ISO 42001 KI-Management-Prompt-Bibliothek

Create an inventory of our AI systems per ISO 42001:

AI systems we develop/use/provide:
[List AI applications: chatbots, recommendation engines, predictive models, computer vision, NLP, automated decision systems, etc.]

For each AI system, document:
- System name and description
- AI techniques used (machine learning, deep learning, NLP, computer vision, generative AI)
- Purpose and use case
- Development status (research, development, production, retired)
- Internal vs. external use (internal tooling, customer-facing, embedded in products)
- Risk classification (high-risk per EU AI Act, limited risk, minimal risk)
- Data sources and training data
- Stakeholders affected (employees, customers, public)
- Lifecycle stage (design, development, deployment, monitoring, retirement)

Create an AI system register template suitable for ongoing management and regulatory compliance.

Develop a comprehensive AI Management System policy per ISO 42001:

Organization: [name, industry, AI maturity]
AI use cases: [describe key AI applications]

Policy sections aligned with ISO 42001:

1. KI-Governance und Aufsicht
- Ethische KI-Prinzipien (Fairness, Transparenz, Verantwortlichkeit, Sicherheit, Privatsphäre)
- Governance-Struktur (KI-Aufsichtsrat, KI-Ethikausschuss, Rollen für verantwortungsvolle KI)
- Management-Commitment für verantwortungsvolle KI

2. Risikomanagement (ISO 42001 Abschnitt 6)
- KI-spezifische Risikobewertungsmethodik
- Risikobehandlung und Kontrollen
- Integration in das Enterprise-Risikomanagement

3. Lebenszyklusmanagement von KI-Systemen
- Entwicklungslebenszyklus (Design, Daten, Training, Testen, Bereitstellung, Überwachung)
- Change-Control für KI-Modelle und Daten
- Versionskontrolle und Modellregister

4. Transparenz und Erklärbarkeit
- Dokumentationsanforderungen für KI-Systeme
- Erklärbarkeitsmechanismen (Modellkarten, Faktenblätter, Interpretierbarkeitswerkzeuge)
- Offenlegung gegenüber betroffenen Parteien (wenn KI Entscheidungen trifft)

5. Fairness, Voreingenommenheit und Diskriminierungsprävention
- Erkennung und Minderung von Voreingenommenheit in Daten und Modellen
- Fairness-Metriken und -Tests
- Umgang mit geschützten Attributen
- Vielfältige und repräsentative Trainingsdaten

6. Privatsphäre und Datenschutz
- Datenminimierung für KI-Training und -Inferenz
- Einwilligung und rechtliche Grundlage (DSGVO-Ausrichtung)
- Betroffenenrechte im KI-Kontext (Recht auf Erklärung, Recht, nicht automatisierten Entscheidungen unterworfen zu sein)
- Datenschutzerhaltende Techniken (föderiertes Lernen, differentielle Privatsphäre, synthetische Daten)

7. Sicherheit, Schutz und Robustheit
- Robustheit gegen Angriffe und Angriffsprävention
- Modellsicherheit (Modelldiebstahl, Vergiftung, Umgehung)
- Sicherheitstests und -validierung
- Fail-Safe-Mechanismen und menschliche Aufsicht für Hochrisiko-KI

8. Menschliche Aufsicht und Kontrolle
- Mensch-in-der-Schleife für kritische Entscheidungen
- Übersteuerungsmechanismen
- Überwachung der Leistung und Entscheidungen von KI-Systemen

9. Kompetenz und Bewusstsein (ISO 42001 Abschnitte 7.2-7.3)
- KI-Schulungen für Entwickler, Nutzer und Führungskräfte
- Programm zur Sensibilisierung für verantwortungsvolle KI

10. Incident-Management
- KI-spezifische Incident-Typen (Voreingenommenheitsvorfälle, Modelldrift, adversariale Angriffe, unbeabsichtigte Schäden)
- Incident-Reaktion und -Meldung
- Nachbereitung von Incidents und Modellneutraining

Address ISO 42001 Annex A controls relevant to your AI risk profile.

