AI ist längst Teil unserer Services. Sie klassifiziert Incidents, strukturiert Wissen, erkennt Muster in Betriebsdaten, unterstützt Entscheidungen, kommuniziert mit Kunden und Anwendern und löst zunehmend auch Aktionen in Prozessen und Systemen aus. Services werden dadurch nicht ersetzt. Aber immer mehr Services werden AI-enabled – und AI wird damit zu einem integralen Bestandteil des Service Operating Models.

Das verändert die Anforderungen an professionelles Service Management. Bei einem AI-enabled Service reicht es nicht mehr, nach Verfügbarkeit, Performance oder Informationssicherheit zu fragen. Wir müssen auch wissen, wie zuverlässig die eingesetzte AI arbeitet, auf welchen Daten ihre Ergebnisse beruhen, welche Entscheidungen sie beeinflusst, welche Aktionen sie selbständig auslösen darf und wer dafür die Verantwortung trägt. Spätestens bei zunehmend autonomen AI-Systemen wird aus einer technologischen Frage eine Governance-Frage. Eine AI Policy mit einigen erlaubten und verbotenen Anwendungsfällen schafft dafür keine ausreichende Kontrolle – Governance, die nur auf dem Papier existiert, definiert weder verbindliche Entscheidungsrechte noch klare Verantwortlichkeiten.

Gleichzeitig steigt der regulatorische Druck. Mit dem EU AI Act hat die Europäische Union einen risikobasierten Ordnungsrahmen geschaffen, der Responsible AI von einer freiwilligen Selbstverpflichtung zu einer nachweisbaren Managementaufgabe macht. Je nach Einsatz und Risikoklasse entstehen Anforderungen an Risikomanagement, Datenqualität, Transparenz, menschliche Aufsicht, Robustheit und Cybersecurity.

Damit werden Responsible AI und Trustworthiness zu Qualitätsmerkmalen eines AI-enabled Service. Kunden erwarten nicht nur, dass ein Service funktioniert. Sie erwarten zunehmend, dass die darin eingesetzte AI fair, transparent, sicher und verantwortungsvoll betrieben wird. Vertrauen entsteht nicht durch Versprechen – es entsteht durch nachweisbare Governance.

1. AI-enabled Services brauchen AI Governance

AI verändert Services nicht in ihrem Zweck: Sie schaffen weiterhin Value für Kunden und Anwender. Was sich verändert, ist die Art, wie dieser Value erzeugt wird. AI wird zu einer Capability innerhalb der Service-Erbringung – eingebettet in Anwendungen, Plattformen, Prozesse und Automatisierungen. Sie analysiert Incidents und schlägt Lösungen vor, erstellt Knowledge Articles, unterstützt Service Desk Agents, erkennt Anomalien, prognostiziert Kapazitätsengpässe oder hilft bei der Bewertung von Changes. Agentic AI geht einen Schritt weiter: Sie kann Aufgaben planen, Werkzeuge nutzen und innerhalb definierter Grenzen selbständig Aktionen auslösen.

Damit entsteht eine neue Qualität. Solange AI lediglich einen Lösungsvorschlag erstellt, bleibt die Entscheidung beim Menschen. Führt ein AI Agent jedoch selbständig eine Diagnose durch oder löst einen Workflow aus, wird AI unmittelbar Teil der operativen Service-Erbringung. Mit zunehmender Autonomie steigen die Anforderungen an Entscheidungsgrenzen, Berechtigungen, Monitoring, Eskalation und menschliche Eingriffsmöglichkeiten.

Entscheidend ist dabei der Kontext innerhalb des Services. Dasselbe Modell kann bei der Zusammenfassung eines Support-Tickets ein überschaubares Risiko darstellen, bei der automatischen Freigabe eines Changes oder einer medizinischen Empfehlung jedoch völlig andere Auswirkungen haben. Governance muss deshalb nicht nur das AI-System betrachten, sondern auch den Service, den Geschäftsprozess, die Daten, die betroffenen Stakeholder und die möglichen Auswirkungen.

Genau hier zeigt sich die Schwäche vieler heutiger Ansätze: Policies, Prinzipien und Gremien sind wichtig, bleiben aber wirkungslos, wenn sie nicht bestimmen, wie Entscheidungen im operativen Betrieb getroffen werden, wer Verantwortung trägt und wann eingegriffen werden muss. AI Governance muss deshalb als Operating Model funktionieren und Board Oversight, Executive Accountability, Business Ownership, Technology, Data sowie Risk und Assurance verbinden – nicht als zusätzliche Schicht neben dem Service Operating Model, sondern darin integriert.

