ISO 9001 vorhanden: Wie viel davon zählt für ISO 42001?

Die Frage kommt fast immer vom Qualitätsmanagement, und sie kommt mit einem gewissen Misstrauen: Wir haben seit Jahren ein QM-System nach ISO 9001, jetzt sollen wir wegen KI noch ein zweites Managementsystem aufbauen? Die ehrliche Antwort ist beruhigender, als die meisten erwarten. Sie bauen kein zweites System. Sie erweitern das vorhandene. Und zwar deutlich weiter, als es auf den ersten Blick aussieht.

Ich sage das nicht, um Ihnen den Einstieg schönzureden. Es hat einen nüchternen Grund, und der steckt in der Bauweise moderner ISO-Normen. Wer ihn kennt, plant den Aufwand richtig und diskutiert im Lenkungskreis nicht über die falschen Posten.

Die gute Nachricht steckt in der Gliederung

Moderne ISO-Managementsystemnormen folgen einer gemeinsamen Grundstruktur. Deshalb sind die Abschnitte 4 bis 10 in der ISO 9001 und in der ISO/IEC 42001 nicht nur inhaltlich verwandt, sondern gleich nummeriert und gleich benannt. Ich habe beide Normen dafür nebeneinandergelegt.

Das ist kein Zufall und keine Marketingaussage der Zertifizierer. Es ist der Grund, warum ein integriertes Managementsystem überhaupt funktioniert. Wer seine Dokumentenlenkung, sein Auditprogramm und seine Managementbewertung einmal sauber gebaut hat, baut sie für die zweite Norm nicht neu, sondern weitet den Geltungsbereich.

Was Sie unverändert weiterverwenden

Konkret heißt das: Diese Verfahren existieren bei Ihnen bereits, sie brauchen nur einen erweiterten Anwendungsbereich und ein paar zusätzliche Einträge.

• Die Ermittlung von Kontext und interessierten Parteien. Sie ergänzen die Parteien, die von Ihren KI-Systemen betroffen sind, und die rechtlichen Anforderungen aus der KI-Verordnung.
• Die Führungsverpflichtung und die Politik. Neben der Qualitätspolitik steht künftig eine KI-Politik. Beide können in derselben Systematik freigegeben, gelenkt und bewertet werden.
• Rollen, Verantwortlichkeiten und Befugnisse. Sie kommen um neue Rollen nicht herum, aber Sie regeln sie im vorhandenen Verfahren.
• Kompetenz und Bewusstsein. Ihre Schulungsmatrix bekommt Zeilen dazu, nicht ein zweites Leben in einer eigenen Datei.
• Die Lenkung dokumentierter Information nach 7.5. Gleiche Regeln, gleiche Freigaben, gleiche Versionierung.
• Das interne Audit und die Managementbewertung. Ein Auditprogramm, ein Auditplan, eine Managementbewertung mit einem zusätzlichen Tagesordnungspunkt.
• Der Umgang mit Nichtkonformitäten und Korrekturmaßnahmen. Ihr CAPA-Prozess trägt auch KI-Befunde.

Wenn ich in einer Gap-Analyse sitze und das QM-System ordentlich geführt ist, ist dieser ganze Block innerhalb weniger Stunden abgehakt. Nicht weil ich großzügig bin, sondern weil die Nachweise wirklich da sind. Sie heißen nur anders.

Ein Beispiel, damit es greifbar wird. Beim internen Audit frage ich nicht, ob Sie ein KI-Auditprogramm haben. Ich frage, ob Ihr bestehendes Auditprogramm die KI-Themen im Plan führt, wer sie auditiert und ob diese Person dafür kompetent ist. Bei der Managementbewertung sehe ich nach, ob KI ein eigener Punkt auf der Tagesordnung war und ob dort etwas entschieden wurde. Beides sind Fragen an ein vorhandenes Verfahren, nicht an ein neues. Wer schon ein gelebtes System hat, muss dafür fast nichts bauen, sondern etwas hineinnehmen.

