ISO 42001 Beratung: KI-Managementsystem aufbauen, EU AI Act erfüllen
Seit dem 27. Juli 2026 ist der Digital Omnibus in Kraft – die Pflichten für Hochrisiko-KI verschieben sich auf Dezember 2027. Wer daraus schließt, anderthalb Jahre nichts tun zu müssen, liest die Verordnung falsch: Die Transparenzpflichten nach Artikel 50 greifen unverändert ab dem 2. August 2026. Wir bauen Ihnen die Struktur, mit der Sie beides erfüllen – den EU AI Act und ein zertifizierbares KI-Managementsystem nach ISO 42001.
Was ist ISO 42001?
ISO/IEC 42001:2023 ist die weltweit erste zertifizierbare Norm für ein KI-Managementsystem (Artificial Intelligence Management System, AIMS). Sie wurde im Dezember 2023 veröffentlicht und beschreibt, wie eine Organisation den Einsatz und die Entwicklung von Künstlicher Intelligenz systematisch steuert, bewertet und dokumentiert.
Der Aufbau folgt der gleichen High-Level-Struktur wie ISO 27001: Kapitel 4 bis 10 regeln Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung. Ergänzt wird die Norm um vier Anhänge:
| Teil | Inhalt |
|---|---|
| Kapitel 4–10 | Managementsystem-Anforderungen (identische Struktur zu ISO 27001 / ISO 9001) |
| Anhang A | 38 Controls in 9 Zielbereichen – das eigentliche Maßnahmengerüst |
| Anhang B | Umsetzungsleitfaden zu jedem Control |
| Anhang C | Katalog möglicher KI-Ziele und Risikoquellen |
| Anhang D | Anwendung in einzelnen Branchen und Domänen |
Wer bereits ein ISMS nach ISO 27001 betreibt, muss das Rad nicht neu erfinden: Führung, Risikomanagement, Dokumentenlenkung, interne Audits und Managementbewertung lassen sich weitgehend wiederverwenden. Neu sind die KI-spezifischen Themen – Wirkungsanalyse (AI System Impact Assessment), Datenqualität und Datenherkunft, menschliche Aufsicht, Transparenz gegenüber Betroffenen und die Steuerung von Drittanbieter-Modellen.
ISO 42001 und der EU AI Act: der Zusammenhang
Der EU AI Act ist Gesetz, ISO 42001 ist freiwillig. Beide greifen jedoch ineinander: Artikel 17 des AI Act verlangt von Anbietern von Hochrisiko-KI ein Qualitätsmanagementsystem mit Risikomanagement, Daten-Governance, technischer Dokumentation, Aufzeichnungspflichten und Nachmarktüberwachung. Genau diese Bausteine liefert ISO 42001 in auditierbarer Form.
Wichtig – und häufig falsch dargestellt
ISO 42001 ist keine harmonisierte Norm unter dem EU AI Act. Eine Zertifizierung erzeugt keine Konformitätsvermutung und ersetzt keine Konformitätsbewertung. Sie ist ein starker Nachweis für Governance-Reife – gegenüber Kunden, Aufsicht und im Vendor Risk Management – aber kein juristischer Freifahrtschein. Wer Ihnen etwas anderes verspricht, verkauft Ihnen ein Risiko.
Fristen nach dem Digital Omnibus (Stand: Juli 2026)
| Pflicht | Gilt ab |
|---|---|
| Verbotene KI-Praktiken (Art. 5) | gilt bereits, sanktionsbewehrt seit August 2025 |
| KI-Kompetenz der Mitarbeitenden (Art. 4) | gilt seit Februar 2025 |
| Pflichten für allgemeine KI-Modelle / GPAI (Art. 53) | gilt seit August 2025, Durchsetzung ab August 2026 |
| Transparenzpflichten (Art. 50) | 2. August 2026 |
| Hochrisiko-KI nach Anhang III (eigenständige Systeme) | 2. Dezember 2027 (verschoben) |
| Hochrisiko-KI nach Anhang I (in Produkte eingebettet) | 2. August 2028 (verschoben) |
Der Digital Omnibus bringt zusätzlich Erleichterungen für kleinere Unternehmen: Die Kategorie der Small Mid-Caps (bis 750 Mitarbeitende oder 150 Mio. € Umsatz) erhält vereinfachte Dokumentationspflichten, kleine und mittlere Unternehmen eine Bußgeldreduktion von 50 %, Kleinstunternehmen von 75 %. Die inhaltlichen Anforderungen bleiben unverändert – verschoben ist der Zeitpunkt, nicht die Pflicht.