Wir managen nicht AI anstelle von Services. Wir managen Services, die zunehmend AI-enabled sind – und deren Value, Qualität und Risiken deshalb auch von der eingesetzten AI abhängen.

Viele der dafür notwendigen Strukturen kennen wir längst: Governance, Policies, Rollen, Risk Management, Supplier Management, Security Management, Incident Management, Monitoring, interne Audits und Continual Improvement sind zentrale Elemente professioneller Managementsysteme. Was fehlt, ist ihre konsequente Erweiterung um die besonderen Eigenschaften und Risiken von AI. Die Frage lautet also nicht, ob wir ein weiteres Governance-Silo für AI benötigen – sondern wie wir unser bestehendes Managementsystem so erweitern, dass auch AI-enabled Services verantwortungsvoll und vertrauenswürdig gesteuert werden können. Genau hier setzt ISO/IEC 42001 an: Mit dem Artificial Intelligence Management System (AIMS) liefert die Norm einen strukturierten Ansatz, um Responsible AI von einer Sammlung guter Absichten in einen integralen Bestandteil des Operating Models zu überführen.

2. Responsible AI wird zum Qualitätsmerkmal eines Services

Service Management hat Qualität traditionell über Verfügbarkeit, Performance, Sicherheit, Kontinuität und Nutzererlebnis definiert. Mit AI-enabled Services kommt eine weitere Dimension hinzu: Können Kunden, Anwender und andere Stakeholder darauf vertrauen, wie AI innerhalb eines Services eingesetzt wird?

Trustworthiness entsteht nicht allein durch technische Qualität. Ein AI-System kann hochperformant und trotzdem ungeeignet für einen Service sein. Ein Modell kann präzise Resultate liefern und dennoch mit verzerrten Daten arbeiten. Eine automatisierte Entscheidung kann effizient sein und trotzdem nicht nachvollziehbar oder unfair ausfallen. Und ein AI Agent kann technisch exakt das tun, wofür er konfiguriert wurde, dabei aber Handlungsspielräume erhalten, die nie vorgesehen waren. Bei einem AI-enabled Service müssen wir deshalb nicht nur fragen, ob er funktioniert, sondern auch, wie seine AI zu Ergebnissen kommt und ob die Organisation die Auswirkungen verantworten kann.

Genau hier setzt Responsible AI an: eine Reihe von Prinzipien für den verantwortungsvollen Einsatz von AI – darunter Fairness, Transparenz, Accountability, Reliability & Safety, Privacy & Security, Ethics & Values, Human Control, Trustworthiness, Responsibility und Shared Benefit. Diese Prinzipien werden zu Qualitätsmerkmalen eines AI-enabled Service. Und ähnlich wie Security oder Availability lassen sie sich nicht nachträglich auf ein AI-System aufsetzen: Sie müssen bei Design, Beschaffung und Integration berücksichtigt und über den gesamten Lifecycle gesteuert werden.

Für Service Provider hat das eine konkrete Konsequenz: Kunden werden zunehmend wissen wollen, wo AI in einem Service eingesetzt wird, welche Daten verarbeitet werden, welche Entscheidungen AI beeinflusst und wie Risiken kontrolliert werden. Trustworthiness wird damit nicht nur zu einer Frage von Compliance, sondern von Servicequalität und letztlich von Vertrauen in den Provider.

Doch Prinzipien allein lösen dieses Versprechen nicht ein. Eine Organisation kann sich zu Fairness, Transparenz und Human Control bekennen und trotzdem nicht wissen, wer dafür verantwortlich ist, wie diese Anforderungen umgesetzt werden oder wie ihre Einhaltung nachgewiesen wird.

Responsible AI braucht ein System, das aus Prinzipien verbindliche Verantwortlichkeiten, Entscheidungen, Prozesse, Kontrollen und Nachweise macht. An diesem Punkt wird aus AI Governance ein Artificial Intelligence Management System.

