AIMS (AI Management System)
Englisch: AI Management System
AIMS (AI Management System) ist der organisatorische Rahmen, mit dem ein Unternehmen die Entwicklung, Beschaffung und den Betrieb von Systemen der künstlichen Intelligenz systematisch steuert. ISO/IEC 42001:2023 verlangt in Clause 4.4, dass die Organisation ein AIMS etabliert, umsetzt, aufrechterhält und kontinuierlich verbessert.
Normative Grundlage: ISO/IEC 42001:2023 Clause 4.4
Hintergrund und normative Einordnung
Der Begriff entstammt der internationalen Norm ISO/IEC 42001:2023, die im Dezember 2023 als erste zertifizierbare Managementsystemnorm für künstliche Intelligenz veröffentlicht wurde. Sie folgt der Harmonized Structure, Annex SL, und ist damit strukturell anschlussfähig an ISO/IEC 27001 und ISO 9001. ISO/IEC 42001 definiert in Clause 3 ein AI Management System als System zur Steuerung von KI-bezogenen Aktivitäten, das Richtlinien, Ziele und Prozesse zur Erreichung dieser Ziele bündelt. Der normative Kern ist damit kein Werkzeug, sondern ein Führungssystem mit klaren Verantwortlichkeiten, messbaren Zielen und dokumentierten Kontrollen entlang des Annex A der Norm.
In der europäischen Compliance-Landschaft übernimmt das AIMS die Rolle, die das ISMS im Bereich der Informationssicherheit einnimmt. Die Verordnung (EU) 2024/1689 (EU AI Act) fordert für Anbieter und Betreiber von Hochrisiko-KI-Systemen in Artikel 17 ein Qualitätsmanagementsystem, dessen Bestandteile weitgehend den Anforderungen der ISO/IEC 42001 entsprechen. Das ISO/IEC 42001-konforme AIMS liefert damit einen praktikablen Nachweisrahmen für die Einhaltung des EU AI Act. Ergänzend nutzt das NIST AI Risk Management Framework eine kompatible Logik aus Govern, Map, Measure und Manage. Für die konkrete Umsetzung bietet SECURAM eine spezialisierte AIMS-Beratung rund um Aufbau, Zertifizierung und Betrieb.
Normative Bezüge:
Vorgehen in der Praxis
Der Aufbau eines AIMS folgt in der Praxis einem Plan-Do-Check-Act-Zyklus. Die folgenden vier Phasen entsprechen den Clauses 4 bis 10 der ISO/IEC 42001:2023 und lassen sich direkt mit den Governance-Pflichten des EU AI Act verzahnen.
Ein AIMS ist nur dann wirksam, wenn es Datenqualität, menschliche Aufsicht und Protokollierung nach ISO/IEC 42001 Annex A Controls A.6 und A.7 nicht an die IT delegiert, sondern in der Fachbereichsverantwortung verankert.
Abgrenzung zu verwandten Begriffen
| Begriff | Fokus | Verhältnis zu AIMS (AI Management System) |
|---|---|---|
| ISMS | Schutz von Informationen nach ISO/IEC 27001 | Ein ISMS schützt die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Ein AIMS adressiert zusätzlich die spezifischen Risiken von KI-Systemen wie Bias, mangelnde Erklärbarkeit oder unerwünschte Auswirkungen. ISO/IEC 42001 und ISO/IEC 27001 sind komplementär und können als integriertes Managementsystem betrieben werden. |
| EU AI Act | Regulatorische Pflichten für KI-Systeme in der EU | Der EU AI Act ist Rechtsnorm und beschreibt das Was der Pflichten. Ein AIMS nach ISO/IEC 42001 liefert das Wie der organisatorischen Umsetzung. Wer sein AIMS am Annex A der ISO 42001 ausrichtet, deckt einen Großteil der Governance- und Dokumentationspflichten des EU AI Act systematisch ab. |
| NIST AI RMF | Freiwilliger US-Rahmen für KI-Risikomanagement | Das NIST AI Risk Management Framework gliedert sich in die Funktionen Govern, Map, Measure und Manage. Es ist nicht zertifizierbar, liefert aber ein inhaltlich kompatibles Risikomodell. Ein AIMS nach ISO/IEC 42001 lässt sich mit den Core Functions des AI RMF kreuzreferenzieren und ist damit auch für global tätige Unternehmen anschlussfähig. |
Typische Fehler und wie ihr sie vermeidet
- AIMS als reines IT-Projekt führen: KI-Governance betrifft Fachbereiche, Einkauf, HR und Recht. ISO/IEC 42001 Clause 5.1 verlangt ausdrücklich Leadership der obersten Leitung. Wird das AIMS in der IT oder im Data-Science-Team isoliert, fehlen Verantwortung, Ressourcen und die notwendige Verknüpfung zu Compliance-Prozessen.
