ISO 42001: Was die Norm für KI-Managementsysteme regelt

ISO/IEC 42001 ist die internationale Norm für ein Managementsystem für künstliche Intelligenz (AIMS), veröffentlicht im Dezember 2023. Sie legt fest, wie eine Organisation Verantwortung, Risiken, Folgenabschätzungen und Kontrollen für KI dauerhaft steuert, und ist wie ISO 27001 zertifizierbar. Eine Zertifizierung ist freiwillig und ersetzt die Pflichten der KI-Verordnung nicht.

Das Wichtigste in Kürze

• ISO/IEC 42001:2023 folgt der Harmonisierten Struktur der ISO-Managementsystemnormen (Kapitel 4 bis 10) und lässt sich gut mit ISO 27001 oder ISO 9001 kombinieren.
• Anhang A enthält 38 Maßnahmen (Controls) in neun Themenbereichen, von KI-Richtlinien über Datenqualität bis zu Lieferanten.
• Zertifizieren dürfen akkreditierte Zertifizierungsstellen; in Deutschland akkreditiert die DAkkS. Für diese Stellen gilt zusätzlich ISO/IEC 42006.
• Die Norm ist kein harmonisierter Standard nach der KI-Verordnung und begründet keine Konformitätsvermutung.
• Für Organisationen mit vielen KI-Anwendungen ist sie ein guter Rahmen, um Governance prüfbar zu machen – auch gegenüber Kunden im Einkauf.

Was ist ISO 42001?

Die Norm wurde vom gemeinsamen Ausschuss von ISO und IEC (JTC 1/SC 42) entwickelt und beschreibt Anforderungen an ein KI-Managementsystem: das Gefüge aus Richtlinien, Zielen, Rollen, Prozessen und Kontrollen, mit dem eine Organisation KI verantwortungsvoll entwickelt, bereitstellt oder nutzt. Sie gilt für Unternehmen jeder Größe und Branche und unabhängig davon, ob sie KI selbst bauen oder einkaufen. Die Normbeschreibung finden Sie bei der ISO; in Deutschland ist die Norm auch über DIN Media erhältlich.

ISO 42001 ist kein Gesetz. Sie sagt nicht, welche KI verboten ist oder welche Fristen gelten – das regelt die KI-Verordnung, die wir in unserem Leitfaden zum EU AI Act erklären. Die Norm sagt, wie Sie KI so organisieren, dass Pflichten aus Gesetzen, Verträgen und eigenen Grundsätzen zuverlässig erfüllt werden.

Aufbau der Norm

Die Anhänge

Anhang A listet die Referenzmaßnahmen: KI-bezogene Richtlinien, interne Organisation, Ressourcen für KI-Systeme, Folgenabschätzung, Lebenszyklus, Daten, Informationen für interessierte Parteien, Nutzung von KI-Systemen sowie Beziehungen zu Dritten und Kunden. Wie bei ISO 27001 erstellen Sie eine Erklärung zur Anwendbarkeit und begründen, warum Sie Maßnahmen umsetzen oder ausschließen. Anhang B gibt Umsetzungshinweise zu diesen Maßnahmen, Anhang C nennt mögliche Ziele und Risikoquellen, Anhang D beschreibt die Anwendung in verschiedenen Branchen.

Verwandte Normen

• ISO/IEC 22989 – Begriffe und Konzepte der KI.
• ISO/IEC 23894 – Leitfaden zum Risikomanagement für KI.
• ISO/IEC 42005 – Folgenabschätzung für KI-Systeme.
• ISO/IEC 42006 – Anforderungen an Stellen, die KI-Managementsysteme auditieren und zertifizieren.

Für wen lohnt sich ISO 42001?

Am meisten Nutzen hat die Norm für drei Gruppen. Erstens Softwarehäuser und SaaS-Anbieter, deren Kunden in Ausschreibungen nach einem Nachweis für verantwortungsvolle KI fragen. Zweitens Unternehmen, die bereits nach ISO 27001 oder TISAX arbeiten und KI in dasselbe Managementsystem integrieren wollen. Drittens Organisationen mit vielen KI-Anwendungen in sensiblen Bereichen wie Personal, Finanzen oder Gesundheit, die ihre Steuerung nachvollziehbar machen müssen.

Für einen Mittelständler, der Copilot und einen Chatbot nutzt, ist eine Zertifizierung oft zu früh. Hier reichen meist eine KI-Richtlinie, ein Inventar, eine Risikobewertung je Anwendung und klare Zuständigkeiten – also die Bausteine, die Sie später ohnehin für ein AIMS brauchen. Eine erste Standortbestimmung liefert der kostenlose KI-Readiness-Check von Opsio, der Ihren Reifegrad in zehn Bereichen bewertet.

ISO 42001 Zertifizierung: der Ablauf

1. Anwendungsbereich festlegen: welche Standorte, Produkte, KI-Systeme und Rollen.
2. Gap-Analyse: Abgleich des Ist-Zustands mit den Kapiteln 4 bis 10 und Anhang A.
3. Aufbau des AIMS: KI-Politik, Rollen, Risikomethode, Folgenabschätzung, Erklärung zur Anwendbarkeit, Dokumentation.
4. Betrieb und Nachweise: mehrere Monate gelebte Prozesse, internes Audit, Managementbewertung.
5. Zertifizierungsaudit: Stufe 1 (Dokumentenprüfung, Bereitschaft) und Stufe 2 (Wirksamkeit vor Ort).
6. Zertifikat und Überwachung: Gültigkeit drei Jahre, jährliche Überwachungsaudits, danach Rezertifizierung.

