Digital Trust KI-Entscheidungen bleiben eine Blackbox – bis Zertifizierung Klarheit schafft

Anbieter zum Thema

TÜV SÜD Management Service GmbH

CADFEM Germany GmbH

FIS Informationssysteme und Consulting GmbH

Esker Software Entwicklungs-und Vertrieb

KI-Entscheidungen bleiben oft eine Blackbox. Vertrauen entsteht nicht durch Eigenauskünfte, sondern durch Zertifizierung: ISO 27001 und ISO 42001 werden zur neuen Beweisführung für sichere KI.

Künstliche Intelligenz ist mittlerweile fester Bestandteil vieler Geschäftsprozesse. In der Industrie erkennen KI-gestützte Kamerasysteme Qualitätsabweichungen in Echtzeit, in Handel und Logistik optimieren Algorithmen Warenströme und im Vertrieb analysieren KI-Anwendungen Kundenverhalten. Mit dem wachsenden Einsatz von KI wird ein Thema immer wichtiger: Vertrauen.

Kunden, Geschäftspartner, Investoren und Behörden müssen sich darauf verlassen können, dass digitale Technologien sicher, transparent und regelkonform funktionieren, obwohl die Entscheidungen der zugrundeliegenden KI-Modelle immer schwerer nachvollziehbar sind. 

Regulatorische Anforderungen durch den EU AI Act, NIS-2 oder DORA sowie global-vernetzte Lieferketten verlangen Nachweise für Risikopräventionsmaßnahmen. „Digital Trust“ ist längst kein „Nice-to-have“ mehr, sondern entwickelt sich zum Wettbewerbsfaktor und in vielen Märkten zur Voraussetzung für Geschäftsbeziehungen. Die entscheidende Frage lautet daher nicht mehr, wer KI einsetzt, sondern wer nachweisen kann, dass er sie sicher und verantwortungsvoll betreibt und seine IT-, OT- und Daten-Risiken unter Kontrolle hat.

Digital Trust‘ ist längst kein ‚Nice-to-have‘ mehr, sondern entwickelt sich zum Wettbewerbsfaktor und in vielen Märkten zur Voraussetzung für Geschäftsbeziehungen.

Marko Hoffmann, TÜV SÜD Management Service GmbH

Recht

Die lange Suche nach einem Datenschutz-Siegel

Wenn das KI-Modell entscheidet, reicht Vertrauen allein nicht mehr

Vertrauen in einer digitalen Wirtschaft kann nicht auf Eigenauskünften beruhen. Überprüfbare Nachweise mit klaren Prüfkriterien werden daher immer wichtiger. Viele Unternehmen verbinden ein Audit vor allem mit Dokumenten und Richtlinien. Externe Auditoren prüfen jedoch auch deren praktische Umsetzung. Oftmals sprechen Auditoren mit Mitarbeitern oder beziehen Fachabteilungen ein, um offene Fragen direkt vor Ort zu klären. Dadurch entsteht ein realistisches Bild davon, wie wirksam Prozesse tatsächlich funktionieren.

Ein Beispiel aus der ISO 27001-Praxis: Trotz dokumentierter Sicherheitsvorgaben und Mitarbeiterschulungen stellt ein Auditor während einer Betriebsbegehung fest, dass Mitarbeiter ihre Rechner beim Verlassen des Arbeitsplatzes nicht sperren. Solche Beobachtungen zeigen ihm den Unterschied zwischen dokumentierter Compliance und gelebter Sicherheitskultur und führen zu Beanstandungen im Auditbericht.

Regeln für künstliche Intelligenz

EU AI Act: Der Countdown läuft – das muss die IT jetzt umsetzen

ISO/IEC 27001 und ISO/IEC 42001: Die neue Vertrauensarchitektur für KI

Während klassische Informationssicherheits-Managementsystem-Audits Risikobewertungen, Incident-Management oder Lieferantenkontrollen untersuchen, kommen im KI-Umfeld weitere Fragestellungen, etwa zu Trainingsdaten, Risikobewertung, Modelländerungen, Transparenz und dem Umgang mit Fehlentscheidungen, hinzu.

