für die Überprüfung.

4. Kontinuierliche Beweiserstellung

Die Risikoplanung darf kein statisches jährliches Dokument bleiben. Abschnitt 6 erfordert eine laufende Bewertung. Integration automatisierter Überwachungstools, die Modellleistungsmetriken und Datensatz-Drift verfolgen und bei Änderungen der Systemparameter automatische Neubewertungen auslösen.

Anforderungen an Prüfungsnachweise

Wenn externe Prüfer die Einhaltung von Abschnitt 6 untersuchen, verlangen sie greifbare Beweise:

• Dokumentierte Risikobewertungsmethoden, die speziell auf künstliche Intelligenz zugeschnitten sind;
• Zeitgestempelte Risikoregister, die einzelne KI-Modelle mit mindernden technischen Kontrollen verknüpfen;
• Aufzeichnungen, die die Überprüfung und Genehmigung der KI-Restrisiken durch die Geschäftsführung belegen;
• Eine formale Erklärung zur Anwendbarkeit (Statement of Applicability, SoA), welche die einbezogenen und ausgeschlossenen Kontrollen aus Anhang A rechtfertigt.

Die Einbettung strukturierter Workflows gemäß Abschnitt 6 direkt in die Software-Bereitstellungszyklen stellt sicher, dass KI-Systeme ihre Zertifizierungsintegrität auch bei der Weiterentwicklung der Modelle beibehalten.