Lancashire Digital • Kevin Lancashire, Oktober 2026
Wo Governance endet und die Realität beginnt
ISO/IEC 42001 stärkt Ihre KI-Governance. Die Norm kontrolliert jedoch nicht, was öffentliche KI-Modelle Ihren Kunden über Ihre Produkte erzählen.
Der Rahmen und die Realität
Genau darin liegt die Lücke. ISO/IEC 42001 verlangt Überwachung, Messung, Analyse und Bewertung (Klausel 9.1). Die Kontrollen zur Verifizierung, Validierung sowie zum Betrieb und zur Überwachung von KI-Systemen (Anhang A.6.2.4 und A.6.2.6) gelten für die KI-Systeme, die Ihre Organisation betreibt. Öffentliche Modelle Dritter gehören nicht zu diesem Anwendungsbereich.
Einordnung in Ihre Risikobeurteilung
Ob das, was öffentliche KI-Modelle über Ihre Produkte sagen, in Ihre KI-Risikobeurteilung nach Klausel 6.1.2 aufgenommen wird, entscheidet Ihre Organisation. Entscheiden Sie sich für ein Monitoring, müssen die Nachweise von aussen kommen. Die Norm liefert den Rahmen – die Suche übernimmt ihn nicht.
ISO/IEC 42001 im Vergleich zu AI Answer Auditing
Abdeckung
ISO/IEC 42001: Dokumentiert Richtlinien, Risikokontrollen und Arbeitsabläufe für die KI-Systeme, die Ihre Organisation entwickelt, bereitstellt oder nutzt.
AI Answer Auditing: Überprüft, wie öffentliche KI-Assistenten Fragen von Patientinnen, Patienten, Ärztinnen, Ärzten und Kunden beantworten.
Von innen nach aussen – und umgekehrt
ISO/IEC 42001: Regelt von innen heraus, wie Ihre Organisation KI entwickelt, bereitstellt und nutzt.
AI Answer Auditing: Prüft von aussen nach innen, was ChatGPT, Claude, Gemini und Perplexity über Ihre Produkte antworten – automatisiert über APIs und, wo relevant, direkt aus den Anwendungen heraus.
Rahmenwerk versus faktische Korrektheit
ISO/IEC 42001: Betrachtet Kontrollen, Prozesse und die KI-Systeme innerhalb Ihrer Organisation.
AI Answer Auditing: Prüft die faktische Korrektheit öffentlicher Antworten anhand freigegebener Referenztexte.
Prüfung & Verifizierung
ISO/IEC 42001: Die betreibende Organisation bewertet das KI-System; eine Zertifizierungsstelle bewertet das Managementsystem.
AI Answer Auditing: Ergänzt eine unabhängige Evaluation gegen freigegebene Referenztexte, kombiniert mit einer menschlichen Expertenprüfung.
Ausserhalb des Regelwerks: Was in der Praxis passiert
In einer aktuellen, unabhängigen Analyse eines OTC-Arzneimittels habe ich untersucht, wie ein öffentliches KI-Modell – Gemini über eine API, mit und ohne Websuche – zehn typische Fragen von Patientinnen, Patienten und medizinischem Fachpersonal beantwortet. Jede Antwort wurde anschliessend mit den genehmigten Produktinformationen abgeglichen. In der Schweiz ist dies der in Swissmedic AIPS publizierte Text; für zentral zugelassene Arzneimittel in der EU ist die entsprechende Referenz die SmPC (Summary of Product Characteristics) der EMA.
Audit-Prüfkriterien
Das Audit prüft jede Antwort auf drei Arten von Lücken: fehlende oder abgeschwächte Sicherheitsinformationen, sachliche Aussagen im Widerspruch zum genehmigten Text sowie Behauptungen, die sich nicht auf die genehmigte Quelle zurückführen lassen. Zusätzlich wird erfasst, ob das Produkt überhaupt namentlich genannt wird.
