ISO/IEC 42001: warum Sie jetzt ein KI-Managementsystem aufbauen sollten, gerade wegen der Verschiebung des AI Act

Seit die Digital Omnibus on AI am 27. Juli 2026 in Kraft getreten ist, gelten die Hochrisiko-Pflichten des AI Act erst ab dem 2. Dezember 2027 (Anhang III) und dem 2. August 2028 (Anhang I). Das wirkt großzügig. Dennoch ist genau jetzt der richtige Moment, ein KI-Managementsystem aufzubauen. Nicht, weil das Gesetz es bereits verlangt, sondern weil Sie jetzt die Zeit haben, es richtig zu machen. Die Norm dafür existiert seit Dezember 2023: ISO/IEC 42001.

In diesem Artikel erfahren Sie, was ISO/IEC 42001 ist, für wen die Norm sinnvoll ist, wie sie sich zum AI Act und zu ISO 27001 verhält und wie Sie pragmatisch beginnen.

Was ist ISO/IEC 42001?

ISO/IEC 42001:2023 ist die erste internationale, zertifizierbare Managementsystemnorm für künstliche Intelligenz. Die Norm beschreibt, wie eine Organisation ein KI-Managementsystem (AIMS) aufbaut, einführt, aufrechterhält und verbessert. Es geht dabei um die Organisation rund um KI, nicht um die Technik selbst: Richtlinien, Rollen, Risiken, Lebenszyklus und Aufsicht.

Wer ISO 27001 oder ISO 9001 kennt, erkennt den Aufbau sofort. ISO/IEC 42001 folgt der Harmonized Structure mit denselben Kapiteln 4 bis 10: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Darüber hinaus enthält die Norm zwei Anhänge:

Anhang A mit 38 Maßnahmen in 9 Zielbereichen, darunter KI-Richtlinie, Rollen und Verantwortlichkeiten, Ressourcen, Folgenabschätzung, Lebenszyklusmanagement, Daten, Informationen für interessierte Parteien, Nutzung von KI-Systemen und Beziehungen zu Dritten.

Anhang B mit Umsetzungsleitlinien zu diesen Maßnahmen.

Der Kern in fünf Punkten

1.KI-Richtlinie: Was darf Ihre Organisation mit KI tun und was nicht, und wer entscheidet darüber?

2.Risiko- und Folgenabschätzung: Neben der üblichen Risikoanalyse verlangt die Norm eine KI-Folgenabschätzung, die auf die Auswirkungen für Personen und die Gesellschaft ausgerichtet ist.

3.Rollen und Verantwortlichkeiten: Wer ist Eigentümer welches KI-Systems und wer übt die Aufsicht aus?

4.Lebenszyklusmanagement: von Entwurf und Beschaffung über Nutzung und Überwachung bis zur Außerbetriebnahme.

5.Transparenz und Dritte: Was teilen Sie Nutzern mit, und wie beherrschen Sie KI, die Sie von Lieferanten beziehen?

Für wen ist ISO/IEC 42001 sinnvoll?

Die Norm richtet sich nicht nur an Unternehmen, die selbst KI-Modelle entwickeln. In der Praxis profitieren drei Gruppen am meisten:

Anbieter von KI-Lösungen, etwa Softwareunternehmen und SaaS-Anbieter, die Kunden und Aufsichtsbehörden zeigen möchten, dass ihre KI kontrolliert entwickelt und gepflegt wird.

Organisationen, die KI intensiv nutzen, zum Beispiel in HR, Kundenkontakt, Bonitätsbewertung oder Gesundheitswesen, wo die Auswirkungen auf Menschen groß sind.

Organisationen mit einem bestehenden ISO-27001-Managementsystem, die KI-Governance ergänzen möchten, ohne ein zweites, eigenständiges System aufzubauen.

Eine Zertifizierung ist optional. Viele Organisationen nutzen die Norm zunächst als Rahmen und machen die Zertifizierung davon abhängig, was Kunden und Ausschreibungen verlangen.

Das Verhältnis zum AI Act

Der wichtigste Unterschied: Der AI Act ist Gesetz, ISO/IEC 42001 ist eine freiwillige Norm. Ein Zertifikat bedeutet also nicht automatisch, dass Sie den AI Act erfüllen. Die harmonisierten europäischen Normen, die diese Konformitätsvermutung tatsächlich begründen, werden bei CEN-CENELEC (JTC 21) noch entwickelt.

Dennoch deckt ISO/IEC 42001 einen großen Teil der Governance-Anforderungen des AI Act ab: Risikomanagement, Dokumentation, menschliche Aufsicht, Data Governance und Transparenz. Wer das Managementsystem jetzt einrichtet, verfügt Ende 2027 über eine funktionierende Struktur, in die nur noch die spezifischen Hochrisiko-Anforderungen eingefügt werden müssen.

