Künstliche Intelligenz wird zunehmend eingesetzt, etwa zur Analyse von Daten, Automatisierung von Prozessen, Erstellung von Inhalten oder Unterstützung bei Entscheidungen. Gleichzeitig steigen die Anforderungen an einen sicheren, transparenten und verantwortungsvollen Umgang mit KI.
Zwei Regelwerke stehen dabei besonders im Fokus: die EU-KI-Verordnung und die ISO/IEC 42001. Doch wie unterscheiden sich beide? Und kann ein KI-Managementsystem nach ISO 42001 dabei helfen, die Anforderungen der EU-KI-Verordnung zu erfüllen?
Hinweis: Stand September 2026: Die Anforderungen und Umsetzungshilfen zur EU-KI-Verordnung werden laufend konkretisiert. Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine rechtliche Prüfung im Einzelfall.
Die ISO/IEC 42001 ist eine internationale Norm für ein Managementsystem für künstliche Intelligenz – auch „Artificial Intelligence Management System“ oder kurz „AIMS“ genannt.
Die Norm beschreibt, wie Unternehmen den Einsatz und die Entwicklung von KI organisatorisch steuern können. Im Mittelpunkt stehen unter anderem:
ISO 42001 betrachtet dabei nicht nur einzelne Anwendungen, sondern die gesamte Organisation und ihren Umgang mit künstlicher Intelligenz. Die Norm ist deshalb insbesondere für Unternehmen relevant, die KI regelmäßig einsetzen, selbst entwickeln oder in Produkte und Dienstleistungen integrieren. Mehr lesen
Eine Zertifizierung nach ISO 42001 ist grundsätzlich freiwillig. Unternehmen können sich durch eine unabhängige Zertifizierungsstelle bestätigen lassen, dass ihr KI-Managementsystem die Anforderungen der Norm erfüllt.
Die EU-KI-Verordnung, auch EU AI Act genannt, ist eine verbindliche europäische Rechtsvorschrift. Sie legt harmonisierte Regeln für den Einsatz und die Entwicklung von KI-Systemen in der Europäischen Union fest. Weitere Informationen zur KI-Verordnung sowie den aktuellen Fristen und Pflichten finden Sie in unserem Blogbeitrag: Update zur KI-Verordnung
Obwohl sich beide Regelwerke mit dem verantwortungsvollen Einsatz von KI befassen, haben sie einen unterschiedlichen Charakter.
|
ISO/IEC 42001
|
EU-KI-Verordnung
|
|
Internationale Managementsystemnorm
|
Verbindliche EU-Verordnung
|
|
Grundsätzlich freiwillig
|
Für betroffene Unternehmen verpflichtend
|
|
Schafft Strukturen und Prozesse
|
Legt konkrete gesetzliche Pflichten fest
|
|
Betrachtet die Organisation und ihre KI-Governance
|
Betrachtet insbesondere einzelne KI-Systeme und ihre Risikoklasse
|
|
Zertifizierung ist möglich
|
Selbstbewertung oder Bewertung durch eine benannte Stelle je System (Art. 43); CE-Kennzeichnung für Hochrisiko KI erforderlich (Art. 48)
|
|
Fokus auf kontinuierliche Verbesserung
|
Fokus auf rechtliche, technische und organisatorische Anforderungen
|
|
Bei Nichteinhaltung: Verlust der Zertifizierung; Reputationsschaden
|
Bei Nichteinhaltung: Bußgelder i.H.v 7,5 Mio. EUR bis 35 Mio. EUR oder 1 % bis 7 % des weltweiten Umsatzes (Art. 99)
|
Kurz gesagt: Die EU-KI-Verordnung beschreibt, was rechtlich einzuhalten ist. ISO 42001 unterstützt dabei, wie ein Unternehmen KI dauerhaft und systematisch steuern kann.
Zwischen ISO 42001 und der EU-KI-Verordnung gibt es zahlreiche Überschneidungen. Beide Rahmenwerke legen Wert auf eine strukturierte und risikobasierte Steuerung von KI.
Erfassung der eingesetzten KI-Systeme
Unternehmen müssen zunächst wissen, welche KI-Systeme sie einsetzen oder entwickeln. Dazu gehören beispielsweise:
Ein KI-Inventar schafft die Grundlage für weitere Prüfungen. Ohne eine vollständige Übersicht ist kaum feststellbar, welche gesetzlichen oder organisatorischen Anforderungen gelten.
