Irgendwann im letzten Jahr wurde KI-Governance zum Verkaufsargument. Anbieter verkaufen ISO-42001-Readiness, Zertifizierungsstellen verkaufen Zertifikate, und der Pitch läuft fast immer gleich: Die KI-Verordnung der EU (AI Act) kommt, es gibt eine Frist, und ISO 42001 macht Sie konform.
Ein Teil davon stimmt. Vieles davon wird Unternehmen verkauft, die es nicht brauchen, mit Begründungen, die beim genauen Hinsehen auseinanderfallen. Die nützliche Frage ist, ob es sich für Sie lohnt, gerade jetzt, und was Sie damit eigentlich kaufen.
Was ISO 42001 wirklich ist
ISO/IEC 42001 erschien im Dezember 2023 und liegt noch in der ersten Ausgabe vor. Es ist eine Norm für ein KI-Managementsystem, aufgebaut auf demselben Rahmen wie ISO 27001. Das Zertifikat deckt also die Arbeitsweise Ihres Unternehmens ab und kein einzelnes Produkt: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung.
Auf diesen Rahmen setzt die Norm KI-spezifische Maßnahmen in ihrem Anhang A. Einige geben die Richtung vor: eine KI-Richtlinie, benannte Rollen für KI-Entscheidungen und Regeln für die Daten, mit denen Sie trainieren. Der Rest betrifft die Arbeit selbst, mit Prüfungen in jeder Phase eines KI-Systems, vom ersten Entwurf bis zur Beobachtung im laufenden Betrieb, dazu die Informationen für Nutzerinnen und Nutzer und der Umgang mit KI von Dritten.
Neu ist, wenn Sie von ISO 27001 kommen, die KI-Folgenabschätzung. Die Risikobewertung, die Sie aus ISO 27001 kennen, fragt, was für Ihr Unternehmen schiefgehen kann. Die KI-Folgenabschätzung fragt, was Ihr System mit den Menschen macht, auf die es angewendet wird. Bei einem Werkzeug zur Lebenslauf-Vorauswahl heißt das: Wer wird aussortiert, und schaut dort jemand hin? ISO 42001 hat zusätzlich eine eigene Risikobewertung; die Folgenabschätzung steht daneben.
Eine zweite Norm, ISO/IEC 42006, regelt die Seite der Auditoren. Sie erschien im Juli 2025 und legt fest, was eine Zertifizierungsstelle können muss, bevor sie KI-Managementsysteme auditiert. Die Zertifizierer werden daran von einer nationalen Akkreditierungsstelle gemessen, in Deutschland der DAkkS. Vorher gab es nichts, woran man sie messen konnte, deshalb wurden einige 42001-Zertifikate am Markt ausgestellt, bevor irgendjemand dafür akkreditiert war. Wenn eine Zertifizierungsstelle auf Sie zukommt, fragen Sie, ob ihre Akkreditierung 42001 abdeckt.
Was es nicht ist
Die meisten Angebote stützen sich auf die KI-Verordnung, also fangen wir dort an. ISO 42001 macht Sie nicht konform mit der KI-Verordnung, und kein ehrlicher Auditor wird Ihnen etwas anderes erzählen.
Die KI-Verordnung hat eine Abkürzung eingebaut. Wenn Sie einer Norm folgen, die die EU für eine Anforderung offiziell anerkannt hat, vermutet eine Behörde, dass Sie die Anforderung erfüllt haben, und muss das Gegenteil nachweisen. Solche Normen heißen harmonisierte Normen und stehen im Amtsblatt der EU. ISO 42001 ist eine internationale Norm und entsteht außerhalb dieses Verfahrens, deshalb bringt sie Ihnen keine Konformitätsvermutung.
