Ressourcen für KI Regierungsführung
Zuordnung der ISO/IEC 42001 zu den Verpflichtungen des EU AI Act
Compliance-Teams in Unternehmen stehen häufig vor redundanten Audits, wenn sie versuchen, mehrere Standards für die Governance künstlicher Intelligenz zu erfüllen.
Crosswalk
EU AI Act
ISO 42001
Standards
Compliance-Teams in Unternehmen stehen häufig vor redundanten Audits, wenn sie versuchen, mehrere Standards für die Governance künstlicher Intelligenz zu erfüllen. Der Standard ISO/IEC 42001 der Internationalen Organisation für Normung bietet einen Rahmen für ein Managementsystem für künstliche Intelligenz (AIMS), der direkt auf die verbindlichen Anforderungen des KI-Gesetzes der Europäischen Union (EU AI Act) abgestimmt ist.
Strukturelle Überschneidung: Managementsystem vs. direkte Regulierung
Während ISO/IEC 42001 ein freiwilliger internationaler Standard ist, der Managementprozesse spezifiziert, erlegt der EU AI Act rechtsverbindliche Verpflichtungen mit erheblichen finanziellen Sanktionen auf. Die Einrichtung eines nach ISO 42001 zertifizierten AIMS schafft jedoch die operative Grundlage, die erforderlich ist, um die Einhaltung der Anforderungen von Kapitel III des EU AI Act nachzuweisen.
| ISO/IEC 42001 Kontrollbereich | Rechtliches Mandat des EU AI Act | Operatives Ziel |
|---|---|---|
| Abschnitt 6.1: KI-Risikobewertung | Artikel 9: Risikomanagementsystem | Kontinuierliche Identifizierung, Minderung und Bewertung von Restrisiken über den gesamten KI-Lebenszyklus hinweg. |
| Anhang A.5: Daten für KI-Systeme | Artikel 10: Daten und Daten-Governance | Bewertung von Trainings-, Validierungs- und Testdatensätzen auf Bias, statistische Anomalien und Herkunft. |
| Anhang A.6: KI-Systemdokumentation | Artikel 11: Technische Dokumentation | Führung umfassender, maschinenlesbarer Spezifikationen vor dem Inverkehrbringen von Systemen. |
| Anhang A.8: Menschliche Aufsicht | Artikel 14: Menschliche Aufsicht | Entwicklung von "Human-in-the-Loop"- und "Human-on-the-Loop"-Beschränkungen sowie Übersteuerungsmöglichkeiten. |
| Abschnitt 9: Leistungsbewertung | Artikel 72: Überwachung nach dem Inverkehrbringen | Systematische Erfassung und Auswertung von Betriebsdaten während der Laufzeit in der Produktion. |
Schließung kritischer Lücken
Das Erreichen einer ISO 42001-Zertifizierung garantiert nicht automatisch die Konformität mit dem EU AI Act. Compliance-Verantwortliche müssen mehrere zusätzliche Aspekte berücksichtigen:
- Grundrechte-Folgenabschätzungen (FRIA): Betreiber von Hochrisiko-KI im öffentlichen Sektor oder bei wesentlichen privaten Dienstleistungen müssen spezialisierte Folgenabschätzungen durchführen, um potenzielle Rechtsverletzungen nach EU-Recht zu bewerten.
- Registrierung in der EU-Datenbank: Hochrisikosysteme müssen vor dem Einsatz in der öffentlichen EU-Datenbank registriert werden.
- Wege zur CE-Kennzeichnung: Die in Artikel 43 festgelegten Konformitätsbewertungsverfahren müssen formalisiert werden, sei es über interne Kontrollmechanismen oder externe benannte Stellen.
Durch die direkte Zuordnung der ISO 42001-Kontrollen zu den entsprechenden Artikeln des EU AI Act verwandeln Unternehmen isolierte Compliance-Bemühungen in eine einheitliche, kontinuierliche Compliance-Dokumentation.