- A.2Richtlinien
- A.3Interne Organisation
- A.4Ressourcen
- A.5Folgenabschätzung
- A.6Lebenszyklus
- A.7Daten
- A.8Informationen für interessierte Parteien
- A.9Nutzung von KI
- A.10Dritte und Kunden
Ein Kundenfragebogen oder eine Ausschreibung fragt, wie Sie die Governance der angebotenen KI regeln.
Organisationen, die KI-Systeme entwickeln oder KI-basierte Produkte und Dienstleistungen für andere anbieten.
Ihr Vorstand fragt, welche KI das Unternehmen nutzt und wer sie beaufsichtigt.
Organisationen, die KI in ihrer eigenen Arbeit einsetzen, einschließlich der KI, die in Tools von Drittanbietern integriert ist.
Sie möchten Ihr bestehendes Managementsystem auf KI ausweiten.
Organisationen mit Zertifizierung nach ISO 27001 oder ISO 9001, die dieselbe Abschnittsstruktur haben.
Der Audittermin wird zur Frist für Anwendungsbereich, Maßnahmen und Nachweise.
Teams, die bereits eine akkreditierte Zertifizierungsstelle gewählt und einen Termin für das Erstaudit festgelegt haben.
Abschnitt 4
Bestimmen Sie den Kontext, in dem Sie tätig sind, und legen Sie dann den Anwendungsbereich fest: welche KI-Systeme, Teams und Tätigkeiten das Managementsystem umfasst.
Abschnitt 5
Die oberste Leitung verpflichtet sich zum System, legt eine KI-Politik fest und weist Rollen und Verantwortlichkeiten zu, sodass jeder Teil der Arbeit einen Verantwortlichen hat.
Abschnitt 6.1.2
Identifizieren Sie die Risiken, die von jedem KI-System ausgehen können, und beurteilen Sie dann, wie wahrscheinlich und wie schwerwiegend jedes einzelne ist.
Abschnitt 6.1.3
Legen Sie fest, wie Sie mit jedem Risiko umgehen und welche Maßnahmen dafür sorgen, gleichen Sie Ihre Auswahl mit Anhang A ab und planen Sie dann die Umsetzung.
Abschnitt 6.1.4
Schätzen Sie über das Risiko für Ihre Organisation hinaus ab, wie sich jedes KI-System auf Menschen auswirken kann, auch auf jene, die es nie nutzen, aber mit seinen Ergebnissen leben.
Abschnitt 7
Stellen Sie die Ressourcen bereit, die das System braucht, schulen Sie die Beteiligten für ihre jeweilige Rolle und bewahren Sie die Dokumente auf, die zeigen, wie es funktioniert.
Abschnitt 8
Setzen Sie die Pläne in den Betrieb um. Führen Sie Risikobeurteilung, Risikobehandlung und Folgenabschätzung als Teil der normalen Arbeit durch, nicht nur in den Wochen vor einem Audit.
Abschnitt 9
Messen Sie die Leistung des Systems, führen Sie in geplanten Abständen interne Audits durch und lassen Sie die oberste Leitung die Ergebnisse bewerten und über Änderungen entscheiden.
Abschnitt 10
Wenn Sie eine Nichtkonformität feststellen, korrigieren Sie sie, beseitigen Sie die Ursache, damit sie nicht erneut auftritt, und verbessern Sie das System fortlaufend.
Anhang A
Anhang A enthält 38 Maßnahmen zu Themen von KI-Politik und Folgenabschätzung bis zu Daten und Dritten. Halten Sie in einer Erklärung zur Anwendbarkeit fest, welche Sie anwenden, mit einer Begründung für jede Entscheidung.
ISO/IEC 42006:2025
Eine akkreditierte Zertifizierungsstelle führt die Audits durch und stellt das Zertifikat aus
ISO/IEC 17021-1
Das Erstaudit: Stufe 1 prüft Ihre Bereitschaft, Stufe 2 den Betrieb des Systems
ISO/IEC 17021-1
In den Jahren dazwischen prüfen Überwachungsaudits, ob das System weiterhin funktioniert
ISO/IEC 17021-1
Die übliche Laufzeit eines Zertifikats bis zum vollständigen Rezertifizierungsaudit
Ein Zertifikat bezieht sich auf Ihr Managementsystem, nicht darauf, ob ein KI-System die Verordnung erfüllt. Nach Artikel 40 ergibt sich die Konformitätsvermutung aus harmonisierten Normen, deren Fundstellen im Amtsblatt veröffentlicht sind, nicht aus einem 42001-Zertifikat. [5]
Sie wenden die Maßnahmen an, die Ihre Risiken erfordern. Die Erklärung zur Anwendbarkeit hält fest, welche Sie einbeziehen und welche Sie ausschließen, jeweils mit Begründung. [1]
Der Omnibus von 2026 hat nur die Hochrisiko-Fristen der EU verschoben, auf den 2. Dezember 2027 und den 2. August 2028. ISO 42001 war nie daran gebunden: Die Norm ist freiwillig, und die Audittermine legen Sie gemeinsam mit Ihrer Zertifizierungsstelle fest. [6]
Was ist ISO 42001?