- Schatten-KI ignorieren: Ohne ein vollständiges Inventar aller eingesetzten KI-Anwendungen bleibt das AIMS lückenhaft. ISO/IEC 42001 Clause 6.1.4 fordert eine KI-Impact-Analyse über alle Systeme. Nicht gemeldete SaaS-Nutzung von Large Language Models entzieht sich der Governance und führt zu unkalkulierten Risiken unter Artikel 26 EU AI Act.
- Risikoeinstufung nach EU AI Act falsch vornehmen: Die Einstufung als Hochrisiko-System nach Artikel 6 und Anhang III EU AI Act bestimmt, welche Pflichten greifen. Wer systematisch zu niedrig einstuft, verletzt Nachweispflichten und riskiert Bußgelder nach Artikel 99. Die Einstufung muss dokumentiert und im AIMS begründet sein.
- Post-Market-Monitoring vergessen: ISO/IEC 42001 Clauses 9.1 und 10 sowie Artikel 72 EU AI Act verlangen eine kontinuierliche Beobachtung der eingesetzten KI-Systeme im Betrieb. Wird das AIMS nur zur Zertifizierung aufgebaut und danach nicht gepflegt, erlischt sowohl die normative Wirksamkeit als auch die rechtliche Absicherung.
Relevanz im regulatorischen Kontext
Die Verordnung (EU) 2024/1689 (EU AI Act) trat am 1. August 2024 in Kraft und wird gestaffelt anwendbar. Verbote nach Artikel 5 gelten ab Februar 2025, Pflichten für General Purpose AI ab August 2025, die zentralen Pflichten für Hochrisiko-Systeme überwiegend ab August 2026. Artikel 17 fordert für Anbieter von Hochrisiko-KI ein Qualitätsmanagementsystem, dessen Elemente einem AIMS nach ISO/IEC 42001 inhaltlich entsprechen. Die Kommission hat bereits klargestellt, dass harmonisierte Normen wie ISO/IEC 42001 eine Konformitätsvermutung stützen können, sobald sie im Amtsblatt notifiziert werden.
Neben dem EU AI Act greifen weitere Regelungen mit Bezug zu KI: Die DSGVO bleibt für personenbezogene Datenverarbeitung maßgeblich, insbesondere Artikel 22 zu automatisierten Entscheidungen. Der Digital Services Act adressiert algorithmische Systeme auf Plattformen, und sektorale Regulierung wie DORA oder MaRisk greift bei KI-Einsatz in Finanzinstituten. In Deutschland wird die Marktüberwachung des EU AI Act voraussichtlich durch die Bundesnetzagentur gebündelt, flankiert durch das BSI für sicherheitskritische Aspekte. Der BSI AIC4-Kriterienkatalog liefert bereits heute eine Prüfgrundlage für KI-Dienste in der Cloud.
Häufige Fragen
Was ist ein AIMS in einem Satz?
Ist ein AIMS nach ISO 42001 für den EU AI Act verpflichtend?
Wie unterscheidet sich ein AIMS von einem ISMS?
Quellen & weiterführende Literatur
- ISO/IEC 42001:2023 Information technology, Artificial intelligence, Management system (iso.org)
- Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (EU AI Act) (eur-lex.europa.eu)
- NIST AI Risk Management Framework (AI RMF 1.0), NIST AI 100-1, Januar 2023 (nist.gov)
- BSI AIC4, AI Cloud Service Compliance Criteria Catalogue (bsi.bund.de)