06/2026 – Fachartikel Swiss Infosec AG

Generative KI, automatisierte Entscheidungsmodelle, datenbasierte Prognosen – KI verändert Arbeitsweisen und Geschäftsmodelle fundamental. Doch mit den Chancen wachsen auch die Risiken, etwa unzuverlässige oder falsche Ergebnisse von KI-Modellen, Verzerrungen durch ungeeignete Trainingsdaten sowie eine unkontrollierte Nutzung externer KI-Dienste.

Für CISO, Risk Officer und Geschäftsleitungen stellt sich die Frage: Wie lässt sich KI verantwortungsvoll steuern – ohne eine neue Governance-Bürokratie aufzubauen?

Die ISO/IEC 42001:2023 ist der erste internationale Standard für KI-Managementsysteme (AIMS). Für Unternehmen mit bestehendem ISO 27001-ISMS ist die Ausgangslage günstig: Die zentralen Governance-Strukturen existieren bereits – sie müssen lediglich um KI-spezifische Anforderungen erweitert werden.

Von ISO 27001 zu ISO 42001: ein logischer Schritt

Beide Standards basieren auf der High-Level-Structure der ISO-Managementsystemnormen – mit Governance, Risikomanagement, operativen Prozessen, Monitoring und kontinuierlicher Verbesserung als gemeinsamen Kernelementen. Wer ein ISMS betreibt, hat Management-Commitment, Risikoanalysen, interne Audits und Governance-Gremien bereits etabliert.

ISO 42001 erweitert diese Struktur um spezifische Anforderungen für künstliche Intelligenz. Während ISO 27001 primär den Schutz von Informationen und IT-Systemen adressiert, richtet sich ISO 42001 auf die besonderen Herausforderungen von KI-Systemen. Dazu gehören unter anderem Fragen der Transparenz von Algorithmen, der Kontrolle von Trainingsdaten, der Vermeidung von Bias sowie der kontinuierlichen Überwachung der Modellleistung.

Der entscheidende Vorteil für Organisationen mit einem bestehenden ISMS besteht darin, dass viele dieser Anforderungen auf bereits vorhandene Prozesse aufbauen können. Risikomanagement, Governance-Strukturen oder Dokumentationsprozesse müssen nicht neu erfunden werden. Stattdessen werden sie um KI-spezifische Aspekte ergänzt.

KI-Governance als Erweiterung bestehender Richtlinien

Wer KI ins ISMS integriert, braucht zunächst klare Richtlinien: Was darf wie eingesetzt werden und wer trägt die Verantwortung?

Eine KI-Governance-Weisung definiert die grundlegenden Prinzipien für den Umgang mit KI im Unternehmen. Sie beschreibt, welche ethischen und rechtlichen Anforderungen eingehalten werden müssen und welche Verantwortlichkeiten innerhalb der Organisation bestehen. Dabei geht es nicht nur um technische Sicherheit, sondern auch um Fragen der Fairness, Transparenz und Nachvollziehbarkeit automatisierter Entscheidungen.

Eine solche Weisung sollte sich nahtlos in bestehende Regelwerke integrieren. Informationssicherheitsrichtlinien, Datenschutzvorgaben, Data Governance-Richtlinien oder Compliance-Regelungen bilden bereits einen Teil des Governance-Rahmens des ISMS. Die KI-Governance ergänzt diese Strukturen und stellt sicher, dass neue KI-basierte Technologien und Systeme innerhalb des bestehenden Kontrollsystems eingesetzt werden.

Neben dieser KI-Governance-Weisung benötigen alle Mitarbeitenden eine verbindliche KI-Benutzerweisung. Sie legt klare Verhaltensregeln für den Alltag fest: welche KI-Systeme genutzt werden dürfen, welche Daten nicht in externe Systeme fliessen dürfen und wie mit KI-generierten Ergebnissen kritisch umzugehen ist. Neue Mitarbeitende werden im Onboarding entsprechend geschult.

Richtig umgesetzt schaffen solche Weisungen Orientierung und Sicherheit – ohne die Innovation zu bremsen.

KI-Risiken systematisch in das Risikomanagement integrieren

Das Herzstück jedes ISMS ist das Risikomanagement – und genau hier setzt die KI-Integration an. Die bestehende Risikoanalyse nach ISO 27001 wird um KI-spezifische Risiken erweitert.

