Zwei Dinge, die nicht zusammenpassen sollten
Die ISO 9001 gilt als das Langweiligste, was ein Unternehmen tun kann: Prozesse beschreiben, Verantwortliche benennen, Nachweise führen. Künstliche Intelligenz gilt als das Aufregendste: Agenten, die Angebote schreiben, Leads anlegen, Rechnungen prüfen. Das eine ist Ordnung, das andere ist Magie, so die landläufige Sicht.
Wir haben in den letzten zwei Jahren beides parallel gemacht: Managementsysteme für Kunden gebaut und KI-Agenten für den eigenen Betrieb. Dabei ist uns etwas aufgefallen, das wir anfangs für Zufall hielten und inzwischen für eine Gesetzmäßigkeit: Jedes Mal, wenn ein KI-Agent nicht funktionierte, lag es an etwas, das die ISO 9001 schon vor 40 Jahren verlangt hat. Und jedes Mal, wenn ein Prozess sauber nach Norm beschrieben war, lief der Agent fast von allein.
Das ist kein Zufall. Die Norm und die Technologie lösen dasselbe Problem: Wie bringt man ein Unternehmen dazu, verlässlich zu arbeiten, ohne dass jemand jeden Schritt im Kopf behalten muss?
Gemeinsamkeit 1: Ohne beschriebenen Prozess geht nichts
Die ISO 9001 verlangt in Kapitel 4.4, dass ein Unternehmen seine Prozesse bestimmt: Eingaben, Ergebnisse, Abfolge, Verantwortliche, Kennzahlen. Das ist der Kern der Norm.
Ein KI-Agent verlangt exakt dasselbe, nur in anderer Sprache. Wer einem Agenten sagt „bearbeite eingehende Anfragen“, bekommt Unsinn. Wer ihm sagt „prüfe, ob Firma, Ansprechpartner und Telefonnummer vorliegen, lege den Kontakt im CRM an, ordne ihn der Quelle zu, erstelle eine Aufgabe für den Vertrieb mit Frist 24 Stunden und sende die Bestätigung per E-Mail“, bekommt einen Agenten, der funktioniert. Das ist eine Prozessbeschreibung. Wörtlich.
Deshalb ist die Prozesslandkarte, die am Anfang jeder 9001 steht, in Wahrheit die Bauanleitung für Automatisierung. Jeder Kasten darin ist ein Kandidat für einen Agenten, jede Verbindung ein Datenfluss, den man abbilden kann. Unternehmen mit Landkarte wissen, was sie automatisieren können. Unternehmen ohne Landkarte raten.
Gemeinsamkeit 2: Jemand muss verantwortlich sein
Kapitel 5.3 der Norm: Rollen, Verantwortlichkeiten und Befugnisse müssen zugewiesen und verstanden sein. Wer entscheidet, wer prüft, wer gibt frei.
Bei KI ist diese Frage noch dringender, weil der Agent nicht fragt. Wenn der Angebotsagent einen Rabatt gewährt, der nicht gewährt werden sollte, muss klar sein, wer das hätte prüfen müssen und wer es jetzt verantwortet. Der EU AI Act macht daraus seit 2025 eine Pflicht: Wer KI einsetzt, muss menschliche Aufsicht sicherstellen, also jemanden benennen, der die Ergebnisse kontrolliert und eingreifen kann.
Ein Unternehmen, das für die 9001 eine Rollenmatrix gebaut hat, muss für KI nur eine Spalte ergänzen. Ein Unternehmen ohne Rollenmatrix stellt bei jedem Agenten von vorn die Frage, wer eigentlich zuständig ist, und findet oft keine Antwort.
Gemeinsamkeit 3: Schlechte Daten, schlechtes Ergebnis
Die Norm verlangt dokumentierte Information, die gelenkt wird: aktuell, eindeutig, am richtigen Ort, in der richtigen Version. Kapitel 7.5. Klingt nach Verwaltung, ist aber die Grundlage dafür, dass zwei Leute vom selben Stand ausgehen.
KI verstärkt dieses Prinzip um das Hundertfache. Ein Agent, der aus einem CRM mit doppelten Kontakten, veralteten Preisen und drei verschiedenen Schreibweisen für denselben Kunden arbeitet, produziert Fehler in Serie. Nicht weil er dumm ist, sondern weil er konsequent ist: Er macht mit schlechten Daten genau das, was ihm gesagt wurde, nur schneller.