Und vergessen Sie nicht: Ein Teil des AI Act gilt bereits. Die Transparenzpflichten (Artikel 50) sind seit dem 2. August 2026 in Kraft, die Pflicht zur KI-Kompetenz (Artikel 4) bereits seit Februar 2025. Beide Themen finden sich in ISO/IEC 42001 als Maßnahmen wieder. Mehr zum neuen Zeitplan lesen Sie in unserem Artikel zur Digital Omnibus.

Das Verhältnis zu ISO 27001

Da beide Normen derselben Struktur folgen, lassen sie sich gut zu einem integrierten Managementsystem kombinieren. Viele Maßnahmen überschneiden sich: Zugriffsverwaltung, Protokollierung, Lieferantenmanagement, Vorfallbehandlung und Sensibilisierung. Diese müssen Sie nicht neu aufbauen. Sie erweitern sie um die KI-spezifischen Bestandteile: die Folgenabschätzung, das KI-Register und die Maßnahmen für den Lebenszyklus von KI-Systemen.

Pragmatischer Ansatz in sechs Schritten

1.KI-Inventarisierung. Erfassen Sie, welche KI-Systeme Sie entwickeln, beschaffen oder nutzen, einschließlich KI, die in bestehende Software eingebettet ist. Notieren Sie Eigentümer, Zweck und Lieferant.

2.Geltungsbereich und Richtlinie. Legen Sie fest, welche Teile der Organisation und welche KI-Systeme unter das Managementsystem fallen, und verabschieden Sie eine KI-Richtlinie.

3.Risiko- und Folgenabschätzung. Bewerten Sie je System die Risiken für die Organisation und die Auswirkungen auf Personen und Gesellschaft.

4.Maßnahmen auswählen und integrieren. Wählen Sie die relevanten Maßnahmen aus Anhang A und verknüpfen Sie sie, wo möglich, mit Ihren bestehenden ISO-27001-Maßnahmen.

5.Sensibilisierung und KI-Kompetenz. Schulen Sie Mitarbeitende, die mit KI arbeiten, und dokumentieren Sie, wer welche Schulung absolviert hat.

6.Messen und verbessern. Überwachen Sie die Wirksamkeit, führen Sie interne Audits durch und verbessern Sie, wo nötig. Die Zertifizierung ist der optionale letzte Schritt.

Wie uComply hilft

In uComply richten Sie ISO/IEC 42001 nicht als separates Projekt ein, sondern als zusätzliche Norm neben Ihrem bestehenden Managementsystem.

ISO/IEC 42001 als zweite oder dritte Norm: Aktivieren Sie die Norm in derselben Umgebung wie ISO 27001. Bestehende Maßnahmen verknüpfen Sie mit mehreren Normanforderungen; die Gap-Analyse zeigt sofort, welche Maßnahmen aus Anhang A bereits abgedeckt sind und wo noch Arbeit ansteht.

KI-Register: Erfassen Sie KI-Systeme mit Eigentümer und Risikoklassifizierung und verknüpfen Sie je System die identifizierten Risiken. So bildet die Inventarisierung direkt die Grundlage für die Risiko- und Folgenabschätzung.

ISO/IEC 42001 Content Pack: fertige Controls, Risikoanalyse-Vorlagen und Richtliniendokumente für KI-Governance als Ausgangspunkt.

Flightdeck: Das Dashboard zeigt den Fortschritt je Norm, sodass Sie sehen, wie weit Ihr KI-Managementsystem neben Ihren anderen Normen ist.

Responsible AI in der Praxis: Der uComply Bot läuft vollständig in Ihrem eigenen Microsoft-365-Tenant, hat ausschließlich Zugriff auf Ihre eigenen Compliance-Daten und steht nur internen Nutzern zur Verfügung. So wenden wir selbst an, was ISO/IEC 42001 von Organisationen verlangt.

Zusammenfassung

Die Verschiebung der Hochrisiko-Pflichten auf den 2. Dezember 2027 verschafft Organisationen Zeit. ISO/IEC 42001 bietet einen zertifizierbaren und vertrauten Rahmen, um diese Zeit gut zu nutzen: dieselbe Struktur wie ISO 27001, ergänzt um KI-spezifische Maßnahmen wie die Folgenabschätzung und das KI-Register. Wer jetzt beginnt, hat Ende 2027 ein funktionierendes Managementsystem statt eines Stapels loser Dokumente.

Möchten Sie sehen, wie Sie ISO/IEC 42001 mit Ihrer bestehenden ISO-27001-Umgebung verknüpfen? Vereinbaren Sie eine unverbindliche Demo oder sehen Sie sich unsere Preise an.