Was ist die ISO/IEC 42001?
Die ISO/IEC 42001 wurde im Dezember 2023 veröffentlicht und ist die erste internationale Norm, die Anforderungen an ein Managementsystem für Künstliche Intelligenz festlegt. Im Fachjargon heißt das AIMS (Artificial Intelligence Management System). Sie gilt für jede Organisation, die KI-Systeme entwickelt, anbietet oder nutzt, unabhängig von Größe und Branche.
Die Norm folgt derselben Grundstruktur wie ISO 9001 (Qualität) und ISO/IEC 27001 (Informationssicherheit). Wer eines dieser Systeme kennt, findet sich sofort zurecht: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung. Dazu kommt ein Anhang mit 38 konkreten Maßnahmen, die auf KI zugeschnitten sind, etwa zu KI-Richtlinien, Verantwortlichkeiten, Ressourcen, Auswirkungsbewertung, Lebenszyklus der KI-Systeme, Datenqualität, Information der Betroffenen und Umgang mit Lieferanten.
Vier Dinge verlangt die Norm, die es in anderen Managementsystemen so nicht gibt:
- Eine KI-Richtlinie, die festlegt, wofür das Unternehmen KI einsetzt und wofür nicht.
- Eine Risikobewertung je KI-System, die technische, rechtliche und ethische Risiken erfasst.
- Eine Auswirkungsbewertung, die fragt, was das System für Beschäftigte, Kunden und Dritte bedeutet.
- Eine Erklärung zur Anwendbarkeit, die begründet, welche Maßnahmen aus dem Anhang umgesetzt werden und welche nicht.
Dazu kommen die Bausteine, die jedes Managementsystem hat: benannte Verantwortliche, dokumentierte Prozesse, interne Audits, ein jährliches Management-Review und ein Verfahren, aus Abweichungen zu lernen.
Braucht Ihr Unternehmen die Zertifizierung?
Ehrlich beantwortet: nicht jedes. Es gibt drei typische Lagen.
Ja, die Zertifizierung ist der richtige Schritt, wenn Sie KI-Systeme entwickeln oder anbieten, wenn Sie Hochrisiko-KI betreiben (etwa im Personalbereich, in der Kreditvergabe oder als Sicherheitsbauteil in Produkten), wenn Kunden oder Ausschreibungen einen Nachweis verlangen oder wenn Sie in einer Branche arbeiten, in der Nachweise ohnehin Alltag sind: Automotive, Medizintechnik, Verteidigung, Finanzdienstleistung, öffentliche Auftraggeber.
Sinnvoll ohne Zertifikat ist die Struktur der Norm für Unternehmen, die KI ernsthaft einführen und wissen wollen, ob ihr Umgang damit vor Kunden, Aufsicht oder dem eigenen Beirat Bestand hätte. Man baut nach der Norm, lässt sich aber nicht zertifizieren. Das hält die Tür offen, falls die Anforderung später kommt.
Nicht nötig ist ein vollständiges KI-Managementsystem für Betriebe, die KI als Werkzeug nutzen, etwa Textassistenten, Übersetzung oder Bildbearbeitung. Hier reicht ein schlankes Governance-Framework mit Richtlinie, Register und Schulung. Das ist die zweite Stufe meiner Leistungen, und ich sage Ihnen im Erstgespräch offen, wenn das für Sie der passendere Weg ist.
ISO 42001 und die KI-Verordnung: Was die Norm abdeckt und was nicht
Diese Frage wird oft falsch beantwortet, auch von Beratern. Deshalb hier die Einordnung:
Die ISO/IEC 42001 ist keine harmonisierte Norm im Sinne der KI-Verordnung. Wer nach ISO 42001 zertifiziert ist, gilt damit nicht automatisch als konform mit der Verordnung. Die harmonisierten Normen, die diese Vermutungswirkung auslösen sollen, werden derzeit von den europäischen Normungsorganisationen erarbeitet.