Für wen ist ISO 42001 Beratung relevant?
- Software- und SaaS-Anbieter, die KI-Funktionen ausliefern – spätestens im Enterprise-Einkauf kommt der KI-Fragebogen, oft noch vor der gesetzlichen Frist. Wer zusätzlich US-Kunden bedient, braucht meist parallel einen SOC 2-Report.
- Unternehmen, die KI intern breit einsetzen – im Recruiting, in der Bonitätsprüfung, in der Produktion. Hier entstehen Hochrisiko-Anwendungen häufig unbemerkt.
- Anbieter von Hochrisiko-Systemen nach Anhang III – Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur, Bildung. Für sie ist ein Managementsystem faktisch alternativlos.
- Bereits ISO 27001-zertifizierte Organisationen – für sie ist ISO 42001 der kleinste Schritt zum nächsten Nachweis, weil das Fundament steht.
Was wir liefern
| Leistung | Was Sie bekommen |
|---|---|
| KI-Inventar & Betroffenheitsanalyse | Systematische Erfassung aller eingesetzten und entwickelten KI-Systeme, Rollenklärung (Anbieter oder Betreiber) und Risikoklassifizierung nach EU AI Act |
| Gap-Analyse ISO 42001 | Abgleich gegen Kapitel 4–10 und die 38 Anhang-A-Controls, priorisierte Maßnahmenliste mit Aufwand und Zeitplan |
| Aufbau des AIMS | KI-Politik, Rollen und Verantwortlichkeiten, Risiko- und Wirkungsanalyse, Daten-Governance, Lieferantensteuerung, Dokumentenlenkung |
| Integration ins bestehende ISMS | Ein Managementsystem statt zwei: gemeinsame Risikomethodik, gemeinsame Audits, gemeinsame Managementbewertung |
| Zertifizierungsbegleitung | Internes Audit, Managementbewertung, Auswahl der Zertifizierungsstelle, Begleitung durch Stufe 1 und Stufe 2 |
In unserem Team arbeitet ein ausgebildeter ISO 42001 Lead Auditor. Dazu kommt die Perspektive, die man nur aus der Auditpraxis bekommt: Wir sehen KI-Systeme seit über einem Jahr in nahezu jedem Prüfumfang – in HR-Tools, in Entwicklungsumgebungen, in Kundenportalen, meist ohne dass die Geschäftsführung davon weiß. Wir wissen deshalb sehr genau, wo KI-Governance in der Realität auseinanderfällt und nicht nur, was die Norm verlangt.
Darunter liegt unsere Managementsystem-Praxis aus über 50 ISO 27001 und TISAX®-Projekten, einschließlich unserer eigenen ISO 27001-Zertifizierung. Genau diese Kombination ist bei ISO 42001 entscheidend: Die KI-spezifischen Controls sind neu, das Managementsystem darunter ist es nicht.
Ablauf: von der Betroffenheit bis zum Zertifikat
- KI-Inventar (2–3 Wochen): Welche KI-Systeme setzen Sie ein, welche entwickeln Sie selbst, welche kaufen Sie zu? Ohne dieses Inventar ist jede weitere Aussage Spekulation.
- Klassifizierung nach EU AI Act (1–2 Wochen): Verboten, hochriskant, transparenzpflichtig oder unkritisch – je System und je Rolle.
- Gap-Analyse ISO 42001 (2–4 Wochen): Soll-Ist-Abgleich gegen Norm und Anhang A, Ergebnis ist eine priorisierte Maßnahmenliste.
- Aufbau & Umsetzung (3–6 Monate): Politik, Prozesse, Wirkungsanalysen, Dokumentation, Schulung.
