ISO 42005 Beratung: AI Impact Assessment methodisch absichern
Die ISO/IEC 42005:2025 liefert die Methodik für die Folgenabschätzung von KI-Systemen. SECURAM bewertet betroffene Gruppen, Auswirkungen und Mitigation strukturiert — als Grundlage für ISO 42001 und die FRIA-Pflicht nach EU AI Act Artikel 27.
Ausgangslage
Warum die Folgenabschätzung zum Pflichtbaustein wird
KI-Systeme greifen in Lebensbereiche ein, in denen sie früher keine Rolle spielten. ISO 42005 macht diese Auswirkungen methodisch sichtbar und dokumentierbar.
Die ISO/IEC 42005:2025 definiert ein Rahmenwerk für die Folgenabschätzung von KI-Systemen (AI System Impact Assessment). Die Norm beschreibt, wie Organisationen die Auswirkungen ihrer KI-Systeme auf betroffene Personen, Gruppen und gesellschaftliche Strukturen strukturiert bewerten und dokumentieren. ISO 42005 ergänzt die ISO/IEC 42001:2023 um die Bewertungsmethodik, die das KI-Managementsystem im Annex bereits voraussetzt.
Der regulatorische Anker liegt im EU AI Act (Verordnung (EU) 2024/1689): Artikel 27 verpflichtet Betreiber von Hochrisiko-KI-Systemen zu einer Grundrechte-Folgenabschätzung, der Fundamental Rights Impact Assessment (FRIA). Die Anforderungen greifen bis 02. August 2026. Wer ein nach ISO 42005 strukturiertes Impact Assessment erstellt, erfüllt die methodischen Anforderungen der FRIA und liefert gleichzeitig den Bewertungsbaustein, der im AIMS-Annex verankert ist.
In unseren Projekten bauen wir das Impact Assessment auf einem KI-Inventar auf: Welche Systeme sind im Einsatz, welche Risikokategorie ordnet der EU AI Act ihnen zu, welche Personengruppen sind betroffen. Aus dieser Grundlage entsteht ein Bewertungsbericht, der als FRIA-Nachweis, als Annex-Dokument im AIMS und als interne Entscheidungsgrundlage gleichzeitig verwendbar ist.
Leistungsumfang
ISO 42005: Vom Scoping bis zum Review-Zyklus
Sechs aufeinander abgestimmte Leistungsbausteine, die ein methodisch belastbares Impact Assessment ergeben.
Scoping und Systemkontext
Beschreibung des KI-Systems, seines Anwendungsfeldes und seiner Einbettung in Geschäftsprozesse. Festlegung des Bewertungsumfangs nach ISO 42005 und Abgleich mit der Risikokategorisierung des EU AI Act.
Stakeholder-Mapping
Identifikation der betroffenen Personen, Gruppen und Organisationen entlang der Wirkungskette. Strukturierte Erfassung der Perspektiven, die für eine belastbare Folgenabschätzung gehört werden müssen.
Auswirkungsanalyse
Bewertung der potenziellen Auswirkungen auf Grundrechte, Sicherheit, Fairness, Datenschutz und gesellschaftliche Teilhabe. Methodische Tiefe nach ISO 42005 Abschnitt 7, ergänzt um die Anforderungen aus Artikel 27 EU AI Act.
Mitigation und Maßnahmenplan
Ableitung konkreter Maßnahmen zur Reduktion identifizierter Auswirkungen. Zuordnung zu Verantwortlichen, Fristen und Wirksamkeitskriterien. Schnittstelle zum Risikobehandlungsplan im AIMS.
Dokumentation und FRIA-Nachweis
Erstellung des Bewertungsberichts als belastbarer Nachweis im Sinne EU AI Act Artikel 27 und als Annex-Dokument im AIMS. Klar strukturiert, prüfungsfähig, intern und extern kommunizierbar.
Review-Zyklus und Verankerung
Festlegung der Anlässe für erneute Folgenabschätzungen — neue Anwendungsfälle, Änderungen am Modell, Auffälligkeiten im Betrieb. Übergabe der Methodik in die laufenden AIMS-Prozesse.
Ablauf
Vom Scoping zum prüfungsfähigen Bewertungsbericht
Scoping und Systemkontext
Abgleich mit dem KI-Inventar, Auswahl der zu bewertenden KI-Systeme, Beschreibung von Anwendungsfeld, Datenfluss und Betriebsmodell. Festlegung der Bewertungstiefe nach ISO 42005 und EU AI Act Risikokategorie.
Stakeholder-Workshop und Auswirkungsanalyse
Strukturierte Erfassung der betroffenen Gruppen, Bewertung der Auswirkungen auf Grundrechte, Sicherheit, Fairness und gesellschaftliche Teilhabe. Methodik nach ISO 42005, ergänzt um die FRIA-Anforderungen aus EU AI Act Artikel 27.
Mitigation und Dokumentation
Ableitung der Maßnahmen zur Reduktion identifizierter Auswirkungen, Zuordnung zu Verantwortlichen und Wirksamkeitskriterien. Erstellung des Bewertungsberichts als belastbarer Nachweis im AIMS und im Sinne der FRIA-Pflicht.
