ISO 42001
Die Norm für den Umgang mit KI.
ISO 42001 ist freiwillig, die KI-Verordnung nicht; welcher Akteur Sie sind, entscheidet, wie viel der Nachweise der Verordnung die Norm erzeugt, und die kostenlose Bestimmung sagt, ob Ihr System überhaupt ein Hochrisiko-System ist.
Beantworten Sie oben, um die Bestimmung für Ihren Fall zu lesen; das vollständige Werkzeug übernimmt Ihre Antworten.
Weiter: ist Ihr System ein Hochrisiko-System?38
Controls in Anhang A
28
Kapitel mit Anforderungen
Die KI-Richtlinie schreiben
Abschnitt 5.2 aus elf Antworten: wofür das Unternehmen KI nutzt, seine Haltung, die Nutzungen, die es ausschließt, wer verantwortlich ist, die Ziele, die geltenden Anforderungen und wie die Richtlinie neben den anderen steht.
Eine KI-System-Folgenabschätzung schreiben
Abschnitt 6.1.4 für ein System: wofür es da ist und wie es missbraucht werden könnte, die Menschen, die es berührt, die Folgen für Einzelne, für Gruppen und für die Gesellschaft mit je einer Wahrscheinlichkeit und einer Schwere, der Nutzen, die Maßnahmen, das Ergebnis und der Überprüfungstermin, als die Aufzeichnung, die ein Auditor liest.
Das Inventar der KI-Systeme schreiben
Das Register, das ein Auditor zuerst öffnet: jedes KI-System mit Zweck, der Rolle des Unternehmens, Status und Verantwortlichem, den Daten, Werkzeugen, dem Hosting und den Menschen, von denen es abhängt, dem Datum seiner Folgenabschätzung und der Lesart nach der KI-Verordnung, mit einer Übersichtstabelle.
Alle 38 Controls aus Anhang A
Eine verständliche Zeile je Control, gruppiert so, wie Anhang A sie gruppiert.
Was wir abdecken, Kapitel für Kapitel
Jedes Kapitel von 4 bis 10, wo die zugehörigen Nachweise im Produkt liegen, und wo die Grenzen jeder Software verlaufen.
Jede kostenlose Vorlage auf einer Seite
Die Hochrisiko-Termine der KI-Verordnung haben sich am 27. Juli 2026 verschoben
Die Verordnung (EU) 2026/1744, der Digital Omnibus zur KI, wendet die Hochrisiko-Anforderungen ab dem 2. Dezember 2027 auf Systeme nach Anhang III und ab dem 2. August 2028 auf Systeme nach Anhang I an, anstelle der Termine 2026 und 2027 des ursprünglichen Textes. ISO 42001 liefert die Struktur des Qualitätsmanagementsystems, das Artikel 17 von einem Anbieter verlangt, und der Artikel unten ordnet die 13 Aspekte von Artikel 17 Absatz 1 Anhang A zu: hinter 13 steht eine Maßnahme, bei 6 davon ist zusätzlich etwas für die Verordnung selbst zu schreiben, und nichts davon ist eine Konformitätsvermutung.
Ist Ihr System ein Hochrisiko-System? Die Einstufung, kostenlos, schriftlichDie KI-Verordnung: die geänderten Daten, das Werkzeug, die Artikel
Als Nächstes lesen
Die KI-Verordnung für ein Softwareunternehmen: welche Rolle Sie haben, was für alle gilt, was nur für einen Hochrisiko-Anbieter gilt, die KMU-Regeln und die geänderten Daten
Ein Softwareunternehmen begegnet der KI-Verordnung in einer von sechs Rollen, und der größte Teil der Verordnung gilt nur für zwei davon. Was überhaupt als KI-System zählt, warum das Ausliefern eines fremden Modells unter eigenem Namen Sie zum Anbieter macht, die drei Pflichten, die jedes Unternehmen seit 2025 und 2026 hat (KI-Kompetenz, die Verbote, Transparenz), die zwei Wege zum Hochrisiko-System und was jede Rolle dann ab dem 2. Dezember 2027 schuldet, die Linie zum Modell mit allgemeinem Verwendungszweck, die vom Digital Omnibus erweiterten Regeln für KMU und kleine Unternehmen mittlerer Kapitalisierung, und eine Tabelle, wer was ab wann schuldet. Gelesen aus den beiden Verordnungen auf CELLAR am 12. September 2026.