Conduct an AI risk assessment per ISO 42001 Section 6 for [AI system name]:

AI system details:
- Description: [what the AI does]
- AI technique: [ML model type, architecture]
- Data sources: [training data, inference data]
- Use case: [how it's used, who it affects]
- Deployment: [production, pilot, development]

AI-specific risks to assess:

1. Risiken durch Voreingenommenheit und Fairness
- Voreingenommenheit in Trainingsdaten (historische Voreingenommenheit, Stichprobenverzerrung, Messverzerrung)
- Algorithmische Voreingenommenheit (Modell verstärkt Disparitäten)
- Auswirkungen auf geschützte Gruppen (Diskriminierung aufgrund von Rasse, Geschlecht, Alter usw.)
- Fairness-Metriken: [demografische Parität, gleiche Chancen, unterschiedliche Auswirkungen]

2. Risiken durch Transparenz und Erklärbarkeit
- Black-Box-Modelle (mangelnde Interpretierbarkeit)
- Unfähigkeit, Entscheidungen Nutzern/Regulierungsbehörden zu erklären
- Einhaltung des Rechts auf Erklärung (DSGVO Artikel 22)

3. Datenschutzrisiken
- Re-Identifizierung aus anonymisierten Trainingsdaten
- Modellinversionsangriffe (Extrahieren von Trainingsdaten aus dem Modell)
- Mitgliedschaftsinferenz (Feststellen, ob Daten im Trainingssatz enthalten waren)
- Datenlecks oder unbeabsichtigtes Auswendiglernen

4. Sicherheits- und Robustheitsrisiken
- Modellfehler und falsche Vorhersagen
- Adversariale Angriffe (Umgehung, Vergiftung, Hintertüren)
- Modelldrift und Leistungsabfall im Laufe der Zeit
- Randfälle und Verteilungsverschiebungen
- Sicherheitskritische Ausfälle (in autonomen Systemen, medizinischer KI usw.)

5. Sicherheitsrisiken
- Modelldiebstahl oder -extraktion
- Datenvergiftung während des Trainings
- Adversariale Eingaben zur Inferenzzeit
- Lieferkettenrisiken (vergiftete Datensätze, kompromittierte Bibliotheken)

6. Ethische und gesellschaftliche Risiken
- Unbeabsichtigte Schäden oder negative Folgen
- Missbrauch des KI-Systems
- Umweltauswirkungen (CO₂-Fußabdruck des Trainings großer Modelle)
- Manipulation oder Täuschung (Deepfakes, Desinformation)

7. Compliance- und rechtliche Risiken
- Nichteinhaltung von Vorschriften (EU AI Act, DSGVO, branchenspezifische Vorschriften)
- Haftung für KI-Entscheidungen
- Probleme mit geistigem Eigentum (Training mit urheberrechtlich geschützten Daten) — siehe ISMS Copilots Ansatz zur Einhaltung des geistigen Eigentums

For each risk, assess:
- Eintrittswahrscheinlichkeit (basierend auf Datenqualität, Modellkomplexität, Einsatzkontext)
- Auswirkungen (Schwere des Schadens bei Eintritt)
- Bestehende Kontrollen und Minderungsmaßnahmen
- Verbleibendes Risiko und Behandlungsplan

Create AI risk register and treatment plan aligned with ISO 42001 risk management requirements.

Create a responsible AI development procedure covering the full AI lifecycle:

1. Design und Scoping (ISO 42001 controls 6.2, A.2.1)
- Definition von Zweck und Anforderungen des KI-Systems
- Identifizierung betroffener Stakeholder
- Festlegung von Fairness- und Leistungskriterien
- Bewertung regulatorischer Anforderungen (EU AI Act Risikoklasse, DSGVO-Anwendbarkeit)
- Dokumentation der vorgesehenen Nutzung und Einschränkungen

