Why now – Palantir alternatives for Europe: what 'sovereign' actually means, and how European public bodies are decidingRegistrieren →
ISO/IEC 42001

KI-Governance, die Sie zertifizieren können, weil die Runtime sie durchsetzt

ISO/IEC 42001 ist die erste internationale Norm für den verantwortungsvollen Umgang mit KI. Scrydon übersetzt ihre Controls in Runtime-Verhalten — Guardrails, Aufsicht, Protokollierung, Wahl der Lieferkette — und erzeugt die Nachweise, die ein AIMS-Audit erwartet, während die Zertifizierung Ihres Programms bei Ihnen bleibt.

Geschrieben für Security-, Risiko- und Datenschutzteams — für die, die es nachweisen müssen, nicht nur beschreiben.

Briefing buchenHäufige Fragen
Worum es geht

ISO/IEC 42001 (ISO 42001)

ISO/IEC 42001:2023 ist die erste internationale, zertifizierbare Norm für ein Managementsystem für künstliche Intelligenz (AIMS). Sie wurde im Dezember 2023 veröffentlicht und folgt derselben harmonisierten Struktur wie ISO 27001: Eine Organisation legt KI-Politik und -Ziele fest, beurteilt KI-spezifische Risiken und die Auswirkungen ihrer KI-Systeme über deren Lebenszyklus und betreibt, überwacht und verbessert ihre Controls fortlaufend. Annex A liefert einen Referenzsatz von Controls zu KI-Politik, interner Organisation, Ressourcen, Auswirkungsbewertung, Lebenszyklus von KI-Systemen, Daten für KI, Information interessierter Parteien, Nutzung von KI-Systemen und Beziehungen zu Dritten, mit Umsetzungsleitfaden in Annex B. Sie ist bewusst kompatibel mit den Erwartungen der KI-Verordnung an Risikomanagement, Daten-Governance, Protokollierung, menschliche Aufsicht und Transparenz — weshalb viele Organisationen sie als Managementsystem-Rückgrat ihrer Konformitätsargumentation nutzen —, ist aber selbst keine harmonisierte Norm unter der KI-Verordnung und begründet keine Konformitätsvermutung. Scrydon betreibt ein eigenes, an ISO/IEC 42001 ausgerichtetes AIMS und veröffentlicht dessen Stand auf dem Compliance-Hub; diese Seite behandelt, wie die Plattform das AIMS unterstützt, das Sie betreiben.
Auf einen Blick
Geltungsbereich
International
Gilt für
Jede Organisation, die KI-Systeme entwickelt, bereitstellt oder nutzt und dafür ein zertifizierbares Managementsystem für verantwortungsvollen Einsatz möchte — insbesondere Anbieter und Betreiber, die sich auf die KI-Verordnung vorbereiten.
Sprechen Sie mit uns
Wie wir helfen

Wie Scrydon Sie bei der Einhaltung unterstützt

Die Controls sind in die Runtime eingebaut, sodass Sie Compliance mit Nachweisen aus der Plattform selbst belegen können — statt sie im Nachhinein zusammenzutragen.

Guardrails für den Betrieb von KI-Systemen

Die DLP-Guardrails-Engine prüft Modell-Ein- und -Ausgaben auf personenbezogene Daten und Halluzinationen, mit Regex- und JSON-Gates, die blockieren, redigieren oder in Quarantäne stellen. Damit haben die Betriebs- und Überwachungscontrols der Lebenszyklus-Familie von Annex A etwas Durchsetzbares, auf das sie verweisen können: Das Verhalten eines Modells in Produktion wird durch Policy begrenzt, nicht nur in einem Verfahren beschrieben.

Menschliche Aufsicht durch Policy-as-Code

Ein einziger Policy-as-Code-Entscheidungspunkt autorisiert Aktionen über Anwendungs- und Datenebene mit Fail-Closed-Defaults, sodass Freigabe-Gates, Human-in-the-Loop-Checkpoints und verbotene Nutzungen von der Runtime durchgesetzt werden. Das unterstützt die Annex-A-Controls zur verantwortungsvollen Nutzung von KI und zur Festlegung und Durchsetzung der Ziele eines KI-Systems und erzeugt bei jeder Ausübung von Aufsicht einen Eintrag.

Protokollierung und Nachvollziehbarkeit über den Lebenszyklus

Jeder Akteur, jede Entscheidung und jede Agentenaktion landet in einem unveränderlichen, abfragbaren Audit-Log mit Redaktions- und Aufbewahrungscontrols. Dieses Log belegt die Lebenszyklus-Controls, aus denen ein AIMS-Audit Stichproben zieht — Verifizierung, Validierung, Deployment, Betrieb und Überwachung — und dient zugleich als die Ereignisprotokollierung, die die KI-Verordnung von Hochrisiko-Systemen verlangt.

