.svg)
Das Wichtigste in Kürze
- Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) gilt für jedes Unternehmen, das KI-Systeme in der EU anbietet oder nutzt, auch intern. Wer Mitarbeitenden Copilot, ChatGPT oder Claude bereitstellt, ist Betreiber im Sinne von Art. 3 Nr. 4 KI-VO.
- ISO/IEC 42001 ist eine freiwillige, zertifizierbare Norm für ein KI-Managementsystem (AIMS) mit 38 Maßnahmen in neun Themenbereichen in Anhang A. Verbindlich wird sie nur, wenn Kunden oder Ausschreibungen sie verlangen.
- Eine ISO-42001-Zertifizierung beweist keine Konformität mit der KI-Verordnung, weil ISO/IEC 42001 keine harmonisierte Norm ist. Seit dem 14. Oktober 2026 ist dagegen die Fundstelle von EN 18286 als harmonisierter Norm für das Qualitätsmanagementsystem nach Art. 17 KI-VO im Amtsblatt veröffentlicht.
- Verbote und KI-Kompetenz gelten seit dem 2. Februar 2025, Transparenzpflichten seit dem 2. August 2026. Die Hochrisiko-Pflichten greifen nach der Verordnung (EU) 2026/1744 ab dem 2. Dezember 2027 (Anhang III) bzw. dem 2. August 2028 (Anhang I).
- Mit einem bestehenden ISMS nach ISO/IEC 27001 ist eine ISO-42001-Zertifizierung ab 1 bis 3 Monaten realistisch, ohne ISMS ab 4 bis 6 Monaten. Das sind Untergrenzen, keine Durchschnittswerte.
Gilt für uns die EU-KI-Verordnung, ISO 42001 oder beides?
Die EU-KI-Verordnung gilt für fast jedes Unternehmen, ISO 42001 dagegen nur, wenn Sie sich dafür entscheiden oder Kunden sie verlangen. Die KI-Verordnung (AI Act, Verordnung (EU) 2024/1689) betrifft jedes Unternehmen, das in der EU KI-Systeme anbietet oder nutzt (Art. 2 KI-VO). Dazu zählt auch die interne Nutzung: Sobald Sie Mitarbeitenden KI-Tools wie Copilot, ChatGPT oder Claude zur Verfügung stellen, sind Sie Betreiber im Sinne der KI-Verordnung (Art. 3 Nr. 4 KI-VO). Dafür müssen Sie weder eigene KI-Modelle trainieren noch KI-Produkte vertreiben. Einen Überblick über alle Pflichten und Fristen gibt unser Leitfaden zur EU-KI-Verordnung.
Auch wenn Sie keine Hochrisiko-KI einsetzen (Art. 6 KI-VO i. V. m. Anhang III), gelten für Sie die Grundpflichten der KI-Verordnung. Sie müssen die KI-Kompetenzen Ihrer Mitarbeitenden fördern (Art. 4 KI-VO) und dürfen keine verbotenen Praktiken nach Art. 5 KI-VO einsetzen. Bei Chatbots oder KI-generierten Inhalten sind Sie außerdem zur Transparenz verpflichtet (Art. 50 KI-VO).
Wenn Sie Hochrisiko-KI einsetzen, kommen ab dem 2. Dezember 2027 zusätzliche Pflichten hinzu (Art. 113 KI-VO in der Fassung der VO (EU) 2026/1744), etwa die menschliche Aufsicht, die Aufbewahrung von Protokollen und die Information betroffener Beschäftigter (Art. 26 KI-VO). Als hochriskant gelten unter anderem Systeme, die wichtige Entscheidungen über Menschen maßgeblich beeinflussen, zum Beispiel bei der Bewertung von Bewerbern oder Mitarbeitenden (Anhang III Nr. 4 KI-VO). In diesem Fall empfehle ich Ihnen eine eingehende Prüfung der Einstufung Ihrer Systeme. Eine zusätzliche ISO-42001-Zertifizierung kann dann sinnvoll sein, um das Vertrauen von Kunden und Mitarbeitenden zu stärken. Welche Systeme betroffen sind, zeigt unser Beitrag zu Hochrisiko-KI nach dem EU AI Act.
