Aikido Security hat die ISO 42001:2023-Zertifizierung erhalten – den internationalen Standard für Managementsysteme für künstliche Intelligenz, einen Schritt, den bisher nur wenige Sicherheitsanbieter gegangen sind. Die Zertifizierung bestätigt, dass Aikido über unsere gesamte Plattform hinweg ein strukturiertes, kontinuierlich verbessertes Governance-System zur Bewältigung der Risiken betreibt, die durch seine KI-gestützten Funktionen entstehen.
Was ist ISO 42001?
ISO 42001:2023 ist das erste Framework für KI-Governance, das speziell für eine unabhängige Zertifizierung durch Dritte entwickelt wurde. Während ISO 27001 die Informationssicherheit im Allgemeinen abdeckt, legt ISO 42001 Anforderungen fest, wie eine Organisation KI-Systeme verantwortungsvoll entwickelt, bereitstellt und überwacht und wie diese Governance bei Änderungen der KI selbst aktuell gehalten wird.
Zu diesen Anforderungen gehören die Definition von Systemgrenzen, die Festlegung einer KI-Richtlinie mit klaren Governance-Rollen, die Durchführung formaler Risiko- und Folgenabschätzungen, die Verfolgung von KI-Verhaltensmetriken sowie die Behebung von Konformitätsabweichungen und die Förderung kontinuierlicher Updates, während sich Modelle und Umgebungen weiterentwickeln.
ISO 42001 zertifiziert, dass Aikido über ein funktionierendes, geprüftes Managementsystem zur Steuerung der Risiken verfügt, die durch jegliche KI-Funktionen entstehen, einschließlich der Dokumentation und täglichen Überwachung dieser Risiken. Es ist so konzipiert, dass es auf alle KI-Systeme und -Kontexte anwendbar ist.
Warum wir die ISO 42001-Zertifizierung angestrebt haben
Mit zunehmender Nutzung von Agenten-Produkten verlagert sich die Verantwortung stärker auf die Entwickelnden der Systeme und weniger auf die Anwendenden der Tools. Daher ist es wichtig, die Vertrauenswürdigkeit eines nicht-deterministischen Systems durch eine unabhängige Absicherung des zugrunde liegenden SDLC zu demonstrieren. Durch die Zertifizierung nach ISO 42001 beweist Aikido, dass wir zuverlässige, vertrauenswürdige KI-Systeme entwickeln.
Zum Beispiel denkt Aikidost KI-Penetrationstests so durch Anwendungen wie ein Angreifer, während Code Security Audit Quellcode analysiert, um das zu finden, was musterbasierte Tools übersehen. Unten haben wir verschiedene andere KI-Tools aufgeführt.
Aikido bittet Kundinnen und Kunden darum, dem autonomen KI-Testen ihrer Anwendungen sowie der KI zu vertrauen, die bei der Erkennung, Triage und Behebung von Schwachstellen unterstützt. Die unabhängige Zertifizierung unserer eigenen KI-Governance zeigt unseren Kundinnen und Kunden, dass sie darauf vertrauen können, dass wir KI robust steuern. Wir nehmen die Sicherheit unserer Kundinnen und Kunden sehr ernst und möchten einen ethischen und verantwortungsvollen Umgang mit KI gewährleisten.
Sicherheits- und Compliance-Teams, die einen KI-fähigen Anbieter evaluieren, fragen mittlerweile wie selbstverständlich nach Governance und Datenverarbeitung. Die Regulierung zieht nach: Frameworks wie der EU AI Act veranlassen Beschaffungsteams dazu, den Nachweis einer KI-Governance zu fordern, bevor ein neues KI-Tool im Unternehmen eingeführt wird – selbst bei Anbietern, die nicht direkt unter das Framework fallen. Insbesondere für europäische Unternehmenskäufer ist die Compliance mit dem EU AI Act zu einem festen Bestandteil von Anbieter-Risikoprüfungen geworden.
Was im Geltungsbereich liegt
Die ISO 42001 bei Aikido umfasst das komplette Paket an KI-fähigen Funktionen auf der Plattform und erstreckt sich über Software und Hardware: KI-Penetrationstests (Aikido Attack, Aikido Infinite), On-Prem-KI-Penetrationstests (Aikido Machine), Code Security Audit, Deep PR Review, API-Scanning, Aikido Libraries, Aikido Images, AutoFix, AutoTriage, Aikido Intel, AI Cloud Search und Code Quality. Jede neue KI-Funktion, die in Zukunft bei Aikido eingeführt wird, folgt denselben geprüften Prozessen und derselben Governance.