Trotzdem überschneiden sich beide stark. Vieles, was die Verordnung von Betreibern und Anbietern verlangt, hat in der Norm einen festen Platz: Risikomanagement, Dokumentation, menschliche Aufsicht, Datenqualität, Transparenz gegenüber Betroffenen, Verantwortlichkeiten, Schulung. Wer sein KI-Managementsystem nach ISO 42001 aufbaut, hat die Pflichten der Verordnung strukturell erfasst und muss sie nicht ein zweites Mal erfinden.
Meine Arbeitsweise dazu: Ich lege die Anforderungen der KI-Verordnung in die Struktur der Norm hinein. So entsteht ein System, das beides bedient, ohne zwei Dokumentationen zu pflegen. Was die Verordnung darüber hinaus verlangt, etwa die Kennzeichnung nach Artikel 50 oder die Betreiberpflichten für Hochrisiko-Systeme ab Dezember 2027, wird als eigener Baustein ergänzt.
Wenn Sie schon nach ISO 27001 oder ISO 9001 arbeiten
Dann ist ein Großteil der Arbeit getan. Die Norm ist so gebaut, dass sie sich in ein bestehendes Managementsystem einfügt: gleiche Kapitelstruktur, gleiche Logik bei Dokumentenlenkung, internen Audits und Management-Review. Ich setze auf Ihrem bestehenden System auf und ergänze die KI-spezifischen Teile, statt daneben ein zweites System zu bauen. Das spart Zeit, und Ihre Leute müssen nicht zwei Welten lernen.
So läuft der Weg zur Zertifizierung
- Gap-Analyse. Wo stehen Sie gegenüber der Norm, was ist vorhanden, was fehlt, was lässt sich aus bestehenden Systemen übernehmen. Ergebnis ist ein Fahrplan mit Aufwandsschätzung.
- Geltungsbereich und Verantwortliche. Welche Bereiche, Standorte und KI-Systeme das Managementsystem umfasst, wer die Rolle des Verantwortlichen übernimmt und wie die Geschäftsleitung eingebunden ist.
- Inventar, Risiko- und Auswirkungsbewertung. Alle KI-Systeme werden erfasst und bewertet. Das ist der Kern der Norm und gleichzeitig die Grundlage für die Einstufung nach der KI-Verordnung.
- Richtlinie, Prozesse, Maßnahmen. KI-Richtlinie, Freigabeprozess für neue KI-Einsätze, Umgang mit Lieferanten, Schulungskonzept, Vorfallmanagement. Dokumentiert in der Form, die der Auditor später sehen will.
- Betrieb und Nachweise. Das System läuft eine Weile, Nachweise entstehen: Schulungen, Freigaben, Bewertungen, Reviews. Ohne diese Nachweise gibt es kein Zertifikat.
- Internes Audit und Management-Review. Die Norm verlangt beides vor dem Zertifizierungsaudit. Für Systeme, die ich aufgebaut habe, übernehme ich das als Generalprobe unter realen Auditbedingungen. Das unabhängige interne Audit führt dann ein anderer Auditor durch. Warum diese Trennung wichtig ist, erkläre ich auf der Seite zum internen Audit.
- Zertifizierungsaudit. Eine akkreditierte Zertifizierungsstelle prüft in zwei Stufen: erst die Dokumentation, dann die Umsetzung vor Ort. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits.
Was ich übernehme
- Gap-Analyse mit Fahrplan und Aufwandsschätzung
- Aufbau des KI-Managementsystems, angepasst an Ihre Größe und Ihre bestehenden Systeme
- Inventar, Risiko- und Auswirkungsbewertung Ihrer KI-Systeme
- KI-Richtlinie, Prozesse und Erklärung zur Anwendbarkeit in auditfähiger Form
- Schulung der Verantwortlichen und der Beschäftigten
- Generalprobe vor dem Zertifizierungsaudit
- Auswahl der Zertifizierungsstelle und Begleitung durch das Audit
Und ein Punkt, der mich von den meisten unterscheidet: Wenn ich mit Ihnen KI einführe, dokumentiere ich von Anfang an nach der Systematik der Norm. Wer später ein Zertifikat will, muss dann nichts nachbauen.