Der erste Schritt besteht darin, Transparenz über eingesetzte KI-Systeme zu schaffen. Ein strukturierteres KI-Inventar dokumentiert alle eingesetzten oder entwickelten KI-Anwendungen, beispielsweise Chatbots, automatisierte Entscheidungs- und Empfehlungssysteme, Machine-Learning-Modelle zur Analyse von Daten sowie KI-gestützte Funktionen in Fachapplikationen oder Cloud-Diensten. Es beschreibt deren Zweck, die zugrunde liegenden Datenquellen sowie die verantwortlichen Organisationseinheiten. Dieses Inventar bildet die Grundlage für eine fundierte Risikoanalyse.

Im nächsten Schritt werden die identifizierten KI-Systeme einer Bewertung unterzogen. Dabei treten Risiken in den Fokus, die über klassische IT-Risiken hinausgehen. Beispielsweise können Trainingsdaten systematische Verzerrungen enthalten, wodurch diskriminierende Ergebnisse entstehen. Generative Modelle können plausible, aber falsche Informationen erzeugen. Zudem können Modelle im Laufe der Zeit an Genauigkeit verlieren oder durch gezielte Manipulation von Eingabedaten beeinflusst werden.

Solche Risiken müssen im bestehenden Risk Assessment berücksichtigt werden. Die Bewertung erfolgt dabei ähnlich wie bei klassischen Informationssicherheitsrisiken, indem Auswirkungen auf Geschäftsprozesse, Kunden oder Reputation analysiert werden. Auf dieser Grundlage lassen sich geeignete Kontrollmassnahmen definieren, etwa die regelmässige Validierung von Modellen oder die Überprüfung von Trainingsdaten.

Wenn KI-Systeme personenbezogene Daten verarbeiten, spielt zudem der Datenschutz eine zentrale Rolle. In solchen Fällen kann eine Datenschutz-Folgenabschätzung erforderlich sein. Auch unabhängig von gesetzlichen Anforderungen ist es empfehlenswert, die Auswirkungen von KI auf Privatsphäre und Persönlichkeitsrechte systematisch zu analysieren.

Für Schweizer Unternehmen greift dabei das Datenschutzgesetz (DSG) mit konkreten Pflichten: Transparenz gegenüber Betroffenen, Auftragsbearbeitungsverträge mit KI-Anbietern und eine Datenschutz-Folgenabschätzung (DSFA) bei hohem Risikopotenzial – etwa bei automatisierten Entscheiden mit erheblicher Wirkung auf Personen.

Entwicklungs- und Betriebsprozesse für KI erweitern

Organisationen, die KI entwickeln oder produktiv einsetzen, müssen auch ihre Entwicklungs- und Betriebsprozesse anpassen. Bestehende Softwareentwicklungsprozesse können dabei um KI-spezifische Anforderungen ergänzt werden.

Bereits in der Planungsphase eines Projekts sollte geprüft werden, welche Risiken mit dem Einsatz von KI verbunden sind. Während der Entwicklung spielt insbesondere die Qualität der Trainingsdaten eine zentrale Rolle. Daten müssen auf mögliche Verzerrungen überprüft werden, und die verwendeten Modelle sollten nachvollziehbar dokumentiert sein.

Auch Test- und Validierungsprozesse benötigen zusätzliche Dimensionen. Neben funktionalen Tests müssen Kriterien wie Fairness, Robustheit und Sicherheit berücksichtigt werden. Beispielsweise kann überprüft werden, ob ein Modell für bestimmte Nutzergruppen systematisch schlechtere Ergebnisse liefert oder ob es auf manipulierte Eingaben besonders anfällig reagiert.

Im Betrieb von KI-Systemen ist kontinuierliches Monitoring entscheidend. Modelle können sich im Laufe der Zeit verändern, insbesondere wenn sie auf dynamischen Daten basieren. Deshalb sollten Kennzahlen definiert werden, die die Leistung eines Modells überwachen. Sinkt die Genauigkeit oder treten unerwartete Ergebnisse auf, müssen entsprechende Korrekturmassnahmen eingeleitet werden.

Incident Response und Notfallplanung für KI

Ein oft unterschätzter Bereich der KI-Governance ist der Umgang mit Vorfällen. Der bestehende Incident Response-Prozess sollte daher um KI-bezogene Szenarien erweitert werden. Dazu gehören etwa Situationen, in denen ein KI-System falsche Entscheidungen trifft, manipuliert wird oder komplett ausfällt.