2. Datenerfassung und -aufbereitung (controls A.3.x)
- Spezifikation der Datenanforderungen (Volumen, Qualität, Repräsentativität)
- Datenbeschaffung (intern, extern, synthetisch, lizenziert)
- Bewertung von Voreingenommenheit bei der Datenerfassung
- Qualitätssicherung der Daten (Vollständigkeit, Genauigkeit, Konsistenz)
- Datenkennzeichnung und -annotation (Qualitätskontrolle, Schulung der Annotatoren, Übereinstimmung zwischen Annotatoren)
- Datenschutzerhaltende Techniken (Anonymisierung, differentielle Privatsphäre)
- Datendokumentation (Datenkarten, Datensatzblätter)

3. Modellentwicklung und -training (controls A.4.x)
- Modellauswahl (Algorithmuswahl, Architekturdesign)
- Merkmalsengineering und -auswahl
- Trainings- und Validierungsmethodik (Trainings-/Validierungs-/Testaufteilung, Kreuzvalidierung)
- Hyperparameter-Tuning
- Erkennung und Minderung von Voreingenommenheit während des Trainings
- Leistungsbewertung (Genauigkeit, Präzision, Recall, F1, AUC, Fairness-Metriken)
- Modelldokumentation (Modellkarten, Faktenblätter)

4. Testen und Validierung (controls A.5.x)
- Funktionstests (erfüllt es die vorgesehenen Anforderungen?)
- Fairness-Tests (Analyse unterschiedlicher Auswirkungen, Untergruppenleistung)
- Robustheitstests (adversariale Beispiele, Randfälle, Daten außerhalb der Verteilung)
- Sicherheitstests (Fehlermodi, unsichere Ausgaben)
- Validierung der Erklärbarkeit (können Entscheidungen erklärt werden?)
- Compliance-Tests (erfüllt es die Anforderungen des EU AI Act, falls zutreffend)

5. Bereitstellung (controls A.6.x)
- Bereitstellungsplanung und -genehmigung
- Nutzerschulung und Dokumentation
- Einrichtung von Überwachung und Alarmierung
- Mechanismen für menschliche Aufsicht
- Rollback-Verfahren
- Gestaffelte Einführung (Canary, A/B-Tests)

6. Überwachung und Wartung (controls A.7.x)
- Leistungsüberwachung (Genauigkeit, Latenz, Betriebszeit)
- Überwachung von Voreingenommenheit (laufende Fairness-Metriken)
- Erkennung von Modelldrift (Daten-Drift, Konzept-Drift)
- Incident-Erkennung (anomale Vorhersagen, Fehler)
- Auslöser und Verfahren für erneutes Training
- Versionsmanagement von Modellen

7. Außerbetriebnahme und Stilllegung
- Kriterien für End-of-Life-Entscheidungen
- Datenaufbewahrung oder -löschung
- Kommunikation an Nutzer
- Übergangsplanung (Ersatzsystem, manuelle Prozesse)

For our AI development context: [describe teams, tools, platforms, methodologies]

Include checkpoints, approvals, and documentation requirements at each stage per ISO 42001.

Create a model card for [AI model name] per ISO 42001 transparency requirements:

Model card sections:

1. Modelldetails
- Modellname und Version
- Modelltyp und Architektur: [z. B. neuronales Netzwerk, Random Forest, Transformer]
- Trainingsalgorithmus und Framework: [TensorFlow, PyTorch, scikit-learn]
- Modellentwickler und Kontakt
- Modelldatum und Lebenszyklusphase
- Lizenz und Nutzungsbeschränkungen

2. Vorgesehene Nutzung
- Primäre Nutzungszwecke und Nutzer
- Nicht vorgesehene Nutzungen (wofür es NICHT verwendet werden sollte)
- Ethische Überlegungen und bekannte Einschränkungen

3. Faktoren (relevante Merkmale)
- Berücksichtigte Gruppen oder Faktoren (Demografie, Geografien, Nutzungskontexte)
- Instrumentierungs- und Umweltfaktoren

4. Metriken
- Leistungsmetriken des Modells: [Genauigkeit, Präzision, Recall, F1, AUC usw.]
- Fairness- und Voreingenommenheitsmetriken: [demografische Parität, gleiche Chancen usw.]
- Entscheidungsschwellen und Abwägungen