Eine Pflicht zur Umsetzung von ISO/IEC 42001 gibt es dagegen nicht. Kunden oder Ausschreibungen können die Norm aber als Voraussetzung verlangen. Damit ist sie eine gute Ergänzung für Unternehmen, die ihre KI-Readiness und den sicheren Einsatz von KI-Systemen gegenüber Kunden und Partnern nachweisen wollen oder müssen.
ISO/IEC 42001 bringt außerdem Vorteile im Vertrieb, denn Einkaufsabteilungen fragen in Ausschreibungen und Lieferantenbewertungen zunehmend nach einem belastbaren Nachweis für den verantwortungsvollen Umgang mit KI. Ein Zertifikat erspart viele Lieferantenfragebögen und ist ein starker Vertrauensvorschuss, zumal sich bisher wenige Unternehmen haben zertifizieren lassen. Die jährliche Erhebung der ISO verzeichnete für Ende 2025 knapp unter 300 gültige ISO/IEC-42001-Zertifikate weltweit, gegenüber 125.622 gültigen ISO/IEC-27001-Zertifikaten im gleichen Zeitraum, wie die Erhebung der ISO zeigt.
Was unterscheidet die EU-KI-Verordnung von ISO/IEC 42001?
Die KI-Verordnung ist ein EU-Gesetz. Sie legt fest, welche KI-Anwendungen verboten sind und welche Pflichten je nach Rolle und Risiko auf ein Unternehmen zukommen. ISO/IEC 42001 ist dagegen eine freiwillige, zertifizierbare Norm, die beschreibt, wie ein Unternehmen den Umgang mit KI verantwortungsvoll steuert.
Die beiden Regelwerke unterscheidet aber mehr als ihr rechtlicher Status. Die KI-Verordnung setzt bei Produkten und Rollen an. Sie fragt, welches KI-System für welchen Anwendungsfall eingesetzt wird und welche Rolle das Unternehmen dabei einnimmt: Anbieter, Betreiber, Einführer oder Händler. Daraus ergeben sich die Pflichten.
Ein häufiges Missverständnis: Anbieter ist nicht nur, wer ein eigenes Modell entwickelt. Ein SaaS-Unternehmen, das ein bestehendes Modell per API in sein Produkt einbaut und unter eigenem Namen verkauft, wird zum Anbieter des KI-Systems (Art. 3 Nr. 3 KI-VO). Für das Modell selbst bleibt der Modellhersteller zuständig (Art. 53 KI-VO).
ISO/IEC 42001 setzt dagegen bei Unternehmen und Prozessen an. Hier geht es nicht primär darum, ob ein System oder Anwendungsfall erlaubt ist. Entscheidend ist, ob das Unternehmen Prozesse definiert hat, um Risiken aus der Entwicklung und aus der Nutzung von KI zu erkennen, zu bewerten und zu behandeln. Geprüft wird nicht ein einzelnes System, sondern ein vollständiges, operatives AIMS (Artificial Intelligence Management System), analog zum ISMS aus ISO/IEC 27001. Auch die Grundstruktur entspricht ISO/IEC 27001: Die Abschnitte 4 bis 10 legen die Anforderungen an das Managementsystem fest, Anhang A enthält 38 Maßnahmen in neun Themenbereichen.