ISO/IEC 42001 ist die internationale Norm für KI-Managementsysteme, also die Politiken, Rollen, Prozesse und Maßnahmen, mit denen eine Organisation KI steuert. Die im Dezember 2023 veröffentlichte Norm legt Anforderungen an die Festlegung, Verwirklichung, Aufrechterhaltung und fortlaufende Verbesserung dieses Systems fest. Sie richtet sich an Organisationen, die KI bereitstellen oder nutzen, nicht nur an solche, die sie entwickeln.
Worin unterscheidet sich ISO 42001 von ISO 27001?
ISO 27001 regelt die Informationssicherheit. ISO 42001 regelt den Umgang mit KI, einschließlich Risiken und Auswirkungen, die über die Sicherheit hinausgehen, etwa wie sich die Ergebnisse eines Systems auf Menschen auswirken. Beide folgen derselben Abschnittsstruktur von 4 bis 10, daher werden Ihnen Anwendungsbereich, Politik, internes Audit und Managementbewertung vertraut vorkommen. ISO 42001 ersetzt 27001 nicht, und beide lassen sich als ein integriertes Managementsystem betreiben.
Ist ISO 42001 verpflichtend?
Nein. Es handelt sich um eine freiwillige Norm, und bei Nichteinhaltung drohen keine Bußgelder. Organisationen lassen sich zertifizieren, weil Kunden, Partner oder Ausschreibungen fragen, wie sie KI steuern, und ein Zertifikat einer akkreditierten Stelle ist darauf eine klare Antwort. Sobald Sie eines haben, sind die Risiken praktischer Natur: im Audit festgestellte Nichtkonformitäten, ein Zertifikat, das Sie verlieren könnten, und Prüfungen durch Kunden, die Sie nicht bestehen könnten.
Wie lange ist eine ISO-42001-Zertifizierung gültig?
Ein Zertifikat gilt in der Regel drei Jahre. In den Jahren dazwischen kommt die Zertifizierungsstelle meist einmal jährlich zu Überwachungsaudits und prüft, ob das System weiterhin wirksam ist. Am Ende des Zyklus beginnt mit einem Rezertifizierungsaudit der nächste. Den genauen Zeitplan legt Ihre Zertifizierungsstelle fest. Klären Sie ihn daher frühzeitig, besonders wenn Ihr erstes Audit bereits terminiert ist.
Was ist eine Anwendbarkeitserklärung?
Das Dokument listet die Maßnahmen aus Anhang A auf, gibt an, welche Sie anwenden, und begründet für jede, warum sie einbezogen oder ausgeschlossen wird. Anhang A umfasst 38 Maßnahmen, und Sie müssen nicht alle anwenden. Die gewählten Maßnahmen sollten sich aus Ihrer Risikobehandlung ergeben, damit beide Dokumente dasselbe aussagen. Halten Sie die Erklärung aktuell: Wenn sich Ihre KI-Systeme oder Risiken ändern, können sich auch Ihre Entscheidungen ändern.
Wer kann uns nach ISO 42001 zertifizieren?
Eine akkreditierte Zertifizierungsstelle. Die 2025 veröffentlichte ISO/IEC 42006 stellt zusätzlich zu ISO/IEC 17021-1 Anforderungen an Stellen, die nach ISO 42001 zertifizieren. Im Vereinigten Königreich wurde BSI als erste Stelle von UKAS akkreditiert. Software und Berater können Sie bei der Vorbereitung unterstützen, aber nicht zertifizieren. Enzai ist keine Zertifizierungsstelle: Die Plattform enthält die Bewertungen, Verantwortlichen, Nachweise und Berichte, mit denen Ihr Team arbeitet.
Quellen · Stand: Okt. 2026