Die KI-Verordnung nach dem Digital Omnibus: die Termine, die sich am 27. Juli 2026 geändert haben, und welche ISO-42001-Maßnahmen die Nachweise für die dreizehn Aspekte des Artikels 17 und die Artikel 9 bis 15 erzeugen
Die Verordnung (EU) 2026/1744, unterzeichnet am 8. Juli 2026, veröffentlicht am 24. Juli, in Kraft seit dem 27. Juli, hat die Hochrisiko-Termine der KI-Verordnung auf den 2. Dezember 2027 für Systeme nach Anhang III und den 2. August 2028 für Systeme nach Anhang I verschoben, die KI-Kompetenz als Pflicht zu Maßnahmen neu gefasst und den Plan für die Beobachtung nach dem Inverkehrbringen zum Teil der technischen Dokumentation gemacht. Das meiste, was rankt, nennt noch die alten Termine. Die Termine in der geänderten Fassung, was sich sonst für einen Anbieter geändert hat, und unsere Zuordnung der dreizehn Aspekte des Qualitätsmanagementsystems nach Artikel 17, der Artikel 9 bis 15, 72 und 73 und der Betreiberpflichten der Artikel 4 und 26 zu den Anhang-A-Maßnahmen der ISO/IEC 42001, mit dem, was die Verordnung verlangt und die Norm nicht hervorbringt.
KI-Kompetenz nach Artikel 4 der KI-Verordnung in der Fassung vom 27. Juli 2026: was „Maßnahmen ergreifen" heißt, wen es erfasst, was es nicht verlangt, und der Nachweis, den es zu führen gilt
Artikel 4 gilt seit dem 2. Februar 2025 für jeden Anbieter und Betreiber eines KI-Systems. Der Digital Omnibus hat ihn neu gefasst: Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz, unter Berücksichtigung der Kenntnisse der Personen und des Kontexts, und, in den Worten, die die Verordnung jetzt verwendet, keine Pflicht, für irgendeine Person ein bestimmtes Niveau zu garantieren. Die Kommission veröffentlicht praktische Beispiele, das KI-Gremium gemeinsame Ziele. Was der Artikel verlangt, warum er in Artikel 99 keine eigene Geldbuße hat, wie die Kompetenz- und Bewusstseinsklauseln der ISO 42001 den Nachweis erzeugen, und ein Programm auf einer Seite.
Was ein Betreiber eines Hochrisiko-KI-Systems nach Artikel 26 der KI-Verordnung schuldet: die zwölf Absätze der Reihe nach, die Folgenabschätzung nach Artikel 27, wann Sie zum Anbieter werden, und die Nachweise, die ein ISO-42001-System führt
Die meisten Unternehmen begegnen der KI-Verordnung als Betreiber: Sie kaufen oder lizenzieren ein System, das ein anderer gebaut hat, und nutzen es in eigener Verantwortung. Für ein Hochrisiko-System stehen die Pflichten in Artikel 26, zwölf Absätze, vom Digital Omnibus unverändert, anwendbar ab dem 2. Dezember 2027 für Systeme des Anhangs III. Jeder Absatz der Reihe nach gelesen, die Grundrechte-Folgenabschätzung nach Artikel 27 und wer sie trägt, die drei Wege, auf denen ein Betreiber nach Artikel 25 zum Anbieter wird, das Recht auf Erläuterung nach Artikel 86, die Obergrenze des Artikels 99 und die ISO-42001-Maßnahme, die jeden Nachweis erzeugt.