3. Eine AI Policy ist noch kein Operating Model

Viele Organisationen haben auf den rasanten Einsatz von AI zunächst mit Guidelines, Policies und Governance-Prinzipien reagiert. Das ist richtig und notwendig. Doch eine Policy beschreibt nur die Absicht der Organisation. Sie beantwortet nicht, wie diese Absicht im täglichen Betrieb umgesetzt wird: Wer entscheidet über einen neuen AI Use Case? Wer bewertet dessen Risiken? Wer genehmigt den Einsatz? Wer überwacht das Verhalten im produktiven Betrieb? Wer darf eingreifen? Und wer trägt die Verantwortung, wenn ein AI-enabled Service falsche Ergebnisse liefert?

Genau hier liegt die Lücke zwischen dokumentierter und wirksamer Governance. Policies können vorhanden sein, Committees können tagen – und trotzdem verschwindet Governance dort, wo sie am wichtigsten wäre: bei der konkreten Entscheidung und in der operativen Service-Erbringung. Denn AI ist keine isolierte Technologie. Sie ist eingebettet in Services, Geschäftsprozesse, Daten, Applikationen und Lieferketten – und entsprechend müssen Verantwortung und Kontrolle dort verankert werden.

Ein Service Owner kann nicht die Verantwortung für einen AI-enabled Service tragen, ohne zu wissen, welches Modell darin eingesetzt wird, welche Entscheidungen es beeinflusst und welche Abhängigkeit von einem externen AI Provider besteht. Umgekehrt kann ein Data Scientist nicht für die geschäftlichen Auswirkungen eines Services verantwortlich gemacht werden, nur weil er das Modell entwickelt hat. Business Accountability, Service Ownership, Technology, Data, Risk, Security und Compliance müssen zusammenspielen – und zwar über den gesamten Lifecycle: von der Bewertung eines AI Use Case über Design, Beschaffung, Freigabe und Deployment bis zu Betrieb, Monitoring, Intervention und Retirement. Governance endet nicht mit der Freigabe für den produktiven Einsatz.

Das bedeutet nicht, ein zweites Operating Model aufzubauen. Ein AI Incident gehört nicht in einen separaten Parallelprozess, wenn bereits ein funktionierendes Incident Management existiert. Ein Wechsel des AI-Modells gehört in die bestehenden Change- und Release-Mechanismen, ein externer Model Provider in die bestehende Supplier Governance, die Risiken eines AI-enabled Service in das bestehende Risk Management.

Die Aufgabe besteht nicht darin, AI Governance neben das Operating Model zu stellen. Sie besteht darin, das Operating Model so weiterzuentwickeln, dass AI darin verantwortungsvoll gesteuert werden kann.

Dazu braucht es mehr als einzelne Ergänzungen bestehender Prozesse: einen systematischen Rahmen, der Responsible-AI-Prinzipien, Leadership, Verantwortlichkeiten, Risiken und Auswirkungen, Lifecycle Governance, Kontrollen, Monitoring und kontinuierliche Verbesserung verbindet. Genau diese Brücke schafft ISO/IEC 42001.

4. Von AI Governance zum Artificial Intelligence Management System

ISO/IEC 42001 schafft mit dem Artificial Intelligence Management System (AIMS) einen strukturierten Rahmen, um AI Governance nicht nur zu definieren, sondern in der Organisation wirksam zu verankern, zu betreiben und kontinuierlich weiterzuentwickeln. Für Service-Management-Organisationen ist die Logik dahinter nicht neu: Die Norm folgt der harmonisierten Struktur der ISO-Managementsystemnormen – Context, Leadership, Planning, Support, Operation, Performance Evaluation, Improvement – und damit derselben Managementlogik wie ein SMS nach ISO/IEC 20000-1 oder ein ISMS nach ISO/IEC 27001. Darin liegt eine ihrer grossen Stärken: AI Governance kann in das bestehende Managementsystem integriert werden.

Der Unterschied liegt in den zusätzlichen Fragestellungen. Ein AIMS verlangt unter anderem eine AI Policy und messbare AI Objectives, die systematische Bewertung und Behandlung von AI Risks sowie ein AI System Impact Assessment. Hinzu kommen operative Kontrollen, Monitoring, interne Audits, Management Reviews und Continual Improvement – AI wird über einen geschlossenen Managementkreislauf gesteuert:

AI Principles → AI Policy → AI Objectives → AI Systems & Use Cases → Risk & Impact Assessment → Controls → Operation & Monitoring → Assurance → Improvement

Der wesentliche Vorteil liegt nicht in zusätzlicher Dokumentation, sondern in der Verbindung von strategischen Vorgaben mit operativer Umsetzung: Die Unternehmensleitung gibt Richtung und Risikobereitschaft vor, Verantwortlichkeiten werden festgelegt, AI-Systeme und Nutzungskontexte identifiziert, Risiken und Auswirkungen analysiert, Kontrollen definiert und deren Wirksamkeit überwacht. Erkenntnisse aus Incidents, Audits und Monitoring fliessen in die Verbesserung zurück. Gerade für AI-enabled Services ist das entscheidend, denn ein AI-System wirkt nie isoliert: Es ist Bestandteil eines Services, nutzt Daten, interagiert mit Menschen und hängt häufig von externen Modellen, Cloud-Plattformen oder Providern ab.

