„ISO 42001? Nie gehört.” Das ist die häufigste Reaktion, wenn der Standard in Gesprächen fällt — und sie ist nachvollziehbar: Die Norm ist jung, Ende 2023 veröffentlicht, und der Markt an Beratern, die sie wirklich kennen, ist klein. Gleichzeitig wächst der Druck von zwei Seiten: Der EU AI Act verlangt organisierte KI-Verantwortung, und die ersten OEMs und Konzerne beginnen, in Lieferantenaudits nach dem KI-Management ihrer Zulieferer zu fragen.
Zeit für eine verständliche Einordnung: Was die ISO/IEC 42001 ist, was sie verlangt — und wer die Zertifizierung wirklich braucht.
Was die ISO 42001 ist
Die kürzeste Erklärung: Was die ISO 27001 für Informationssicherheit ist, ist die ISO/IEC 42001 für künstliche Intelligenz. Sie beschreibt ein Managementsystem — das AI-Management-System, kurz AIMS —, mit dem eine Organisation ihren KI-Einsatz systematisch steuert: von der Richtlinie über Rollen und Risikobewertung bis zu Überwachung und Verbesserung.
Wichtig zum Verständnis: Die Norm zertifiziert nicht, dass Ihre KI „gut” oder „sicher” ist. Sie zertifiziert, dass Ihre Organisation KI beherrscht verantwortet — dass es Regeln gibt, dass jemand zuständig ist, dass Risiken bewertet werden und dass aus Fehlern gelernt wird. Genau das ist es, was Kunden, Auditoren und Aufsichtsbehörden sehen wollen.
Die 42001 folgt derselben Grundstruktur wie ISO 9001 und ISO 27001. Wer eines dieser Managementsysteme bereits betreibt, kann das AIMS integrieren, statt ein Parallelsystem aufzubauen — in der Praxis der mit Abstand effizienteste Weg.
Was der Standard konkret verlangt
Übersetzt aus der Normsprache verlangt die ISO 42001 im Kern sieben Dinge:
1. Wissen, wo man steht. Kontext, betroffene Parteien, Geltungsbereich: Welche Rolle spielt KI bei Ihnen — Nutzer, Entwickler, beides? Welche Anwendungen gibt es? Ohne diese Bestandsaufnahme ist alles Weitere Theater.
2. Führung, die den Hut aufhat. Eine KI-Politik der Geschäftsleitung, klare Rollen und Verantwortlichkeiten. Der Standard zwingt zu der Antwort, die in den meisten Häusern fehlt: Wer verantwortet KI-Entscheidungen?
3. Risiken UND Auswirkungen bewerten. Neben der klassischen Risikobewertung verlangt die 42001 ein AI Impact Assessment: Welche Folgen hat das System für die Menschen, die davon betroffen sind — Mitarbeiter, Kunden, Dritte? Diese Außenperspektive ist die eigentliche Neuerung gegenüber älteren Managementnormen.
4. Den Lebenszyklus im Griff haben. Anforderungen an Entwicklung, Einkauf, Betrieb und Stilllegung von KI-Systemen — inklusive Datenqualität und Dokumentation. Ingenieuren wird das bekannt vorkommen: Es ist Lifecycle-Denken, wie es das V-Modell seit Jahrzehnten vorlebt, angewandt auf KI.
5. Lieferanten einbeziehen. Wer KI von Dritten bezieht — und das tut heute jeder —, muss deren Rolle und Risiken bewerten. Der Cloud-Anbieter, das Basismodell, das eingekaufte Tool: alles Teil des Systems.
6. Messen und überwachen. Funktioniert das System? Werden die Regeln gelebt? Interne Audits und Management-Reviews sorgen dafür, dass das AIMS ein Betriebssystem bleibt und kein Aktenordner wird.
7. Besser werden. Abweichungen, Vorfälle, neue Modelle, neue Regulatorik — das AIMS lernt mit. KI-Governance ist kein Projekt mit Enddatum.
Hinterlegt ist das Ganze mit einem Katalog konkreter Maßnahmen (Anhang A) — von der Ressourcenplanung über Datenmanagement bis zur Kommunikation mit Betroffenen —, aus dem jede Organisation die für sie anwendbaren auswählt und begründet.
Braucht mein Unternehmen die Zertifizierung?
Ehrliche Antwort: Die Prinzipien braucht jeder, das Zertifikat nicht jeder.
Für die Zertifizierung sprechen drei Szenarien: Sie beliefern regulierte Branchen oder Großkunden, die Nachweise verlangen werden — wer das Zertifikat hat, wenn die erste Ausschreibung danach fragt, gewinnt. Sie bauen KI in Ihre Produkte ein — dann ist das AIMS das Gerüst, in dem die Anbieterpflichten des EU AI Act organisierbar werden. Oder Sie wollen das Vertrauenssignal im Markt, solange es noch Seltenheitswert hat.
Wer keines dieser Szenarien hat, fährt gut damit, das AIMS nach den Prinzipien der Norm aufzubauen — zertifizierungsfähig, aber ohne Audit. Die Kosten des Zertifikats spart man sich; die Substanz hat man trotzdem. Und rüstet nach, wenn der Markt es verlangt.
Zum Verhältnis mit dem EU AI Act: Die 42001-Zertifizierung ist kein automatischer Konformitätsnachweis nach der Verordnung. Aber sie ist das Management-Fundament, auf dem sich die AI-Act-Pflichten — Risikoregister, menschliche Aufsicht, Dokumentation, Schulungsnachweise — sauber organisieren lassen, statt sie als Einzelmaßnahmen zusammenzuflicken.
Wie der Aufbau realistisch abläuft
Die gute Nachricht für den Mittelstand: Ein AIMS-Aufbau ist kein Jahresprojekt. Realistisch sind — abhängig von Reife und Umfang — Wochen bis wenige Monate: Bestandsaufnahme und Gap-Analyse zuerst, dann Politik, Rollen und Risikoregister, dann die Maßnahmen dort, wo die Gaps sind, parallel die Schulung der Schlüsselrollen. Wer eine ISO 27001 oder 9001 betreibt, dockt an bestehende Prozesse an und spart den halben Weg.
Der häufigste Fehler ist derselbe wie bei jedem Managementsystem: es für den Auditor zu bauen statt für den eigenen Betrieb. Ein AIMS, das nur aus Dokumenten besteht, fällt beim ersten echten Vorfall auseinander. Eines, das die tatsächlichen KI-Prozesse beschreibt und steuert, macht den Betrieb messbar ruhiger — das Zertifikat ist dann ein Nebenprodukt.
Wir sprechen da aus doppelter Erfahrung: Wir arbeiten selbst nach den Prinzipien von ISO/IEC 42001 und 27001 — in einer Organisation, die vollständig KI-geführt läuft — und begleiten den Aufbau bei Kunden als TÜV-Süd-zertifizierter AI Officer und AI Coordinator. Die eigene ISO/IEC-42001-Zertifizierung ist in Vorbereitung; nach ISO/IEC 27001 arbeiten wir nach den Prinzipien der Norm, ohne selbst zertifiziert zu sein. Der erste Schritt ist immer derselbe und kostet nichts: wissen, wo Sie stehen.