Artikel 50 der KI-Verordnung für ein Unternehmen, das generative KI ausliefert oder nutzt: die vier Transparenzpflichten seit dem 2. August 2026, der Übergang zum 2. Dezember 2026, der Praxisleitfaden und das EU-Symbol
Artikel 50 ist die Pflicht der KI-Verordnung, die ein Unternehmen erreicht, ob sein System ein Hochrisiko-System ist oder nicht: den Menschen sagen, dass sie mit einer KI sprechen, erzeugte Inhalte so kennzeichnen, dass Maschinen sie erkennen, Deepfakes und KI-geschriebene Texte zu Angelegenheiten von öffentlichem Interesse offenlegen, Personen informieren, die einer Emotionserkennung ausgesetzt sind. Er gilt seit dem 2. August 2026, der Digital Omnibus hat ihn unverändert gelassen und Anbietern generativer Systeme, die bereits in Verkehr sind, für die Kennzeichnungspflicht bis zum 2. Dezember 2026 Zeit gegeben. Die vier Absätze der Reihe nach, wer bei jedem Anbieter und wer Betreiber ist, der Praxisleitfaden der Kommission vom 10. Juni 2026 mit seiner zweischichtigen Kennzeichnung und seinem KI-Symbol, die Geldbuße und der Nachweis, den ein ISO-42001-System führt.
Die ISO 42001 KI-Richtlinie für ein Softwareunternehmen: was Abschnitt 5.2 verlangt, die zehn Abschnitte, die Pflichten der KI-Verordnung, die sie nennt, die Fehler, die ein Auditor anmerkt, und eine Seite, die sie schreibt
Abschnitt 5.2 der ISO/IEC 42001 verlangt von der obersten Leitung eine KI-Richtlinie, die zu dem passt, wofür das Unternehmen KI nutzt, den Rahmen für die KI-Ziele gibt, sich zu den geltenden Anforderungen und zur Verbesserung des Systems verpflichtet, dokumentiert, kommuniziert und verfügbar ist und sagt, wie sie neben den anderen Richtlinien steht. Drei Maßnahmen aus Anhang A, A.2.2, A.2.3 und A.2.4, verlangen die Richtlinie, ihre Abstimmung mit den anderen Richtlinien und ihre Überprüfung. Eine kurze KI-Richtlinie für ein Softwareunternehmen umfasst zehn Abschnitte: Zweck, Geltungsbereich, Haltung, die ausgeschlossenen Nutzungen, Verantwortung, Ziele, die geltenden Anforderungen, die anderen Richtlinien, Kommunikation und Überprüfung. Der Abschnitt zu den Anforderungen ist der, in dem die KI-Verordnung eintritt: die Kompetenzpflicht des Artikels 4, die Transparenzpflichten des Artikels 50, wo das Unternehmen Inhalte erzeugt, und eine festgehaltene Hochrisiko-Feststellung je System, die die Richtlinie selbst nie behauptet. Eine kostenlose Seite schreibt die Richtlinie aus elf Antworten in sechs Sprachen.
Die ISO 42001-Folgenabschätzung für KI-Systeme: was Abschnitt 6.1.4 verlangt, die drei Ebenen der Folgen, wo sie auf die KI-Verordnung trifft, die Fehler, die ein Auditor anmerkt, und eine Seite, die sie schreibt
Abschnitt 6.1.4 der ISO/IEC 42001 lässt das Unternehmen abschätzen, was jedes KI-System den Einzelnen und Gruppen, die es berührt, und der Gesellschaft antun könnte, das Ergebnis als dokumentierte Information aufbewahren und im Lebenszyklus des Systems danach handeln; Abschnitt 8.4 führt den Prozess aus, und vier Controls aus Anhang A verlangen den Prozess, die Aufbewahrung, den Schaden für Einzelne und Gruppen und den Schaden jenseits der Nutzer. Es ist die Aufzeichnung, die die Norm hat und ISO 27001 nicht. Eine Abschätzung, die ein Auditor anerkennt, nennt den Zweck und den vorhersehbaren Missbrauch, die Menschen, die Folgen auf den drei Ebenen mit je einer Wahrscheinlichkeit und einer Schwere, den Nutzen, die Maßnahmen, ein Ergebnis und einen Überprüfungstermin; nach der KI-Verordnung ist sie die Eingabe der Grundrechte-Folgenabschätzung nach Artikel 27 und der Ort, an dem das Unternehmen seine eigene Lesart des Systems festhält. Eine kostenlose Seite schreibt sie für ein System.
ISO 42001 Zertifizierung: was sie ist und ob sie zu früh kommt
ISO/IEC 42001 ist die Norm für KI-Managementsysteme. Hier steht, was sie verlangt, wie sie zu einer bestehenden ISO 27001 passt, und eine ehrliche Einschätzung der aktuellen Nachfrage.