ISO/IEC 42001:2023 ist die erste internationale Norm, die Anforderungen an ein Managementsystem für künstliche Intelligenz (AIMS, Artificial Intelligence Management System) definiert. Angesichts der rasch wachsenden KI-Regulierung, allen voran des EU AI Acts, wird diese Zertifizierung zum entscheidenden Wettbewerbsvorteil und zum De-facto-Standard für den verantwortungsvollen Umgang mit KI. In diesem Beitrag erklären wir, was ISO 42001 bringt, wer sie braucht und wie man sich auf die Zertifizierung vorbereitet.
Was ist ein AIMS und warum gibt es das?
Ein AIMS (Artificial Intelligence Management System) ist ein Managementsystem, das einer Organisation hilft, KI-Systeme verantwortungsvoll zu entwickeln, bereitzustellen oder zu nutzen. Ähnlich wie ISO 27001 für Informationssicherheit oder ISO 9001 für Qualität definiert ISO 42001 einen Rahmen aus Richtlinien, Prozessen und Kontrollen für das Management KI-bezogener Risiken.
Die Norm wurde im Dezember 2023 als Antwort auf den wachsenden Bedarf an einem standardisierten Ansatz für KI-Governance veröffentlicht. Sie beruht auf den Grundsätzen verantwortungsvoller KI: Transparenz, Erklärbarkeit, Robustheit, Sicherheit und Fairness. Sie ist kein akademisches Dokument, sondern ein praktisches Werkzeug für die Steuerung von KI in der Organisation.
Warum gerade jetzt: die Verbindung zum AI Act
Der EU AI Act (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten und verlangt von Unternehmen ein robustes KI-Managementsystem, insbesondere für Hochrisiko-Systeme. Die Pflichten greifen schrittweise: Verbote seit 2. Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit 2. August 2025, Transparenzpflichten (Art. 50) seit 2. August 2026 und nach der Novelle Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) die Pflichten für Hochrisiko-Systeme ab 2. Dezember 2027 (Anhang III) bzw. ab 2. August 2028 (KI in regulierten Produkten, Anhang I). Aufschub heißt nicht Aufhebung: Die Unternehmen haben Zeit gewonnen, keine Ausnahme.
ISO 42001 bietet einen anerkannten Rahmen, der diese Anforderungen erfüllt. Konkret verlangt der AI Act ein Risikomanagementsystem (Art. 9), und ISO 42001 definiert einen Prozess für die KI-Risikobewertung. Der AI Act verlangt ein Qualitätsmanagementsystem (Art. 17), und ISO 42001 enthält Anforderungen an das Qualitätsmanagement. Der AI Act verlangt Dokumentation und Nachvollziehbarkeit, und ISO 42001 legt Anforderungen an Aufzeichnungen und Dokumentation fest.
Eine ISO-42001-Zertifizierung ist gesetzlich nicht verpflichtend, aber der stärkste Nachweis, dass Ihre Organisation KI verantwortungsvoll steuert. Bei einer Prüfung durch die Aufsichtsbehörde oder einem Audit durch einen Kunden ist das Zertifikat de facto der Goldstandard.
Wer braucht ISO 42001?
ISO 42001 ist für drei Gruppen von Organisationen relevant. Erstens Unternehmen, die KI-Systeme entwickeln (Softwarehäuser, Start-ups, Forschungseinrichtungen). Die Norm hilft ihnen, den gesamten Lebenszyklus der KI vom Entwurf bis zur Außerbetriebnahme zu steuern. Zweitens Unternehmen, die KI einsetzen (Banken, Versicherungen, Industriebetriebe, Gesundheitseinrichtungen). Wenn Sie KI für Entscheidungen, Bewertungen oder Automatisierung nutzen, hilft Ihnen ISO 42001 sicherzustellen, dass Sie das sicher und regelkonform tun. Drittens Anbieter von KI-Dienstleistungen (Beratungsunternehmen, Cloud-Anbieter, IT-Integratoren). Die Zertifizierung stärkt das Vertrauen der Kunden und ist ein Wettbewerbsvorteil bei Ausschreibungen.
Die Unternehmensgröße spielt dabei keine entscheidende Rolle. ISO 42001 ist skalierbar: Für ein kleines Unternehmen mit einem KI-System ist die Umsetzung einfacher als für einen Konzern mit Dutzenden KI-Lösungen, das Prinzip ist aber dasselbe.
Die Implementierungsschritte
1. Gap-Analyse
Der erste Schritt ist der Vergleich des Ist-Zustands Ihrer Organisation mit den Normanforderungen. Die Gap-Analyse zeigt, was Sie bereits haben (bestehende Richtlinien, Prozesse, Dokumentation) und was fehlt. Sie dauert typischerweise 1 bis 2 Wochen und ist die Grundlage für die Planung der gesamten Implementierung.
2. Konzeption des AIMS
Auf Basis der Gap-Analyse wird die Architektur des AIMS auf Ihre Organisation zugeschnitten. Festgelegt werden der Anwendungsbereich (Scope), die KI-Politik der Organisation, die Organisationsstruktur und die Rollen (KI-Governance-Board, KI-Risikomanager), das Inventar der KI-Systeme mit ihrer Klassifizierung sowie der Risikomanagementprozess.
3. Implementierung
Die umfangreichste Phase umfasst die Erstellung der Dokumentation (Richtlinien, Verfahren, Aufzeichnungen), die Umsetzung der Kontrollen aus Anhang A der Norm, die Schulung der Mitarbeiter, die Integration des AIMS in bestehende Unternehmensprozesse und die Risikobewertung aller KI-Systeme im Anwendungsbereich. Diese Phase dauert typischerweise 2 bis 4 Monate.
