Worum es bei der ISO 42001 geht
Die ISO/IEC 42001 beschreibt, wie ein Unternehmen den Einsatz von Künstlicher Intelligenz verantwortungsvoll steuert. Nicht die Technik steht im Mittelpunkt, sondern die Organisation: Wer entscheidet, welche KI eingesetzt wird? Wer prüft, ob sie das tut, was sie soll? Was passiert, wenn sie Fehler macht? Wie werden Mitarbeitende, Kunden und Betroffene geschützt?
Die Norm wurde Ende 2023 veröffentlicht und ist die erste, nach der sich ein Unternehmen für seinen KI-Einsatz zertifizieren lassen kann. Sie folgt dem gleichen Aufbau wie die ISO 9001 für Qualität oder die ISO 27001 für Informationssicherheit: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung. Wer eine dieser Normen kennt, findet sich sofort zurecht.
Für wen die Norm relevant ist
Die Norm richtet sich an drei Gruppen: Unternehmen, die KI-Systeme entwickeln und verkaufen. Unternehmen, die KI-Systeme in ihre Produkte oder Dienstleistungen einbauen. Und Unternehmen, die KI im eigenen Betrieb nutzen, vom Chatbot auf der Website bis zum Agenten, der Angebote nachfasst.
Die dritte Gruppe ist die größte und wächst am schnellsten. Wer heute KI-Agenten im Vertrieb, in der Buchhaltung oder im Kundenservice laufen lässt, hat eine Organisation, in der Software eigenständig Entscheidungen vorbereitet oder trifft. Genau dafür ist die Norm gemacht. Und genau das fragen inzwischen Kunden, Versicherer und Banken ab, wenn sie wissen wollen, ob ein Lieferant seinen KI-Einsatz im Griff hat.
Für Unternehmen, die unter den EU AI Act fallen, ist die 42001 zusätzlich der strukturierteste Weg, die dort geforderte Dokumentation, Risikobewertung und menschliche Aufsicht nachzuweisen.
Die fünf Kernpunkte der Norm
1. KI-Inventar und Rollen
Welche KI-Systeme sind im Einsatz, wofür, mit welchen Daten, wer ist verantwortlich? Die Norm will eine vollständige Liste und für jedes System eine Person, die den Hut aufhat. Bei den meisten Mittelständlern ist die Liste länger als gedacht, weil KI inzwischen in CRM, Buchhaltungssoftware und E-Mail-Programmen steckt.
2. Risiko- und Auswirkungsbewertung
Für jedes System: Was kann schiefgehen, wen trifft es, wie wahrscheinlich ist es? Die Norm verlangt zusätzlich zur klassischen Risikoanalyse eine Auswirkungsbewertung, also den Blick auf Menschen, die von der KI betroffen sind, Mitarbeitende, Kunden, Bewerber. Das ist der Teil, der die 42001 von anderen Normen unterscheidet.
3. KI-Politik und Regeln
Eine kurze Richtlinie, wofür KI im Unternehmen genutzt werden darf und wofür nicht, welche Daten eingegeben werden dürfen, wann ein Mensch freigeben muss. Dazu Schulungen, damit alle, die KI nutzen, die Regeln kennen.
4. Lebenszyklus-Kontrolle
Von der Auswahl eines KI-Tools über Einführung, Betrieb und Überwachung bis zur Abschaltung. Die Norm will, dass jede Phase bewusst gestaltet wird: Testen vor dem Einsatz, Protokollieren im Betrieb, regelmäßig prüfen, ob die KI noch das tut, was sie soll.
5. Lieferanten und Transparenz
Wer KI einkauft, muss wissen, was er einkauft: Welche Daten nutzt der Anbieter, wo werden sie verarbeitet, was passiert bei einem Vorfall? Und wer KI gegenüber Kunden einsetzt, muss das kenntlich machen.
ISO 42001 und EU AI Act: Wie passt das zusammen?
Der EU AI Act ist Gesetz, die ISO 42001 ist eine Norm. Das Gesetz sagt, was Pflicht ist. Die Norm beschreibt, wie man es organisiert.
Die Überschneidung ist groß: KI-Kompetenz der Mitarbeitenden, Risikoklassifizierung, Dokumentation, menschliche Aufsicht, Transparenz gegenüber Nutzern, Umgang mit Vorfällen. Wer ein 42001-System betreibt, hat die meisten Pflichten des AI Act strukturiert abgedeckt und kann es gegenüber Behörden, Kunden und Versicherern belegen.
Was die Norm nicht ersetzt: die rechtliche Einordnung, welche Risikoklasse ein konkretes System hat, und die Pflichten, die bei Hochrisiko-Systemen zusätzlich greifen. Dafür braucht es den Blick ins Gesetz, oder jemanden, der ihn für dich hat.
Was der Aufbau braucht und wann er sich lohnt
Mit einer bestehenden ISO 9001 oder 27001 ist der Aufbau überschaubar: Die gemeinsamen Kapitel stehen, die Prozesse sind beschrieben, es fehlen das KI-Inventar, die Bewertungen und die KI-spezifischen Regeln. Realistisch sind dann sechs bis zwölf Wochen und 10 bis 20 Stunden auf deiner Seite. Ohne bestehendes System entsprechend mehr.
Die Zertifizierung läuft wie bei den anderen Normen über eine akkreditierte Stelle in zwei Stufen, mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits.
Ob sich das Zertifikat lohnt, hängt von drei Fragen ab: Fragen Kunden oder Partner danach? Setzt du KI so ein, dass sie Entscheidungen über Menschen beeinflusst? Willst du KI-Agenten skalieren, ohne jedes Mal neu zu überlegen, was erlaubt ist? Wer eine davon mit Ja beantwortet, sollte sich die Norm ansehen. Wer alle drei verneint, kommt mit KI-Inventar, Richtlinie und Schulung aus, ohne Zertifikat.
Wir haben die 42001 im eigenen Unternehmen eingeführt, weil wir KI-Agenten in allen Bereichen einsetzen. Was wir dabei gelernt haben, bauen wir in jedes Kundenprojekt ein.