ISO 42005

Q: Wer ist im Unternehmen für die Durchführung einer KI-Folgenabschätzung verantwortlich?

Die Durchführung liegt meist bei KI-Governance-Verantwortlichen oder einem KI-Beauftragten, falls diese Rolle im Unternehmen benannt wurde. In der Praxis müssen Fachbereiche, IT, Datenschutz, Compliance und bei Bedarf Einkauf oder Entwicklung zusammenarbeiten. Die Führungsebene bleibt eingebunden, weil sie Ergebnisse, Restrisiken und Maßnahmen im Rahmen der jährlichen Managementbewertung bewerten muss.

Q: Ab wann muss eine KI-Folgenabschätzung nach ISO 42005 durchgeführt werden?

Eine KI-Folgenabschätzung sollte vor dem produktiven Einsatz eines neuen KI-Systems durchgeführt werden. ISO/IEC 42005 betrachtet zudem den gesamten KI-Lebenszyklus, daher braucht es klare Auslöser für erneute Bewertungen. Dazu gehören größere Modell-Updates, neue Datenquellen, veränderte Einsatzbereiche oder Abweichungen, die im Fehlermanagement bearbeitet werden müssen.

ISO 42005 macht die Folgenabschätzung von KI-Systemen greifbarer. Dieser Artikel erklärt, wann eine Bewertung sinnvoll ist, welche Auswirkungen geprüft werden und wie Unternehmen daraus belastbare Nachweise für Governance, Compliance und sichere KI-Nutzung ableiten.

ISO 42005 – Auf einen Blick

Was ist ISO/IEC 42005?

ISO/IEC 42005 ist ein internationaler Leitfaden für KI-Folgenabschätzungen und hilft Unternehmen, die Auswirkungen von KI-Systemen strukturiert zu bewerten, zu dokumentieren und zu überwachen.

Warum ist ISO 42005 für Unternehmen wichtig?

Mit der Norm werden Risiken sichtbar, die künstliche Intelligenz für Menschen, Prozesse, Datenschutz, Fairness, Transparenz und Sicherheit auslösen kann.

Wie läuft eine KI-Folgenabschätzung nach ISO/IEC 42005 ab?

Im Kern erfasst die KI-Folgenabschätzung Auswirkungen und Risiken, bezieht betroffene Gruppen ein, legt Maßnahmen fest und überwacht das KI-System über den gesamten KI-Lebenszyklus.

Welche Rolle spielt ISO 42005 für ISO 42001 und den AI Act?

Als Ergänzung zum KI-Managementsystem nach ISO 42001 unterstützt ISO 42005 den Aufbau belastbarer Nachweise für Governance, Risikobewertung und Anforderungen aus dem EU-AI-Act.

Was ist die ISO/IEC 42005?

Die ISO/IEC 42005 ist ein internationaler Leitfaden für KI-Folgenabschätzungen. Sie beschreibt, wie Unternehmen die Auswirkungen von KI-Systemen strukturiert bewerten, dokumentieren und über den gesamten Lebenszyklus überwachen.

Die Norm wurde im Mai 2025 veröffentlicht und gehört zur gleichen Normenfamilie wie ISO 42001. Während ISO 42001 den Rahmen für ein KI-Managementsystem vorgibt, liefert ISO/IEC 42005 eine praktische Methodik für die KI-System-Folgenabschätzung. Gemeint ist eine systematische Bewertung der positiven und negativen Auswirkungen eines KI-Systems auf Personen, Gruppen, Prozesse, Gesellschaft und Umwelt.

Damit erweitert die Norm den klassischen IT-Blick. Es geht bei ISO/IEC 42005 weniger um reine Technikwerte wie Verfügbarkeit oder Performance. Bewertet werden auch Fragen zu Fairness, Transparenz, Privatsphäre, Sicherheit, menschlicher Aufsicht und möglichen Fehlentscheidungen.

Eine Zertifizierungsnorm ist ISO/IEC 42005 selbst nicht. Für Unternehmen bleibt sie trotzdem relevant, sie hilft aber dabei, Nachweise für AI-Governance, Risikobewertung und verantwortungsvolle KI-Nutzung aufzubauen. Das kann besonders relevant werden, wenn ein Unternehmen ein KI-Managementsystem nach ISO 42001 vorbereitet oder Anforderungen aus dem AI-Act nachvollziehbar erfüllen möchte.

