ISO 42006

Q: Was bedeutet „audit and certification of artificial intelligence management systems“?

Der Begriff beschreibt die Auditierung und Zertifizierung von KI-Managementsystemen. Eine Zertifizierungsstelle prüft im Rahmen eines ISO-42001-Audit, ob das Unternehmen KI-Governance, Risikosteuerung, Dokumentation und Überwachung belastbar umgesetzt hat. Dabei geht es um das Managementsystem als Ganzes, etwa um den Umgang mit Bias, Modell-Drift, Datenqualität und menschlicher Aufsicht.

ISO 42006 beschreibt, nach welchen Regeln Zertifizierungsstellen KI-Managementsysteme prüfen und zertifizieren. Der Artikel zeigt, warum die Norm für ISO-42001-Audits wichtig ist und wie Unternehmen ihre Auditvorbereitung gezielter ausrichten können.

ISO 42006 – Auf einen Blick

Was ist ISO/IEC 42006?

ISO/IEC 42006:2025 regelt die Zertifizierung von Managementsystemen für künstliche Intelligenz und legt fest, welche Anforderungen Zertifizierungsstellen bei einem ISO-42001-Audit erfüllen müssen.

Wen betrifft ISO 42006 direkt?

Für Zertifizierungsstellen, Akkreditierungsstellen und Auditoren schafft die Norm einen verbindlichen Rahmen für Audits von Artificial-Intelligence-Management-Systems, kurz AIMS.

Warum ist ISO/IEC 42006 für Unternehmen relevant?

Unternehmen erkennen durch ISO/IEC 42006 besser, welche Kompetenz, Unabhängigkeit und Prüftiefe eine Zertifizierungsstelle im Audit anlegen muss, damit KI-Systeme weltweit konsistent geprüft werden.

Welche Anforderungen stellt ISO 42006 an Auditoren?

Auditoren müssen KI-spezifische Risiken wie Bias, Datenqualität, Modell-Drift, menschliche Aufsicht und Governance fachlich bewerten können.

Was ist die ISO/IEC 42006?

Die ISO/IEC 42006 legt Anforderungen an Zertifizierungsstellen fest, die KI-Managementsysteme im Rahmen eines ISO-42001-Audits prüfen und zertifizieren. Sie betrifft vor allem Akkreditierungsstellen, Zertifizierungsstellen und Auditoren, die solche Managementsysteme unabhängig bewerten.

Der englische Normtitel macht das gut sichtbar: „Information technology – Artificial Intelligence – Requirements for bodies providing audit and certification of artificial intelligence management systems.“ Gemeint sind also Anforderungen an Zertifizierungsstellen, die Audits und Zertifizierungen für Artificial-Intelligence-Management-Systems (AIMS) durchführen.

Die Norm ergänzt ISO/IEC 17021-1 um KI-spezifische Anforderungen. Das ist wichtig, weil klassische Auditregeln bei künstlicher Intelligenz schnell an Grenzen stoßen. Auditoren müssen einschätzen können, ob Risiken aus Datenqualität, Bias, Modellveränderungen, Sicherheit, Ethik und Governance belastbar gesteuert werden.

Für Unternehmen hat die im Juli 2025 veröffentlichte ISO/IEC 42006:2025 vor allem indirekte Bedeutung. Für das operative Management von Produktdaten spielt sie nur am Rand eine Rolle, weil ihr Schwerpunkt auf Auditierung und Zertifizierung liegt. Sie zeigt, nach welchen Maßstäben Zertifizierungsstellen ein KI-Managementsystem prüfen müssen.

Das hilft bei der Vorbereitung auf ein ISO-42001-Audit und sorgt dafür, dass AIMS-Zertifizierungen weltweit konsistenter, zuverlässiger und vergleichbarer werden.

Beratung zu ISO-Normen

Neue ISO-Normen bringen neue Anforderungen, Nachweise und Auditfragen mit sich. CSM Consulting hilft Ihnen dabei, Normen richtig einzuordnen, bestehende Strukturen zu nutzen und die nächsten Schritte gezielt zu planen.

Welche Anforderungen stellt ISO 42006 an Auditoren und Zertifizierungsstellen?