Die Datenpflege, die ein 9001-Unternehmen für den Auditor betreibt, ist dieselbe Datenpflege, die ein KI-Agent braucht. Ein Kunde, der seine Lieferantenliste für die Norm bereinigt hat, konnte seinen Bestellagenten in zwei Wochen aufsetzen. Ein anderer brauchte drei Monate, nur um die Stammdaten so weit zu bekommen, dass ein Agent damit arbeiten konnte.
Gemeinsamkeit 4: Messen, bewerten, verbessern
Das Herz der ISO 9001 ist der PDCA-Zyklus: Plan, Do, Check, Act. Planen, umsetzen, prüfen, nachsteuern. Kapitel 9 und 10 der Norm verlangen, dass ein Unternehmen seine Leistung misst, bewertet und daraus Verbesserungen ableitet.
Genau so wird ein KI-System betrieben. Man gibt dem Agenten eine Aufgabe, lässt ihn arbeiten, prüft die Ergebnisse, erkennt Muster in den Fehlern und passt die Anweisung an. Wer das nicht tut, hat nach drei Monaten einen Agenten, dem niemand mehr vertraut. Wer es tut, hat einen Agenten, der jeden Monat besser wird.
Die Unternehmen, die in der 9001 ein echtes internes Audit machen, statt einmal im Jahr ein Formular abzuhaken, sind dieselben, die ihre Agenten regelmäßig durchsehen. Die Gewohnheit ist dieselbe. Nur das Objekt hat sich geändert.
Warum KI-Projekte im Mittelstand scheitern
Wir sehen das Muster regelmäßig: Ein Geschäftsführer hört von KI, kauft ein Tool oder beauftragt eine Agentur, und nach drei Monaten liegt das Projekt brach. Die Erklärung ist fast immer dieselbe, und sie hat nichts mit der Technik zu tun.
Der Agent sollte Angebote erstellen. Aber niemand konnte sagen, wie ein Angebot bei ihnen eigentlich entsteht. Der eine macht es so, der andere anders, und der Chef hat seine eigene Methode. Der Agent sollte Reklamationen bearbeiten. Aber es gab keinen Reklamationsprozess, nur die Gewohnheit, dass sich Frau Müller darum kümmert. Der Agent sollte Lieferanten bewerten. Aber die Lieferantenliste war ein Excel von 2019.
In allen Fällen fehlte das, was die ISO 9001 in Kapitel 4 bis 8 verlangt. Das Unternehmen hatte versucht, ein Dach zu bauen, ohne Wände zu haben. Umgekehrt beobachten wir: Zertifizierte Betriebe setzen KI schneller und mit weniger Reibung ein, weil die Fragen, die ein Agent stellt, bereits beantwortet sind.
ISO 42001: dieselbe Norm, neues Thema
Dass Norm und KI zusammengehören, hat die ISO selbst bestätigt. Ende 2023 erschien die ISO 42001, die erste zertifizierbare Norm für KI-Managementsysteme. Ihr Aufbau: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung. Dieselben zehn Kapitel wie die 9001, dieselbe Logik, nur dass es statt um Qualität um den verantwortungsvollen Einsatz von KI geht.
Wer die 9001 kennt, findet sich in der 42001 sofort zurecht, und beide lassen sich als ein integriertes System betreiben. Für Unternehmen, die KI nicht nur ausprobieren, sondern nachweisbar beherrschen wollen, etwa weil Kunden oder der AI Act es verlangen, ist das der nächste logische Schritt.
Was das für deinen Betrieb heißt
Wenn du über KI nachdenkst und noch kein Managementsystem hast: Fang nicht mit dem Tool an. Fang mit der Prozesslandkarte an. Eine Seite, auf der steht, wie dein Unternehmen arbeitet. Danach weißt du, wo ein Agent Sinn ergibt, und hast gleichzeitig den Kern deiner ISO 9001.
Wenn du die 9001 schon hast: Du bist weiter, als du denkst. Deine Prozessbeschreibungen sind die Spezifikation, deine Rollenmatrix die Freigabelogik, deine gelenkten Daten das Trainingsmaterial. Wir bauen KI-Agenten genau darauf auf, Prozess für Prozess, und messen, was sie bringen.
Die ISO 9001 wurde 1987 geschrieben, als niemand an Sprachmodelle dachte. Dass sie heute die beste Vorbereitung auf KI ist, sagt viel darüber, wie gut die Grundidee war: Ein Unternehmen, das weiß, wie es arbeitet, kann alles damit anfangen. Auch das, was 1987 noch Science-Fiction war.