ISO/IEC 42001 —
der erste KI-Management-Standard.
ISO/IEC 42001 ist seit Ende 2023 die erste internationale Norm für KI-Management-Systeme — und seit 2024/25 zertifizierbar durch akkreditierte Stellen wie TÜV. Wer den EU AI Act ernst meint, kommt mittelfristig kaum daran vorbei. Wir erklären, was drin steht, wer ihn wirklich braucht, und was eine Zertifizierung in der Praxis bedeutet.
Während die ganze KI-Welt 2025 über den EU AI Act diskutiert, hat die ISO einen anderen Weg gewählt: ISO/IEC 42001 — Information technology / Artificial intelligence / Management system. Veröffentlicht im Dezember 2023, ist es der erste zertifizierbare Standard für „AI Management Systems" (AIMS).
Anders als der EU AI Act, der vorschreibt was du tun musst, beschreibt ISO 42001, wie du es strukturiert tust. Beide ergänzen sich. Wer 42001 implementiert, hat die meisten EU-AI-Act-Anforderungen organisatorisch schon erschlagen.
Was ist ISO/IEC 42001 überhaupt?
Es ist ein Management-System-Standard — nach dem gleichen Schema aufgebaut wie ISO 27001 (Information Security) oder ISO 9001 (Qualität). Wer eine dieser Normen kennt, fühlt sich bei 42001 sofort zuhause: Plan-Do-Check-Act-Zyklus, Risiko-orientiert, mit klaren Pflicht-Klauseln.
Im Kern verlangt 42001, dass eine Organisation einen strukturierten Prozess für ihr KI-Engagement etabliert: Wer macht was, mit welchen Daten, in welchem Risikorahmen, mit welcher Kontrolle, mit welcher Dokumentation. Sieben Hauptkapitel (Klauseln 4–10) plus ein normativer Annex A mit konkreten KI-spezifischen Controls.
Die sieben Pflicht-Klauseln
- Kontext der Organisation (Klausel 4): Welche internen und externen Themen beeinflussen den KI-Einsatz? Welche Stakeholder gibt's?
- Führung (Klausel 5): Top-Management-Verantwortung. KI-Policy schreiben. Rollen und Verantwortlichkeiten zuweisen.
- Planung (Klausel 6): Risiken und Chancen identifizieren. Ziele definieren. KI-Risiko-Assessment ist hier verankert.
- Unterstützung (Klausel 7): Ressourcen, Kompetenz (überlappt mit EU AI Act Art. 4!), Bewusstsein, Dokumentation.
- Betrieb (Klausel 8): Operative Steuerung des KI-Lebenszyklus — Entwicklung, Einkauf, Einsatz, Stilllegung.
- Bewertung der Leistung (Klausel 9): Monitoring, Messung, interne Audits, Management-Review.
- Verbesserung (Klausel 10): Nicht-Konformitäten beheben, kontinuierlich verbessern.
Die KI-spezifischen Controls
Die neun Control-Kategorien (auszugsweise):
- A.2 — KI-Policies: Schriftliche Strategie und Richtlinien für KI-Nutzung.
- A.3 — Interne Organisation: Verantwortlichkeiten, Reporting-Pfade, Eskalations-Prozesse.
- A.4 — KI-Ressourcen: Hardware, Daten, Tools, Lieferanten dokumentiert.
- A.5 — KI-System-Lebenszyklus: Phasen-Modell (Design, Entwicklung, Test, Einsatz, Überwachung, Außerbetriebnahme).
- A.6 — Daten-Management: Daten-Qualität, Daten-Lineage, Bias-Detection in Trainingsdaten.
- A.7 — Informationen für interessierte Parteien: Transparenz gegenüber Nutzern und Aufsichtsbehörden.
- A.8 — KI-System-Nutzung: Klare Anweisungen für die Bedienung, menschliche Aufsicht.
- A.9 — Drittanbieter-Beziehungen: KI-Lieferanten-Management, DPA-Pflichten.
- A.10 — Stakeholder & Betroffene: Auskunfts- und Beschwerde-Mechanismen.