Bei der Zertifizierung von KI-Managementsystemen legt ISO/IEC 42006 Anforderungen für AIMS-Zertifizierungsstellen fest. Dazu gehören nachweisbare Kompetenz, klare Unabhängigkeit und eine angemessene Prüftiefe.

Unabhängigkeit und Unparteilichkeit

Zertifizierungsstellen müssen Beratung und Prüfung sauber trennen. Wer ein Unternehmen beim Aufbau von KI-Richtlinien, Prozessen oder einem QM-Handbuch unterstützt hat, verliert für die spätere Prüfung desselben Systems seine Neutralität.

Das schützt die Glaubwürdigkeit der ISO-Zertifizierung. Gerade bei künstlicher Intelligenz braucht der Markt belastbare Zertifikate, die auf unabhängigen Entscheidungen und klarer Distanz zur Beratung beruhen. Für Unternehmen signalisiert eine solche Zertifizierung hohe Standards in der KI-Entwicklung.

KI-Fachwissen der Auditoren

Ein Auditor darf ein AI-Management-System nur prüfen, wenn er die nötige fachliche Kompetenz nachweisen kann. Dazu gehören Kenntnisse zu KI-Systemen, Bias, menschlicher Aufsicht, Governance, Datenqualität, Modell-Drift und Sicherheit.

Entscheidend ist die praktische Bewertung. Der Auditor muss erkennen, ob ein Unternehmen KI-Risiken nachvollziehbar steuert, Änderungen dokumentiert und kritische Auswirkungen im Betrieb überwacht. Die Ergebnisse fließen später in den Auditbericht ein.

Auditumfang und Auditdauer

Oberflächliche Schnellprüfungen werden durch klare Vorgaben zur Auditplanung erschwert. Die Auditplanung richtet sich nach Scope, Mitarbeiteranzahl, Anzahl der KI-Systeme, technischer Komplexität und regulatorischem Risiko.

Damit wirkt die Norm auch auf das Auditprogramm. Ein Unternehmen mit wenigen, klar begrenzten KI-Anwendungen benötigt eine andere Prüftiefe als ein Anbieter mit mehreren Modellen, sensiblen Daten und Anforderungen aus der europäischen KI-Verordnung.

Nachweise und Umgang mit Abweichungen

Für Nichtkonformität im Zertifizierungsverfahren gibt ISO/IEC 42006 ein klares Vorgehen vor. Bei Abweichungen erwartet die Zertifizierungsstelle belastbare Nachweise für die Korrektur und prüft, ob Maßnahmen umgesetzt wurden und tatsächlich wirken.

Der Nachweis läuft häufig über das interne Fehlermanagement. Dort werden Ursache, Korrekturmaßnahme, Verantwortlichkeit, Frist und Wirksamkeitsprüfung dokumentiert. Erst wenn diese Punkte belastbar sind, kann das Zertifikat final freigegeben oder aufrechterhalten werden.

Häufige Fragen und Antworten

Was bedeutet „audit and certification of artificial intelligence management systems“?

Der Begriff beschreibt die Auditierung und Zertifizierung von KI-Managementsystemen. Eine Zertifizierungsstelle prüft im Rahmen eines ISO-42001-Audit, ob das Unternehmen KI-Governance, Risikosteuerung, Dokumentation und Überwachung belastbar umgesetzt hat. Dabei geht es um das Managementsystem als Ganzes, etwa um den Umgang mit Bias, Modell-Drift, Datenqualität und menschlicher Aufsicht.

Was ist der Unterschied zwischen ISO 42001 und ISO 42006?

ISO/IEC 42001 beschreibt die Anforderungen an ein KI-Managementsystem im Unternehmen. ISO/IEC 42006 richtet sich an Zertifizierungsstellen und legt fest, wie ein externer Auditor solche Systeme prüfen und zertifizieren muss.

Wie beeinflusst ISO/IEC 42006 Dauer und Kosten eines Audits?

Dauer und Kosten eines Audits hängen indirekt auch von ISO/IEC 42006 ab, weil Zertifizierungsstellen den Prüfaufwand nachvollziehbar planen müssen. Scope, Mitarbeiteranzahl, Anzahl der KI-Systeme, technische Komplexität und Risiken aus der europäischen KI-Verordnung fließen in die Kalkulation ein.