ISO 42001: Was die KI-Norm verlangt und wie Sie sich vorbereiten

ISO 42001 ist die internationale Norm für Managementsysteme rund um künstliche Intelligenz. Seit August 2026 liegt sie als DIN EN ISO/IEC 42001 auch in deutscher Fassung vor. Für Unternehmen, die KI entwickeln, einsetzen oder an Kunden weitergeben, wird die Frage damit konkreter: Brauchen wir das, was verlangt die Norm, und wie bereiten wir uns vor? Dieser Ratgeber beantwortet alle drei Fragen und zeigt, wie ISO 42001 zur KI-Verordnung und zum Prüfkatalog A5 des BSI steht.

Was ISO 42001 regelt

Die Norm trägt die Nummer ISO/IEC 42001:2023 und beschreibt ein KI-Managementsystem, oft mit AIMS abgekürzt (Artificial Intelligence Management System). Sie legt nicht fest, wie ein einzelnes KI-System technisch gebaut sein muss. Sie regelt, wie eine Organisation den Umgang mit KI steuert: wer verantwortlich ist, wie Risiken bewertet werden, wie Entscheidungen dokumentiert und regelmäßig überprüft werden.

Die Ausgabe DIN EN ISO/IEC 42001:2026-08 ist die deutsche Fassung dieser internationalen Norm. Inhaltlich gilt also dasselbe, ob ein Kunde nach der ISO- oder der DIN-Fassung fragt.

Die Zertifizierungsstelle DQS nennt typische Zielgruppen:

• Softwareunternehmen und KI-Entwickler mit generativer KI oder modellbasierten Diensten
• Unternehmen, die KI in Betriebsabläufen, Kundenservice, Personalwesen oder bei Entscheidungen einsetzen
• Technologieanbieter, die KI-Funktionen an ihre Kunden weitergeben
• Organisationen, die sich auf die KI-Verordnung vorbereiten

Für einen Mittelständler, der KI nur nutzt, ist ISO 42001 also kein Fremdkörper. Die Norm ist freiwillig, wird aber dort wichtig, wo Kunden oder Auftraggeber einen Nachweis über den verantwortlichen Umgang mit KI verlangen.

Was ein Zertifizierer bei ISO 42001 prüft

Wie eine Zertifizierung nach ISO 42001 abläuft, beschreibt die DQS in zwei Stufen. In Stufe 1 analysiert der Auditor das System: die Dokumentation, die KI-Folgenabschätzungen sowie die Ergebnisse der Managementbewertung und der internen Audits. Daraus ergibt sich, ob das Managementsystem reif für die Zertifizierung ist. In Stufe 2 prüft er die Wirksamkeit aller Prozesse, ausdrücklich auch KI-Governance, Datenmanagement, Transparenz und menschliche Überwachung.

Bevor Sie einen Zertifizierer beauftragen, sollten laut DQS vier Dinge erledigt sein:

Lassen Sie sich vom Zertifizierer außerdem zeigen, dass er für ISO/IEC 42001 akkreditiert ist und welcher Geltungsbereich darin steht.

ISO 42001 und die KI-Verordnung

Häufig wird gefragt, ob ein Zertifikat nach ISO 42001 die Pflichten aus der KI-Verordnung (EU) 2024/1689 erfüllt. Die kurze Antwort: Es hilft, ersetzt die Prüfung aber nicht. Die Verordnung knüpft ihre Pflichten an konkrete KI-Systeme und an die Rolle des Unternehmens, etwa als Anbieter oder Betreiber. Ob eine Anwendung als hochriskant gilt, ob Transparenzpflichten greifen oder ob nur die allgemeinen Pflichten gelten, entscheidet sich je System.

Eine Vermutung, die Anforderungen an Hochrisiko-Systeme zu erfüllen, entsteht nach Artikel 40 der Verordnung durch harmonisierte Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht sind. Ein Managementsystem nach ISO 42001 schafft dafür eine gute Grundlage: Dokumentation, Risikobewertung und Verantwortlichkeiten sind genau das, was auch die Verordnung immer wieder verlangt. Welche Pflichten für Ihr Unternehmen gelten, erklärt unsere Schwesterseite zur KI-Verordnung.

Wie sich ISO 42001 vom BSI-Katalog A5 unterscheidet

Im Juli 2026 hat das Bundesamt für Sicherheit in der Informationstechnik den Community Draft seines Prüfkatalogs A5 veröffentlicht, der „AI Audit and Assurance Assessment Architecture“. Die Kommentierungsfrist lief bis zum 31. August 2026. A5 ist damit ein Entwurf und noch kein verbindlicher Katalog.

Der Unterschied liegt in der Blickrichtung. ISO 42001 prüft, ob eine Organisation ihren Umgang mit KI steuert. A5 setzt beim einzelnen KI-System an und orientiert sich in der Prüfmethodik am Cloud-Katalog C5 des BSI und am Prüfstandard ISAE 3000. Für Anbieter von KI-Diensten können später beide Wege relevant sein, für Unternehmen, die KI vor allem nutzen, steht das Managementsystem im Vordergrund. Einen Überblick über die Arbeit des BSI zu KI gibt unsere Schwesterseite unter BSI und KI.

Wie Sie sich auf ISO 42001 vorbereiten

Der größte Aufwand liegt vor dem ersten Audit, und er beginnt mit einer Bestandsaufnahme. Bewährt hat sich diese Reihenfolge:

1. KI-Inventar anlegen. Jedes KI-Werkzeug und jede KI-Funktion in eingekaufter Software mit Zweck, Daten, Nutzern und Verantwortlichen erfassen. Ohne Inventar lässt sich der Geltungsbereich nicht festlegen.
2. Pflichten zuordnen. Für jede Anwendung klären, welche Rolle Ihr Unternehmen nach der KI-Verordnung hat und was die DSGVO verlangt.
3. Risiken und Folgen bewerten. Für jede Anwendung festhalten, was schiefgehen kann, wen es trifft und welche Kontrolle das Risiko senkt.
4. Richtlinie und Verantwortung festlegen. Eine KI-Richtlinie formulieren, von der Leitung genehmigen lassen und eine verantwortliche Person benennen.
5. Intern prüfen. Ein internes Audit über alle Anforderungen durchführen, bevor ein Zertifizierer kommt.

Die ersten drei Schritte sind der Kern eines KI-Audits. Es endet mit einem KI-Inventar und einem Fahrplan und zeigt, wo Sie heute gegenüber ISO 42001 stehen. Auf diesem Ergebnis baut eine spätere Zertifizierung auf.

Lohnt sich ISO 42001 für Ihr Unternehmen?

ISO 42001 lohnt sich vor allem, wenn Kunden oder Ausschreibungen einen Nachweis über KI-Governance verlangen oder wenn Sie KI-Funktionen selbst anbieten. Nutzen Sie KI dagegen nur intern, reicht oft zunächst ein sauberes Inventar mit geklärten Pflichten und einem Fahrplan. Beides ist ohnehin der erste Schritt in Richtung ISO 42001, und Sie entscheiden danach auf belastbarer Grundlage, ob eine Zertifizierung den Aufwand wert ist.

Mehr dazu: KI-Audit