5. Trainingsdaten
- Beschreibung und Quelle des Datensatzes
- Datenvorverarbeitung und Merkmalsengineering
- Größe und Aufteilung der Trainingsdaten
- Bekannte Voreingenommenheiten oder Einschränkungen in den Daten

6. Evaluierungsdaten
- Verwendeter(e) Evaluierungsdatensatz/-sätze
- Begründung für die Wahl des Datensatzes
- Angewandte Vorverarbeitung

7. Quantitative Analysen
- Gesamtleistungsergebnisse
- Leistung über Untergruppen hinweg (Fairness-Analyse)
- Konfidenzintervalle oder Unsicherheitsquantifizierung

8. Ethische Überlegungen
- Identifizierte potenzielle Schäden und Voreingenommenheiten
- Implementierte Minderungsstrategien
- Sensible Anwendungsfälle und Risikofaktoren

9. Einschränkungen und Empfehlungen
- Bekannte Einschränkungen und Fehlermodi
- Empfehlungen für verantwortungsvolle Nutzung
- Empfehlungen für Überwachung und Wartung

Our model: [provide details for each section based on your AI system]

Use this model card template for all AI systems to meet ISO 42001 documentation and transparency requirements.

Conduct a fairness assessment for [AI system name]:

System context:
- Entscheidungstyp: [Klassifizierung, Ranking, Empfehlung, Vorhersage]
- Betroffene Personen: [Kunden, Mitarbeiter, Kreditantragsteller, Studenten usw.]
- Geschützte Attribute: [Rasse, Geschlecht, Alter, Behinderung usw. - gemäß geltenden Antidiskriminierungsgesetzen]
- Mögliche Schäden: [Verweigerung von Dienstleistungen, unfaire Preisgestaltung, Diskriminierung, Rufschädigung]

Fairness assessment methodology:

1. Identifizierung geschützter Gruppen
- Definition sensibler Attribute und Gruppen (z. B. Geschlecht: männlich/weiblich/nicht-binär; Rasse: Kategorien)
- Feststellung, ob Stellvertreter für geschützte Attribute in den Daten existieren (Postleitzahl → Rasse, Name → Geschlecht)

2. Auswahl von Fairness-Metriken (passend zum Anwendungsfall auswählen)
- Demografische Parität: Gleiche positive Ergebnisraten über Gruppen hinweg
- Gleiche Chancen: Gleiche True-Positive- und False-Positive-Raten über Gruppen hinweg
- Vorhersageparität: Gleiche Präzision (positiver Vorhersagewert) über Gruppen hinweg
- Individuelle Fairness: Ähnliche Personen erhalten ähnliche Ergebnisse
- Kalibrierung: Vorhergesagte Wahrscheinlichkeiten entsprechen tatsächlichen Ergebnissen über Gruppen hinweg

3. Messung von Fairness
- Berechnung der gewählten Metriken für jede geschützte Gruppe
- Vergleich mit Fairness-Schwellenwerten (z. B. 4/5-Regel für unterschiedliche Auswirkungen)
- Identifizierung von Disparitäten und Voreingenommenheitsmustern

4. Analyse der Ursachen von Voreingenommenheit
- Datenverzerrung: Unterrepräsentation, historische Voreingenommenheit, Messverzerrung in Trainingsdaten
- Algorithmische Voreingenommenheit: Modell überanpasst an Mehrheitsgruppe, Merkmale korrelieren mit geschützten Attributen
- Einsatzverzerrung: Unterschiedliche Nutzungsmuster über Gruppen hinweg

5. Minderungsstrategien
- Vorverarbeitung: Neugewichtung von Trainingsdaten, Entfernung von Voreingenommenheit aus Daten, Ausgleich von Datensätzen
- Während der Verarbeitung: Fairness-bewusste Trainingsalgorithmen, adversariales Debiasing, Regularisierung
- Nachverarbeitung: Anpassung von Entscheidungsschwellen pro Gruppe, Neukalibrierung von Vorhersagen
- Strukturell: Entfernung oder Maskierung geschützter Attribute, Verwendung von Fairness-Beschränkungen