Die AI Policy sagt, was die Organisation will. Das AIMS sorgt dafür, dass daraus Verantwortlichkeiten, Entscheidungen, Kontrollen, Nachweise und kontinuierliche Verbesserung entstehen.

Für Organisationen mit einem etablierten Service Management System bedeutet ISO/IEC 42001 deshalb nicht, bei null zu beginnen. Bestehende Strukturen müssen nicht dupliziert, sondern gezielt um AI-spezifische Anforderungen erweitert werden. Das Ziel ist nicht ein SMS auf der einen und ein AIMS auf der anderen Seite, sondern ein integriertes Managementsystem, das sowohl die Qualität und den Value der Services als auch den verantwortungsvollen Einsatz von AI steuert. Dafür braucht es zunächst einen verbindlichen Orientierungspunkt: Prinzipien, anhand derer die Organisation beurteilen kann, was Responsible AI für ihre Services konkret bedeutet.

5. Prinzipien als Kompass für Responsible AI

Ein Managementsystem braucht Regeln, Prozesse und Kontrollen. Bei AI reicht das allein nicht: Technologie und Nutzungsmöglichkeiten entwickeln sich zu schnell, als dass jede zukünftige Situation heute schon geregelt werden könnte. Organisationen brauchen einen verlässlichen Kompass für Entscheidungen – Prinzipien, die nicht als ethische Präambel einer AI Policy enden, sondern Entscheidungen im Operating Model beeinflussen: beim Service Design, bei der Auswahl von Providern und Modellen, bei Risikobewertungen, Freigaben und im laufenden Betrieb. Zehn Prinzipien sind besonders relevant:

1. Fairness

Ein AI-System sollte Menschen oder Gruppen nicht systematisch benachteiligen. Das beginnt bei den Daten: Sind Trainings- oder Referenzdaten unvollständig, nicht repräsentativ oder verzerrt, können auch die Ergebnisse diskriminierend sein. Ob AI Kreditanträge bewertet, Bewerbungen vorsortiert oder Kundenanfragen priorisiert – Fairness ist nicht nur eine ethische Frage, sondern eine Frage von Daten- und Servicequalität.

2. Transparenz

Nicht jede interne Berechnung eines komplexen Modells lässt sich vollständig erklären. Transparenz bedeutet aber, dass Zweck, Einsatzgebiet, Datenbasis, Funktionsweise und Grenzen eines AI-Systems nachvollziehbar sind – und dass Kunden und Anwender erkennen können, wann sie mit AI interagieren. Der EU AI Act sieht dafür entsprechende Transparenzpflichten vor.

3. Accountability

Wer ist rechenschaftspflichtig für die Entscheidungen und Auswirkungen eines AI-Systems? Die Antwort kann nicht lauten: «Die AI hat so entschieden.» Die Organisation bleibt verantwortlich – auch wenn ein Modell von einem externen Provider stammt oder eine Entscheidung weitgehend automatisiert erfolgt. Accountability muss vom Management bis zum Business und Service Ownership eindeutig geregelt sein.

4. Reliability & Safety

Ein AI-enabled Service muss verlässliche und für seinen Zweck geeignete Ergebnisse liefern. Je kritischer der Nutzungskontext, desto höher die Anforderungen: Für einen Textentwurf kann gelegentliche Fehleranfälligkeit akzeptabel sein, für medizinische Empfehlungen oder sicherheitskritische Entscheidungen nicht. Reliability und Safety müssen deshalb immer im Kontext des jeweiligen Services beurteilt werden.

5. Privacy & Security

AI verarbeitet grosse Datenmengen, nutzt externe Modelle und APIs und erhält zunehmend Zugriff auf Anwendungen und technische Ressourcen. Damit entstehen zusätzliche Angriffsflächen – vom unzulässigen Zugriff auf personenbezogene Informationen über kompromittierte Modelle bis zu Data Poisoning und Manipulation von Eingaben. Privacy und Security müssen über den gesamten AI Lifecycle in die bestehenden Security Controls integriert werden.

