ISO Zertifizierungen für europäische KI Software Hersteller ab 2025
Mit der Einführung der europäischen Verordnung “EU AI Act” sollen KI Anbieter, KI Nutzer als auch KI Entwickler (d.h. Softwarehersteller) zu mehr Verantwortungsbewusstsein getrimmt werden. In Folge dessen müssen Anbieter von KI Lösungen eine ISO 42001 Zertifizierung erzielen. Darüber hinaus sind auch andere informationssicherheits-relevante Zertifizierungen wie ISO 27001, ISO 27701 und ISO 27018 zwingend erforderlich, um die strengen Vorgaben der Europäischen Union zu erfüllen.
Da aber eine Reihe von Zertifizierungen die Entwicklung, bzw. Nutzung bzw. Bereitstellung von künstlicher Intelligenz Ihr Unternehmen betreffen können, beleuchten wir hier die jeweiligen Optionen. Dabei gilt es zu berücksichtigen, dass nicht nur der EU AI Act ein entsprechendes Management System fordert. Auch die Europäische Verordnung NIS 2.0 fordert mehr Compliance in der Organisation, so dass verschiedene ISO Zertifizierungen unausweichlich werden.
Mit der Einführung der neuen NIS 2.0 Regelung und der Digital Services Act zwingt die Europäische Union KI Anbieter die ihre Dienstleistungen europäischen Nutzern bereitstellen wollen, neuen Anforderungen sich zu unterwerfen. Das führt zu einem Zwang die eigenen Prozesse und Organisationsbereiche zertifizieren zu lassen. Grundsätzlich sollte man als ehrgeiziges Startup oder etabliertes Unternehmen bestrebt sein, seine Organisationsstrukturen und Prozesse zu optimieren. Hier erfahren Sie welche ISO Zertifizierungen KI Anbieter bzw. KI Betreiber benötigen, um in Europa NIS 2.0 und DSGVO konform zu wachsen.
KI Management System für KI Anbieter (ISO 42001)
Die europäische Union fordert den Nachweis eines KI Managementsystems. Ein Zertifikat nach ISO 42001 ist der wirtschaftlichste Weg die Einführung eines konformen Compliance Systems nachweisen.
Die ISO 42001 wurde in 2023 eingeführt. Daher ist der Aufbau eines KIMS (englisch AIMS) mit einigem Mehraufwand verbunden. Die verfügbare Fachliteratur ist derzeit auch keine wirkliche Hilfe, um im Alleingang ein KIMS aufzubauen. Aktuell bieten Zertifizierungsstellen eine Kombizertifizierung mit ISO 27001 und ISO 42001, da einige Bestandteile eines ISMS sich auch in einem KIMS wiederfinden können. Dabei gilt zu beachten, dass integrierte Managementsysteme (d.h. bestehend aus mehreren ISO Standards) gerade kleine Organisationen überfordern können. Daher empfiehlt es sich ggf. eine reine ISO 42001 Zertifizierung anzugehen.
Informationssicherheit für KI Anbieter (ISO 27001)
Die europäische Union hat durch die Einführung von NIS 2.0 eine erhebliche Unsicherheit in den KI Sektor gebracht. Wer KI Anwendungen entwickelt oder KI Systeme bereitstellt, muss sich zwangläufig mit der ISO 42001 beschäftigen. Die NIS 2 hat aber eine gleichwertige Vorrangstellung: Konzerne und mittelständische Unternehmen müssen sich neuen Sicherheitsanforderungen unterwerfen. Der rechtliche und politische Druck sich nach ISO 27001 zertifizieren zu lassen hat bereits die vollständige Lieferkette erfasst. Kleine Unternehmen werden durch Ihre oft vernachlässigte Rolle in der Lieferkette “vergessen”. Die Vorgaben der Akkreditierungsstellen zwingen jedoch die Auditoren der akkreditierten Zertifizierungsstellen, die geprüften Unternehmen zur Einhaltung der Lieferkettenregelung von NIS 2. Somit gibt es kein Entkommen für KMU sowie kleine Kapitalgesellschaften.
Dadurch müssen KMUs und Mittelständler sich auch nach ISO 27001 auditieren und zertifizieren lassen, da sie für große Unternehmen bestimmte kritische Produkte bzw. Dienstleistungen bereitstellen. Da immer mehr Software-Anbieter ihre Produkte als Cloud Lösungen in Kombination mit Apps für mobile Geräte anbieten, wird eine ISO 27001 Zertifizierung zwingend erforderlich. Beim Einsatz von Cloudbasierenden KI Plattformen als Teil der KI Lösung benötigen KI Anbieter auch eine zusätzliche Cloud Anbieter Zertifizierung nach ISO 27018. Die ISO 27018 kann man nicht ohne die ISO 27001 Zertifizierung bekommen!
Corporate Kunden einen neutralen Nachweis über die Informationssicherheit durch die Zertifizierung eines ISMS nach ISO 27001:2022.
Qualitätsmanagement für KI Anbieter (ISO 9001)
Bei der Entwicklung von KI Lösungen sowie dessen Betrieb werden üblicherweise Schnittstellen zu Datenbanken und anderen Systemen vorbereitet. Die Softwareentwicklung im Zeitalter von Cyberangriffen (Hacking / Phishing / Bluesnarfing) erfordert von Programmierern und Codern immer bessere Arbeitsmethoden. Die althergebrachten Sicherheitsanforderungen genügen für professionelle KI Anbieter nicht mehr. Bereits bei der Planung einer neuen Software oder KI getriebenen Technologie müssen Qualitätsstandards (ISO 9001:2015) eingehalten werden. Wer gerne seine KI Software auch als App auf Plattformen wie Apple’s App Store oder Google’s Play Store anbietet sollte die Einhaltung der vorgegebenen Qualitätsparameter einhalten. Dies können KI Anbieter nur durch ein zertifiziertes Qualitätsmanagementsystem nach ISO 9001 verlässlich nachweisen.