- Wirksamkeitsnachweis (2–3 Monate): Das System muss vor dem Audit gelebt worden sein – Aufzeichnungen, internes Audit, Managementbewertung.
- Zertifizierungsaudit: Stufe 1 (Dokumentation) und Stufe 2 (Umsetzung), danach dreijähriger Zyklus mit jährlichen Überwachungsaudits – wie bei ISO 27001.
Realistische Gesamtdauer bis zur Zertifizierungsreife: 6–12 Monate. Mit bestehendem ISO 27001-ISMS eher am unteren Ende, ohne Managementsystem-Erfahrung eher am oberen.
Was kostet ISO 42001?
| Leistung | Umfang | Preis |
|---|---|---|
| KI-Governance-Readiness-Check | KI-Inventar, AI-Act-Klassifizierung, Gap-Analyse ISO 42001, Maßnahmenplan | Festpreis 4.900 € |
| Aufbau AIMS (Neuaufbau) | Vollständiges KI-Managementsystem bis zur Zertifizierungsreife | ab 28.000 € |
| Aufbau AIMS (mit bestehendem ISO 27001-ISMS) | Integration statt Parallelsystem | ab 18.000 € |
Alle Preise zzgl. USt. Die Gebühren der Zertifizierungsstelle sind nicht enthalten und werden direkt zwischen Ihnen und der Stelle abgerechnet. Der Readiness-Check wird bei anschließender Beauftragung vollständig angerechnet.
45 Minuten, unverbindlich – wir klären Ihre Rolle nach EU AI Act und die drei nächsten Schritte.
ISO 42001 vs. ISO 27001 – und warum Sie beides brauchen könnten
| Kriterium | ISO 42001 | ISO 27001 |
|---|---|---|
| Schutzgegenstand | Verantwortungsvoller Einsatz von KI | Vertraulichkeit, Integrität, Verfügbarkeit von Informationen |
| Controls | 38 (Anhang A) | 93 (Anhang A) |
| Kernrisiko | Fehlentscheidungen, Verzerrung, fehlende Nachvollziehbarkeit | Datenverlust, unbefugter Zugriff, Ausfall |
| Regulatorischer Bezug | EU AI Act | NIS-2, DSGVO, branchenspezifische Vorgaben |
| Zertifizierung | 3 Jahre, jährliche Überwachung | 3 Jahre, jährliche Überwachung |
Die beiden Normen konkurrieren nicht, sie ergänzen sich. ISO 27001 schützt die Daten, mit denen Ihre KI arbeitet. ISO 42001 regelt, was die KI mit diesen Daten anstellt. In der Praxis führen wir beide Systeme unter einer gemeinsamen Risikomethodik zusammen – das halbiert den Auditaufwand und verhindert widersprüchliche Dokumentation.
Typische Fehler beim Einstieg in ISO 42001
- Kein KI-Inventar: Fast jedes Unternehmen setzt mehr KI ein, als die Geschäftsführung weiß – eingebettet in HR-Tools, CRM-Systeme und Entwicklungsumgebungen. Ohne Inventar ist jede Klassifizierung wertlos.
- Rolle falsch bestimmt: Anbieter und Betreiber haben unterschiedliche Pflichten. Wer ein zugekauftes Modell wesentlich verändert oder unter eigenem Namen ausliefert, wird selbst zum Anbieter – oft ungewollt.
- Zertifikat mit Konformität verwechselt: ISO 42001 ist keine harmonisierte Norm. Ein Zertifikat ersetzt die Konformitätsbewertung für Hochrisiko-KI nicht.
- Parallelsystem gebaut: Ein zweites Managementsystem neben dem ISMS verdoppelt Pflege- und Auditaufwand dauerhaft.
- Auf 2027 gewartet: Die Transparenzpflichten greifen im August 2026, und Enterprise-Kunden fragen KI-Governance heute schon ab – unabhängig von jeder Frist.