6. Ethics & Values

Nicht alles, was technisch möglich und rechtlich zulässig ist, ist mit den Werten einer Organisation und den Erwartungen ihrer Stakeholder vereinbar. Gerade bei Entscheidungen mit erheblichen Auswirkungen auf Menschen braucht es einen zusätzlichen Orientierungsrahmen für Design- und Einsatzentscheidungen.

7. Human Control

Automatisierung bedeutet nicht Kontrollverzicht. Je grösser die mögliche Auswirkung einer AI-basierten Entscheidung, desto wichtiger werden Human Oversight und Eingriffsmöglichkeiten. Das Operating Model muss definieren, welche Entscheidungen AI selbständig treffen darf, wann eine menschliche Freigabe erforderlich ist und unter welchen Bedingungen ein AI-System eingeschränkt oder gestoppt werden muss.

8. Trustworthiness

Trustworthiness ist die Resultante vieler dieser Prinzipien. Vertrauen lässt sich nicht per Policy verordnen. Es entsteht, wenn Kunden, Mitarbeitende und andere Stakeholder begründet davon ausgehen können, dass AI fair, transparent, verlässlich und sicher eingesetzt wird. Für AI-enabled Services wird Trustworthiness damit zum Qualitätsmerkmal.

9. Responsibility

Accountability und Responsibility sind eng verbunden, aber nicht identisch. Accountability beantwortet, wer für das Ergebnis rechenschaftspflichtig ist. Responsibility klärt, wer konkret welche Aufgaben wahrnimmt: Wer stellt Datenqualität sicher? Wer validiert ein Modell? Wer überwacht dessen Performance? Wer reagiert auf Abweichungen? Diese Verantwortlichkeiten müssen über den gesamten AI Lifecycle definiert sein.

10. Shared Benefit

AI soll Value erzeugen – auch für die Organisation, die sie einsetzt. Responsible AI erweitert diese Betrachtung auf weitere Stakeholder: Wer profitiert von einem AI-enabled Service? Wer könnte Nachteile erfahren? Welche Auswirkungen entstehen für Kunden, Mitarbeitende, Partner oder die Gesellschaft? Gerade dieses Prinzip verbindet Responsible AI mit einem zentralen Gedanken des Service Managements: Value entsteht nicht isoliert beim Provider, sondern in der Beziehung mit Stakeholdern.

Prinzipien allein schaffen allerdings noch keine vertrauenswürdige AI. Ihre Bedeutung zeigt sich erst, wenn sie operationalisiert werden: Fairness muss zu Anforderungen an Datenqualität und Tests führen, Transparency zu Dokumentation und Kommunikation, Accountability zu klaren Entscheidungsrechten, Human Control zu Freigabe- und Eskalationsmechanismen, Reliability zu Messgrössen und Monitoring.

Prinzipien werden erst dann zu Governance, wenn sie Entscheidungen, Services und das Operating Model tatsächlich beeinflussen.

Und genau hier stellt sich eine für das AIMS zentrale Frage: Wie beurteilen wir nicht nur die Risiken für unsere Organisation, sondern auch die Auswirkungen, die ein AI-enabled Service auf andere haben kann?

6. Vom Risk Assessment zum AI System Impact Assessment

Risk Management ist für Service-Management-Organisationen nichts Neues. Im Vordergrund steht dabei meist eine Frage: Was könnte die Erbringung unseres Services, seine Qualität, Verfügbarkeit oder Sicherheit beeinträchtigen? Mit AI reicht diese Perspektive nicht mehr aus. Ein AI-enabled Service kann nicht nur selbst Risiken ausgesetzt sein – er kann durch seine Entscheidungen, Empfehlungen oder Aktionen auch Auswirkungen auf Menschen, Organisationen und andere Stakeholder verursachen. Deshalb verlangt ISO/IEC 42001 neben dem AI Risk Assessment ausdrücklich ein AI System Impact Assessment:

Risk Assessment fragt: Was kann unserem Service passieren? Impact Assessment fragt zusätzlich: Was kann unser AI-enabled Service bei anderen bewirken?

