Das zuständige nationale Normungsgremium ist der Arbeitsausschuss NA 043-01-42-02 AK "Grundnormen und Konformität" im DIN-Normenausschuss Informationstechnik und Anwendungen (NIA).

---

DIN ISO/IEC 42001:2025-10 [ZURÜCKGEZOGEN]

Dieses Dokument spezifiziert die Anforderungen und bietet einen Leitfaden für die Einrichtung, Implementierung, Pflege und kontinuierliche Verbesserung eines KI-Managementsystems (künstliche Intelligenz) im Rahmen einer Organisation. Dieses Dokument ist für die Verwendung durch eine Organisation bestimmt, die Produkte oder Dienstleistungen anbietet oder nutzt, die KI-Systeme verwenden. Dieses Dokument soll der Organisation helfen, KI-Systeme verantwortungsvoll zu entwickeln, bereitzustellen oder zu nutzen, um ihre Ziele zu verfolgen und die geltenden Anforderungen, Verpflichtungen gegenüber interessierten Parteien und die Erwartungen an diese zu erfüllen. Dieses Dokument gilt für jede Organisation, unabhängig von ihrer Größe, Art und Beschaffenheit, die Produkte oder Dienstleistungen anbietet oder nutzt, bei denen KI-Systeme zum Einsatz kommen.

