Kurzfassung: ISO/IEC 42001 ist die internationale Norm für KI-Managementsysteme, veröffentlicht im Dezember 2023. Sie legt Anforderungen dafür fest, wie eine Organisation ein Managementsystem für KI einrichtet, umsetzt, aufrechterhält und fortlaufend verbessert. Sie richtet sich an Organisationen jeder Größe, die KI-gestützte Produkte oder Dienstleistungen anbieten oder nutzen. Die Zertifizierung ist freiwillig und erfolgt durch unabhängige Zertifizierungsstellen, nicht durch ISO. Gesetzliche Pflichten wie die der KI-Verordnung ersetzt die Norm nicht.

Was ISO/IEC 42001 ist

Die Norm ist am 18. Dezember 2023 in erster Ausgabe erschienen, gemeinsam herausgegeben von ISO und IEC und erarbeitet im Unterkomitee für Künstliche Intelligenz, ISO/IEC JTC 1/SC 42. Sie umfasst 51 Seiten. ISO bezeichnet sie als die weltweit erste Norm für KI-Managementsysteme.

Ein KI-Managementsystem beschreibt ISO als Satz zusammenwirkender Elemente einer Organisation, mit dem sie Richtlinien und Ziele für den Umgang mit KI festlegt. Gemeint ist kein Softwareprodukt, sondern die Art, wie ein Unternehmen Verantwortung, Regeln und Abläufe rund um KI organisiert.

Wichtig für den Mittelstand: Die Norm gilt nicht nur für Softwarehäuser. ISO nennt ausdrücklich auch Organisationen, die KI-gestützte Produkte oder Dienstleistungen nutzen, unabhängig von Größe und Branche. Ein Steuerbüro, das mit Copilot arbeitet, gehört ebenso zur Zielgruppe wie ein Hersteller, der KI in seine Maschinen einbaut.

Was die Norm verlangt

ISO/IEC 42001 ist eine Managementsystemnorm. Sie schreibt nicht vor, welche KI ein Unternehmen einsetzt, sondern wie es den Einsatz steuert. Sie folgt dem Plan-Do-Check-Act-Prinzip: Ziele und Regeln festlegen, umsetzen, Wirkung prüfen, nachbessern. Wer ein Qualitätsmanagement betreibt, kennt diese Logik.

In seinem Leitfaden zur Norm nennt ISO als Anforderungsbereiche unter anderem Führung und Kontext der Organisation, Risikomanagement für KI-Systeme, Bewertung und Überwachung der Leistung sowie fortlaufende Verbesserung. Als Einstieg empfiehlt ISO, zuerst festzustellen, wo KI-Systeme eingesetzt werden.

Übersetzt in den Alltag eines mittelständischen Unternehmens bedeutet das:

  • Überblick: ein Verzeichnis, welche KI-Systeme wo und wofür genutzt werden.
  • Rollen: festgelegte Zuständigkeiten, von der Geschäftsführung bis zu den Fachbereichen.
  • Risiken: eine Bewertung, was beim Einsatz der einzelnen Systeme schiefgehen kann, und Maßnahmen dagegen.
  • Regeln: dokumentierte Richtlinien für Auswahl und Einsatz von KI.
  • Überwachung: regelmäßige Prüfung, ob die Systeme und Regeln wirken.
  • Verbesserung: Korrekturen planen und umsetzen, wenn etwas nicht funktioniert.

Der vollständige Normtext enthält die genauen Anforderungen und ist über ISO und die nationalen Normungsorganisationen erhältlich.

Zertifizierung: wer prüft und wer zertifiziert

ISO selbst zertifiziert nicht und stellt keine Zertifikate aus. Zertifiziert wird durch externe Zertifizierungsstellen. Diese Stellen können akkreditiert sein, also von einer unabhängigen Akkreditierungsstelle formal anerkannt. Zwingend vorgeschrieben ist das nach ISO nicht. In Deutschland ist die Deutsche Akkreditierungsstelle (DAkkS) die nationale Akkreditierungsbehörde. Sie akkreditiert unter anderem Zertifizierungsstellen für Managementsysteme.