Zwei Beispiele machen den Unterschied deutlich. Ein AI-enabled Service sortiert Bewerbungen vor: Aus klassischer Risikosicht werden falsche Ergebnisse, mangelnde Verfügbarkeit oder Datenschutzverletzungen betrachtet. Das Impact Assessment fragt zusätzlich: Werden bestimmte Bewerbergruppen systematisch benachteiligt? Können Betroffene die Entscheidung nachvollziehen? Welche Folgen hat eine falsche Empfehlung für eine Person? Oder ein AI-System priorisiert Incidents am Service Desk: Für die Organisation besteht das Risiko einer Service-Level-Verletzung. Die Auswirkungen können jedoch weiter reichen – bis zur Beeinträchtigung geschäftskritischer Prozesse eines Kunden oder, im Gesundheitswesen, bis zu betroffenen Patienten.

ISO/IEC 42005 vertieft diese Perspektive: Ein Impact Assessment betrachtet Auswirkungen eines AI-Systems auf Individuen, Gruppen und die Gesellschaft systematisch und verbindet sie mit dem AI Risk Management und dem AIMS. Dabei geht es nicht nur um mögliche Schäden – auch positive Auswirkungen, unbeabsichtigte Nutzung und vorhersehbarer Missbrauch gehören zur Betrachtung. Damit erhält das Prinzip des Shared Benefit eine operative Bedeutung, und die Value-Perspektive des Service Managements wird konsequent erweitert:

Value – Risk – Impact.

Diese drei Perspektiven gehören zusammen. Ein AI Use Case kann erheblichen Business Value versprechen und beherrschbare Risiken aufweisen – und trotzdem nicht verantwortbar sein, wenn seine Auswirkungen auf Betroffene nicht akzeptabel sind. Umgekehrt können positive Auswirkungen auf Kunden oder Mitarbeitende ein wesentlicher Teil des Business Case sein.

Das Impact Assessment ist dabei keine einmalige Compliance-Übung vor der Einführung. AI-Systeme verändern sich: Modelle werden aktualisiert, Datenbestände und Nutzungskontexte ändern sich, Use Cases werden erweitert. Das Operating Model muss deshalb klären, wer ein Impact Assessment durchführt, wer die Ergebnisse bewertet, wer Auswirkungen akzeptieren darf und wann eine erneute Bewertung erforderlich wird. Der EU AI Act verstärkt diese Entwicklung: Sein risikobasierter Ansatz orientiert sich an möglichen Schäden für Gesundheit, Sicherheit und fundamentale Rechte.

Ein professionell gemanagter AI-enabled Service muss nicht nur zuverlässig Value liefern und seine Risiken beherrschen. Die Organisation muss auch verstehen und verantworten können, welche Auswirkungen dieser Service auf seine Stakeholder hat.

7. Vom Service Management System zum integrierten Management System

Wenn AI Governance integraler Bestandteil des Operating Models sein soll, stellt sich die nächste Frage: Braucht eine Organisation dafür ein zusätzliches, eigenständiges Managementsystem? Für Unternehmen mit einem etablierten Service Management System lautet die Antwort: Nein – zumindest nicht als parallele Managementstruktur. ISO/IEC 42001 bietet vielmehr die Chance, das bestehende SMS gezielt um die Anforderungen an Responsible AI zu erweitern und zu einem integrierten Management System (IMS) weiterzuentwickeln.

Die Voraussetzungen dafür sind günstig: Ein funktionierendes SMS verfügt bereits über Policies und Objectives, definierte Rollen, Risk Management, Supplier Management, Information Security, Incident Management, Monitoring, interne Audits, Management Reviews und Continual Improvement. Das AIMS ergänzt diese Strukturen um die spezifischen Anforderungen von AI. Organisationen, die zusätzlich ein ISMS nach ISO/IEC 27001 betreiben, haben eine besonders gute Ausgangslage.

Nicht SMS + ISMS + AIMS als drei Silos, sondern ein gemeinsames IMS als integraler Bestandteil des Operating Models – das Service Value, Information Security, Responsible AI, Risk, Impact und Trustworthiness integriert steuert.

8. ISO/IEC 20000-1, ISO/IEC 27001 und ISO/IEC 42001 gemeinsam denken

Der Schritt zum integrierten Management System ist mehr als eine Frage der Effizienz. Er folgt einer einfachen Realität: Services, Information Security und AI lassen sich im Operating Model nicht unabhängig voneinander steuern. Ein AI-enabled Service bleibt zunächst ein Service – er muss Value liefern, verfügbar und verlässlich sein. Gleichzeitig verarbeitet er Informationen und ist Cyberrisiken ausgesetzt. Und mit AI kommen zusätzliche Fragen hinzu: Ist das System fair? Sind seine Ergebnisse nachvollziehbar? Wo braucht es Human Control?