Um diesen Themen zu begegnen, gewinnt die Kombination aus ISO/IEC 27001 und ISO/IEC 42001 an Bedeutung. Während ISO 27001 Informationssicherheit adressiert, unterstützt ISO 42001 den verantwortungsvollen Einsatz von KI. Gemeinsam schaffen sie eine belastbare Grundlage für Vertrauen in digitale Geschäftsmodelle.

Viele Anforderungen der KI-Governance bauen auf etablierten Prinzipien des Informationssicherheitsmanagements auf, etwa Risikomanagement, Lieferantenbewertung und Incident Management. Hinzu kommen jedoch neue Prüffelder wie Daten-Governance, Modellrisiken und Transparenz.

Ein Überblick über gängige Standards für IT, OT und KI:

• ISO/IEC 27001 gilt weltweit als führender Standard für Informationssicherheitsmanagement. Die Norm unterstützt Unternehmen dabei, Risiken systematisch zu bewerten, Sicherheitsmaßnahmen umzusetzen und Informationswerte zu schützen. Gleichzeitig fördert sie Prozesse wie Incident Management, Lieferantenmanagement und Business Continuity.
• ISO/IEC 42001 ergänzt diesen Ansatz um die Perspektive der KI-Governance. Die Norm definiert Anforderungen an den verantwortungsvollen Einsatz von KI, an Risikomanagement, Transparenz und die kontinuierliche Verbesserung von KI-Managementsystemen.
• IEC 62443 ist eine Normreihe, die Sicherheitsanforderungen für industrielle Automatisierungs- und Steuerungssysteme (IACS) definiert. Sie umfasst Maßnahmen zur Cybersicherheit, um die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen und Daten in Industrieanlagen zu gewährleisten.
• SOC wurde vom American Institute of Certified Public Accountants entwickelt. Der freiwillige Standard richtet sich vor allem an Unternehmen, die Kundendaten verarbeiten und gegenüber Auftraggebern Transparenz über ihre Sicherheitsmaßnahmen schaffen müssen. Das freiwillige Assessment ist eine wichtige Grundlage für den Marktzugang in den USA.
• TISAX, kurz für Trusted Information Security Assessment Exchange, wurde speziell für die Automobilindustrie entwickelt. TISAX hat einen klaren Fokus auf die Lieferkette in der Automobilindustrie und insbesondere den Schutz der Kundendaten der Unternehmen.

Darüber hinaus gibt es weitere branchenspezifische Standards, insbesondere im Bereich der kritischen Infrastrukturen. Die Wahl des Zertifizierschemas hängt davon ab, in welchem Markt und in welcher Branche ein Unternehmen tätig ist. Auch die gesetzlichen Vorgaben, die zu erfüllen sind, sollten im Auswahlprozess berücksichtigt werden.

Vertrauen braucht Nachweise

Der Wert eines Zertifikats, sei es als Nachweis des eigenen Risikomanagements oder des Risikomanagements eines Lieferanten, liegt nicht im Dokument selbst, sondern in der unabhängigen Prüfung dahinter. Sie bestätigt die Wirksamkeit von Prozessen und Kontrollen. In einer zunehmend KI-geprägten Wirtschaft werden Audits und Zertifizierungen damit zum entscheidenden Vertrauensbeweis für Sicherheit, Verlässlichkeit und Verantwortungsbewusstsein. Gesetzliche Bestimmungen in der EU oder der Marktdruck in den USA, der einen Nachweis nach SOC quasi zur Bedingung für eine Geschäftstätigkeit dort macht, zeigen, dass Zertifizierungen heute ein wichtiger Faktor für die Haftungssicherheit und globale Marktfähigkeit von Unternehmen sind.