Inhaltsverzeichnis

Nationales Vorwort
Vorwort
Einleitung
1 Anwendungsbereich
2 Normative Verweisungen
3 Begriffe
4 Kontext der Organisation
4.1 Verstehen der Organisation und ihres Kontexts
4.2 Verstehen der Erfordernisse und Erwartungen interessierter Parteien
4.3 Festlegen des Anwendungsbereichs des KI-Managementsystems
4.4 KI-Managementsystem
5 Führung
5.1 Führung und Verpflichtung
5.2 KI-Richtlinie
5.3 Rollen, Verantwortlichkeiten und Befugnisse
6 Planung
6.1 Aktionen zum Umgang mit Risiken und Chancen
6.1.1 Allgemeines
6.1.2 KI-Risikobeurteilung
6.1.3 KI-Risikobehandlung
6.1.4 KI-System-Folgenabschätzung
6.2 KI-Ziele und Planung zu deren Erreichen
6.3 Planung von Änderungen
7 Unterstützung
7.1 Ressourcen
7.2 Kompetenz
7.3 Bewusstsein
7.4 Kommunikation
7.5 Dokumentierte Information
7.5.1 Allgemeines
7.5.2 Erstellen und Aktualisieren dokumentierter Information
7.5.3 Steuerung dokumentierter Information
8 Betrieb
8.1 Betriebliche Planung und Steuerung
8.2 KI-Risikobeurteilung
8.3 KI-Risikobehandlung
8.4 KI-System-Folgenabschätzung
9 Leistungsbewertung
9.1 Überwachung, Messung, Analyse und Bewertung
9.2 Internes Audit
9.2.1 Allgemeines
9.2.2 Internes Auditprogramm
9.3 Managementbewertung
9.3.1 Allgemeines
9.3.2 Eingaben für die Managementbewertung
9.3.3 Ergebnisse der Managementbewertung
10 Verbesserung
10.1 Fortlaufende Verbesserung
10.2 Nichtkonformität und Korrekturmaßnahmen
Anhang A (normativ) Bezugsmaßnahmenziele und Maßnahmen
A.1 Allgemeines
Anhang B (normativ) Leitlinien zur Umsetzung von KI-Maßnahmen
B.1 Allgemeines
B.2 Richtlinien im Zusammenhang mit KI
B.2.1 Ziel
B.2.2 KI-Richtlinie
B.2.3 Angleichung an andere Organisationsrichtlinien
B.2.4 Überprüfung der KI-Richtlinie
B.3 Interne Organisation
B.3.1 Ziel
B.3.2 KI-Rollen und -Verantwortlichkeiten
B.3.3 Melden von Bedenken
B.4 Ressourcen für KI-Systeme
B.4.1 Ziel
B.4.2 Ressourcendokumentation
B.4.3 Datenressourcen
B.4.4 Werkzeugressourcen
B.4.5 System- und Rechenressourcen
B.4.6 Personalressourcen
B.5 Beurteilen der Auswirkungen von KI-Systemen
B.5.1 Ziel
B.5.2 Prozess der KI-System-Folgenabschätzung
B.5.3 Dokumentation der KI-System-Folgenabschätzung .
B.5.4 Beurteilung der Auswirkungen von KI-Systemen auf Einzelpersonen oder Gruppen von Einzelpersonen
B.5.5 Beurteilung der gesellschaftlichen Auswirkungen von KI-Systemen
B.6 Lebenszyklus von KI-Systemen
B.6.1 Managementleitlinien für die Entwicklung von KI-Systemen
B.6.2 Lebenszyklus von KI-Systemen
B.7 Daten für KI-Systeme
B.7.1 Ziel
B.7.2 Daten für die Entwicklung und Verbesserung des KI-Systems
B.7.3 Datenerfassung
B.7.4 Qualität von Daten für KI-Systeme
B.7.5 Datenherkunft
B.7.6 Datenaufbereitung
B.8 Informationen für interessierten Parteien
B.8.1 Ziel
B.8.2 Systemdokumentation und Informationen für Benutzer
B.8.3 Externe Berichterstattung
B.8.4 Meldung von Vorfällen
B.8.5 Informationen für interessierten Parteien
B.9 Nutzung von KI-Systemen
B.9.1 Ziel
B.9.2 Prozesse für die verantwortungsvolle Nutzung von KI-Systemen
B.9.3 Ziele für eine verantwortungsvolle Nutzung eines KI-Systems
B.9.4 Bestimmungsgemäße Verwendung des KI-Systems
B.10 Beziehungen zu Dritten und Kunden
B.10.1 Ziel
B.10.2 Zuordnung von Verantwortlichkeiten
B.10.3 Lieferanten
B.10.4 Kunden
Anhang C (informativ) Mögliche KI-bezogene organisatorische Ziele und Risikoquellen
C.1 Allgemeines
C.2 Ziele
C.2.1 Rechenschaftspflicht
C.2.2 KI-Fachwissen
C.2.3 Verfügbarkeit und Qualität von Trainings- und Testdaten
C.2.4 Auswirkung auf die Umwelt
C.2.5 Fairness
C.2.6 Instandhaltbarkeit
C.2.7 Schutz personenbezogener Daten
C.2.8 Robustheit
C.2.9 Betriebssicherheit
C.2.10 Informationssicherheit
C.2.11 Transparenz und Erklärbarkeit
C.3 Risikoquellen
C.3.1 Komplexität der Umgebung
C.3.2 Fehlende Transparenz und Erklärbarkeit
C.3.3 Automatisierungsgrad
C.3.4 Risikoquellen in Bezug auf maschinelles Lernen
C.3.5 Probleme mit der Systemhardware
C.3.6 Probleme im Systemlebenszyklus
C.3.7 Technologiereife
Anhang D (informativ) Nutzung des KI-Managementsystems über Domänen oder Sektoren hinweg
D.1 Allgemeines
D.2 Integration eines KI-Managementsystems in andere Managementsystemnormen
Literaturhinweise
Tabellen
Tabelle A.1 — Maßnahmenziele und Maßnahmen

Die DIN EN ISO/IEC 42001 ist die weltweit erste Managementsystemnorm für Künstliche Intelligenz (KI). Sie legt Anforderungen für die Einführung, Umsetzung und kontinuierliche Verbesserung eines KI-Managementsystems (AIMS – Artificial Intelligence Management System) fest und unterstützt Organisationen dabei, KI-Systeme verantwortungsvoll zu entwickeln, bereitzustellen und einzusetzen. Themen wie KI-Governance, KI-Risikomanagement, Transparenz, Datenschutz, Fairness und vertrauenswürdige KI stehen dabei im Mittelpunkt.

Welche Inhalte behandelt die Norm?

Die Norm beschreibt einen systematischen Ansatz für die Steuerung von KI über den gesamten Lebenszyklus hinweg und lässt sich mit bestehenden Managementsystemen kombinieren. Behandelt werden unter anderem:

• KI-Managementsystem (AIMS)
• KI-Governance und KI-Risikomanagement
• KI-System-Folgenabschätzungen
• Datenqualität, Transparenz und Nachvollziehbarkeit
• Rollen, Verantwortlichkeiten und Aufsicht
• Dokumentation, Auditierung und kontinuierliche Verbesserung
• Beziehungen zu Kunden, Lieferanten und weiteren interessierten Parteien

Warum ist die Norm für die Praxis relevant?