Warum brauchen Unternehmen Folgenabschätzungen für künstliche Intelligenz (KI)?

Unternehmen brauchen KI-Folgenabschätzungen, weil KI-Systeme reale Auswirkungen auf Menschen, Entscheidungen und Geschäftsprozesse haben können. Eine Folgenabschätzung hilft, Chancen und Risiken vor dem Einsatz sichtbar zu machen und später im Betrieb weiter zu überwachen.

Künstliche Intelligenz unterscheidet sich von klassischer Software. Ein KI-System kann auf Basis neuer Daten andere Ergebnisse liefern als im ursprünglichen Test. Genau daraus entstehen Risiken wie Bias, Modell-Drift, mangelnde Erklärbarkeit oder fehlerhafte Entscheidungen in sensiblen Bereichen.

Eine Folgenabschätzung macht diese Punkte prüfbar. Unternehmen dokumentieren, wer betroffen ist, welche positiven und negativen Auswirkungen möglich sind, welche Maßnahmen greifen und wann die Bewertung aktualisiert werden muss. Für ein Zertifizierungsaudit nach ISO 42001 liefert das wichtige Nachweise und senkt das Risiko einer Nichtkonformität.

Lassen Sie sich zu ISO-Normen beraten

CSM Consulting unterstützt Sie dabei, relevante ISO-Anforderungen einzuordnen, bestehende Managementsysteme gezielt weiterzuentwickeln und den Aufwand für Audits realistisch zu planen.

AI-Governance mit ISO 42005 stärken

Für eine wirksame AI-Governance braucht es nachvollziehbare Entscheidungen, klare Zuständigkeiten und belastbare Nachweise. Stärkt die AI-Governance, weil die Norm Folgenabschätzungen in bestehende Entscheidungs- und Kontrollstrukturen einbindet. Unternehmen erhalten damit einen praktischen Rahmen, um technische, rechtliche und organisatorische Risiken gemeinsam zu bewerten.

Das ist besonders wichtig, weil KI selten nur für die IT ein Thema ist. Je nach Anwendung sind Entwicklung, Datenschutz, Compliance, Einkauf, Fachbereiche und Geschäftsführung beteiligt. Die Norm unterstützt genau diese Verbindung und hilft dabei, Verantwortlichkeiten, Bewertungswege und Nachweise sauber zu ordnen.

Die im Mai 2025 veröffentlichte ISO/IEC 42005:2025 umfasst 39 Seiten an Richtlinien und ist für alle Organisationen relevant, die KI-Systeme nutzen, entwickeln oder bereitstellen. Sie ergänzt bestehende Governance-Strukturen, etwa ein KI-Managementsystem nach ISO 42001, durch eine konkrete Methodik für Wirkungsbewertungen.

Für die Führungsebene entsteht dadurch eine belastbare Entscheidungsgrundlage. Folgenabschätzungen zeigen, wo Risiken liegen, welche Maßnahmen greifen und ob ein KI-System im laufenden Betrieb weiter vertretbar bleibt.

Wie läuft eine KI-Folgenabschätzung nach ISO/IEC 42005 ab?

Der Nutzen von ISO/IEC 42002 entsteht erst in der praktischen Anwendung. Begriffe sollten daher in Dokumentation, Prozesse, Schulungen und Vorlagen übernommen werden.

Erst wenn alle Beteiligten dieselbe Terminologie verwenden, lassen sich KI-Systeme konsistent bewerten, Risiken nachvollziehbar dokumentieren und Auditnachweise effizient erstellen.

Ein pragmatischer Einstieg gelingt in drei Schritten:

KI-Inventar vereinheitlichen: Jedes KI-System wird mit den Begriffen der ISO/IEC 42002 beschrieben und einer Lebenszyklusphase zugeordnet, etwa Entwicklung, Deployment, Betrieb, Änderung oder Abschaltung.

Dokumentation anpassen: Begriffe in QM-Handbuch, KI-Richtlinien, Risikoregister und Verfahrensanweisungen werden vereinheitlicht. Vage interne Formulierungen sollten durch klare ISO-Terminologie zu Risiko, Transparenz, Datenqualität und Kontrolle ersetzt werden.

Wissen im Team verankern: Schulungen helfen, dass IT, Datenschutz, Compliance, Fachbereiche und Management dieselbe Sprache verwenden. Für das Kernteam kann eine ISO/IEC 42001-Lead-Auditor-Schulung sinnvoll sein, weil sie Auditlogik, Nachweise und Managementsystem-Anforderungen zusammenführt.