Ein Teil der Verwirrung liegt daran, dass die KI-Verordnung sehr wohl ein eigenes Managementsystem verlangt. Artikel 17 der KI-Verordnung fordert von Anbietern von Hochrisiko-KI ein Qualitätsmanagementsystem und sagt genau, was hineingehört: wie Sie ein System vor der Auslieferung prüfen, wie Sie es im Betrieb beobachten, wie Sie schwerwiegende Vorfälle melden, wer wofür verantwortlich ist und wie Sie die technische Dokumentation führen. Wenn das nach ISO 42001 klingt: Genau da holt sich der Verkaufspitch sein Körnchen Wahrheit.
Die europäische Norm für genau diese Aufgabe ist EN 18286. Sie erschien im Juli 2026, und am 14. Oktober 2026 hat die Kommission sie im Amtsblatt gelistet. Damit ist sie die erste harmonisierte Norm unter der KI-Verordnung. Diese Listung ist der Schritt, der die Abkürzung erzeugt. ISO 42001 hat sie nicht und steht dafür auch nicht an.
Die beiden stehen nicht in Konkurrenz. Ein 42001-Managementsystem liefert das Gerüst, die Rollen, die Dokumentationsroutinen und den Bewertungszyklus, in dem ein System nach Artikel 17 der KI-Verordnung dann sitzt.
Wer eines wirklich braucht
Sie verkaufen KI-Funktionen an Konzerne oder regulierte Kunden. Das ist das stärkste Argument, und es hat nichts mit dem Gesetz zu tun. Sicherheitsfragebögen haben inzwischen KI-Abschnitte, und die Leute, die sie ausfüllen, haben keinen einheitlichen Maßstab für Sie. Ein Zertifikat verkürzt diese Prüfung genauso wie ISO 27001. Wenn zwei Ihrer letzten fünf Abschlüsse an KI-Fragen hängen geblieben sind, haben Sie Ihre Antwort.
Sie sind Anbieter eines Hochrisiko-KI-Systems. Dezember 2027 klingt weit weg, bis Sie einen 42001-Zertifizierungszyklus rückwärts rechnen. Ein dokumentiertes Qualitätsmanagementsystem nach Artikel 17 der KI-Verordnung brauchen Sie ohnehin, und EN 18286 ist inzwischen veröffentlicht und gelistet, Sie können also gegen den endgültigen Text arbeiten statt zu warten. Der größte Teil der Struktur überschneidet sich mit 42001. Das Managementsystem jetzt aufzubauen und die systembezogene Arbeit später zu ergänzen ist günstiger, als 2027 beides gleichzeitig zu machen.
Sie haben ISO 27001 und KI steckt im Kern Ihres Produkts. Der Rahmen, das interne Audit, die Managementbewertung und der Prozess für Korrekturmaßnahmen existieren bereits. Sie ergänzen KI-spezifische Maßnahmen in einer Maschine, die schon läuft.
Wem eines verkauft wird
„Wir nutzen intern ChatGPT und Copilot.“ Wer KI-Werkzeuge nutzt, ist in der Sprache der Verordnung Betreiber, und Betreiber haben deutlich weniger Pflichten als Anbieter. Ihre Kunden wollen wissen, ob Unternehmensdaten im Trainingsdatensatz von irgendjemandem landen. Eine zweiseitige KI-Nutzungsrichtlinie in Ihrem bestehenden Informationssicherheits-Managementsystem (ISMS) beantwortet das. Ein Zertifikat darüber, wie Sie KI entwickeln, beantwortet eine Frage, die niemand gestellt hat.
„Damit sind Sie konform mit der KI-Verordnung.“ Sind Sie nicht, aus den oben genannten Gründen. Wenn Ihnen das als Begründung genannt wird, fragen Sie, welchen Artikel der KI-Verordnung das Zertifikat erfüllt, und schauen Sie, was passiert.
„Im August läuft eine Frist ab.“ Lief sie. Für die meisten Hochrisiko-Anwendungen ist es jetzt Dezember 2027, die Details stehen weiter unten. Ein Zertifikat in Panik zu kaufen führt meist zu der Sorte Managementsystem, die in einem Ordner existiert und sonst nirgends.