Die einzige Stelle, an der es dabei regelmäßig hakt, ist die Kompetenz der internen Auditoren. Ein erfahrener QM-Auditor kann ein Managementsystem prüfen, aber die Frage, ob eine Folgenabschätzung fachlich trägt oder ob ein Modellwechsel richtig gesteuert wurde, ist eine andere. Das ist kein Grund für einen zweiten Auditor, aber ein Grund für gezielte Qualifizierung. Und es ist genau der Punkt, an dem eine Zertifizierungsstelle später nachfragt.

Der Aufwand einer ISO-42001-Einführung entscheidet sich selten an der Norm. Er entscheidet sich daran, wie gut das vorhandene Managementsystem wirklich gelebt wird.

Wo die ISO 42001 über die ISO 9001 hinausgeht

Jetzt der Teil, den man nicht wegreden sollte. Im Abschnitt 8, also im Betrieb, trennen sich die beiden Normen deutlich. Die ISO 9001 regelt dort die Produktion und Dienstleistungserbringung, die Anforderungen an Produkte, die Freigabe und die Steuerung nichtkonformer Ergebnisse. Die ISO/IEC 42001 führt dort stattdessen drei Punkte, für die es im QM-System keine Entsprechung gibt.

• 8.2 KI-Risikobewertung. Ein eigener, wiederkehrender Prozess, nicht der allgemeine Risikoansatz aus 6.1.
• 8.3 KI-Risikobehandlung. Mit der Frage, welche Maßnahmen aus Anhang A Sie anwenden und welche Sie begründet ausschließen.
• 8.4 Folgenabschätzung für KI-Systeme. Die Betrachtung der Auswirkungen auf Personen und Gruppen, und die ist im QM-Denken nicht vorgesehen.

Dazu kommt das größere Stück: der Anhang A. Die ISO 9001 hat so etwas nicht. Die ISO/IEC 42001 führt dort Maßnahmen in Gruppen von A.2 bis A.10, von der KI-Politik über Ressourcen, Folgenabschätzung, Lebenszyklus, Daten und Informationen für Nutzende bis zu den Beziehungen zu Dritten und Kunden. Dazu gehört ein Statement of Applicability, in dem Sie jede Maßnahme begründet anwenden oder ausschließen.

Das ist der eigentliche Neubau. Wer sagt, ISO 42001 sei doch nur 9001 mit KI-Etikett, hat den Anhang A nicht gelesen.

Damit Sie den Umfang einschätzen können: Die Maßnahmengruppen reichen von den politischen Vorgaben über die interne Organisation, die Ressourcen und die Folgenabschätzung bis zum Lebenszyklus des KI-Systems, den Daten, den Informationen für Nutzende, dem verantwortungsvollen Einsatz und den Beziehungen zu Dritten und Kunden. Manches davon berührt Ihr QM-System, etwa Ressourcen und Zuständigkeiten. Anderes hat dort schlicht keine Entsprechung, etwa die Herkunft der Trainingsdaten oder die Frage, welche Informationen ein Nutzer über die Grenzen des Systems bekommt.

Ein verbreitetes Missverständnis noch dazu: Der allgemeine Risikoansatz aus Abschnitt 6.1, den Sie aus der ISO 9001 kennen, ersetzt die KI-Risikobewertung aus 8.2 nicht. Die eine fragt, welche Risiken und Chancen die Zielerreichung Ihres Managementsystems beeinflussen. Die andere bewertet einzelne KI-Systeme, wiederkehrend, mit einem festgelegten Verfahren. Wer versucht, das eine als Beleg für das andere zu führen, bekommt im Audit eine Nachfrage, die sich nicht wegdiskutieren lässt.

Die Falle, die beim Abbilden nach Nummern zuschnappt

Weil die Struktur so weitgehend gleich ist, verleitet sie dazu, mechanisch nach Nummern abzubilden. An einer Stelle geht das schief, und ich habe es beim Nachlesen beider Normtexte gefunden: Abschnitt 10 ist nicht deckungsgleich nummeriert.

