Künstliche Intelligenz wird zunehmend eingesetzt, etwa zur Analyse von Daten, Automatisierung von Prozessen, Erstellung von Inhalten oder Unterstützung bei Entscheidungen. Gleichzeitig steigen die Anforderungen an einen sicheren, transparenten und verantwortungsvollen Umgang mit KI.
Zwei Regelwerke stehen dabei besonders im Fokus: die EU-KI-Verordnung und die ISO/IEC 42001. Doch wie unterscheiden sich beide? Und kann ein KI-Managementsystem nach ISO 42001 dabei helfen, die Anforderungen der EU-KI-Verordnung zu erfüllen?
Hinweis: Stand September 2026: Die Anforderungen und Umsetzungshilfen zur EU-KI-Verordnung werden laufend konkretisiert. Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine rechtliche Prüfung im Einzelfall.
Was ist die ISO/IEC 42001?
Die ISO/IEC 42001 ist eine internationale Norm für ein Managementsystem für künstliche Intelligenz – auch „Artificial Intelligence Management System“ oder kurz „AIMS“ genannt.
Die Norm beschreibt, wie Unternehmen den Einsatz und die Entwicklung von KI organisatorisch steuern können. Im Mittelpunkt stehen unter anderem:
- eine unternehmensweite KI-Strategie,
- klare Rollen und Verantwortlichkeiten,
- die Erfassung eingesetzter KI-Systeme,
- die Bewertung von KI-Risiken,
- Anforderungen an Daten und Prozesse,
- menschliche Aufsicht,
- Transparenz und Nachvollziehbarkeit,
- die Dokumentation von Entscheidungen und Maßnahmen sowie
- die kontinuierliche Überwachung und Verbesserung.
ISO 42001 betrachtet dabei nicht nur einzelne Anwendungen, sondern die gesamte Organisation und ihren Umgang mit künstlicher Intelligenz. Die Norm ist deshalb insbesondere für Unternehmen relevant, die KI regelmäßig einsetzen, selbst entwickeln oder in Produkte und Dienstleistungen integrieren. Mehr lesen
Eine Zertifizierung nach ISO 42001 ist grundsätzlich freiwillig. Unternehmen können sich durch eine unabhängige Zertifizierungsstelle bestätigen lassen, dass ihr KI-Managementsystem die Anforderungen der Norm erfüllt.
Was regelt die EU-KI-Verordnung?
Die EU-KI-Verordnung, auch EU AI Act genannt, ist eine verbindliche europäische Rechtsvorschrift. Sie legt harmonisierte Regeln für den Einsatz und die Entwicklung von KI-Systemen in der Europäischen Union fest. Weitere Informationen zur KI-Verordnung sowie den aktuellen Fristen und Pflichten finden Sie in unserem Blogbeitrag: Update zur KI-Verordnung
ISO 42001 und KI-Verordnung im Vergleich
Obwohl sich beide Regelwerke mit dem verantwortungsvollen Einsatz von KI befassen, haben sie einen unterschiedlichen Charakter.
|
ISO/IEC 42001
|
EU-KI-Verordnung
|
|
Internationale Managementsystemnorm
|
Verbindliche EU-Verordnung
|
|
Grundsätzlich freiwillig
|
Für betroffene Unternehmen verpflichtend
|
|
Schafft Strukturen und Prozesse
|
Legt konkrete gesetzliche Pflichten fest
|
|
Betrachtet die Organisation und ihre KI-Governance
|
Betrachtet insbesondere einzelne KI-Systeme und ihre Risikoklasse
|
|
Zertifizierung ist möglich
|
Selbstbewertung oder Bewertung durch eine benannte Stelle je System (Art. 43); CE-Kennzeichnung für Hochrisiko KI erforderlich (Art. 48)
|
|
Fokus auf kontinuierliche Verbesserung
|
Fokus auf rechtliche, technische und organisatorische Anforderungen
|
|
Bei Nichteinhaltung: Verlust der Zertifizierung; Reputationsschaden
|
Bei Nichteinhaltung: Bußgelder i.H.v 7,5 Mio. EUR bis 35 Mio. EUR oder 1 % bis 7 % des weltweiten Umsatzes (Art. 99)
|
Kurz gesagt: Die EU-KI-Verordnung beschreibt, was rechtlich einzuhalten ist. ISO 42001 unterstützt dabei, wie ein Unternehmen KI dauerhaft und systematisch steuern kann.