Auch Business Continuity-Pläne sollten KI berücksichtigen. Fällt ein kritisches KI-System aus, muss klar sein, wie der betroffene Geschäftsprozess weitergeführt wird. In manchen Fällen kann ein manueller Entscheidungsprozess als Backup dienen. Wichtig ist, solche Szenarien im Voraus zu definieren, damit im Ernstfall klare Verantwortlichkeiten bestehen.

Dokumentation als Grundlage für Transparenz und Nachweisbarkeit

Neben Governance-Strukturen und Prozessen spielt auch Dokumentation eine wichtige Rolle. Organisationen müssen nachvollziehbar darlegen können, wie KI-Systeme eingesetzt werden und welche Risiken bewertet wurden.

Für zentrale KI-Anwendungen sollte daher eine strukturierte Dokumentation existieren, die Zweck, Funktionsweise und eingesetzte Datenquellen beschreibt. Ebenso sollten Risikoanalysen, Datenschutzbewertungen und abgeleitete Massnahmen dokumentiert werden. Diese Unterlagen schaffen Transparenz und dienen gleichzeitig als Nachweis gegenüber Auditoren, Aufsichtsbehörden oder Geschäftspartnern.

Ein weiterer wichtiger Aspekt ist die Schulung von Mitarbeitenden. Awareness-Massnahmen und Trainingsprogramme stellen sicher, dass Mitarbeitende KI-Systeme sicher und verantwortungsvoll nutzen können. Entsprechende Schulungsnachweise sind zudem ein wichtiger Bestandteil eines funktionierenden Managementsystems.

Pragmatismus für KMU: Integration statt Bürokratie

Für KMU gilt: KI-Governance muss proportional zum tatsächlichen KI-Einsatz sein. Risikobasiertes Vorgehen und die konsequente Nutzung bestehender Strukturen sind der Schlüssel.

Organisationen sollten sich zunächst auf die KI-Anwendungen konzentrieren, die tatsächlich geschäftskritisch sind oder hohe Risiken bergen. Gleichzeitig lohnt es sich, bestehende Gremien und Prozesse zu nutzen, anstatt neue Strukturen zu schaffen. Empfehlenswert ist die Einrichtung einer interdisziplinären KI-Fachgruppe, die als zentrale Anlaufstelle für alle KI-Aktivitäten fungiert – sie kann am bestehenden ISMS Steering Committee oder einem äquivalenten Gremium angedockt werden.

Ebenso ist es sinnvoll, die Integration von KI-Governance in das bestehende ISMS schrittweise umzusetzen. Viele Organisationen starten mit einer KI-Benutzerweisung, einem schlanken Freigabe- und Betriebsprozess für neue KI-Systeme sowie einem KI-Inventar. Weitere Governance-Elemente werden schrittweise eingerichtet, sobald der KI-Einsatz wächst.

Auf diese Weise bleibt das Managementsystem schlank und flexibel, während gleichzeitig die notwendigen Governance-Strukturen entstehen.

Fazit: KI-Governance als natürliche Erweiterung des ISMS

Organisationen mit einem etablierten ISMS verfügen bereits über eine solide Governance-Basis. Die Integration von ISO 42001 bedeutet daher nicht, ein neues Managementsystem aufzubauen, sondern bestehende Strukturen gezielt zu erweitern.

Durch die Ergänzung von Richtlinien, die Integration von KI-Risiken in das Risikomanagement sowie die Anpassung von Entwicklungs- und Betriebsprozessen entsteht ein erweitertes Managementsystem, das sowohl Informationssicherheit als auch KI-Governance abdeckt. Damit können Unternehmen KI verantwortungsvoll einsetzen, Risiken kontrollieren und regulatorische Anforderungen erfüllen – als entscheidenden Bestandteil moderner Unternehmensführung.

Kontakt aufnehmen

Möchten Sie Ihr ISMS für ISO 42001 fit machen? Die Expertinnen und Experten der Swiss Infosec AG begleiten Sie mit praxiserprobten Frameworks und pragmatischen Templates.

Kontaktieren Sie uns für ein unverbindliches Beratungsgespräch: +41 41 984 12 12, infosec@infosec.ch

Swiss Infosec AG; 10.6.2026
Kompetenzzentrum Consulting