Für Stellen, die KI-Managementsysteme auditieren und zertifizieren, gibt es seit Juli 2025 eine eigene Norm: ISO/IEC 42006. Sie ergänzt die allgemeinen Anforderungen an Zertifizierungsstellen aus ISO/IEC 17021-1 um KI-spezifische Anforderungen an Audit und Zertifizierung. Unternehmen, die ein Zertifikat anstreben, fragen die Zertifizierungsstelle deshalb am besten früh, für welchen Geltungsbereich sie akkreditiert ist.

ISO/IEC 42001 und die KI-Verordnung

Die Norm und die KI-Verordnung stehen nebeneinander. ISO stellt klar, dass die Norm keine Gesetze oder Vorschriften ersetzt. Sie kann aber helfen, gesetzliche Pflichten geordnet umzusetzen und nachzuweisen.

Drei Punkte sind für die Einordnung wichtig:

  1. Artikel 4 gilt für alle. Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein Managementsystem nach ISO/IEC 42001 kann diese Maßnahmen bündeln und dokumentieren. Mehr dazu im Beitrag zur KI-Schulungspflicht.
  2. Artikel 17 betrifft Anbieter von Hochrisiko-Systemen. Sie richten ein Qualitätsmanagementsystem ein, das die Einhaltung der Verordnung sicherstellt. Die Umsetzung soll in einem angemessenen Verhältnis zur Größe der Organisation stehen. Unternehmen, die KI nur nutzen, sind davon in der Regel nicht betroffen.
  3. Eine Konformitätsvermutung über Normen gibt es nur bei harmonisierten Normen. Artikel 40 knüpft sie an Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht sind, und beschränkt sie auf Hochrisiko-Systeme und KI-Modelle mit allgemeinem Verwendungszweck. Ein Zertifikat nach ISO/IEC 42001 ist deshalb kein Nachweis, dass alle Pflichten der Verordnung erfüllt sind.

Für wen sich der Aufbau lohnt

Eine vollständige Zertifizierung ist ein eigenes Projekt mit Aufbau, Dokumentation und externer Prüfung. Sie bietet sich vor allem in drei Fällen an:

  • Kunden verlangen Nachweise. Auftraggeber fragen in Ausschreibungen oder Lieferantenbewertungen nach dem Umgang mit KI.
  • KI ist Teil des eigenen Angebots. Wer KI-Funktionen entwickelt oder in Produkte einbaut, braucht ohnehin geregelte Abläufe für Risiken und Änderungen.
  • Es gibt schon ein Managementsystem. Unternehmen mit zertifiziertem Qualitäts- oder Informationssicherheitsmanagement können KI-Themen in vorhandene Strukturen einbinden.

Für Betriebe, die KI vor allem nutzen, ist für den Anfang oft eine schlanke Struktur passender, die sich an der Norm orientiert, ohne sie vollständig umzusetzen: ein Verzeichnis der Werkzeuge, eine Nutzungsrichtlinie, eine benannte Zuständigkeit, Schulung und ein regelmäßiger Bericht an die Geschäftsführung. Wer später zertifizieren möchte, baut darauf auf. Eine Vorlage für die Zuständigkeiten ist die Geschäftsordnung für ein KI-Gremium.

Struktur ohne Zertifizierungsprojekt

Die Bausteine der Norm lassen sich auch ohne Zertifikat nutzen. Im erweiterten Mandat eines externen KI-Beauftragten für Unternehmen ab 50 Beschäftigten orientiert sich der Aufbau an ISO/IEC 42001: Jedes Quartal wird ein Ablauf mit KI umgebaut und vorher und nachher gemessen. Für die Leitungsebene ordnet das KI-Briefing für die Geschäftsführung in drei Stunden Einsatzfelder, Risiken und die Pflichten aus der KI-Verordnung für das eigene Unternehmen ein.

Dieser Beitrag beschreibt die Rechtslage allgemein und ersetzt keine Rechtsberatung im Einzelfall.