Anders als ISO/IEC 42001 enthält die KI-Verordnung außerdem Regeln für KI-Modelle mit allgemeinem Verwendungszweck (Art. 51 ff. KI-VO), die vor allem die Modellhersteller betreffen. Die folgende Tabelle zeigt die wichtigsten Unterschiede zwischen Gesetz und Norm.
| Aspekt | EU-KI-Verordnung (VO (EU) 2024/1689) | ISO/IEC 42001:2023 |
|---|---|---|
| Pflicht oder Good Practice? | Pflicht für alle, die in den Anwendungsbereich fallen | Freiwillige Good Practice; verbindlich nur, wenn Kunden sie vertraglich verlangen |
| Rechtsnatur | EU-Verordnung: gilt direkt in allen Mitgliedstaaten, ohne Umsetzung in nationales Recht; die Pflichten greifen gestaffelt (Art. 113 KI-VO), siehe "Zeitpunkt" | Internationale Norm von ISO und IEC; deutsche Fassung DIN EN ISO/IEC 42001 |
| Ansatz | Produkt- und rollenbezogen: Pflichten hängen vom einzelnen KI-System, seinem Risiko und der Rolle des Unternehmens ab (Anbieter, Betreiber, Einführer, Händler) | Unternehmensbezogen: ein Managementsystem für KI (AIMS), das die KI-Aktivitäten innerhalb eines selbst festgelegten Anwendungsbereichs steuert (Abschnitt 4.3), ausgehend von der Rolle, die das Unternehmen nach Abschnitt 4.1 für sich bestimmt (z. B. KI-Anbieter, KI-Produzent, KI-Nutzer) |
| Wen betrifft es? | Anbieter, die KI-Systeme oder KI-Modelle mit allgemeinem Verwendungszweck in der EU in Verkehr bringen, unabhängig von ihrem Sitz; Betreiber mit Sitz in der EU; Anbieter und Betreiber außerhalb der EU, deren KI-Ergebnisse in der EU verwendet werden; außerdem Einführer, Händler, Produkthersteller und Bevollmächtigte (Art. 2 Abs. 1 KI-VO) | Jedes Unternehmen weltweit, das KI entwickelt, anbietet oder nutzt und sich dafür entscheidet; den Anwendungsbereich legt es selbst fest |
| Umgang mit Risiko | Risikoklassen gesetzlich vorgegeben: verboten (Art. 5), hochriskant (Art. 6, Anhänge I und III), Transparenzpflichten (Art. 50), minimales Risiko | Das Unternehmen legt eigene Kriterien fest und bewertet KI-Risiken sowie die Folgen für Betroffene selbst (Abschnitte 6.1.2 bis 6.1.4) |
| Inhalt | Verbote (Art. 5), KI-Kompetenz (Art. 4), Anforderungen an Hochrisiko-KI (Art. 8 bis 27), Transparenz (Art. 50), KI-Modelle mit allgemeinem Verwendungszweck (Art. 51 ff.) | Anforderungen an das Managementsystem in den Abschnitten 4 bis 10 (Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung) und 38 Maßnahmen in Anhang A |
| Dokumentation | Inhalt teils fest vorgegeben, z. B. technische Dokumentation nach Anhang IV (Art. 11) und Aufbewahrung von Protokollen durch Betreiber für mindestens sechs Monate (Art. 26 Abs. 6) | Umfang bestimmt das Unternehmen weitgehend selbst; Pflicht sind u. a. KI-Politik, Risikobewertungen, Folgenabschätzungen und die Erklärung zur Anwendbarkeit (Statement of Applicability) |
| Konformitätsnachweis | Je nach System: kein formeller Nachweis oder Konformitätsbewertung (Art. 43) mit EU-Konformitätserklärung (Art. 47) und CE-Kennzeichnung (Art. 48) | Zertifikat einer akkreditierten Zertifizierungsstelle, gültig drei Jahre, mit jährlichen Überwachungsaudits |
