Nach vier Jahren intensiver Entwicklung liegt die Norm ISO/IEC 27090 nun vor und setzt neue Massstäbe für die Sicherheit von Künstlicher Intelligenz. Die Norm adressiert eine Lücke in den bisherigen Sicherheitsstandards: Während ISO 27001 seit Jahren bewährte Richtlinien für allgemeine IT-Sicherheit bietet, fehlte es bisher an spezialisierten Vorgaben für KI-Systeme und deren spezifische Angriffsvektoren.
ISO/IEC 27090 ergänzt ISO 27001 um ein umfassendes Katalog KI-spezifischer Bedrohungen. Die Norm beschreibt konkrete Angriffsszenarien, die bei Systemen mit Maschinellem Lernen und neuronalen Netzen auftreten können, etwa Modell-Vergiftung, Umgehungsangriffe oder Datenverlust durch Extraktion. Für jedes Risiko enthält die Norm praktische Gegenmassnahmen und Best Practices.
Das bedeutet konkret, dass Organisationen, die KI-basierte Lösungen einsetzen oder entwickeln, nun auf etablierte Standards verweisen können, um ihre Sicherheit nachzuweisen. Dies ist besonders wichtig für regulierte Industrien wie Finanzwesen, Gesundheitswesen oder Energie, wo Compliance-Anforderungen streng sind.
Für KMU-Dienstleister bedeutet die neue Norm mehreres: Erstens können sie ihren Kunden eine aktualisierte Sicherheitsrichtlinie anbieten, die auch moderne KI-Workloads abdeckt. Zweitens bietet die Norm einen strukturierten Rahmen, um Risiken bei der Implementierung von KI-Systemen systematisch zu evaluieren und zu mindern. Drittens schafft sie eine gemeinsame Sprache zwischen Anbietern und Kunden über KI-Sicherheitsanforderungen.
Unternehmen, die bereits ISO-27001-zertifiziert sind, können die neuen Anforderungen schrittweise in ihre bestehenden Systeme integrieren und ihre Compliance bei Bedarf erweitern. Die Norm ist damit kein Bruch mit bisherigen Standards, sondern deren sinnvolle Ergänzung für die KI-Ära.