Wie wir dorthin gelangt sind
Die Zertifizierung folgte demselben allgemeinen Weg wie jedes Audit von Managementsystemen nach ISO: einer internen Bereitschaftsprüfung, einem dokumentationsorientierten Stufe-1-Audit, das prüft, ob Richtlinien und Verfahren tatsächlich den Standard erfüllen, und einem Stufe-2-Audit, das testet, ob das Governance-System unter realen Kontrolltests standhält. Alle auf dem Weg gefundenen Abweichungen müssen behoben werden oder einen dokumentierten Behebungsplan aufweisen, bevor die Zertifizierung erteilt wird.
Da SOC 2 und ISO 27001 bereits aufgebaut waren, verfügte Aikido über einen Großteil der zugrunde liegenden Prozesse und Dokumentationen. Neu für die ISO 42001 war die gezielte Abbildung der KI-Schicht, die Nachverfolgung, wie jede KI-Funktion zu einer Entscheidung gelangt und welche Daten sie speisen, sowie die anschließende Einrichtung von Monitoring, um dies im Laufe der Zeit kontinuierlich zu überwachen.
Dies erforderte eine echte Zusammenarbeit zwischen Compliance, Entwicklung und GTM und hat unsere Arbeit mit unseren Cloud- und KI-Partnern gestärkt.
Was das bedeutet, wenn Sie einen KI-Sicherheitsanbieter evaluieren
Wenn Sie ein KI-gestütztes Sicherheitstool in eine regulierte Umgebung einführen, liefert Ihnen ISO 42001 eine unabhängig geprüfte Antwort darauf, ob die KI-Risiken tatsächlich gesteuert werden, anstatt sich auf die Zusicherung des Anbieters zu verlassen.
Unabhängig bewertete KI-Governance ist auf dem Markt für Sicherheitstools nach wie vor unüblich. Die meisten Anbieter, die KI-fähige Produkte verkaufen, verweisen nach wie vor auf ein unternehmensweites SOC 2 als ihr einziges Compliance-Signal, doch SOC 2 deckt allgemeine Sicherheitskontrollen ab. Eine dedizierte Zertifizierung für KI-Governance, die genau widerspiegelt, wie die KI eines Anbieters gesteuert wird, ist weitaus seltener.
Dies ist normalerweise das Ergebnis von Bürokratie und langsameren Prozessen, wie sie für die Kultur eines Unternehmens typisch sind. Es liegt in Aikidos DNA, schnell zu liefern und Kunden ein hohes Maß an Absicherung zu bieten. Aus diesem Grund haben wir hier die Zertifizierung erhalten.
FAQ
Bedeutet die ISO-42001-Zertifizierung, dass die KI von Aikido sicher ist? Die ISO 42001 zertifiziert, dass Aikido über ein funktionierendes, geprüftes Managementsystem zur Steuerung der Risiken verfügt, die durch seine KI-Funktionen entstehen. Das ist eine Zertifizierung des Governance-Systems. Sie zertifiziert nicht, dass ein einzelnes KI-Modell oder ein einzelnes Ergebnis sicher ist.
Inwiefern unterscheidet sich ISO 42001 von SOC 2? SOC 2 bewertet allgemeine Sicherheitskontrollen in einem Unternehmen. ISO 42001 ist spezifisch für KI: wie eine Organisation die Risiken, die ihre KI-Systeme mit sich bringen, dokumentiert und überwacht und wie diese Governance Schritt hält, wenn sich die KI verändert.
Ist ISO 42001 dasselbe wie KI-Governance-Software? KI-Governance-Software ist eine Kategorie von Tools, die Unternehmen nutzen, um KI-Risiken intern zu verfolgen und zu verwalten. ISO 42001 ist eine unabhängige Zertifizierung durch Dritte, die prüft, ob diese Governance tatsächlich funktioniert – unabhängig davon, welche Tools ein Unternehmen für deren Umsetzung nutzt.
Unser Zertifikat anfordern
Aikido erfüllt die Anforderungen nach ISO 27001:2022, ISO 42001 & SOC 2 Typ II des AICPA und implementiert aktiv FedRAMP. Wir sind vollständig DSGVO-konform.
Wenn Sie Aikido im Rahmen einer Compliance-Prüfung evaluieren, können Sie unsere ISO-42001-Zertifizierung über unser Trust Center anfordern.