„Wir wollen das Siegel.“ Manche Unternehmen haben überhaupt keine KI im Produkt und kaufen das für das Logo. Es ist ein teures Logo, und es ist auch kein einmaliger Kauf: Ein Auditor kommt jedes Jahr wieder, damit das Zertifikat gültig bleibt.
Wie die Fristen jetzt stehen
Ein großer Teil der Dringlichkeit in Ihrem Postfach ist veraltet.
Der Digital Omnibus on AI, die Verordnung (EU) 2026/1744, wurde am 8. Juli 2026 angenommen und trat am 27. Juli 2026 in Kraft. Sie hat den Zeitplan der KI-Verordnung geändert:
- Hochrisiko-Systeme aus der Liste in Anhang III, die Anwendungen wie Personalauswahl, Kreditvergabe und Bildung abdeckt, gelten jetzt ab dem 2. Dezember 2027.
- Hochrisiko-KI, die in regulierte Produkte eingebaut ist, etwa Maschinen oder Medizinprodukte, gilt ab dem 2. August 2028.
Eine Änderung betrifft den Umfang statt der Termine. Das Qualitätsmanagementsystem nach Artikel 17 der KI-Verordnung sollte ohnehin im Verhältnis zur Größe des Anbieters stehen. Der Omnibus nennt jetzt KMU, Start-ups und kleine Mid-Caps ausdrücklich und öffnet den vereinfachten Weg für alle KMU.
Was sich nicht verschoben hat: Die Transparenzpflichten in Artikel 50 der KI-Verordnung gelten weiterhin ab dem 2. August 2026. Wenn Menschen mit Ihrer KI interagieren, muss man es ihnen sagen, und KI-generierte Inhalte müssen gekennzeichnet werden. Die eine Ausnahme: Generative Systeme, die vor August 2026 bereits auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit, die Kennzeichnung nachzurüsten. Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck, also die großen Modelle, die in viele verschiedene Produkte eingebaut werden, etwa hinter Chat-Assistenten, gelten bereits seit August 2025.
Wo Sie anfangen
- Schreiben Sie auf, wo KI in Ihrem Unternehmen steckt: im eigenen Produkt, im Produkt eines Anbieters, das Sie weiterverkaufen, und in internen Werkzeugen Ihres Teams. Eine Tabelle reicht.
- Entscheiden Sie für jeden Eintrag, ob Sie Anbieter oder Betreiber sind. Die Pflichten unterscheiden sich vollständig, und die meisten Unternehmen sind an mehr Stellen Betreiber, als sie denken.
- Fragen Sie Ihre drei größten Kunden, ob sie im nächsten Jahr eine KI-Zertifizierung verlangen werden. Ihre Antwort sagt Ihnen, ob eine Zertifizierung Ihnen Abschlüsse bringt oder ob es rein um Governance geht.
- Wenn Sie ISO 27001 bereits haben, vergleichen Sie Ihre Praxis mit Anhang A der 42001, bevor Sie sich auf etwas festlegen. Eine Gap-Analyse zeigt meist, dass die Arbeit kleiner ist, als die Readiness-Anbieter nahelegen.
- Geben Sie der KI-Governance eine verantwortliche Person. Die häufigste Feststellung in diesem Bereich ist, dass niemand für die Entscheidungen zuständig ist.
Wie geht es weiter?
ISO 42001 läuft auf derselben Mechanik wie jedes andere Managementsystem. Wenn Sie noch nie eines aufgebaut haben, sind die ersten Schritte beim Aufbau Ihres ISMS der richtige Anfang. Und weil das Neue an 42001 die Folgenabschätzung ist, zeigt Planung und Umsetzung Ihres Risikomanagements, neben welcher Risikobewertung sie steht.