ISO/IEC 42001: Das KI-Managementsystem im Überblick — Anforderungen, Zertifizierung, Nutzen

Wenn Geschäftskunden heute nach „KI-Governance” fragen, meinen sie immer öfter eine konkrete Norm: ISO/IEC 42001. Der im Dezember 2023 veröffentlichte Standard ist das, was ISO 27001 für die Informationssicherheit ist — ein zertifizierbares Managementsystem, nur eben für den Einsatz von Künstlicher Intelligenz. Und weil der EU AI Act seit dem 2. August 2026 auch die Hochrisiko-Pflichten scharf gestellt hat, taucht die Norm zunehmend in Ausschreibungen, Lieferantenfragebögen und Vorstandsvorlagen auf. Zeit für eine nüchterne Einordnung: Was steht drin, wer braucht das wirklich, und was ist der sinnvolle Einstieg?

Was ISO/IEC 42001 regelt

Der Standard beschreibt ein AI Management System (AIMS) — also keinen Technik-Katalog für einzelne Modelle, sondern ein Steuerungssystem für die Organisation. Wie alle modernen ISO-Managementsystemnormen folgt er der harmonisierten Grundstruktur: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, fortlaufende Verbesserung.

Konkret verlangt die Norm unter anderem:

• KI-Politik und Verantwortlichkeiten: Eine dokumentierte Leitlinie für den KI-Einsatz und klar zugewiesene Rollen — genau die Aufgabe, die in vielen Unternehmen ein KI-Beauftragter übernimmt.
• KI-Inventar: Ein Verzeichnis der eingesetzten und entwickelten KI-Systeme mit Zweck, Daten und Risikoeinstufung — praktisch identisch mit dem KI-Register, das auch für den AI Act die Arbeitsgrundlage ist.
• Risikomanagement und Folgenabschätzung: Ein wiederholbarer Prozess, der Risiken für die Organisation und Auswirkungen auf betroffene Personen bewertet — die Norm verlangt hier ausdrücklich eine AI Impact Assessment, verwandt mit der KI-Folgenabschätzung.
• Lebenszyklus-Kontrollen: Anforderungen an Entwicklung, Beschaffung, Betrieb und Außerbetriebnahme von KI-Systemen, inklusive Umgang mit Anbietern und Datenqualität.
• Kompetenz und Bewusstsein: Nachweisbar geschulte Mitarbeiter — deckungsgleich mit der Art.-4-Kompetenzpflicht des AI Act.

Dazu kommt ein Anhang mit konkreten Maßnahmenzielen und Controls (analog zum Annex A der ISO 27001), aus denen die Organisation per Anwendbarkeitserklärung auswählt und die Auswahl begründet.

ISO 42001 und der EU AI Act: Ergänzung, kein Ersatz

Die wichtigste Einordnung zuerst: Ein ISO-42001-Zertifikat erfüllt nicht automatisch den AI Act. Die Verordnung stellt eigene, teils sehr spezifische Anforderungen — von der Anhang-III-Einstufung über technische Dokumentation bis zur Konformitätsbewertung nach Art. 43. Die dafür maßgeblichen harmonisierten europäischen Normen entstehen separat auf EU-Ebene und sind nicht einfach die ISO 42001.

Umgekehrt gilt aber: Wer ein AIMS betreibt, hat die organisatorische Basis für fast alles, was der AI Act verlangt. Verantwortlichkeiten, Inventar, Risikoprozess, Schulungsnachweise, Dokumentationsdisziplin — das sind exakt die Punkte, an denen AI-Act-Projekte in der Praxis scheitern, wenn sie fehlen. Der Standard ist damit weniger eine zusätzliche Pflicht als ein Ordnungsrahmen, der Doppelarbeit verhindert: einmal sauber aufgebaut, bedient dieselbe Struktur AI Act, Kundenaudits und interne Governance.

ISO 42001 vs. ISO 27001: das Zusammenspiel

Beide Normen teilen die gleiche Grundarchitektur, und das ist kein Zufall — sie sind auf Integration ausgelegt. Wer bereits ein ISMS nach ISO 27001 betreibt, kann Managementbewertung, internes Audit, Dokumentenlenkung und Lieferantenprozesse weitgehend wiederverwenden und ergänzt „nur” die KI-spezifischen Bausteine: Inventar, Folgenabschätzung, KI-Lebenszyklus, Transparenz- und Aufsichtsanforderungen.