6. Analyse von Abwägungen
- Abwägungen zwischen Genauigkeit und Fairness (Minderung von Voreingenommenheit kann die Gesamtgenauigkeit verringern)
- Konflikte zwischen Fairness-Metriken (nicht alle Fairness-Definitionen können gleichzeitig erfüllt werden)
- Entscheidung über akzeptable Abwägungen basierend auf ethischen Prinzipien und rechtlichen Anforderungen

Document fairness assessment results, mitigation measures, and residual bias for ISO 42001 compliance and regulatory inquiries.

Our AI system: [describe system, decision context, and protected groups]

Test AI model robustness against adversarial attacks:

AI model: [name and type]
Attack surface: [inference API, model file, training pipeline]

Adversarial threat scenarios:

1. Umgehungsangriffe (zur Inferenzzeit)
- Adversariale Beispiele: Sorgfältig gestaltete Eingaben, die zu Fehlklassifizierungen führen
- Testmethoden: FGSM, PGD, C&W-Angriffe
- Abwehr: Adversariales Training, Eingabebereinigung, zertifizierte Robustheit

2. Vergiftungsangriffe (während des Trainings)
- Datenvergiftung: Einschleusen bösartiger Samples in Trainingsdaten
- Testmethoden: Label-Flipping, Backdoor-Injektion
- Abwehr: Datenvalidierung, Anomalieerkennung, robuste Trainingsalgorithmen

3. Modellextraktion/-diebstahl
- Abfrageangriffe zur Replikation des Modells
- Testmethoden: Modelldiebstahl über API-Abfragen
- Abwehr: Abfrageratenbegrenzung, Ausgabeperturbation, Wasserzeichen

4. Modellinversion
- Rekonstruktion von Trainingsdaten aus dem Modell
- Testmethoden: Mitgliedschaftsinferenz, Attributinferenz
- Abwehr: Differentielle Privatsphäre, Ausgaberundung, Abfragebeschränkungen

5. Prompt-Injection (für LLMs/generative KI)
- Bösartige Prompts, um Sicherheitsfilter zu umgehen oder sensible Informationen zu extrahieren
- Testmethoden: Jailbreaking-Prompts, indirekte Injection
- Abwehr: Prompt-Filterung, Ausgabeguardrails, Inhaltsmoderation

Robustness testing procedure:
- Generierung adversarialer Beispiele mit Angriffsbibliotheken (Adversarial Robustness Toolbox, CleverHans, Foolbox)
- Messung der Modellgenauigkeit bei adversarialen Eingaben
- Bewertung der Übertragbarkeit von Angriffen auf andere Modelle
- Dokumentation von Schwachstellen und Minderungsmaßnahmen
- Integration in CI/CD (automatisierte adversariale Tests)

Create robustness test suite and acceptance criteria: [e.g., model accuracy >X% on adversarial examples].

Address ISO 42001 control A.5.3 (robustness evaluation) and A.6.5 (security of AI system).

Implement continuous monitoring for AI systems per ISO 42001 control A.7.3:

AI system: [name]
Deployment: [production environment]

Monitoring dimensions:

1. Leistungsüberwachung
- Genauigkeit, Präzision, Recall, F1-Score (vs. Baseline)
- Vorhersagelatenz und Durchsatz
- Fehlerraten und -typen
- Nutzerfeedback und Korrekturen

2. Überwachung von Daten-Drift
- Änderungen der Eingabeverteilung (Covariate Shift)
- Statistische Tests: KL-Divergenz, Kolmogorov-Smirnov-Test, Population Stability Index (PSI)
- Erkennung von Merkmals-Drift
- Alarmierung bei Überschreitung von Schwellenwerten

3. Überwachung von Modell-Drift (Concept Drift)
- Leistungsabfall des Modells im Laufe der Zeit
- Änderungen der Ground-Truth-Verteilung
- Vergleich von Vorhersagen mit tatsächlichen Ergebnissen
- Auslöser für Modellneutraining