Risikomanagement
Sowohl ISO 42001 als auch die KI-Verordnung verfolgen einen risikobasierten Ansatz. ISO 42001 unterstützt Unternehmen dabei, KI-Risiken systematisch zu identifizieren, zu bewerten und zu behandeln. Die KI-Verordnung ordnet KI-Systeme dagegen anhand gesetzlich definierter Risikokategorien ein. Diese beiden Risikobetrachtungen sind miteinander verbunden, aber nicht identisch. Eine interne Risikobewertung nach ISO 42001 ersetzt daher nicht automatisch die gesetzlich erforderliche Einstufung nach der KI-Verordnung.
Verantwortlichkeiten und menschliche Aufsicht
Ein verantwortungsvoller KI-Einsatz setzt klare Zuständigkeiten voraus. Unternehmen sollten unter anderem festlegen:
Die ISO 42001 hilft dabei, diese Rollen in Prozessen und Richtlinien zu verankern. Die KI-Verordnung stellt insbesondere bei bestimmten KI-Systemen Anforderungen an menschliche Aufsicht und Kontrolle.
Dokumentation und Nachweise
Dokumentation ist der gemeinsame Nenner von ISO 42001 und der KI-Verordnung. Wer nach ISO 42001 bereits Systembeschreibungen, Datendokumentation und Entscheidungsaufzeichnungen führt, hat ein solides Fundament für die ausführliche technische Dokumentation und automatische Protokollierung, die auch die KI-Verordnung verlangt.
Was deckt ISO 42001 nicht automatisch ab?
ISO 42001 bietet eine wichtige organisatorische Grundlage. Sie ersetzt jedoch nicht jede einzelne Pflicht aus der EU-KI-Verordnung.
Zusätzliche Anforderungen können beispielsweise betreffen:
Eine Zertifizierung nach ISO 42001 bedeutet daher nicht automatisch, dass ein Unternehmen vollständig mit der EU-KI-Verordnung konform ist. Die Europäische Kommission arbeitet an harmonisierten europäischen Normen zur praktischen Umsetzung des AI Acts. Solche Normen können nach ihrer offiziellen Veröffentlichung und Aufnahme in das Amtsblatt der EU eine größere rechtliche Bedeutung erhalten. Ihre Anwendung bleibt grundsätzlich freiwillig; sie können jedoch einen anerkannten Weg zur Unterstützung der Konformität bieten. Mehr erfahren
Ein KI-Managementsystem kann Unternehmen dabei unterstützen, den Einsatz künstlicher Intelligenz dauerhaft zu organisieren. Mögliche Vorteile sind:
Gerade in Unternehmen mit mehreren Standorten oder vielen unterschiedlichen Fachbereichen kann ein zentral gepflegtes KI-Managementsystem die Umsetzung erleichtern. Alle Beteiligten arbeiten dann mit einheitlichen Vorgaben, während lokale Besonderheiten berücksichtigt werden können.
ISO 42001 kann für Unternehmen unterschiedlicher Größe und Branchen relevant sein. Besonders interessant ist die Norm für Unternehmen, die:
Eine Zertifizierung ist dabei nicht für jedes Unternehmen zwingend erforderlich. Entscheidend ist zunächst, ob ein systematischer organisatorischer Rahmen für den Einsatz von KI benötigt wird.
Die ISO/IEC 42001 und die EU-KI-Verordnung stehen nicht im Widerspruch. Sie ergänzen sich. Die KI-Verordnung legt fest, welche rechtlichen Anforderungen beim Einsatz und bei der Entwicklung von KI einzuhalten sind. ISO 42001 unterstützt Unternehmen dabei, die notwendigen Strukturen, Prozesse und Nachweise aufzubauen.
Eine ISO-42001-Zertifizierung ersetzt zwar nicht die gesetzlichen Pflichten aus der KI-Verordnung,sie kann jedoch ein wichtiger Baustein für eine nachvollziehbare und kontinuierlich verbesserte KI-Governance sein. Als Compliance-Verantwortliche Person sollten deshalb zunächst Transparenz über ihre eingesetzten KI-Systeme schaffen, Verantwortlichkeiten klären und die jeweiligen Risiken bewerten. Auf dieser Grundlage lässt sich entscheiden, welche Anforderungen der KI-Verordnung gelten und ob ein KI-Managementsystem nach ISO 42001 sinnvoll ist.