Sind Sie bereit für ISO 42001? Kurz-Check
- KI-Inventar vorhanden: Alle eingesetzten und entwickelten KI-Systeme sind erfasst, inklusive eingebetteter Funktionen in Fremdsoftware
- Rolle geklärt: Je System ist bestimmt, ob Sie Anbieter oder Betreiber sind
- Risikoklassifizierung erfolgt: Jedes System ist nach EU AI Act eingestuft
- KI-Politik verabschiedet: Die Geschäftsführung hat Leitplanken für den KI-Einsatz schriftlich festgelegt
- Verantwortlichkeiten benannt: Es ist klar, wer KI-Risiken bewertet und freigibt
- Wirkungsanalysen durchgeführt: Für kritische Systeme liegen Impact Assessments vor
- Daten-Governance dokumentiert: Herkunft, Qualität und Zulässigkeit der Trainings- und Eingabedaten sind belegt
- Menschliche Aufsicht definiert: Es ist festgelegt, wer Ergebnisse prüft und überstimmen kann
- Transparenz sichergestellt: Nutzende erkennen, wenn sie mit KI interagieren oder KI-generierte Inhalte sehen (Art. 50)
- Lieferanten gesteuert: Modell- und API-Anbieter sind vertraglich und technisch eingebunden
- KI-Kompetenz nachgewiesen: Schulungen für Mitarbeitende sind durchgeführt und dokumentiert (Art. 4)
Nächster Schritt
Die meisten Unternehmen unterschätzen nicht die Norm, sondern ihr eigenes KI-Inventar. In einem 45-minütigen Erstgespräch klären wir, welche Ihrer Systeme überhaupt in den Anwendungsbereich fallen, welche Rolle Sie nach EU AI Act einnehmen und ob ISO 42001 für Sie der richtige Weg ist – oder ob eine schlanke KI-Governance zunächst ausreicht.
Häufige Fragen zur ISO 42001 Beratung
Ist ISO 42001 verpflichtend?
Nein. ISO 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen des EU AI Act. ISO 42001 ist das praktische Gerüst, mit dem sich diese Anforderungen strukturiert und nachweisbar erfüllen lassen.
Erfülle ich mit ISO 42001 automatisch den EU AI Act?
Nein. ISO 42001 ist derzeit keine harmonisierte Norm unter dem AI Act und erzeugt keine Konformitätsvermutung. Sie deckt einen großen Teil der geforderten Governance ab, ersetzt aber weder die Konformitätsbewertung noch die technische Dokumentation für Hochrisiko-Systeme.
Wir sind bereits nach ISO 27001 zertifiziert. Wie viel Mehraufwand entsteht?
Deutlich weniger, als die meisten erwarten. Führung, Risikomanagement, Dokumentenlenkung, internes Audit und Managementbewertung sind wiederverwendbar. Der Zusatzaufwand konzentriert sich auf die KI-spezifischen Controls: Wirkungsanalyse, Daten-Governance, menschliche Aufsicht und Transparenz.
Wie lange dauert eine ISO 42001-Zertifizierung?
Realistisch 6–12 Monate bis zur Zertifizierungsreife. Entscheidend ist weniger die Unternehmensgröße als die Frage, ob bereits ein Managementsystem existiert und wie viele KI-Systeme in den Anwendungsbereich fallen.
Gilt der EU AI Act auch für uns, wenn wir KI nur einkaufen?
Ja. Auch Betreiber haben Pflichten – insbesondere KI-Kompetenz, Transparenz gegenüber Betroffenen und menschliche Aufsicht. Wer ein zugekauftes System wesentlich verändert oder unter eigenem Namen anbietet, wird zusätzlich selbst zum Anbieter.
Was hat sich durch den Digital Omnibus geändert?
Der am 27. Juli 2026 in Kraft getretene Digital Omnibus verschiebt die Pflichten für eigenständige Hochrisiko-KI auf den 2. Dezember 2027 und für in Produkte eingebettete KI auf den 2. August 2028. Zusätzlich gibt es Erleichterungen für kleine und mittlere Unternehmen. Die Transparenzpflichten nach Artikel 50 bleiben beim 2. August 2026, die bereits geltenden Pflichten sind unberührt.