| Wer prüft? | Staatliche Marktüberwachungsbehörden, anlassbezogen oder stichprobenartig (Art. 74); bei bestimmten Hochrisiko-Systemen vorab eine notifizierte Stelle (Art. 43) | Zertifizierungsstelle im Audit: Stufe 1 (Dokumente) und Stufe 2 (Wirksamkeit), danach jährliche Überwachungsaudits und Rezertifizierung nach drei Jahren; dazu eigene interne Audits (Abschnitt 9.2) |
| Registrierung | Anbieter von Hochrisiko-KI nach Anhang III registrieren sich und ihr System vor dem Inverkehrbringen in der EU-Datenbank (Art. 49 Abs. 1, Art. 71). Auch Anbieter, die ein System aus Anhang III nach Art. 6 Abs. 3 selbst als nicht hochriskant einstufen, müssen es registrieren, seit dem Digital Omnibus zur KI mit weniger Angaben (Art. 49 Abs. 2, Anhang VIII). Betreiber registrieren sich nur, wenn sie Behörden oder öffentliche Stellen sind (Art. 49 Abs. 3); private Unternehmen registrieren als Betreiber nichts. | Keine Registrierungspflicht. Zertifikate stehen meist im Verzeichnis der Zertifizierungsstelle, teils freiwillig auch in internationalen Datenbanken wie IAF CertSearch |
| Meldepflichten | Anbieter von Hochrisiko-KI melden schwerwiegende Vorfälle an die Marktüberwachungsbehörde, spätestens nach 15 Tagen, bei Todesfall nach 10 Tagen, bei weitreichenden Verstößen oder Störung kritischer Infrastruktur nach 2 Tagen (Art. 73). Betreiber informieren Anbieter und Behörde, wenn sie ein Risiko oder einen schwerwiegenden Vorfall feststellen (Art. 26 Abs. 5) | Keine Meldepflicht gegenüber Behörden. Das Unternehmen muss aber festlegen, wie es Vorfälle an Nutzer und andere Betroffene kommuniziert (Anhang A.8.4) und wie Externe Probleme melden können (A.8.3) |
| Zeitpunkt | Gestaffelt: Verbote und KI-Kompetenz seit 02.02.2025, KI-Modelle mit allgemeinem Verwendungszweck seit 02.08.2025, Transparenz seit 02.08.2026 (Übergangsfrist für die Kennzeichnung nach Art. 50 Abs. 2 bei bereits am Markt befindlichen Systemen bis 02.12.2026), Hochrisiko nach Anhang III ab 02.12.2027 und nach Anhang I ab 02.08.2028 (VO (EU) 2026/1744) | Jederzeit; das Unternehmen bestimmt den Zeitplan selbst |
| Folgen bei Verstößen | Bußgelder bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Mio. Euro oder 3 % bei anderen Pflichten; für KMU gilt jeweils der niedrigere Betrag (Art. 99) | Kein Bußgeld; Abweichungen im Audit müssen behoben werden, im schlimmsten Fall wird das Zertifikat ausgesetzt oder entzogen |
Beweist eine ISO-42001-Zertifizierung die Konformität mit der EU-KI-Verordnung?
Nein, denn ISO/IEC 42001 ist keine harmonisierte Norm. Harmonisierte Normen werden im Auftrag der EU-Kommission erarbeitet und ihre Fundstellen im Amtsblatt der EU veröffentlicht. Wer sie einhält, profitiert von der Konformitätsvermutung: Es wird angenommen, dass die von der Norm abgedeckten gesetzlichen Anforderungen erfüllt sind (Art. 40 Abs. 1 KI-VO).
Das gilt weder für ISO/IEC 42001 noch für ihre deutsche Fassung DIN EN ISO/IEC 42001:2026-08. Für das Qualitätsmanagementsystem, das Anbieter von Hochrisiko-KI-Systemen einrichten müssen (Art. 17 KI-VO), gibt es inzwischen aber eine harmonisierte Norm: EN 18286:2026. Die EU-Kommission hat sie beauftragt (Durchführungsbeschluss C(2025) 3871), CEN und CENELEC haben sie entwickelt. Nach einer Überarbeitung wurde sie im Juli 2026 angenommen. Am 14. Oktober 2026 wurde ihre Fundstelle im Amtsblatt veröffentlicht, wie der Durchführungsbeschluss (EU) 2026/2274 festhält.