Was ich nicht tue: Ich vergebe kein Zertifikat, das kann nur eine akkreditierte Stelle. Und ich auditiere kein System unabhängig, das ich selbst aufgebaut habe. Das wäre unsauber, und ein Zertifizierungsauditor würde es zu Recht hinterfragen.
Dauer, Kosten, Förderung
Die Dauer hängt von der Ausgangslage ab. Wer ein funktionierendes ISO-27001-System hat und wenige KI-Systeme betreibt, ist deutlich schneller als ein Unternehmen ohne Managementsystem mit KI in vielen Bereichen. Nach der Gap-Analyse bekommen Sie eine konkrete Einschätzung für Ihren Fall.
Die Kosten bestehen aus drei Blöcken: die Beratung für Aufbau und Begleitung, der interne Aufwand Ihrer Mitarbeitenden und die Gebühren der Zertifizierungsstelle, die sich nach Größe und Geltungsbereich richten. Die Beratungsanteile sind als BAFA-geförderte Unternehmensberatung bezuschussbar; ich bin bei der BAFA als Berater gelistet. Wie hoch der Zuschuss in Ihrer Region ausfällt, klären wir im Erstgespräch.
Häufige Fragen
Ist die ISO 42001 Pflicht?
Nein. Die Norm ist freiwillig. Die KI-Verordnung schreibt kein zertifiziertes Managementsystem vor. In der Praxis wird die Zertifizierung dort verlangt, wo Kunden, Ausschreibungen oder Branchenstandards einen Nachweis fordern.
Ersetzt die ISO 42001 die KI-Verordnung?
Nein. Die Norm ist keine harmonisierte Norm und löst keine Konformitätsvermutung aus. Sie überschneidet sich aber stark mit den Pflichten der Verordnung und ist der beste verfügbare Rahmen, um sie strukturiert umzusetzen.
Wer darf nach ISO 42001 zertifizieren?
Akkreditierte Zertifizierungsstellen. Die Anforderungen an diese Stellen sind seit 2025 in der ISO/IEC 42006 geregelt. Achten Sie darauf, dass die Stelle für die ISO/IEC 42001 akkreditiert ist. Der Markt ist jung, und nicht jedes Zertifikat ist gleich viel wert.
Wie lange gilt das Zertifikat?
Drei Jahre, mit jährlichen Überwachungsaudits. Danach steht die Rezertifizierung an.
Geht das auch für ein kleines Unternehmen?
Ja. Der Geltungsbereich lässt sich auf die Bereiche und Systeme zuschneiden, die tatsächlich betroffen sind. Ein kleines Unternehmen mit zwei KI-Systemen braucht ein anderes System als ein Konzern, die Norm lässt das ausdrücklich zu.
Wir nutzen nur ChatGPT und Copilot. Brauchen wir das?
In der Regel nicht als zertifiziertes System. Was Sie brauchen, ist ein schlankes Governance-Framework: Richtlinie, Register, Schulung, Verantwortlichkeit. Das ist deutlich weniger Aufwand, und ich sage es Ihnen offen, wenn das der passende Weg ist.
Wo bekomme ich den Normtext?
Über DIN Media oder direkt bei der ISO, jeweils lizenzpflichtig. Für die Gap-Analyse arbeite ich mit dem Normtext, Sie brauchen ihn erst, wenn Sie das System intern betreiben.
Wo stehen Sie gegenüber der Norm?
Das klären wir in einem Erstgespräch: ob die Zertifizierung für Sie der richtige Schritt ist, was aus bestehenden Systemen übernommen werden kann und wie der Fahrplan aussieht. Innerhalb von zwei Werktagen melde ich mich persönlich.
Erstgespräch vereinbaren Wie das interne Audit mit Audit42 abläuft