Die DIN EN ISO/IEC 42001 bietet einen international anerkannten Rahmen zur Identifikation, Bewertung und Steuerung von KI-Risiken. Sie unterstützt Organisationen dabei, verantwortungsvolle KI-Prozesse zu etablieren, Vertrauen in KI-Systeme aufzubauen und Governance- sowie Compliance-Anforderungen nachvollziehbar umzusetzen.

Welche Neuerungen bringt die Norm?

Als erste Norm ihrer Art führt die DIN EN ISO/IEC 42001 ein eigenständiges KI-Managementsystem ein. Zu den zentralen Neuerungen gehören:

• Anforderungen an KI-Risikobeurteilung und Risikobehandlung
• Vorgaben für KI-System-Folgenabschätzungen
• Steuerungsziele für Transparenz, Datenschutz und Fairness
• Anforderungen an Governance, Dokumentation und Nachvollziehbarkeit
• Berücksichtigung potenzieller Auswirkungen von KI-Systemen auf Organisationen und Gesellschaft

Zielgruppe

• Führungskräfte und Verantwortliche für KI-Governance, KI-Compliance und Risikomanagement
• KI-Entwickler*innen, Data Scientists sowie IT-Verantwortliche
• Datenschutz-, Informationssicherheits- und Compliance-Verantwortliche
• Auditorinnen, Zertifizierungsstellen und Beraterinnen
• Organisationen, die KI-Systeme entwickeln, bereitstellen oder nutzen

Fazit

Die DIN EN ISO/IEC 42001 schafft erstmals einen international anerkannten Rahmen für KI-Governance, KI-Risikomanagement und den verantwortungsvollen Einsatz von Künstlicher Intelligenz. Sie unterstützt Organisationen dabei, KI-Systeme strukturiert, nachvollziehbar und vertrauenswürdig zu steuern.

Diese Version ist deutlich näher an dem kompakten Stil, den Sie zuletzt für die anderen Normen bevorzugt haben.

Inhaltsverzeichnis

Nationales Vorwort
Europäisches Vorwort
Anerkennungsnotiz
Vorwort
Einleitung

1 Anwendungsbereich

2 Normative Verweisungen

3 Begriffe

3.1 Organisation
3.2 interessierte Partei
3.3 oberste Leitung
3.4 Managementsystem
3.5 Richtlinie
3.6 Ziel
3.7 Risiko
3.8 Prozess
3.9 Kompetenz
3.10 dokumentierte Information
3.11 Leistung
3.12 fortlaufende Verbesserung
3.13 Wirksamkeit
3.14 Anforderung
3.15 Konformität
3.16 Nichtkonformität
3.17 Korrekturmaßnahme
3.18 Audit
3.19 Messung
3.20 Überwachung
3.21 Steuerung
3.22 Steuerungsgremium
3.23 Informationssicherheit
3.24 KI-System-Folgenabschätzung
3.25 Datenqualität
3.26 Erklärung zur Anwendbarkeit

4 Kontext der Organisation

4.1 Verstehen der Organisation und ihres Kontexts
4.2 Verstehen der Erfordernisse und Erwartungen interessierter Parteien
4.3 Festlegen des Anwendungsbereichs des KI-Managementsystems
4.4 KI-Managementsystem

5 Führung

5.1 Führung und Verpflichtung
5.2 KI-Richtlinie
5.3 Rollen, Verantwortlichkeiten und Befugnisse

6 Planung

6.1 Aktionen zum Umgang mit Risiken und Chancen
6.1.1 Allgemeines
6.1.2 KI-Risikobeurteilung
6.1.3 KI-Risikobehandlung
6.1.4 KI-System-Folgenabschätzung
6.2 KI-Ziele und Planung zu ihrer Erreichung
6.3 Planung von Änderungen

7 Unterstützung

7.1 Ressourcen
7.2 Kompetenz
7.3 Bewusstsein
7.4 Kommunikation
7.5 Dokumentierte Information
7.5.1 Allgemeines
7.5.2 Erstellen und Aktualisieren dokumentierter Information
7.5.3 Steuerung dokumentierter Information