Seitdem löst EN 18286 für die von ihr abgedeckten Anforderungen eine Konformitätsvermutung aus, vor allem für das Qualitätsmanagementsystem nach Art. 17 KI-VO, nicht aber für die gesamte KI-Verordnung. Weitere Normen für spezifische Anforderungen der Verordnung sind mit Stand 21. Oktober 2026 noch in Arbeit. Ein Ersatz für ISO/IEC 42001 ist EN 18286 ebenfalls nicht: Sie regelt das Qualitätsmanagementsystem eines Anbieters für eine festgelegte Gruppe von KI-Systemen, vor allem Hochrisiko-KI, während ISO/IEC 42001 den Umgang mit KI im gesamten Unternehmen regelt (EN 18286, Abschnitt 1; ISO/IEC 42001, Abschnitt 1). Die Pflichten aus Art. 17 KI-VO selbst gelten erst ab dem 2. Dezember 2027 (Anhang III) bzw. dem 2. August 2028 (Anhang I).
ISO/IEC 42001 deckt trotzdem einen großen Teil der organisatorischen Pflichten der KI-Verordnung ab. Viele gesetzliche Anforderungen setzen Prozesse voraus, die die Norm ohnehin verlangt: Rollen und Verantwortlichkeiten, Risikobewertungen, Dokumentation, Schulung, Überwachung und Lieferantensteuerung. Ein Auditor kann diese Prozesse prüfen und zertifizieren. Auch das von der Norm geforderte KI-Inventar ist eine gute Grundlage für die Einstufung Ihrer Systeme nach der KI-Verordnung. Das erleichtert die Nachweisführung, ersetzt aber keinen Konformitätsnachweis.
Hinweis: Nehmen Sie sich vor Anbietern in Acht, die Zertifikate zur KI-Verordnung anbieten. Solche Zertifikate gibt es nicht, da keine harmonisierte Norm die Verordnung als Ganzes abdeckt. Audits oder Zertifikate nach EN 18286 betreffen nur das Qualitätsmanagementsystem und ersetzen weder die Konformitätsbewertung (Art. 43 KI-VO) noch die CE-Kennzeichnung (Art. 48 KI-VO).
Die folgende Tabelle zeigt, bei welchen Pflichten der KI-Verordnung ISO/IEC 42001 hilft und wo nicht.
| Pflicht der KI-Verordnung | Betrifft vor allem | Hilft ISO 42001? | Warum |
|---|---|---|---|
| KI-Kompetenz (Art. 4) | Anbieter und Betreiber | Weitgehend | Kompetenz und Bewusstsein sind Normanforderungen (Abschnitte 7.2, 7.3) |
| Verbotene Praktiken (Art. 5) | Anbieter und Betreiber | Kaum | Die Norm bewertet Auswirkungen auf Personen (A.5); ob eine Praxis verboten ist, muss aber rechtlich geprüft werden |
| Einstufung als Hochrisiko (Art. 6, Anhang III) | Anbieter und Betreiber | Teilweise | KI-Inventar und Zweckbestimmung (4.3, A.9.4) liefern die Grundlage, die Einstufung folgt dem Gesetz |
| Verantwortlichkeiten entlang der KI-Wertschöpfungskette (Art. 25) | Anbieter und Betreiber | Teilweise | Die Norm klärt Verantwortlichkeiten mit Lieferanten und Kunden (A.10); wann man selbst Anbieter wird, regelt das Gesetz |
| Pflichten der Betreiber (Art. 26) | Betreiber von Hochrisiko-KI | Weitgehend | Zweckbestimmung, menschliche Aufsicht, Überwachung und Protokolle sind angelegt (A.3.2, A.6.2.6, A.6.2.8, A.9.4); Fristen wie sechs Monate Aufbewahrung müssen ergänzt werden |
| Anforderungen an Hochrisiko-KI (Art. 9 bis 15) | Anbieter von Hochrisiko-KI | Teilweise | Risikomanagement, Daten, Dokumentation und Tests sind in der Norm angelegt (6.1, A.6, A.7), das Gesetz macht aber deutlich konkretere Vorgaben |
| Qualitätsmanagement (Art. 17) | Anbieter von Hochrisiko-KI | Teilweise | Das Managementsystem ist vorhanden, produktbezogene Verfahren fehlen; diese deckt EN 18286 ab (Konformitätsvermutung seit 14.10.2026) |
| Konformitätsbewertung, CE, Registrierung (Art. 43, 48, 49) | Anbieter von Hochrisiko-KI | Nein | Rein regulatorische Schritte, das Zertifikat ersetzt sie nicht |
| Transparenzpflichten (Art. 50) | Anbieter und Betreiber | Kaum | Konkrete Kennzeichnungspflichten für Chatbots und KI-generierte Inhalte kommen allein aus dem Gesetz |
Für wen lohnt sich eine ISO-42001-Zertifizierung?