Daten für KI: Clearance und Klassifizierung

Document Clearance und Klassifizierung entscheiden, welche Daten welches Modell und welchen Kontext erreichen dürfen, und der Zugriff ist Policy-gesteuert und protokolliert. Das unterstützt die Annex-A-Controls zu Daten für KI — Herkunft, Qualität und Aufbereitung — und lässt Sie genau zeigen, welche Daten ein KI-System nutzen durfte.

Beziehungen zu Dritten und Evidence Packs je Framework

Externe KI-Anbieter sind Opt-in und Sie wählen, wo Modelle laufen, sodass Controls zu Dritten und Lieferanten Entscheidungen sind, die Sie treffen und nachweisen können, statt Vorgaben, die Sie erben. Evidence Packs bilden Plattform-Controls anschließend auf ISO 42001 Annex A ab — neben ISO 27001 und der KI-Verordnung — und geben Ihrer AIMS-Dokumentation einen Ausgangspunkt Control für Control.

Zentrale Anforderungen

ISO 42001: Was von Ihnen verlangt wird

  • Legen Sie KI-Politik und -Ziele fest, mit Verantwortung der Leitung für verantwortungsvolle KI.
  • Beurteilen Sie KI-spezifische Risiken und die Auswirkungen von KI-Systemen auf Einzelne, Gruppen und die Gesellschaft.
  • Steuern Sie den Lebenszyklus von KI-Systemen: Anforderungen, Design, Verifizierung, Deployment, Betrieb, Überwachung und Außerbetriebnahme.
  • Verwalten Sie Daten für KI — Herkunft, Qualität und Aufbereitung — und dokumentieren Sie KI-Systeme für interessierte Parteien.
  • Stellen Sie Ressourcen, Rollen und Kompetenz bereit und steuern Sie die Nutzung von KI-Systemen und Drittanbietern.
  • Überwachen, messen und auditieren Sie das AIMS intern und unterziehen Sie es der Managementbewertung.
  • Verbessern Sie fortlaufend und bestehen Sie, wo eine Zertifizierung angestrebt wird, Zertifizierungs- und Überwachungsaudits.
Wo die Grenze verläuft

Was wir liefern und was bei Ihnen bleibt

Kein Anbieter kann an Ihrer Stelle konform sein. Wir bauen die Controls in die Plattform ein und liefern die Nachweise; die Bewertung Ihres eigenen Betriebs bleibt bei Ihnen. Hier ist die Aufteilung, klar benannt, damit sie nicht erst spät im Security-Review auftaucht.

Scrydon liefert

  • Controls, die standardmäßig in der Runtime durchgesetzt werden — nicht der Konfiguration überlassen.
  • Eine unveränderliche, abfragbare Aufzeichnung darüber, was ausgeführt wurde, in wessen Auftrag und auf welchen Daten.
  • Nachweispakete, zugeordnet zu den auf dieser Seite genannten Pflichten.
  • Dokumentierte Architektur und Datenflüsse, die Ihre Prüfer lesen können.
  • Betrieb innerhalb Ihres eigenen Perimeters — bis hin zur vollständigen Trennung vom Netz.

In Ihrer Verantwortung bleibt

  • Die Einstufung Ihrer eigenen Systeme und Daten nach dem Framework.
  • Ihre Risikobewertung, Datenschutz-Folgenabschätzung und Konformitätsbewertung.
  • Wem Sie Zugriff gewähren — und auf welcher Grundlage.
  • Ihre Incident Response und Ihre Meldepflichten.
  • Die operative Sicherheit der Umgebung, in der Sie es betreiben.
Unsere SicherheitsarchitekturZur Dokumentation
FAQ

