Die ISO 42001 ist die erste zertifizierbare Managementsystemnorm für Künstliche Intelligenz – und sie wird gerade für KMU relevant: Fast jedes Unternehmen nutzt inzwischen KI-Tools, doch die wenigsten können Kunden, Auditoren oder Behörden nachweisen, wie. Was hinter dem KI-Managementsystem steckt, was die EU-KI-Verordnung damit zu tun hat und wie kleine und mittlere Unternehmen jetzt sinnvoll starten.
Was ist die ISO 42001?
Die ISO/IEC 42001:2023 definiert Anforderungen an ein KI-Managementsystem (englisch: Artificial Intelligence Management System, kurz AIMS). Das Prinzip kennen Sie von ISO 9001 oder 27001: Die Norm schreibt nicht vor, welche KI Sie einsetzen dürfen – sie verlangt, dass Ihr Unternehmen den KI-Einsatz gesteuert, bewertet und nachweisbar betreibt. Dafür folgt sie derselben harmonisierten Grundstruktur wie die anderen Managementnormen und lässt sich entsprechend in ein bestehendes System integrieren.
Der Anhang A enthält 38 Maßnahmen (Controls) – von der KI-Politik über Rollen und Verantwortlichkeiten bis zu Datenqualität, Transparenz und dem Umgang mit KI-Lieferanten. Wie bei der ISO 27001 wählt das Unternehmen die anwendbaren Controls risikobasiert aus und begründet die Auswahl.
Für wen ist die ISO 42001 relevant?
- KI-Anwender (die meisten KMU): Unternehmen, die KI-Tools nutzen – ChatGPT und Co. im Büro, KI-Funktionen in Software, KI-gestützte Qualitätsprüfung in der Produktion. Hier schafft die Norm den Rahmen, um den Einsatz zu inventarisieren, Risiken zu bewerten und Regeln für Mitarbeiter aufzustellen.
- KI-Anbieter und -Entwickler: Software- und IT-Unternehmen, die KI-Funktionen entwickeln oder in ihre Produkte einbauen. Für sie wird die Zertifizierung zunehmend zum Vertrauensnachweis gegenüber Kunden – ähnlich wie die ISO 27001 in der IT-Branche.
- Unternehmen in Lieferketten großer Kunden: Erste Konzerne fragen bei Ausschreibungen bereits nach KI-Governance. Wer hier früh liefern kann, verschafft sich einen Vorsprung.
Was hat die EU-KI-Verordnung damit zu tun?
Die EU-KI-Verordnung (KI-VO 2024/1689) ist seit August 2024 in Kraft und wird stufenweise anwendbar. Wichtig zur Einordnung – hier trennen wir sauber:
- Gesetzliche Pflicht (KI-VO): Verbotene KI-Praktiken und die Pflicht zur KI-Kompetenz der Mitarbeiter gelten bereits. Transparenzpflichten (z. B. Kennzeichnung von KI-generierten Inhalten) folgen nach dem Stufenplan.
- Aktueller Stand (Juli 2026): Mit dem „Digital Omnibus“ hat die EU eine Verschiebung der Pflichten für Hochrisiko-KI-Systeme auf voraussichtlich Dezember 2027 auf den Weg gebracht – die finale Verkündung steht noch aus. Wichtig: Verschoben heißt nicht gestrichen. Kein bestehendes Verbot und keine Kompetenz- oder Transparenzpflicht wurde aufgehoben.
- Freiwillige Norm (ISO 42001): Die Zertifizierung ist keine gesetzliche Pflicht. Aber sie ist der strukturierte Weg, die geforderte KI-Governance nachweisbar zu machen – gegenüber Kunden, Auditoren und im Ernstfall gegenüber Aufsichtsbehörden.
„Die EU verschiebt die Fristen, also können wir warten“ – das ist die riskante Lesart. Die Grundpflichten gelten bereits, und die Verschiebung betrifft nur die Hochrisiko-Kategorie. Wer die gewonnene Zeit nutzt, um KI-Einsatz sauber zu inventarisieren und zu regeln, kommt vorbereitet an statt unter Druck.