So entsteht ein belastbares Fundament für die jährliche Managementbewertung, interne Audits und spätere Zertifizierungsfragen.

Risiken und Auswirkungen von AI-Systemen erfassen

Zu Beginn werden mögliche Auswirkungen des KI-Systems identifiziert. Dabei geht es um Chancen und Risiken, etwa Effizienzgewinne, bessere Entscheidungen, fehlerhafte Ergebnisse, Bias, Datenschutzprobleme oder fehlende Transparenz.

Unternehmen sollten dafür konkrete Auswirkungsszenarien erstellen und dokumentieren. Auslöser für eine Bewertung können neue KI-Anwendungen, größere Modelländerungen, neue Datenquellen oder der Einsatz in sensiblen Prozessen sein.

Stakeholder und betroffene Gruppen einbeziehen

Betroffene Gruppen gehören früh in den Bewertungsprozess einbezogen. Zu prüfen ist, welche Personen, Gruppen oder Geschäftsbereiche direkt oder indirekt vom KI-System betroffen sind.

Betroffen sein können zum Beispiel:

Mitarbeiter
Kunden
Bewerber
Lieferanten
Nutzer
externe Partner

Eine KI-Folgenabschätzung geht über technische Funktionsfragen hinaus. Sie zeigt, wie KI Entscheidungen, Vertrauen, Rechte und Handlungsspielräume beeinflussen kann.

Maßnahmen und Kontrollen festlegen

Wenn relevante Risiken sichtbar werden, müssen passende Maßnahmen festgelegt werden. Diese Kontrollen können technischer, organisatorischer oder prozessualer Natur sein.

Typische Beispiele sind Bias-Prüfungen, klare Freigabeprozesse, dokumentierte Datenqualität, menschliche Aufsicht, Zugriffsbeschränkungen oder zusätzliche Prüfungen bei kritischen Entscheidungen. Wichtig ist, dass die Maßnahmen nicht nur beschlossen, sondern in einer Verfahrensanweisung nachvollziehbar beschrieben werden.

AI-Lifecycle: Monitoring im laufenden Betrieb

Die Folgenabschätzung endet nicht mit der Freigabe. ISO/IEC 42005 verlangt den Blick auf den gesamten KI-Lebenszyklus, also von Planung und Entwicklung bis Betrieb, Änderung und Stilllegung.

Im laufenden Betrieb zählt vor allem, ob Modellverhalten, Datenqualität und Auswirkungen stabil bleiben. Werden Abweichungen, neue Risiken oder unerwartete Schäden sichtbar, greifen Prozesse aus Fehlermanagement und kontinuierlicher Verbesserung. So bleibt die Bewertung anschlussfähig an das Managementsystem und verliert nach dem Projektstart nicht ihren Wert.

Welche Risiken bewertet ein AI-System-Impact-Assessment?

Eine KI-Risiko- und Folgenabschätzung bewertet die Auswirkungen von KI-Systemen auf Menschen, Organisationen, Grundrechte und gesellschaftliche Interessen. ISO/IEC 42005 erweitert damit den Blick über klassische IT-Risiken hinaus. Im Mittelpunkt stehen Bedrohungspotenziale, die durch automatisierte Entscheidungen, Datenverarbeitung oder schwer erklärbare Modelle entstehen können.

Dadurch lassen sich Risiken frühzeitig erkennen, geeignete Maßnahmen ableiten und Entscheidungen nachvollziehbar dokumentieren.

Besonders relevant sind diese Prüffelder:

Grundrechte und Privatsphäre: Bewertet werden Risiken für Datenschutz, persönliche Selbstbestimmung, Überwachung oder unzulässige Datennutzung.

Fairness und Nichtdiskriminierung: Das Assessment prüft, ob ein KI-System bestimmte Personen oder Gruppen benachteiligen kann, etwa durch Bias in Trainingsdaten oder Entscheidungslogik.

Transparenz und Erklärbarkeit: Unternehmen müssen nachvollziehbar machen, wie KI-Ergebnisse zustande kommen und wann Menschen Entscheidungen prüfen oder korrigieren können.

Gesundheit und Sicherheit: Bei KI in Produktion, Medizin, Mobilität oder kritischen Prozessen geht es auch um physische Risiken, Fehlfunktionen und Schutzmaßnahmen.