Wo überschneiden sich ISO 42001 und die KI-Verordnung?
Zwischen ISO 42001 und der EU-KI-Verordnung gibt es zahlreiche Überschneidungen. Beide Rahmenwerke legen Wert auf eine strukturierte und risikobasierte Steuerung von KI.
Erfassung der eingesetzten KI-Systeme
Unternehmen müssen zunächst wissen, welche KI-Systeme sie einsetzen oder entwickeln. Dazu gehören beispielsweise:
- generative KI-Anwendungen,
- Chatbots,
- Systeme zur automatisierten Analyse,
- KI-gestützte Softwarefunktionen,
- Systeme zur Bewertung oder Priorisierung von Informationen,
- KI-Anwendungen in Produkten oder Produktionsprozessen.
Ein KI-Inventar schafft die Grundlage für weitere Prüfungen. Ohne eine vollständige Übersicht ist kaum feststellbar, welche gesetzlichen oder organisatorischen Anforderungen gelten.
Risikomanagement
Sowohl ISO 42001 als auch die KI-Verordnung verfolgen einen risikobasierten Ansatz. ISO 42001 unterstützt Unternehmen dabei, KI-Risiken systematisch zu identifizieren, zu bewerten und zu behandeln. Die KI-Verordnung ordnet KI-Systeme dagegen anhand gesetzlich definierter Risikokategorien ein. Diese beiden Risikobetrachtungen sind miteinander verbunden, aber nicht identisch. Eine interne Risikobewertung nach ISO 42001 ersetzt daher nicht automatisch die gesetzlich erforderliche Einstufung nach der KI-Verordnung.
Verantwortlichkeiten und menschliche Aufsicht
Ein verantwortungsvoller KI-Einsatz setzt klare Zuständigkeiten voraus. Unternehmen sollten unter anderem festlegen:
- Wer genehmigt den Einsatz eines KI-Systems?
- Wer ist für die laufende Überwachung verantwortlich?
- Wer prüft Ergebnisse und mögliche Fehlentscheidungen?
- Wer entscheidet über Änderungen oder die Abschaltung eines Systems?
- An wen können sich Mitarbeitende bei Unsicherheiten wenden?
Die ISO 42001 hilft dabei, diese Rollen in Prozessen und Richtlinien zu verankern. Die KI-Verordnung stellt insbesondere bei bestimmten KI-Systemen Anforderungen an menschliche Aufsicht und Kontrolle.
Dokumentation und Nachweise
Dokumentation ist der gemeinsame Nenner von ISO 42001 und der KI-Verordnung. Wer nach ISO 42001 bereits Systembeschreibungen, Datendokumentation und Entscheidungsaufzeichnungen führt, hat ein solides Fundament für die ausführliche technische Dokumentation und automatische Protokollierung, die auch die KI-Verordnung verlangt.
Was deckt ISO 42001 nicht automatisch ab?
ISO 42001 bietet eine wichtige organisatorische Grundlage. Sie ersetzt jedoch nicht jede einzelne Pflicht aus der EU-KI-Verordnung.
Zusätzliche Anforderungen können beispielsweise betreffen:
- die gesetzliche Risikoklassifizierung eines konkreten KI-Systems,
- technische Dokumentationspflichten,
- Anforderungen an Trainings-, Validierungs- und Testdaten,
- Konformitätsbewertungen,
- CE-Kennzeichnung,
- die Registrierung bestimmter Hochrisiko-KI-Systeme,
- besondere Transparenzpflichten,
- Anforderungen an Anbieter von KI-Modellen mit allgemeinem Verwendungszweck,
- produktspezifische Anforderungen an Sicherheit, Genauigkeit oder Cybersicherheit
- etc.