Übergabe und Review-Zyklus
Verankerung der Methodik in den laufenden AIMS-Prozessen. Definition der Anlässe für Wiederholungsbewertungen — neue Anwendungsfälle, Modellanpassungen, regulatorische Änderungen. Übergabe an die internen Verantwortlichen.
Zeitangaben beziehen sich auf ein einzelnes KI-System mittlerer Komplexität. Organisationen mit mehreren KI-Systemen profitieren von einem gemeinsamen Bewertungsrahmen, der den Aufwand pro Folge-Assessment reduziert.
Regulatorischer Rahmen
Eckdaten zu EU AI Act und ISO 42005
Die folgenden Eckdaten sind verifizierbar aus den Primärquellen: ISO/IEC 42005:2025, ISO/IEC 42001:2023 und der Verordnung (EU) 2024/1689 (EU AI Act). Sie bilden den regulatorischen Anker, an dem sich ein Impact Assessment ausrichtet.
Einordnung
Wo Impact Assessment im KI-Governance-Stack steht
Das Impact Assessment ist kein isolierter Schritt, sondern verbindet das KI-Managementsystem mit den regulatorischen Pflichten des EU AI Act.
Wer ein AIMS nach ISO 42001 betreibt, ist auf eine belastbare Bewertungsmethodik angewiesen. ISO 42005 liefert sie. Das resultierende Impact Assessment erfüllt zugleich die FRIA-Pflicht aus Artikel 27 des EU AI Act und bleibt damit doppelverwendbar.
Häufige Fragen
FAQ — ISO 42005
Auf der regulatorischen Seite koppeln sich diese Standards an den EU AI Act (Verordnung (EU) 2024/1689) sowie an das NIST AI Risk Management Framework als US-Pendant. Für die Praxis im Mittelstand bedeutet das: Nicht jede dieser Normen muss vollständig implementiert werden. ISO 42001 und 42005 bilden den Kern, die übrigen Standards liefern Querverweise und Tiefenmethodik bei Bedarf.
Praktisch bedeutet die FRIA: Bevor die KI in Betrieb geht, muss die Organisation dokumentieren, welche Menschen betroffen sind (Bewerber, Antragsteller, Kunden), welche Auswirkungen die KI auf deren Grundrechte haben kann (Diskriminierung, Eingriff in die Privatsphäre, ungerechte Entscheidungen) und welche Schutzmaßnahmen ergriffen werden. Aufsichtsbehörden können diesen Nachweis im Zweifelsfall anfordern. Bei Verstößen drohen Bußgelder bis 35 Millionen Euro oder sieben Prozent des Welt-Jahresumsatzes.
ISO 42005 liefert die strukturierte Methodik, damit der FRIA-Nachweis vor Behörden bestand hat und nicht beliebig wirkt.
Der richtige Zeitpunkt ist vor der Inbetriebnahme: Sobald ein konkreter Anwendungsfall feststeht, aber bevor das System produktiv geht. Zusätzlich wird die Bewertung wiederholt bei wesentlichen Änderungen am Modell, bei der Erweiterung auf neue Anwendungsfälle, bei auffälligen Vorkommnissen im Betrieb und in einem festen Review-Zyklus, typischerweise einmal jährlich. Für Hochrisiko-KI nach EU AI Act ist die Folgenabschätzung gesetzlich vor der Inbetriebnahme vorgeschrieben.
Impact Assessment beauftragen
SECURAM bewertet Ihre KI-Systeme nach ISO 42005 und liefert den FRIA-Nachweis für den EU AI Act.
Erstgespräch vereinbaren →Nächster Schritt
So ordnet sich ISO 42005 in Ihre KI-Governance ein
ISO 42001 Beratung
Das KI-Managementsystem nach ISO/IEC 42001:2023 ist der übergeordnete Rahmen. ISO 42005 liefert die Bewertungsmethodik für den Annex zur Folgenabschätzung.
Zur ISO 42001 →EU AI Act Umsetzung
Artikel 27 der Verordnung (EU) 2024/1689 verpflichtet zur Grundrechte-Folgenabschätzung. Ein nach ISO 42005 erstelltes Impact Assessment erfüllt die Anforderungen.
Zum EU AI Act →AIMS Übersicht
Alle Leistungen zur KI-Governance auf einer Seite: AIMS-Aufbau, Schatten-KI, KI-Beauftragter und das Zusammenspiel der Normen ISO 42001, 42005, 23894 und EU AI Act.
Zum AIMS Hub →Kontakt
Wir freuen uns auf Ihre Nachricht.
Ihre Ansprechpartnerin
Nadine Eibel
Gründerin & Geschäftsführerin
SECURAM Consulting GmbH
Über 20 Jahre Erfahrung in IT-Security und Informationssicherheit. Zertifiziert als CISM, Lead Auditorin ISO 27001 und ITIL Expert.
Kontaktdaten
20354 Hamburg
Direkter Kontakt
- Vertrieb: sales@securam-consulting.com
- Bewerbung: bewerbung@securam-consulting.com
Lieber direkt sprechen?
Buchen Sie ein kostenloses Erstgespräch.