Psychologische und soziale Auswirkungen: KI kann Arbeitsdruck erhöhen, Verhalten beeinflussen oder Handlungsspielräume einschränken, etwa bei automatisierter Leistungsbewertung.

AI-Standards im Zusammenspiel: ISO 42005, ISO 42001 und der AI-Act

Im Zusammenspiel erfüllen ISO/IEC 42005, ISO 42001 und der AI Act unterschiedliche Aufgaben. Zusammen bilden sie einen starken Rahmen für AI-Governance, Risikobewertung, Dokumentation und gesetzliche Nachweisfähigkeit.

Während der AI Act rechtliche Anforderungen definiert, liefert ISO 42001 die Managementsystem-Struktur und ISO/IEC 42005 die methodische Grundlage für fundierte KI-Folgenabschätzungen.

Der Zusammenhang lässt sich einfach einordnen:

KI-Verordnung: Der AI Act setzt den gesetzlichen Rahmen. Für bestimmte Hochrisiko-KI-Systeme können umfassende Nachweise, Risikobewertungen und Folgenabschätzungen erforderlich werden.

ISO 42001: Die Norm beschreibt das übergeordnete KI-Managementsystem. Sie regelt Governance, Rollen, Verantwortlichkeiten, Kontrollen und kontinuierliche Verbesserung.

ISO/IEC 42005: Der Leitfaden liefert die praktische Methodik für die KI-Folgenabschätzung. Unternehmen erhalten damit ein strukturiertes Vorgehen, um Auswirkungen zu bewerten, Maßnahmen abzuleiten und Entscheidungen zu dokumentieren.

Daraus entsteht für Unternehmen ein klarer Vorteil. Die Folgenabschätzung nach ISO/IEC 42005 kann in bestehende Managementsysteme eingebunden werden, etwa über Prozesse aus der Harmonized Structure, ein internes Audit oder vorhandene Strukturen aus ISO 27001.

Häufige Fragen und Antworten

Welchen Nutzen hat eine strukturierte AI-Impact-Analyse für die Unternehmenspraxis?

Eine strukturierte KI-Folgenabschätzung zeigt früh, wie KI-Systeme Kunden, Mitarbeiter, Prozesse, Rechte und Vertrauen beeinflussen können. Unternehmen erkennen Risiken wie Bias, fehlende Transparenz oder Datenschutzprobleme früher und können Gegenmaßnahmen vor dem Live-Betrieb festlegen. Für das ISO-42001-Audit liefert die Analyse wichtige Nachweise und unterstützt auch die Einordnung zur europäischen KI-Verordnung.

Kann sich ein Unternehmen offiziell nach ISO/IEC 42005 zertifizieren lassen?

Der Standard bietet einen Rahmen für KI-Folgenabschätzungen und erfordert keine eigene Zertifizierung. Das offizielle Zertifikat bezieht sich auf das KI-Managementsystem nach ISO 42001. Im Audit kann ISO/IEC 42005 trotzdem eine wichtige Rolle spielen, weil der Auditor daran erkennt, ob KI-Folgenabschätzungen methodisch sauber durchgeführt und dokumentiert wurden.

Wer ist im Unternehmen für die Durchführung einer KI-Folgenabschätzung verantwortlich?

Die Durchführung liegt meist bei KI-Governance-Verantwortlichen oder einem KI-Beauftragten, falls diese Rolle im Unternehmen benannt wurde. In der Praxis müssen Fachbereiche, IT, Datenschutz, Compliance und bei Bedarf Einkauf oder Entwicklung zusammenarbeiten. Die Führungsebene bleibt eingebunden, weil sie Ergebnisse, Restrisiken und Maßnahmen im Rahmen der jährlichen Managementbewertung bewerten muss.

Ab wann muss eine KI-Folgenabschätzung nach ISO 42005 durchgeführt werden?

Eine KI-Folgenabschätzung sollte vor dem produktiven Einsatz eines neuen KI-Systems durchgeführt werden. ISO/IEC 42005 betrachtet zudem den gesamten KI-Lebenszyklus, daher braucht es klare Auslöser für erneute Bewertungen. Dazu gehören größere Modell-Updates, neue Datenquellen, veränderte Einsatzbereiche oder Abweichungen, die im Fehlermanagement bearbeitet werden müssen.