4. Internes Audit und Managementbewertung
Vor dem Zertifizierungsaudit ist ein internes Audit des AIMS erforderlich, also eine unabhängige Prüfung, ob das System wie geplant funktioniert. Festgestellte Abweichungen werden behoben. Es folgt die Managementbewertung (Management Review), die die Zertifizierungsreife bestätigt.
5. Zertifizierungsaudit
Das Zertifizierungsaudit führt eine akkreditierte Zertifizierungsstelle durch (Akkreditierung nach ISO/IEC 42006:2025; zum Beispiel BSI, Bureau Veritas, TÜV SÜD oder DNV), nicht der Berater, der bei der Implementierung geholfen hat. Das Audit erfolgt in zwei Stufen: Stage 1 (Dokumentenprüfung) und Stage 2 (Prüfung der Umsetzung vor Ort). Nach erfolgreichem Audit erhalten Sie ein Zertifikat mit 3 Jahren Gültigkeit und jährlichen Überwachungsaudits.
Was die Zertifizierung kostet
Die Kosten einer ISO-42001-Zertifizierung hängen von der Größe der Organisation, der Zahl der KI-Systeme und dem aktuellen Reifegrad ab. Orientierungsweise setzen sie sich zusammen aus Beratung und Implementierung (100 000 bis 500 000 Kč für kleine und mittlere Unternehmen, mehr für größere Organisationen), dem Zertifizierungsaudit (50 000 bis 150 000 Kč, je nach Umfang und Zertifizierungsstelle) und den laufenden Kosten für die Pflege des Systems und die Überwachungsaudits (jährlich etwa 30 bis 50 % der Kosten des Zertifizierungsaudits). Ein wesentlicher, oft übersehener Posten ist auch die Arbeitszeit der eigenen Mitarbeiter. Für ein kleines Unternehmen mit ein bis zwei KI-Systemen können Sie mit Gesamtkosten ab 200 000 Kč rechnen, für ein mittleres Unternehmen mit breiterem KI-Portfolio ab 500 000 Kč.
Der Zeitplan
Ein typischer Zeitplan von null bis zur Zertifizierung sieht so aus: Die Gap-Analyse dauert 1 bis 2 Wochen. Die Konzeption des AIMS 2 bis 4 Wochen. Die Implementierung 2 bis 4 Monate. Internes Audit und Korrekturmaßnahmen 2 bis 3 Wochen. Das Zertifizierungsaudit 1 bis 2 Wochen. Insgesamt also etwa 4 bis 6 Monate; bei größeren Organisationen ohne bestehendes Managementsystem länger. Wenn Sie bereits ISO 27001 oder ein anderes Managementsystem eingeführt haben, geht die Implementierung dank der Synergien mit bestehenden Prozessen schneller.
Der Wettbewerbsvorteil
Eine ISO-42001-Zertifizierung bringt eine Reihe konkreter Vorteile. Vertrauen von Kunden und Partnern: Das Zertifikat ist ein international anerkannter Nachweis für einen verantwortungsvollen Umgang mit KI. Regulatorische Vorbereitung: Sie erfüllen die Anforderungen des AI Acts, bevor sie durchsetzbar werden. Vorteil bei Ausschreibungen: Immer mehr Unternehmen und öffentliche Auftraggeber verlangen von Lieferanten den Nachweis einer KI-Governance. Interner Nutzen: Systematisierung der KI-Prozesse, besseres Risikomanagement, klare Verantwortlichkeiten. Reputation: In einem Umfeld voller Sorgen um KI ist die Zertifizierung ein starkes Signal der Verantwortung.
Vergleich mit ISO 27001
Wenn Sie ISO 27001 (Informationssicherheit) kennen, wird Ihnen ISO 42001 strukturell vertraut vorkommen. Beide Normen teilen die harmonisierte Struktur (Annex SL), verfolgen einen risikobasierten Ansatz und verlangen ein internes Audit sowie eine Managementbewertung. Der Hauptunterschied liegt im Fokus: ISO 27001 schützt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, während ISO 42001 die verantwortungsvolle Entwicklung und den Einsatz von KI regelt, einschließlich ethischer Aspekte, Fairness, Transparenz und menschlicher Aufsicht. Organisationen mit ISO 27001 werden feststellen, dass ein wesentlicher Teil der Managementsystem-Anforderungen (Kontext, Führung, Planung, Unterstützung, Bewertung der Leistung, Verbesserung) bereits vorhanden ist und wiederverwendet werden kann; die spezifischen Elemente von ISO 42001 wie die KI-Folgenabschätzung oder die Daten-Governance für KI kommen jedoch neu hinzu.
Wie wir Ihnen helfen können
Mgr. Jaroslav Surman ist zertifizierter ISO/IEC 42001 Lead Implementer (PECB, 2025) mit praktischer Erfahrung aus dem Aufbau von KI-Governance in Unternehmen unterschiedlicher Größe in Tschechien und Österreich. Wir bieten das gesamte Leistungsspektrum von der Gap-Analyse über die Konzeption und Implementierung des AIMS bis zur Vorbereitung auf das Zertifizierungsaudit. In Zusammenarbeit mit der Rechtsanwaltskanzlei von Mgr. Barbora Surmanová decken wir auch die rechtlichen Aspekte ab: Konformität mit dem AI Act, DSGVO für KI-Systeme und Vertragsdokumentation.
Sie interessieren sich für eine ISO-42001-Zertifizierung? Kontaktieren Sie uns für ein unverbindliches Erstgespräch. Mehr erfahren Sie auf der Seite ISO/IEC 42001.
Stand: August 2026.