Meiner Erfahrung nach lohnt sich ISO/IEC 42001 vor allem dann, wenn Sie KI-Software oder Produkte mit KI-Funktionen verkaufen. Das gilt besonders für B2B-SaaS-Unternehmen, die in Ausschreibungen und Lieferantenbewertungen Vertrauen nachweisen müssen.
Für Betreiber, die KI vor allem intern und nicht in ihren Produkten nutzen, lohnt sich ein eigenes AIMS vor allem dann, wenn mehrere Teams KI einsetzen und es noch keine festen Prozesse für neue Use Cases gibt. Statt jeden KI-Einsatz einzeln zu bewerten, definieren Sie mit dem AIMS einen klaren Ablauf von der ersten Idee bis zum laufenden Betrieb, der unabhängig geprüft und zertifiziert wird.
Wer nur ein einzelnes KI-Tool intern nutzt, braucht in der Regel kein Zertifikat. In diesem Fall reicht es, die gesetzlichen Pflichten zu erfüllen, also KI-Richtlinie, Schulung und KI-Inventar. Wie Sie dabei vorgehen, beschreibt unser Leitfaden EU AI Act Compliance: So bereiten Sie Ihr Unternehmen vor.
Auch für Unternehmen, die außereuropäische Märkte bedienen oder dorthin expandieren wollen, ist ISO/IEC 42001 relevant. Die KI-Verordnung gilt nur in der EU, ISO-Zertifikate werden dagegen weltweit anerkannt und gelten auch für Kunden in Asien oder den USA als Qualitätssiegel eines Managementsystems.
Die folgende Tabelle hilft bei der Selbsteinschätzung.
| Unternehmensprofil | Typische Rolle (KI-VO) | ISO 42001 sinnvoll? |
|---|---|---|
| Softwarehaus oder B2B-SaaS-Anbieter mit KI-Funktionen im Produkt (z. B. auf Basis eines GPT-Modells) | Anbieter des KI-Systems | Ja, besonders bei Enterprise-Kunden und Ausschreibungen |
| Anbieter von Hochrisiko-KI (z. B. Bewerberauswahl, Kreditwürdigkeit) | Anbieter | Ja, als Fundament für Risiko- und Qualitätsmanagement (Art. 9 und Art. 17 KI-VO); für Art. 17 EN 18286 anwenden (harmonisiert seit 14.10.2026) |
| Unternehmen mit mehreren KI-Use-Cases in verschiedenen Teams | Betreiber | Prüfen, vor allem mit bestehendem ISMS; oft geringer Mehraufwand und ein Verkaufsargument |
| Betreiber von Hochrisiko-KI (z. B. KI-Recruiting-Tool eines Anbieters) | Betreiber | Hilfreich für Art. 26, aber kein Muss |
| Unternehmen, das ausschließlich ein einzelnes KI-Tool intern einsetzt (z. B. nur Copilot oder ChatGPT ohne Produktbezug) | Betreiber | Meist nein; KI-Richtlinie, Schulung und KI-Inventar reichen aus |
Wir haben schon ISO 27001. Wie viel fehlt uns für ISO 42001?