Wer in seiner Verfahrensanweisung auf „10.3 Fortlaufende Verbesserung“ verweist und meint, das gelte für beide Normen, zitiert für die ISO 42001 ins Leere. Das ist keine Haarspalterei: Im Audit wird nach der Fundstelle gefragt, und eine Fundstelle, die es nicht gibt, ist ein Befund. Prüfen Sie deshalb bei jedem Querverweis, ob Sie die Nummer oder den Gegenstand meinen. Im Zweifel den Gegenstand nennen und die Nummer je Norm dazuschreiben.

Wie ich das praktisch aufsetze

Die Reihenfolge, die sich bei mir bewährt hat, kostet in einem gut geführten QM-System überraschend wenig Zeit.

• Geltungsbereich zuerst. Welche KI-Systeme sind drin, welche bewusst nicht, und warum. Ohne diese Festlegung wird jede folgende Frage beliebig.
• Bestandsaufnahme der KI-Anwendungen. Auch die, die niemand angemeldet hat. Erfahrungsgemäß liegt hier die erste Überraschung.
• Rollen klären. Sind Sie bei diesem System Anbieter oder Betreiber im Sinne der KI-Verordnung? Davon hängen Ihre Pflichten ab.
• Vorhandene Verfahren erweitern statt verdoppeln. Ein Dokumentenlenkungsverfahren, ein Auditprogramm, eine Managementbewertung.
• Erst dann Anhang A durchgehen und das Statement of Applicability aufbauen. Das ist der Teil, für den Sie wirklich Zeit brauchen.

Was ich nicht empfehle: parallel zwei Handbücher zu führen. Das sieht sauber aus und wird nach einem Jahr zur Fehlerquelle, weil eine der beiden Fassungen immer die ältere ist. Ein System, mehrere Geltungsbereiche.

Zum Aufwand nenne ich bewusst keine Pauschale, weil sie in Ihrem Haus falsch wäre. Was ich aber sagen kann: Die Verteilung ist schief. Der strukturelle Teil, also alles, was Sie aus der 9001 mitbringen, ist der kleinere Posten. Der KI-spezifische Teil aus Abschnitt 8 und Anhang A ist der größere, und er hängt fast vollständig daran, wie viele KI-Systeme Sie tatsächlich im Geltungsbereich haben. Zwei Anwendungen sind ein überschaubares Projekt. Zwanzig sind ein anderes.

Deshalb ist die Bestandsaufnahme nicht der lästige erste Schritt, sondern der, der Ihren Aufwand bestimmt. Und sie fördert regelmäßig Dinge zutage, die niemand angemeldet hat: ein Übersetzungswerkzeug im Vertrieb, einen Assistenten in der Angebotserstellung, eine Bilderkennung in der Prüfzelle, die seit zwei Jahren mitläuft. Nichts davon ist verboten. Aber was Sie nicht kennen, können Sie weder bewerten noch steuern.

Ein letzter praktischer Rat zur Reihenfolge im Kalender. Legen Sie die erste Managementbewertung mit KI-Punkt nicht ans Ende des Projekts, sondern mittendrin. Dann sehen Sie früh, ob die Leitung die Entscheidungen wirklich trifft, die das System von ihr verlangt, oder ob sie den Punkt nur zur Kenntnis nimmt. Das ist der häufigste stille Mangel in jungen Managementsystemen, und er fällt in der Zertifizierung zuverlässig auf.

Ein Schlusswort zur Erwartung. Ich sage Betrieben mit gelebtem QM-System regelmäßig, dass sie weiter sind, als sie denken, und ich meine das ernst. Aber die Abkürzung liegt in der Struktur, nicht im Inhalt. Die KI-spezifischen Anforderungen, also Risikobewertung, Folgenabschätzung und Anhang A, nimmt Ihnen kein noch so gutes Qualitätsmanagement ab. Wer das versteht, plant realistisch und wird im Audit nicht überrascht.