Sicherheitsinformationen abgeschwächt
Eine im genehmigten Text enthaltene Altersbeschränkung fehlte in den Antworten. Bei Schwangerschaft und Stillzeit hiess es «grundsätzlich ja», obwohl der genehmigte Text die vorherige Konsultation einer Ärztin, eines Arztes oder einer Apothekerin bzw. eines Apothekers verlangt.
Faktischer Widerspruch
Die Antworten behaupteten eine Kompatibilität, vor der der genehmigte Text ausdrücklich warnt.
Sichtbarkeits-Lücken
Bei einer allgemeinen Kategoriefrage nannte das Modell das Produkt in einem Fall und liess es in einem vergleichbaren Fall vollständig weg.
Das Fazit
In dieser Analyse waren die Dosierungsangaben in jeder Antwort korrekt. Die Lücken lagen woanders: Keine davon würde in einem Prozess-Audit auftauchen. Alle traten in Antworten auf alltägliche Patientenfragen auf.
Zwei Ebenen statt einer
Ein häufiger Einwand lautet: «Unser internes Tech-Team hat bereits Monitoring-Tools gebaut.» Diese Tools sind wertvoll. Sie bilden jedoch die erste Schicht, nicht das gesamte Gebäude.
Für das, was öffentliche KI-Modelle über Ihre Produkte sagen, gibt es weder eine vorgeschriebene Selbstprüfung noch externe Audits. Ein internes Skript ist ein guter erster Schritt. Es kann jedoch keinen unabhängigen, quellgesicherten Nachweis ersetzen, wenn eine Regulierungsbehörde, das Risk Committee des Verwaltungsrats oder die Compliance-Leitung einen Sorgfaltsnachweis verlangt.
Eine unabhängige Verifizierung erfordert keinen Zugriff auf Ihre interne IT – aber:
1. Eine verbindliche Referenzgrundlage: Jede Antwort wird strikt gegen den genehmigten Swissmedic- oder EMA-Text geprüft – nicht gegen das, was plausibel erscheint.
2. Zwei Bewertungsebenen: Ein automatisiertes Bewertungssystem prüft jede Antwort gegen die gesperrte Referenzgrundlage; im vollständigen Audit verifiziert eine fachkundige Person jeden Befund, bevor er berichtet wird.
3. Ein versioniertes Antwort-Protokoll: Modell, Datum und wörtliche Antworten werden alle 14 bis 28 Tage dokumentiert, damit Veränderungen im Modellverhalten sichtbar werden.
Das Fazit
ISO/IEC 42001 ist notwendig. Sie ist nicht hinreichend. Von innen heraus lässt sich nicht prüfen, was öffentliche KI draussen erzählt.
Fordern Sie Ihren kostenlosen AI Answer Snapshot an
Möchten Sie einen unabhängigen Blick von aussen darauf werfen, was öffentliche KI über Ihre Produkte sagt? Ich biete einen kostenlosen AI Answer Snapshot für qualifizierte Pharma-, OTC- und MedTech-Unternehmen an: [5 / 10] Fragen, bewertet gegen Ihre offiziellen Swissmedic-AIPS- oder EMA-Produktinformationen. Das ist die erste Evaluierungsebene – ausreichend, um zu prüfen, ob diese Lücke für Ihr Produkt besteht.
Kontaktieren Sie mich mit einem Produktnamen, um Ihren kostenlosen AI Answer Snapshot anzufordern.
Quellen
- ISO/IEC 42001:2023 – Klausel 6.1.2 (KI-Risikobeurteilung); Klausel 9.1 (Überwachung, Messung, Analyse und Bewertung); Anhang A.6.2.4 (Verifizierung und Validierung von KI-Systemen); Anhang A.6.2.6 (Betrieb und Überwachung von KI-Systemen)
- EU-GMP-Leitfaden, Kapitel 9 (Selbstinspektion); Delegierte Verordnung (EU) 2017/1572, Artikel 14
- EMA-Leitlinie zur guten Pharmakovigilanz-Praxis (GVP)