Weniger, als viele erwarten. Die Abschnitte 4 bis 10 beider Normen folgen der einheitlichen Grundstruktur der ISO für Managementsysteme, tragen dieselben Überschriften und haben vielfach denselben Kerntext. Den Rahmen Ihres bestehenden Managementsystems können Sie daher fast vollständig übernehmen. Neu hinzu kommen vor allem die KI-spezifische Risiko- und Folgenabschätzung sowie Maßnahmen zu Daten und zum Lebenszyklus von KI-Systemen.
ISO/IEC 27001 schützt Informationen vor allem anhand der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. ISO/IEC 42001 betrachtet zusätzlich, wie sich ein KI-System auf Menschen und Gesellschaft auswirkt, etwa durch Diskriminierung, fehlende Nachvollziehbarkeit oder Fehlentscheidungen. Dafür gibt es die Folgenabschätzung für KI-Systeme, das AI System Impact Assessment (ISO/IEC 42001, Abschnitt 6.1.4; Anhang A.5).
B2B-SaaS-Anbieter brauchen vor allem die Maßnahmen zu Entwicklung, Daten und Dokumentation (Anhang A.6 und A.7). Betreiber konzentrieren sich auf die verantwortungsvolle Nutzung und das Lieferantenmanagement (Anhang A.9 und A.10). Maßnahmen, die nur für die Entwicklung von KI-Systemen relevant sind, können Betreiber in der Erklärung zur Anwendbarkeit begründet ausschließen (Abschnitt 6.1.3).
Viele Zertifizierungsstellen bieten kombinierte Audits für ISO/IEC 27001 und ISO/IEC 42001 an, sofern sie für beide Normen akkreditiert sind. Das spart Zeit bei Zertifizierung und Audit. Wie ein Zertifizierungsaudit mit Stufe 1 und Stufe 2 abläuft, beschreibt unser Beitrag zur ISMS-Zertifizierung nach ISO 27001.
Wie lange dauert eine ISO-42001-Zertifizierung?
Mit einem bestehenden ISMS nach ISO/IEC 27001 ist eine Umsetzung bis zur Zertifizierung ab 1 bis 3 Monaten realistisch, ohne bestehendes ISMS ab 4 bis 6 Monaten. Diese Werte setzen volle Unterstützung im Unternehmen voraus und sind Untergrenzen, keine Durchschnittswerte.
| Phase | Mit ISMS nach ISO/IEC 27001 | Ohne ISMS | Typische Verzögerung |
|---|---|---|---|
| 1. bis 3.: KI-Inventar und Scope, Gap-Analyse gegen die Abschnitte 4 bis 10 und Anhang A, Umsetzung (KI-Politik, Risikobewertung, Folgenabschätzung für KI-Systeme, Erklärung zur Anwendbarkeit, Schulungen) | ab unter 1 bis 2 Monaten | ab 3 bis 4 Monaten | Schatten-KI, also operativ eingesetzte KI-Tools, die bisher niemand erfasst hat; Unklarheit, welche Dokumente aus dem bestehenden Managementsystem übernommen werden können; fehlende Schulungen und Richtlinienbestätigungen; Abstimmung mit Produktentwicklung und Datenschutz |
| 4.: Internes Audit, Managementbewertung (Abschnitte 9.2, 9.3) und Zertifizierungsaudit Stufe 1 und 2 | 1 Monat | 1 bis 2 Monate | Verfügbarkeit von Auditoren |
| Gesamt | ab 1 bis 3 Monaten | ab 4 bis 6 Monaten |
Besonders Schatten-KI, die Anpassung der Richtlinien und KI-spezifische Schulungen kosten oft mehr Zeit als geplant. Auch die Verfügbarkeit von Zertifizierungsstellen, die für ISO/IEC 42001 akkreditiert sind, kann den Projektplan verzögern. Wer noch kein Managementsystem hat, findet die Grundlagen in unserem Beitrag zum Aufbau eines ISMS.
Wie unterstützt Kertos bei ISO 42001 und der EU-KI-Verordnung?