8 Betrieb

8.1 Betriebliche Planung und Steuerung
8.2 KI-Risikobeurteilung
8.3 KI-Risikobehandlung
8.4 KI-System-Folgenabschätzung

9 Leistungsbewertung

9.1 Überwachung, Messung, Analyse und Bewertung

9.2 Internes Audit

9.2.1 Allgemeines
9.2.2 Internes Auditprogramm

9.3 Managementbewertung

9.3.1 Allgemeines
9.3.2 Eingaben für die Managementbewertung
9.3.3 Ergebnisse der Managementbewertung

10 Verbesserung

10.1 Fortlaufende Verbesserung
10.2 Nichtkonformität und Korrekturmaßnahmen

Anhang A - Bezugssteuerungsziele und -steuerungen (normativ)

Anhang B - Leitlinien zur Umsetzung von KI-Steuerungen (normativ)

B1 - Allgemeines

B2 - Richtlinien im Zusammenhang mit KI

• Ziel
• KI-Richtlinie
• Angleichung an andere Organisationsrichtlinien
• Überprüfung der KI-Richtlinie

B3 - Interne Organisation

• Ziel
• KI-Rollen und -Verantwortlichkeiten
• Melden von Bedenken

B4 - Ressourcen für KI-Systeme

• Ziel
• Ressourcendokumentation
• Datenressourcen
• Werkzeugressourcen
• System- und Rechenressourcen
• Personalressourcen

B5 - Beurteilen der Auswirkungen von KI-Systemen

• Ziel
• Prozess der KI-System-Folgenabschätzung
• Dokumentation der KI-System-Folgenabschätzung
• Beurteilung der Auswirkungen von KI-Systemen auf Einzelpersonen oder Gruppen von Einzelpersonen
• Beurteilung der gesellschaftlichen Auswirkungen von KI-Systemen

B6 - Lebenszyklus von KI-Systemen

B6.1 - Managementleitlinien für die Entwicklung von KI-Systemen

• Ziel
• Ziele für eine verantwortungsvolle Entwicklung eines KI-Systems
• Prozesse für die verantwortungsvolle Gestaltung und Entwicklung von KI-Systemen

B6.2 - Lebenszyklus von KI-Systemen

• Ziel
• Anforderungen und Spezifikationen für KI-Systeme
• Dokumentation der Gestaltung und Entwicklung von KI-Systemen
• Verifizierung und Validierung des KI-Systems
• Bereitstellung des KI-Systems
• Betrieb und Überwachung des KI-Systems
• Technische Dokumentation des KI-Systems
• Aufzeichnen von Ereignisprotokollen zum KI-System

B7 - Daten für KI-Systeme

• Ziel
• Daten für die Entwicklung und Verbesserung des KI-Systems
• Datenerfassung
• Qualität von Daten für KI-Systeme
• Datenherkunft
• Datenaufbereitung

B8 - Informationen für interessierte Parteien

• Ziel
• Systemdokumentation und Informationen für Benutzer
• Externe Berichterstattung
• Meldung von Vorfällen
• Informationen für interessierte Parteien

B9 - Nutzung von KI-Systemen

• Ziel
• Prozesse für die verantwortungsvolle Nutzung von KI-Systemen
• Ziele für eine verantwortungsvolle Nutzung eines KI-Systems
• Bestimmungsgemäße Verwendung des KI-Systems

B10 - Beziehungen zu Dritten und Kunden

• Ziel
• Zuordnung von Verantwortlichkeiten
• Lieferanten
• Kunden

Anhang C - Mögliche KI-bezogene organisatorische Ziele und Risikoquellen (informativ)

C1 - Allgemeines

C2 - Ziele

• Rechenschaftspflicht
• KI-Fachwissen
• Verfügbarkeit und Qualität von Trainings- und Testdaten
• Auswirkung auf die Umwelt
• Fairness
• Instandhaltbarkeit
• Datenschutz
• Robustheit
• Schutz
• Sicherheit
• Transparenz und Erklärbarkeit

C3 - Risikoquellen

• Komplexität der Umgebung
• Fehlende Transparenz und Erklärbarkeit
• Automatisierungsgrad
• Risikoquellen in Bezug auf maschinelles Lernen
• Probleme mit der Systemhardware
• Probleme im Systemlebenszyklus
• Technologiereife

Anhang D - Nutzung des KI-Managementsystems über Domänen oder Sektoren hinweg (informativ)

• Allgemeines
• Integration eines KI-Managementsystems in andere Managementsystemnormen

Literaturhinweise