4. Fairness-Überwachung
- Laufende Fairness-Metriken nach demografischen Gruppen
- Überwachung unterschiedlicher Auswirkungen
- Alarmierung bei Fairness-Verschlechterung

5. Sicherheits- und Anomalieüberwachung
- Erkennung von Eingaben außerhalb der Verteilung (OOD-Erkennung)
- Anomale Vorhersagen (Vertrauensschwellen, Unsicherheitsschätzungen)
- Unsichere oder schädliche Ausgaben (Inhaltsmoderation, Sicherheitsklassifikatoren)

6. Sicherheitsüberwachung
- Erkennung adversarialer Angriffe
- Ungewöhnliche Abfragemuster (potenzielle Modellextraktion)
- Zugriffskontrolle und Authentifizierung für Modell-APIs

7. Überwachung der Erklärbarkeit
- Verfolgung der an Nutzer bereitgestellten Erklärungen
- Überwachung von Vorhersagen mit geringer Konfidenz, die menschliche Überprüfung erfordern
- Drift der Merkmalswichtigkeit

Monitoring implementation:
- Protokollierung und Telemetrie (Vorhersagen, Eingaben, Metadaten)
- Dashboards und Visualisierung (Grafana, benutzerdefinierte Dashboards)
- Alarmierungsregeln und -schwellenwerte
- Automatisierte Reaktionen (Circuit Breaker, Fallback auf einfacheres Modell, Eskalation an Menschen)
- Regelmäßige Überprüfungstreffen (wöchentliche/monatliche Modellgesundheitsüberprüfungen)

Create monitoring playbook: what to monitor, thresholds, alert recipients, response procedures.

Integration with incident management: AI-specific incidents (bias discovered, model drift, adversarial attack) → incident response procedure.

Develop an AI incident response procedure per ISO 42001 control A.8.1:

AI-specific incident types:

1. Voreingenommenheits- oder Fairness-Incidents
- Entdeckung diskriminierender Ergebnisse
- Schädigung geschützter Gruppen
- Überschreitung von Schwellenwerten für unterschiedliche Auswirkungen

2. Leistungsabfall des Modells
- Genauigkeit fällt unter akzeptables Niveau
- Erkennung von Modelldrift
- Systematische Fehler in Vorhersagen

3. Datenschutzvorfälle
- Leckage von Trainingsdaten
- Modellinversions- oder Mitgliedschaftsinferenzangriff
- Re-Identifizierung von Personen

4. Sicherheitsvorfälle
- Erfolgreicher adversarialer Angriff
- Modelldiebstahl oder -extraktion
- Erkennung von Datenvergiftung

5. Ethische oder reputationsbezogene Vorfälle
- Missbrauch oder unbeabsichtigte Folgen des KI-Systems
- Öffentliche Gegenreaktion oder Medienaufmerksamkeit
- Regulatorische Anfragen

6. Sicherheitsvorfälle
- Erfolgreicher adversarialer Angriff
- Modelldiebstahl oder -extraktion
- Erkennung von Datenvergiftung

Incident response workflow:

1. Erkennung und Meldung
- Automatisierte Erkennung (Überwachungsalarme)
- Nutzerberichte (Feedback-Mechanismen, Hotlines)
- Interne Entdeckung (Audits, Überprüfungen, Tests)

2. Ersteinschätzung und Triage
- Schweregradklassifizierung (kritisch/hoch/mittel/niedrig)
- Umfang und betroffene Nutzer
- Sofortige Eindämmung erforderlich? (KI-System offline nehmen, Rückkehr zu manuellen Prozessen)

3. Eindämmung und Minderung
- KI-System bei Bedarf offline nehmen
- Rollback auf vorherige Modellversion
- Implementierung temporärer kompensierender Kontrollen (menschliche Überprüfung, Ausgabefilterung)