Kertos verbindet eine Compliance-Plattform mit der Begleitung durch erfahrene Experten. Auf der Kertos-Plattform bilden Sie ISO/IEC 42001 neben ISO/IEC 27001 ab, sodass gemeinsame Anforderungen aus den Abschnitten 4 bis 10 und vorhandene Nachweise nicht doppelt gepflegt werden müssen. Risikobewertungen, Richtlinien, Schulungen und das Lieferantenmanagement laufen im selben System.
Kertos ist selbst nach ISO/IEC 42001 zertifiziert und kennt die Anforderungen der Norm daher aus dem eigenen Audit. Wie Kertos KI-Governance intern umsetzt, beschreibt der Beitrag Kertos erhält ISO 42001-Zertifizierung.
Wenn Sie klären möchten, ob ISO/IEC 42001 für Ihr Unternehmen sinnvoll ist und wie Sie die Pflichten der KI-Verordnung dabei mit abdecken, buchen Sie eine Kertos-Demo und besprechen Sie Ihren Anwendungsfall mit unseren erfahrenen Experten.
Häufig gestellte Fragen
Ist ISO 42001 Pflicht?
Nein. ISO/IEC 42001 ist eine freiwillige Norm. Verbindlich wird sie nur, wenn ein Kunde sie vertraglich verlangt oder eine Ausschreibung sie voraussetzt. Die EU-KI-Verordnung gilt dagegen unabhängig davon für jedes Unternehmen, das KI-Systeme in der EU anbietet oder nutzt.
Müssen wir eigene KI-Modelle entwickeln, um Anbieter zu sein?
Nein. Anbieter ist auch, wer ein fremdes Modell, zum Beispiel über eine API, in ein eigenes Produkt einbaut und unter eigenem Namen anbietet (Art. 3 Nr. 3 KI-VO). Für das Modell selbst bleibt der Modellhersteller zuständig (Art. 53 KI-VO).
Ersetzt ISO 42001 die Konformitätsbewertung für Hochrisiko-KI?
Nein (Art. 43 KI-VO). Auch EN 18286 ersetzt sie nicht, sie erleichtert aber den Nachweis, dass das Qualitätsmanagementsystem die Anforderungen aus Art. 17 KI-VO erfüllt. Das Qualitätsmanagementsystem wird im Rahmen der Konformitätsbewertung geprüft (Art. 43, Anhänge VI und VII KI-VO).
Brauchen wir als reiner Nutzer von Copilot oder ChatGPT eine ISO 42001?
In der Regel nicht. Die Pflichten der KI-Verordnung gelten aber trotzdem, vor allem die Förderung der KI-Kompetenz (Art. 4) und die Verbote (Art. 5). Für die meisten Unternehmen in dieser Lage reichen KI-Richtlinie, Schulung und KI-Inventar.
Können wir ISO 27001 und ISO 42001 in einem Audit kombinieren?
Ja, als integriertes Managementsystem, wenn die Zertifizierungsstelle für beide Normen akkreditiert ist. Da beide Normen in den Abschnitten 4 bis 10 dieselbe Grundstruktur haben, sparen Sie dabei Zeit in Vorbereitung und Audit.
Was ist der Digital Omnibus zur KI und was ändert er?
Der Digital Omnibus ist eine Änderungsverordnung zur KI-Verordnung (VO (EU) 2026/1744), in Kraft seit dem 27. Juli 2026. Sie verschiebt die Hochrisiko-Pflichten (Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028), schwächt die KI-Kompetenzpflicht zu einer Förderpflicht ab und nimmt KI in Maschinen aus dem direkten Anwendungsbereich der Hochrisiko-Regeln. Verbote, Transparenzpflichten und Regeln für KI-Modelle bleiben bei den bekannten Terminen; für die Kennzeichnung KI-generierter Inhalte nach Art. 50 Abs. 2 gilt bei Systemen, die bereits am Markt sind, eine Übergangsfrist bis zum 2. Dezember 2026.
