ISO 42001: lohnt sich ein KI-Managementsystem für den Mittelstand?

TL;DR

ISO 42001 beschreibt ein Managementsystem für den Umgang mit KI — nach demselben Muster wie ISO 27001 für Informationssicherheit. Der Aufwand für die Erstzertifizierung liegt bei 25.000 bis 60.000 Euro. Sinnvoll ist sie für Häuser, die KI-Leistungen verkaufen oder von Kunden danach gefragt werden. Für reine Anwender ist sie meist verfrüht.

Was die Norm verlangt

ISO 42001 folgt dem Aufbau, den Sie aus anderen Managementsystemnormen kennen: Kontext bestimmen, Führung verankern, Ziele setzen, Risiken bewerten, Maßnahmen umsetzen, überwachen, verbessern.

Auf KI übertragen heißt das im Kern:

Ein Verzeichnis Ihrer KI-Systeme. Was läuft im Haus, wer verantwortet es, welche Daten verarbeitet es, welche Entscheidungen beeinflusst es. Das ist der Teil, der unabhängig von jeder Zertifizierung Nutzen bringt.

Eine Folgenabschätzung je System. Welche Auswirkungen hat der Einsatz auf Betroffene? Bei einem System zur Bewerberauswahl ist das eine ernsthafte Frage, bei einer internen Wissenssuche eine kurze.

Rollen und Zuständigkeiten. Wer entscheidet über den Einsatz eines neuen Systems, wer über Modellwechsel, wer prüft die Qualität.

Nachweise über den gesamten Lebenszyklus. Von der Auswahl über den Betrieb bis zur Außerbetriebnahme, mit dokumentierten Entscheidungen.

Lieferantensteuerung. Ihre Modellanbieter, Ihre Plattformdienstleister — bewertet und überwacht.

Der Aufwand

Für ein Unternehmen mit 200 bis 500 Mitarbeitern und zwei bis fünf KI-Systemen:

Gesamt für die Erstzertifizierung: 25.000 bis 60.000 Euro, je nachdem wie viel intern geleistet wird und ob bereits ein Managementsystem existiert.

Der letzte Punkt halbiert den Aufwand. Wenn Sie ISO 27001 oder ISO 9001 betreiben, sind Struktur, Prüfprozesse und Dokumentenlenkung vorhanden — ISO 42001 fügt sich als weiteres Themenfeld ein. Wenn Sie bei null anfangen, bauen Sie zuerst ein Managementsystem und dann den KI-Teil.

Für wen sich das lohnt

Ja, wenn Sie KI-Leistungen verkaufen. Ein Dienstleister, der KI-Systeme für Kunden baut oder betreibt, wird zunehmend danach gefragt. Das Zertifikat ersetzt dann eine Reihe von Einzelnachweisen in Ausschreibungen.

Ja, wenn Ihre Kunden es verlangen. In manchen Branchen wandert die Anforderung durch die Lieferkette — was bei ISO 27001 vor einigen Jahren begann, zeichnet sich hier ab.

Wahrscheinlich, wenn Sie Hochrisiko-Systeme nach dem EU AI Act betreiben. Dazu gleich mehr.

Nein, wenn Sie KI intern anwenden, keine Hochrisiko-Systeme betreiben und niemand danach fragt. Dann bauen Sie ein Managementsystem für einen Zweck, den niemand benennen kann — und binden Kapazität, die in der Datenanbindung besser aufgehoben wäre.

Diese letzte Einschätzung sagen wir deutlich, weil derzeit einiges an Beratungsleistung in die Gegenrichtung verkauft wird.

Das Verhältnis zum EU AI Act

Hier wird es interessant, und hier wird auch am meisten durcheinandergebracht.

ISO 42001 ist keine harmonisierte Norm im Sinne der KI-Verordnung. Eine Zertifizierung begründet damit keine Konformitätsvermutung — Sie können sich gegenüber einer Behörde nicht darauf berufen, die Anforderungen an Hochrisiko-Systeme erfüllt zu haben, weil Sie zertifiziert sind.

Was sie leistet: Ein erheblicher Teil der Arbeit überschneidet sich. Risikomanagement, Dokumentation, Rollen, Lieferantensteuerung und Überwachung werden von beiden verlangt. Wer ein Managementsystem nach ISO 42001 betreibt, hat für die Pflichten nach Anhang III die Grundlage gelegt.

