Die ISO/IEC 42001 ist die erste internationale Norm für KI-Managementsysteme. Sie beschreibt, wie ein Unternehmen den Einsatz von KI planbar, verantwortlich und nachweisbar steuert. Bevor es um den Ablauf geht, steht die wichtigere Frage: Brauchen Sie sie überhaupt?
Wer sie braucht und wer nicht
Wann sie sinnvoll ist
Die Zertifizierung lohnt sich, wenn Sie KI-gestützte Produkte anbieten, als Zulieferer entsprechende Nachweise erbringen müssen, im öffentlichen Ausschreibungsgeschäft tätig sind oder in einer regulierten Branche arbeiten. In diesen Fällen ist das Zertifikat ein Marktzugangs- oder Vertrauensargument, das sich unmittelbar auszahlt.
Wann sie überzogen ist
Für die meisten mittelständischen Unternehmen, die KI lediglich intern einsetzen, ist die volle Zertifizierung nicht verhältnismäßig. Der Aufwand entspricht in etwa dem einer ISO 27001 und steht ohne konkreten Anlass in keinem sinnvollen Verhältnis zum Nutzen.
Der pragmatische Mittelweg
Für diese Gruppe genügt eine schlanke Governance ohne Zertifikat: ein Verzeichnis der eingesetzten KI-Systeme, eine Nutzungsrichtlinie und ein Schulungsnachweis. Das deckt die wesentlichen Sorgfaltspflichten ab, ohne einen Auditprozess auszulösen. Wie so ein Rahmen aussieht, zeigt der Beitrag zu DSGVO-konformer KI.
Der Ablauf, wenn Sie sie brauchen
Vorbereitung: Kontext und Lückenanalyse
Phase 1 — Kontext und Umfang (2 bis 4 Wochen). Festlegen, welche Teile des Unternehmens und welche KI-Systeme erfasst werden. Ein eng gefasster Geltungsbereich reduziert den Aufwand erheblich; man muss nicht das ganze Haus auf einmal zertifizieren.
Phase 2 — Lückenanalyse (2 bis 4 Wochen). Abgleich des Ist-Zustands mit den Normanforderungen. Wer bereits ISO 27001 betreibt, ist hier deutlich weiter — die Grundstruktur (Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung) ist identisch.
Umsetzung: Aufbau und Betrieb
Phase 3 — Aufbau (3 bis 6 Monate). Risikobewertung für die KI-Systeme, Rollen und Verantwortlichkeiten, Richtlinien, Prozesse für Entwicklung und Beschaffung, Überwachung mit Kennzahlen sowie ein Schulungskonzept.
Phase 4 — Betrieb (mindestens 3 Monate). Das System muss laufen und dokumentierte Nachweise erzeugen, bevor es geprüft werden kann. Ein Managementsystem auf dem Papier reicht nicht — der Auditor will gelebte Praxis sehen.
Prüfung: das Zertifizierungsaudit
Phase 5 — Zertifizierungsaudit. Es läuft zweistufig: zunächst eine Dokumentenprüfung (Stufe 1), dann das Vor-Ort-Audit (Stufe 2). Danach folgen jährliche Überwachungsaudits und alle drei Jahre eine Rezertifizierung.
Zeit und Kosten
| Posten | Größenordnung |
|---|---|
| Gesamtdauer bis Zertifikat | 9 bis 15 Monate |
| Dauer mit bestehender ISO 27001 | deutlich kürzer |
| Interne Aufwände | der größte Kostenblock |
| Zertifizierungsstelle + ggf. Beratung | zusätzlicher Anteil |
| Gesamtkosten Mittelstand | fünfstelliger Bereich |
Der interne Aufwand dominiert
Der größte Teil der Kosten sind nicht die Rechnungen von Beratung und Zertifizierungsstelle, sondern die eigene Arbeitszeit für Aufbau, Dokumentation und Betrieb. Das wird bei der Budgetplanung regelmäßig unterschätzt.
Wo sich sparen lässt
Ein bestehendes ISO-27001-System, ein eng gefasster Geltungsbereich und die Wiederverwendung vorhandener Prozesse senken den Aufwand am stärksten. Ein integriertes Managementsystem, das 27001 und 42001 gemeinsam führt, spart doppelte Dokumentation.
Das Verhältnis zum EU AI Act
Kein automatischer Nachweis
Die Zertifizierung erfüllt den EU AI Act nicht automatisch. Sie schafft aber genau die Strukturen, mit denen sich dessen Anforderungen leichter erfüllen und belegen lassen: Risikomanagement, Dokumentation, klare Verantwortlichkeiten, Überwachung.
Wechselseitige Entlastung
Umgekehrt gilt: Wer die AI-Act-Pflichten sauber umsetzt — von der KI-Schulungspflicht nach Artikel 4, seit dem 02.02.2025 wirksam, bis zu den seit dem 02.08.2026 greifenden Transparenz- und Kennzeichnungspflichten — hat einen Teil der Normanforderungen bereits abgedeckt. Beide Rahmenwerke greifen ineinander.
Wie sich Norm und Verordnung konkret zu einem gemeinsamen Fahrplan verbinden lassen, vertieft der Beitrag zur ISO 42001.
Quellen: Internationale Organisation für Normung (ISO) · Verordnung (EU) 2024/1689 (EUR-Lex)