Ist 42001 für jeden sinnvoll?
Sehr sinnvoll für:
- KI-Anbieter (B2B-Software-Hersteller), die in Ausschreibungen mit Zertifikaten überzeugen wollen.
- Banken, Versicherungen, Pharma, Energie — alle, die unter regulatorischer Aufsicht stehen.
- Unternehmen, die mehrere High-Risk-KI-Use-Cases nach EU AI Act haben.
- Größere Mittelständler ab ~250 Mitarbeitenden mit KI-Programm.
Eher overkill für:
- Kleine KMUs (<50 Mitarbeitende), die KI nur als Office-Helper nutzen.
- Solo-Selbstständige, einfache Use-Cases.
- Wer „nur" Art. 4-Compliance erfüllen muss.
Für die kleineren Fälle reichen oft schlankere Frameworks — siehe KI-Risiko-Assessment in 5 Schritten.
Wie läuft eine 42001-Zertifizierung ab?
Die Schritte (vereinfacht):
- Gap-Analyse: Wo stehst du heute vs. 42001-Anforderungen? Ein Tag mit einem erfahrenen Auditor.
- Implementierung: Policies schreiben, Prozesse einführen, Trainings durchführen, Dokumentation aufbauen. 3–6 Monate je nach Größe.
- Internes Audit: Erste Selbst-Überprüfung. Findest du selbst Lücken?
- Stage-1-Audit (extern): Zertifizierungsstelle prüft die Dokumentation.
- Stage-2-Audit (extern): Vor-Ort-Audit, prüft die tatsächliche Umsetzung. Erfolg → Zertifikat.
- Überwachungs-Audits: Jährlich. Re-Zertifizierung alle 3 Jahre.
Kosten-Indikation: Für mittelständische Unternehmen typischerweise 30.000–80.000 EUR über 3 Jahre (Beratung + Auditor-Tage). Stark abhängig von Größe und vorhandenem Reifegrad anderer ISO-Normen.
42001 + EU AI Act + DSGVO — wie hängen die zusammen?
Vereinfachtes Mapping:
| EU AI Act fordert | ISO 42001 liefert |
|---|---|
| Art. 9: Risikomanagement-System | Klauseln 6 + Annex A.5/A.6 |
| Art. 10: Daten-Governance | Annex A.6 (Daten-Management) |
| Art. 11: Technische Dokumentation | Klausel 7.5 + Annex A.4 |
| Art. 14: Menschliche Aufsicht | Annex A.8 (KI-Nutzung) |
| Art. 4: KI-Kompetenz | Klausel 7.2 (Kompetenz) |
Wer 42001-zertifiziert ist, hat den größten Teil der EU-AI-Act-Pflichten für Anbieter abgedeckt. Behörden werden das vermutlich (noch nicht offiziell bestätigt) als „presumption of conformity" anerkennen — ähnlich wie ISO 27001 für DSGVO-Konformität gilt.
3 ehrliche Empfehlungen
- Bei <50 MA und einfacher KI-Nutzung: Nutze 42001 als Inspiration, nicht als Ziel. Übernimm Strukturen sinnvoll, lass die Zertifizierung weg.
- Wenn 27001 schon läuft: 42001 obenauf kostet 30–40 % weniger Aufwand als von Null. Lohnt sich oft.
- Bei High-Risk-Anbieter-Rolle: Starte die Vorbereitung jetzt. Die volle Reife dauert 12 Monate, und die EU-AI-Act-Hauptpflichten greifen ab August 2026.
Quellen
Wissens-Check — sichere dir den Fortschritt
5 Fragen, alle Multiple Choice. Ab 4 von 5 richtig wird dieser Artikel in deinem Zertifizierungs-Pfad als bestanden markiert. Du brauchst einen Snowbyte-Account, um den Fortschritt zu speichern.
Lies weiter mit Snow Academy — ab 14 €/Monat.
Dieser Artikel ist Teil der gepflegten Snow Academy. Mit einem Privat- oder Business-Abo bekommst du vollen Zugriff auf alle Artikel, Quizze und das Zertifizierungs-Programm.