Genau diese Perspektiven adressieren die drei Normen: ISO/IEC 20000-1 stellt die wirksame Planung, Erbringung und kontinuierliche Verbesserung von Services in den Mittelpunkt. ISO/IEC 27001 fokussiert auf den Schutz von Informationen und die Steuerung von Informationssicherheitsrisiken. ISO/IEC 42001 ergänzt die verantwortungsvolle Entwicklung, Bereitstellung und Nutzung von AI samt der damit verbundenen Risiken und Auswirkungen.

Die gute Nachricht: Dafür müssen keine drei getrennten Managementwelten entstehen. Alle drei Normen folgen der harmonisierten Struktur der ISO-Managementsystemnormen und sind ausdrücklich darauf ausgelegt, integriert zu werden. Viele zentrale Mechanismen lassen sich gemeinsam nutzen: Kontext- und Stakeholderanalyse, Policies und Objectives, Governance und Verantwortlichkeiten, Risk Management, dokumentierte Informationen, Supplier Management, Monitoring, interne Audits, Management Reviews und Continual Improvement. Ein Service Owner braucht keine drei Governance-Strukturen, je nachdem, ob eine Frage Servicequalität, Informationssicherheit oder AI betrifft – er braucht klare Verantwortlichkeiten und Eskalationswege, die diese Perspektiven zusammenführen.

Das bedeutet allerdings nicht, die Unterschiede zu verwischen. Integration bedeutet gemeinsame Führung und Steuerung – nicht Gleichmacherei. AI Risk und Impact Assessment bleiben spezifische Fähigkeiten des AIMS, Security Controls behalten ihre fachliche Tiefe, und Service Management bleibt verantwortlich für die durchgängige Steuerung der Services. Das IMS schafft den gemeinsamen Rahmen, in dem diese Fähigkeiten zusammenspielen.

Wie wichtig das ist, zeigt ein AI-enabled Service besonders deutlich: Eine neue AI-Funktion kann gleichzeitig eine Veränderung des Services, ein Informationssicherheitsrisiko und ein AI-spezifisches Risiko darstellen. Sie kann einen Change erforderlich machen, einen externen Provider einbeziehen, personenbezogene Daten verarbeiten und Auswirkungen auf Kunden haben. Diese Fragen nacheinander in unterschiedlichen Governance-Silos zu behandeln, wäre weder effizient noch wirkungsvoll.

Ein integriertes Management System führt nicht Normen zusammen, sondern Managemententscheidungen.

Genau darin liegt sein Mehrwert: Die Unternehmensleitung erhält eine gemeinsame Sicht auf Value, Risk und Impact. Service Owner verstehen die AI- und Security-Abhängigkeiten ihrer Services. Risiken werden übergreifend bewertet und eskaliert. Audits und Management Reviews betrachten nicht isolierte Managementsysteme, sondern die Wirksamkeit des Operating Models als Ganzes. Aus SMS, ISMS und AIMS entsteht so nicht mehr Governance – sondern bessere Governance.

9. Das Ziel: AI Governance als integraler Bestandteil des Operating Models

Mit einem integrierten Management System ist die Arbeit nicht abgeschlossen. Sein eigentlicher Wert zeigt sich erst im täglichen Betrieb. Entscheidend ist nicht, wie sauber SMS, ISMS und AIMS auf dem Papier zusammengeführt wurden, sondern ob ihre Anforderungen tatsächlich Bestandteil der Führung und Steuerung der Organisation geworden sind.

Das Operating Model beschreibt, wie Strategie in operative Realität übersetzt wird: durch Verantwortlichkeiten, Entscheidungsrechte, Prozesse, Informationen, Technologien und Governance. Konkret heisst das: Ein neuer AI Use Case wird nicht ausserhalb der etablierten Governance beurteilt, sondern fliesst in den bestehenden Demand-, Portfolio- oder Service-Design-Prozess ein. Dort werden nicht nur Business Value, Kosten und Machbarkeit betrachtet, sondern auch AI Risks, mögliche Auswirkungen, Datenanforderungen, Security, regulatorische Anforderungen und die notwendigen Human Controls. Die Entscheidung über den Einsatz von AI wird zu einer normalen Managemententscheidung – erweitert um eine neue Risikodimension.