Die Kernbausteine der ISO 42001 – verständlich erklärt
- KI-Politik und Rollen: Eine schriftliche Leitlinie, wofür KI im Unternehmen genutzt werden darf – und wer dafür verantwortlich ist.
- KI-Inventar: Eine Übersicht aller eingesetzten KI-Systeme und -Tools. In der Praxis der wichtigste erste Schritt – die meisten Unternehmen wissen nicht vollständig, wo überall KI im Einsatz ist.
- Risikobewertung und KI-Folgenabschätzung: Welche Risiken entstehen durch den KI-Einsatz – für das Unternehmen, aber auch für Betroffene (Kunden, Bewerber, Mitarbeiter)? Die Folgenabschätzung ist das Herzstück der Norm.
- Daten und Lebenszyklus: Anforderungen an Datenqualität, Dokumentation und die Überwachung von KI-Systemen über die gesamte Nutzungsdauer.
- Transparenz und menschliche Aufsicht: KI-Ergebnisse müssen nachvollziehbar bleiben, kritische Entscheidungen von Menschen geprüft und freigegeben werden.
- KI-Lieferanten: Externe KI-Dienste (auch ChatGPT, Copilot & Co.) werden wie Lieferanten bewertet und vertraglich sauber eingebunden.
Der Effizienz-Hebel: Kombination mit ISO 27001
Die ISO 42001 nutzt dieselbe Struktur wie die ISO 27001 – Kontextanalyse, Risikobewertung, Statement of Applicability, internes Audit, Managementbewertung. Wer bereits ein ISMS nach ISO 27001 betreibt, kann das KI-Managementsystem mit überschaubarem Zusatzaufwand andocken: gemeinsame Dokumentenstruktur, kombinierte Audits, ein Managementsystem statt zwei. Auch für ein integriertes System mit ISO 9001 gilt: KI-Governance wird ein Baustein, kein Parallelaufbau.
Erste Schritte für KMU – ohne Überforderung
1. KI-Inventar erstellen
Alle KI-Tools und -Funktionen im Unternehmen erfassen – inklusive der „inoffiziellen“ Nutzung durch Mitarbeiter. Eine einfache Tabelle genügt für den Anfang.
2. KI-Richtlinie aufstellen
Klare Regeln auf zwei, drei Seiten: erlaubte Tools, verbotene Anwendungen (z. B. Kundendaten in öffentliche KI-Dienste), Freigabeprozess für neue Tools.
3. Mitarbeiter schulen
Die KI-Kompetenz-Pflicht aus der EU-KI-Verordnung gilt bereits – eine dokumentierte Grundschulung deckt sie ab und ist zugleich Baustein der ISO 42001.
4. Risiken und Folgen bewerten
Für die relevanten KI-Anwendungen eine strukturierte Risiko- und Folgenabschätzung durchführen – priorisiert nach Kritikalität, nicht für jedes Tool gleich tief.
5. Über die Zertifizierung entscheiden
Ob sich die formale Zertifizierung lohnt, hängt vom Kundendruck ab: Für KI-Anbieter und Zulieferer großer Konzerne zunehmend ja, für reine Anwender reicht oft ein schlankes, gelebtes System – das bei Bedarf zertifizierungsreif ausgebaut werden kann.
Die Beratung zum Aufbau eines KI-Managementsystems ist für KMU über das BAFA-Programm förderfähig – bis zu 50 % Zuschuss, Antrag vor Beratungsbeginn. Details auf unserer Seite zu den Fördergeldern für ISO-Beratung.
KI-Einsatz nachweisbar machen?
Wir erstellen Ihr KI-Inventar, bauen die passende Governance auf – vom schlanken Regelwerk bis zum zertifizierungsreifen Managementsystem nach ISO 42001, integriert in Ihr bestehendes System.
Beratung anfragen →