Wie lange das dauert, hängt stark vom Ausgangspunkt ab. Wer bereits ein gelebtes ISO-27001-Managementsystem hat, kann viele Prozesse – Dokumentenlenkung, internes Audit, Managementbewertung – übernehmen und muss vor allem die KI-spezifischen Teile ergänzen. Achten Sie bei der Wahl der Zertifizierungsstelle darauf, dass sie für ISO 42001 akkreditiert ist.

ISO 42001 und ISO 27001 im Vergleich

ISO 42001 und der EU AI Act

Die Norm und die Verordnung ergänzen sich, sind aber nicht deckungsgleich. ISO 42001 ist kein harmonisierter Standard im Sinne der KI-Verordnung; ein Zertifikat begründet keine Vermutung, dass Sie die Pflichten erfüllen. Die europäischen Normungsorganisationen CEN und CENELEC erarbeiten eigene harmonisierte Normen, unter anderem zum Qualitätsmanagement für Anbieter von Hochrisiko-KI.

Trotzdem hilft das AIMS konkret: Es liefert die Struktur für das KI-Inventar, die Risikobewertung, die Schulungsnachweise nach Artikel 4 und die Prozesse, mit denen Betreiber von Hochrisiko-KI-Systemen ihre Pflichten aus Artikel 26 erfüllen. Wie Sie die Normforderungen mit den Datenschutzpflichten verzahnen, beschreibt der Beitrag KI und Datenschutz. Und den Abgleich mit den gesetzlichen Pflichten leistet eine Gap-Analyse zur KI-Verordnung.

Typische Stolpersteine

• Zu breiter Anwendungsbereich: Wer alle KI-Nutzungen auf einmal einbezieht, verzettelt sich. Besser mit einem Produkt oder Geschäftsbereich starten und erweitern.
• Kein Inventar: Ohne vollständige Liste der KI-Systeme lassen sich weder Risiken noch Anhang A sinnvoll bewerten.
• Folgenabschätzung als Formular: Die KI-Systemfolgenabschätzung verlangt, über Auswirkungen auf Einzelne und Gruppen nachzudenken, nicht nur Felder auszufüllen.
• Lieferanten vergessen: Die meisten Risiken stecken in eingekauften Diensten. Anhang A verlangt, Verantwortlichkeiten mit Dritten zu regeln.
• Papier statt Praxis: Auditoren prüfen in Stufe 2, ob Prozesse gelebt werden – mit Nachweisen aus mehreren Monaten.

Häufig gestellte Fragen

Was ist ISO 42001 einfach erklärt?

ISO 42001 ist eine Norm, die beschreibt, wie eine Organisation KI geordnet steuert: Wer verantwortlich ist, wie Risiken bewertet werden, welche Kontrollen gelten und wie regelmäßig überprüft und verbessert wird. Sie funktioniert wie ISO 27001 für Informationssicherheit, nur bezogen auf KI, und kann von einer akkreditierten Stelle zertifiziert werden.

Ist eine ISO 42001 Zertifizierung Pflicht?

Nein. Kein Gesetz schreibt sie vor, auch nicht die KI-Verordnung. Manche Kunden verlangen sie aber in Ausschreibungen oder Lieferantenprüfungen, ähnlich wie ISO 27001. Ob sie sich lohnt, hängt davon ab, wie viel KI Sie entwickeln oder einsetzen und wie stark Ihre Kunden danach fragen.

Erfüllt ein ISO-42001-Zertifikat den EU AI Act?

Nein. Das Zertifikat zeigt, dass Sie ein funktionierendes KI-Managementsystem haben. Die konkreten Pflichten der KI-Verordnung – etwa Kennzeichnung nach Artikel 50, Konformitätsbewertung für Hochrisiko-KI oder die Registrierung in der EU-Datenbank – müssen Sie trotzdem einzeln erfüllen. Das AIMS erleichtert das allerdings erheblich.

Wer darf nach ISO 42001 zertifizieren?

Zertifizierungsstellen, die für diese Norm akkreditiert sind. In Deutschland ist die Deutsche Akkreditierungsstelle (DAkkS) zuständig. Für Zertifizierungsstellen gelten ISO/IEC 17021-1 und ergänzend ISO/IEC 42006. Prüfen Sie vor der Beauftragung, ob die Akkreditierung den gewünschten Geltungsbereich abdeckt.

Kann man ISO 42001 mit ISO 27001 kombinieren?

Ja. Beide folgen derselben Grundstruktur, sodass Managementbewertung, internes Audit, Dokumentenlenkung und Korrekturmaßnahmen gemeinsam laufen können. Viele Zertifizierungsstellen bieten kombinierte Audits an. Die KI-spezifischen Teile – Folgenabschätzung, Datenqualität, Lebenszyklus der KI-Systeme – kommen zusätzlich hinzu.

Bauen Sie die Grundlage für ein KI-Managementsystem

Bevor Sie eine Zertifizierung angehen, brauchen Sie Leitlinien, Zuständigkeiten und eine Risikomethode. Mit dem kostenlosen KI-Governance & Readiness-Check erhalten Sie nach rund 40 Minuten Fragen vier Dokumente – KI-Governance-Rahmenwerk, KI-Richtlinie für Mitarbeitende, Checkliste zur Prüfung von KI-Anbietern, Vorlage zur KI-Risikobewertung – und eine Einordnung auf einer fünfstufigen Reifegradskala in zehn Bereichen. Die Dokumente kommen auf Englisch als Word-Dateien. Ein Zertifikat ersetzen sie nicht, aber sie geben Ihrem AIMS ein Fundament.

Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Prüfen Sie die konsolidierte Fassung der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung. Stand: Oktober 2026.