Für Unternehmen in Sachsen, die beides angehen wollen, lohnt der Blick auf die ISO-27001-Zertifizierung beim Schwesterportal Informationssicherheit — dort ist der Zertifizierungsprozess im Detail beschrieben, der bei ISO 42001 nach demselben Muster abläuft: Stufe-1- und Stufe-2-Audit, dreijähriger Zyklus mit jährlichen Überwachungsaudits.

Für wen sich die Zertifizierung lohnt — und für wen (noch) nicht

Klare Kandidaten für die formale Zertifizierung:

1. KI-Anbieter und Softwarehäuser, die KI-Funktionen an Geschäftskunden verkaufen. Das Zertifikat verkürzt Vertriebszyklen, weil es Sicherheitsfragebögen und Due-Diligence-Prüfungen vorwegnimmt.
2. Zulieferer regulierter Branchen (Finanz, Gesundheit, kritische Infrastruktur), bei denen Auditfragen zu KI in der Lieferkette bereits ankommen.
3. Unternehmen mit Hochrisiko-KI nach Anhang III, die ohnehin ein Qualitätsmanagement für KI aufbauen müssen und den Nachweis extern verwertbar machen wollen.

Eher nicht der erste Schritt ist die Zertifizierung für den typischen Mittelständler, der ChatGPT, Copilot und ein paar KI-Features in Bestandssoftware nutzt. Hier ist die ehrliche Empfehlung: die AIMS-Logik übernehmen, den Auditaufwand sparen. Ein schlankes KI-Register, eine KI-Richtlinie, ein funktionierender Risikoprozess und dokumentierte Schulungen erfüllen die gesetzlichen Pflichten und liefern die Substanz — das Zertifikat kann folgen, wenn ein Kunde es tatsächlich verlangt.

Der pragmatische Einstieg: AIMS-Bausteine ohne Zertifizierungsdruck

Der Aufbau muss kein Großprojekt sein. Die Reihenfolge, die sich in der Praxis bewährt:

1. Bestandsaufnahme: Welche KI ist im Haus — offiziell und als Schatten-KI? Ergebnis: das KI-Inventar.
2. Einstufung: Welche Systeme fallen unter welche AI-Act-Kategorie? Die AI-Act-Checkliste liefert das Raster.
3. Regeln und Rollen: KI-Richtlinie verabschieden, Verantwortlichkeiten benennen, Freigabeprozess für neue Tools definieren.
4. Risiko- und Folgenbetrachtung: Für die relevanten Systeme Risiken und Auswirkungen auf Betroffene bewerten — einmal sauber aufgesetzt, dann als Routine.
5. Kompetenz nachweisen: Rollenbasierte Schulungen durchführen und dokumentieren.
6. Regelbetrieb: Jährliche Überprüfung, Anpassung bei neuen Tools oder Rechtsänderungen.

Wer diese sechs Schritte etabliert hat, betreibt der Sache nach bereits ein kleines KI-Managementsystem — und ist von der Zertifizierungsreife nur noch ein internes Audit und etwas Dokumentationsfeinschliff entfernt.

Fazit

ISO/IEC 42001 ist kein Hype-Papier, sondern der Standard, an dem sich KI-Governance in den nächsten Jahren ausrichten wird — so wie ISO 27001 zum Referenzpunkt der Informationssicherheit wurde. Pflicht ist die Zertifizierung nicht, und für viele Unternehmen wäre sie aktuell Overkill. Die Struktur dahinter aber ist für jedes Unternehmen mit ernsthafter KI-Nutzung die richtige: ein Inventar, ein Risikoprozess, klare Rollen, nachweisbare Kompetenz.

Genau diese Bausteine sind der Kern des externen KI-Beauftragten-Mandats von DATUREX: KI-Register, Richtlinie, Risikoprozess und Art.-4-Schulungen als monatliche Pauschale (250/400/600 € je nach Unternehmensgröße, Fair-Use) — mit dem Effekt, dass die spätere ISO-42001-Zertifizierung, falls sie kommt, auf fertigen Strukturen aufsetzt statt bei null zu beginnen.