Zum Zeitpunkt: Die Hochrisiko-Pflichten gelten seit dem Digital Omnibus erst ab Dezember 2027, und die harmonisierten Normen sind noch nicht fertig — das war der Grund für die Verschiebung. Die Einordnung dazu steht im Beitrag zu Hochrisiko-Systemen im Mittelstand.

Daraus folgt eine praktische Empfehlung: Wer heute mit ISO 42001 beginnt, baut die Struktur auf, in die die späteren normativen Anforderungen eingehängt werden können. Wer wartet, bis die harmonisierten Normen vorliegen, hat weniger Doppelarbeit und weniger Vorlauf. Beides ist vertretbar — was nicht vertretbar ist, ist beides gleichzeitig zu beginnen.

Was Sie ohnehin tun sollten

Unabhängig von der Zertifizierungsfrage gibt es drei Bausteine, die in jedem Fall Nutzen bringen und die den Großteil der Vorarbeit ausmachen:

Das Verzeichnis der KI-Systeme. Es wird für ISO 42001 gebraucht, für die AI-Act-Einstufung, für NIS2 und für jedes Sicherheitsaudit. Führen Sie es einmal und nutzen Sie es vierfach. Wie das für Agenten aussieht, steht im Beitrag zur Agenten-Governance.

Benannte Verantwortliche je System. Fachlich und technisch getrennt. Das kostet nichts und beendet die häufigste Diskussion in Vorfällen.

Eine dokumentierte Schulung. Die KI-Kompetenzpflicht nach Artikel 4 der KI-Verordnung gilt bereits heute, unabhängig von Risikoklasse und Zertifizierung. Zwei Stunden im Jahr mit Teilnehmerliste.

Häufig gestellte Fragen

Was kostet eine ISO-42001-Zertifizierung im Mittelstand?

Für ein Unternehmen mit 200 bis 500 Mitarbeitern und wenigen KI-Systemen: 25.000 bis 60.000 Euro für die Erstzertifizierung, davon 8.000 bis 20.000 Euro für die externe Prüfung, der Rest interner Aufwand. Jährliche Überwachungsaudits kosten zusätzlich 4.000 bis 8.000 Euro. Ein vorhandenes Managementsystem nach ISO 27001 oder 9001 halbiert den internen Aufwand.

Erfüllt ISO 42001 die Anforderungen des EU AI Act?

Nein, jedenfalls nicht im rechtlichen Sinn. ISO 42001 ist keine harmonisierte Norm zur KI-Verordnung und begründet damit keine Konformitätsvermutung. Inhaltlich überschneiden sich beide erheblich — Risikomanagement, Dokumentation, Rollen und Lieferantensteuerung —, sodass ein bestehendes Managementsystem die Grundlage für die späteren Pflichten legt.

Lohnt sich die Norm für Unternehmen, die KI nur intern nutzen?

Meist nicht. Wenn Sie keine KI-Leistungen verkaufen, keine Hochrisiko-Systeme betreiben und kein Kunde danach fragt, bauen Sie ein Managementsystem ohne benennbaren Zweck. Sinnvoller ist es, die drei Bausteine mit eigenständigem Nutzen umzusetzen: Systemverzeichnis, benannte Verantwortliche und dokumentierte Schulung.

Wie lange dauert eine Erstzertifizierung?

Von der Bestandsaufnahme bis zum Zertifikat realistisch neun bis achtzehn Monate, abhängig davon, ob bereits ein Managementsystem existiert. Der zeitkritische Teil ist nicht die Dokumentation, sondern der Nachweis, dass das System eine Weile gelebt wurde — Prüfer wollen Aufzeichnungen aus dem laufenden Betrieb sehen, nicht nur Beschreibungen.

Sollte man auf die harmonisierten Normen zum AI Act warten?

Das ist eine vertretbare Entscheidung, wenn Sie keine Hochrisiko-Systeme betreiben. Die harmonisierten Normen sind noch nicht fertig — das war der Grund für die Verschiebung der Hochrisiko-Pflichten auf Dezember 2027. Wer wartet, hat weniger Doppelarbeit und weniger Vorlauf; wer heute beginnt, hat die Struktur, in die spätere Anforderungen eingehängt werden.

Der nächste Schritt

Beantworten Sie eine Frage: Hat in den letzten zwölf Monaten ein Kunde, eine Ausschreibung oder eine Aufsicht nach Ihrem Umgang mit KI gefragt? Wenn ja, ist die Zertifizierung eine ernsthafte Option. Wenn nein, fangen Sie mit dem Systemverzeichnis an — das brauchen Sie so oder so. Bei der Einordnung schauen wir gern mit.