Häufig gestellte Fragen

Ist Scrydon nach ISO 42001 zertifiziert?+
Noch nicht. Scrydon betreibt ein an ISO/IEC 42001 ausgerichtetes KI-Managementsystem neben seinem an ISO 27001 ausgerichteten ISMS und veröffentlicht den Stand des Programms auf dem Compliance-Hub — zuerst internes Audit, dann externe Zertifizierungsaudits. Ein Zertifizierungsanspruch erscheint dort erst, wenn externe Audits abgeschlossen sind. Beachten Sie, dass ISO 42001 das AIMS einer Organisation und dessen erklärten Anwendungsbereich zertifiziert; sie zertifiziert nie ein Produkt. Ihr eigenes Zertifikat deckt also Ihr AIMS ab, und die Rolle von Scrydon ist es, die Controls darin durchsetzbar und nachweisbar zu machen.
Wie verhält sich ISO 42001 zur KI-Verordnung?+
Sie ergänzen einander. Die KI-Verordnung ist Gesetz und legt verbindliche, risikogestufte Pflichten fest; ISO 42001 ist eine freiwillige Managementsystemnorm, die organisiert, wie Sie Pflichten wie Risikomanagement, Daten-Governance, Protokollierung, menschliche Aufsicht und Transparenz erfüllen. Viele Anbieter und Betreiber nutzen ein ISO 42001-AIMS als Rückgrat ihrer Konformitätsargumentation zur KI-Verordnung, doch die Norm ist keine harmonisierte Norm unter der Verordnung und begründet keine Konformitätsvermutung. Die Evidence Packs von Scrydon bilden dieselben Controls auf beide ab, sodass die Arbeit nur einmal anfällt.
Welche Control-Familien von Annex A unterstützt die Plattform?+
Vor allem die Familien Lebenszyklus von KI-Systemen, Daten für KI, Nutzung von KI-Systemen und Dritte: Guardrails und Policy-as-Code für Betrieb, Überwachung und verantwortungsvolle Nutzung; das unveränderliche Audit-Log für Verifizierungs-, Deployment- und Betriebsaufzeichnungen; Document Clearance und Klassifizierung für Datenherkunft und -qualität; Opt-in-Anbieter und Modellplatzierung für Lieferantenbeziehungen. Controls zu Politik, Rollen, Kompetenz und Auswirkungsbewertung sind organisatorisch und bleiben bei Ihnen, auch wenn die Plattform die Nachweise liefert, auf die sie sich stützen.
Wie hilft Scrydon bei der KI-Auswirkungsbewertung?+
Eine Auswirkungsbewertung muss wissen, welche Daten ein KI-System nutzen darf, was es tun darf, wer es auslösen kann und was es tatsächlich getan hat. Klassifizierung und Clearance beantworten das Erste, Policy-as-Code das Zweite und Dritte, das Audit-Log das Letzte — mit Agentenaktionen, die neben menschlichen aufgezeichnet werden. Die Bewertung selbst — und das Urteil über Auswirkungen auf Einzelne, Gruppen und die Gesellschaft — bleibt Ihre Verantwortung, kann sich aber auf das tatsächliche Verhalten des Systems stützen statt auf dessen Beschreibung.
Können wir ISO 42001 und ISO 27001 als ein Managementsystem betreiben?+
Ja, und die meisten Organisationen tun das. ISO 42001 nutzt dieselbe harmonisierte Struktur wie ISO 27001, sodass Anwendungsbereich, Risikoprozess, internes Audit und Managementbewertung geteilt werden können und die KI-spezifischen Controls darauf aufsetzen. Die Evidence Packs von Scrydon behandeln beide gemeinsam, sodass ein Control wie das Audit-Log oder die Schlüsselhoheit einmal zugeordnet und von beiden referenziert wird.
Deckt ISO 42001 agentische KI ab — und die Plattform auch?+
Die Norm gilt für KI-Systeme allgemein, und ihre Lebenszyklus-, Nutzungs- und Überwachungscontrols gelten ebenso, wenn das System autonom handelt. Auf Scrydon durchlaufen Agentenaktionen denselben Policy-as-Code-Entscheidungspunkt und landen im selben Audit-Log wie menschliche, mit Guardrails auf ihren Ein- und Ausgaben, sodass agentische Workloads dieselbe Governance erben und dieselben Nachweise erzeugen.
Welche Nachweise erwartet ein AIMS-Audit, und was liefert Scrydon?+
Auditoren suchen ein dokumentiertes AIMS, ein KI-Inventar und Auswirkungsbewertungen, Lebenszyklusaufzeichnungen und den Beleg, dass Controls wirken. Scrydon steuert die letzten beiden bei: zeitlich eingegrenzte, abfragbare Auditaufzeichnungen von Entscheidungen, Guardrail-Eingriffen und Aufsichtsereignissen, einsehbare Policy- und Klassifizierungskonfiguration sowie Evidence Packs, die dies auf Annex A abbilden. Politikdokumente, Rollen und die Auswirkungsbewertungen selbst verfassen Sie.

Verwandte Themen

AI Governance→KI-Verordnung→ISO/IEC 27001→Alle Compliance-Frameworks→

Oder schreiben Sie uns

Sagen Sie uns, woran Sie arbeiten und wer antworten soll. Ein Mensch liest es und antwortet innerhalb eines Werktags.

Wir verwenden diese Angaben nur, um Ihnen zu antworten. Datenschutzerklärung

Lieber schreiben? Senden Sie eine E-Mail an hello [at] scrydon.com und wir melden uns bei Ihnen.

Zurück zu allen Compliance-Frameworks