4. Untersuchung und Ursachenanalyse
- Prüfung von Trainingsdaten, Modellverhalten, Vorhersagen
- Identifizierung der Quelle von Voreingenommenheit, Modellfehlern oder Angriffsvektoren
- Dokumentation der Ergebnisse

5. Behebung
- Neutraining des Modells mit korrigierten Daten oder Fairness-Beschränkungen
- Anwendung von Patches oder Abwehrmaßnahmen
- Aktualisierung von Verfahren zur Vermeidung von Wiederholungen

6. Kommunikation
- Benachrichtigung betroffener Personen (Transparenz)
- Regulatorische Meldung, falls erforderlich
- Interne Kommunikation (Führung, Recht, PR)
- Öffentliche Offenlegung (falls angemessen)

7. Wiederherstellung und Lessons Learned
- Wiedereinsatz des behobenen KI-Systems
- Verstärkte Überwachung auf Wiederholungen
- Aktualisierung von Risikobewertungen und Kontrollen
- Nachbereitung des Incidents und Dokumentation

Create incident response playbooks for each AI incident type with roles, timelines, and communication templates.

Ensure alignment with organizational incident management and ISO 42001 requirements.

Map our AI systems to EU AI Act requirements and align with ISO 42001:

AI system inventory: [list AI systems]

For each AI system, assess:

1. Risikoklassifizierung nach EU AI Act
- Verbotene KI: [biometrische Kategorisierung, Social Scoring, schädliche Manipulation, wahlloses Scraping] → Darf nicht eingesetzt werden
- Hochrisiko-KI: [CV-Screening, Kredit-Scoring, Strafverfolgung, kritische Infrastruktur, Medizinprodukte, biometrische Identifikation, Bildungs-/Beschäftigungsevaluation, essentielle Dienstleistungen] → Strenge Anforderungen
- Begrenztes Risiko: [Chatbots, Deepfakes, Emotionserkennung] → Transparenzpflichten
- Minimales Risiko: [KI-Videospiele, Spam-Filter] → Freiwillige Verhaltenskodizes

2. Anforderungen an Hochrisiko-KI (falls zutreffend)
- Risikomanagementsystem: ISO 42001 Abschnitte 6, 8.1 → KI-Risikobewertung und -behandlung
- Daten-Governance: ISO 42001 Kontrolle A.3 → Qualität der Trainingsdaten, Minderung von Voreingenommenheit
- Technische Dokumentation: ISO 42001 Kontrollen A.2.2, A.4.5 → Systemdokumentation, Modellkarten
- Aufzeichnung und Protokollierung: ISO 42001 Kontrolle A.7.1 → Automatisierte Protokolle für Auditierbarkeit
- Transparenz gegenüber Nutzern: ISO 42001 Kontrollen A.6.3, A.6.4 → Nutzerinformationen, Erklärbarkeit
- Menschliche Aufsicht: ISO 42001 Kontrolle A.6.7 → Mensch-in-der-Schleife-Mechanismen
- Genauigkeit, Robustheit, Cybersicherheit: ISO 42001 Kontrollen A.5.x, A.6.5 → Test- und Sicherheitsmaßnahmen

3. Anforderungen an KI mit allgemeinem Verwendungszweck (GPAI)
- Falls wir Foundation-Modelle oder GPAI bereitstellen: Transparenz, Einhaltung von Urheberrechten, Offenlegung des Energieverbrauchs
- Systemische Risikomodelle (großflächig): Adversariale Tests, Meldung schwerwiegender Vorfälle, Modellevaluation

4. Transparenzpflichten (alle KI)
- Nutzer über Interaktion mit KI informieren (EU AI Act Artikel 52)
- Kennzeichnung von Deepfakes
- Offenlegung von Emotionserkennung oder biometrischer Kategorisierung

Create compliance mapping table: AI system | AI Act classification | Applicable requirements | ISO 42001 controls addressing | Compliance status | Gaps

Develop AI Act compliance roadmap aligned with ISO 42001 implementation.

Note: EU AI Act enforcement begins phased in 2024-2026. Track implementation timelines for your AI systems.