Dasselbe gilt für den Betrieb: Der Service Owner kennt die AI-Komponenten und Abhängigkeiten seines Services. Supplier Management berücksichtigt AI Provider und Modelle in der Lieferkette. Change Enablement kontrolliert relevante Veränderungen an Modellen, Daten und Konfigurationen. Monitoring erkennt, wenn Reliability nachlässt oder Ergebnisse unerwartet abweichen. Und Incident Management funktioniert auch dann, wenn nicht ein Server ausfällt, sondern ein AI-System unerwartete oder nicht akzeptable Ergebnisse liefert. AI verändert damit nicht die grundlegende Logik des Service Managements – sie erweitert dessen Steuerungsbedarf.

Ein funktionierendes Operating Model muss deshalb zentrale Fragen jederzeit beantworten können: Welche AI setzen wir ein? In welchen Services und für welchen Zweck? Wer trägt Accountability, wer die operative Responsibility? Welche Daten und Provider sind beteiligt? Welche Risiken und Auswirkungen wurden akzeptiert? Welche Entscheidungen darf AI selbständig treffen, und wo ist Human Control zwingend? Wie überwachen wir das Verhalten – und wer kann eingreifen, wenn definierte Grenzen überschritten werden? Gerade der letzte Punkt wird mit zunehmender Autonomie entscheidend. Das ist der Unterschied zwischen AI Governance auf dem Papier und Responsible AI in der Praxis.

ISO/IEC 42001 liefert dafür den Managementsystemrahmen, ISO/IEC 27001 die etablierte Steuerung von Informationssicherheitsrisiken, und ISO/IEC 20000-1 verbindet beides mit der Erbringung und kontinuierlichen Verbesserung von Services. Der Nutzen eines solchen IMS liegt nicht darin, drei Zertifikate an die Wand hängen zu können. Er liegt in einer gemeinsamen Managementlogik für Value, Risk, Impact und Trust.

10. Der Kreis schliesst sich: AI-enabled Service Governance

Am Anfang stand die Frage, was passiert, wenn AI schneller in Unternehmen Einzug hält, als Governance, Verantwortlichkeiten und Kontrollen folgen können. Eine AI Policy allein beantwortet diese Frage nicht. Und auch ein AIMS entfaltet seinen Wert erst dann vollständig, wenn seine Anforderungen dort wirksam werden, wo AI tatsächlich eingesetzt wird: in Produkten, Services, Prozessen und täglichen Entscheidungen. Genau hier beginnt AI-enabled Service Governance.

AI ist nicht länger nur eine Technologie, die Services unterstützt. Sie wird selbst zum Bestandteil der Serviceerbringung: Sie analysiert, priorisiert, empfiehlt, entscheidet und führt mit Agentic AI zunehmend selbständig Aktionen aus. Damit verändert sich nicht nur die Technologie eines Services, sondern auch dessen Governance – eingebettet in den gesamten Lifecycle, von der ersten Idee über Design und Einführung bis zu Betrieb, Support und Continual Improvement.

Besonders deutlich wird das im Betrieb: AI-enabled Services lassen sich nicht abschliessend vor dem Go-live beurteilen. Modelle verändern ihr Verhalten, Daten und Nutzungsmuster ändern sich, Abhängigkeiten zu Providern entwickeln sich weiter. Governance wird zu einem kontinuierlichen Prozess aus Monitoring, Observability, Assurance und Improvement. Fehlerquoten, Model Drift, Overrides, Incidents, Beschwerden, Supplier Performance und Audit Findings werden zu Governance-Signalen.

Wir steuern nicht mehr nur Services, die AI verwenden. Wir müssen Services steuern, deren Verhalten zunehmend durch AI mitbestimmt wird.

ISO/IEC 42001 schafft dafür den Managementsystemrahmen. Ein integriertes Management System verbindet AI Management mit den bestehenden Strukturen für Service Management, Information Security, Risk und Continual Improvement. AI-enabled Service Governance bringt diese Anforderungen in die operative Realität der Services. Denn Kunden werden kaum danach fragen, wie umfassend ein AI Governance Framework dokumentiert ist. Sie erwarten etwas wesentlich Einfacheres:

Services, die funktionieren. Services, die verantwortungsvoll handeln. Und Services, denen sie vertrauen können.

AI verändert unsere Services. AI-enabled Service Governance stellt sicher, dass wir trotzdem die Kontrolle und Verantwortung behalten.