Eine Zertifizierung nach ISO 42001 bedeutet daher nicht automatisch, dass ein Unternehmen vollständig mit der EU-KI-Verordnung konform ist. Die Europäische Kommission arbeitet an harmonisierten europäischen Normen zur praktischen Umsetzung des AI Acts. Solche Normen können nach ihrer offiziellen Veröffentlichung und Aufnahme in das Amtsblatt der EU eine größere rechtliche Bedeutung erhalten. Ihre Anwendung bleibt grundsätzlich freiwillig; sie können jedoch einen anerkannten Weg zur Unterstützung der Konformität bieten. Mehr erfahren
Welche Vorteile bietet ein KI-Managementsystem nach ISO 42001?
Ein KI-Managementsystem kann Unternehmen dabei unterstützen, den Einsatz künstlicher Intelligenz dauerhaft zu organisieren. Mögliche Vorteile sind:
- vollständiger Überblick über eingesetzte KI-Systeme,
- klare Zuständigkeiten und Freigabeprozesse,
- frühzeitige Erkennung von KI-Risiken,
- einheitliche Regeln für Mitarbeitende,
- nachvollziehbare Dokumentation,
- bessere Vorbereitung auf Audits und Kundenanforderungen,
- strukturierter Umgang mit KI-Vorfällen,
- kontinuierliche Überwachung der Systeme,
- bessere Verbindung zu bestehenden Managementsystemen wie ISO 9001 oder ISO 27001.
Gerade in Unternehmen mit mehreren Standorten oder vielen unterschiedlichen Fachbereichen kann ein zentral gepflegtes KI-Managementsystem die Umsetzung erleichtern. Alle Beteiligten arbeiten dann mit einheitlichen Vorgaben, während lokale Besonderheiten berücksichtigt werden können.
Für welche Unternehmen ist ISO 42001 relevant?
ISO 42001 kann für Unternehmen unterschiedlicher Größe und Branchen relevant sein. Besonders interessant ist die Norm für Unternehmen, die:
- KI-Systeme selbst entwickeln,
- KI in Produkte oder Dienstleistungen integrieren,
- generative KI regelmäßig im Arbeitsalltag verwenden,
- KI für Personal-, Kunden- oder Geschäftsentscheidungen einsetzen,
- in regulierten Branchen tätig sind,
- hohe Anforderungen an Qualität, Sicherheit und Nachweisfähigkeit erfüllen müssen,
- gegenüber Kunden oder Geschäftspartnern eine verantwortungsvolle KI-Governance nachweisen möchten.
Eine Zertifizierung ist dabei nicht für jedes Unternehmen zwingend erforderlich. Entscheidend ist zunächst, ob ein systematischer organisatorischer Rahmen für den Einsatz von KI benötigt wird.
Fazit: ISO 42001 als Grundlage für eine belastbare KI-Governance
Die ISO/IEC 42001 und die EU-KI-Verordnung stehen nicht im Widerspruch. Sie ergänzen sich. Die KI-Verordnung legt fest, welche rechtlichen Anforderungen beim Einsatz und bei der Entwicklung von KI einzuhalten sind. ISO 42001 unterstützt Unternehmen dabei, die notwendigen Strukturen, Prozesse und Nachweise aufzubauen.
Eine ISO-42001-Zertifizierung ersetzt zwar nicht die gesetzlichen Pflichten aus der KI-Verordnung,sie kann jedoch ein wichtiger Baustein für eine nachvollziehbare und kontinuierlich verbesserte KI-Governance sein. Als Compliance-Verantwortliche Person sollten deshalb zunächst Transparenz über ihre eingesetzten KI-Systeme schaffen, Verantwortlichkeiten klären und die jeweiligen Risiken bewerten. Auf dieser Grundlage lässt sich entscheiden, welche Anforderungen der KI-Verordnung gelten und ob ein KI-Managementsystem nach ISO 42001 sinnvoll ist.
