Mit ISO/IEC 42001 hat die Internationale Organisation für Normung Ende 2023 die weltweit erste Managementsystem-Norm für künstliche Intelligenz veröffentlicht. 2026 wird sie zur ernsthaften Größe: Erste Großunternehmen verlangen sie von ihren Zulieferern, Versicherer berücksichtigen sie bei der Risikoeinschätzung, und der EU AI Act erkennt sie als Nachweis-Instrument an.
Was ISO 42001 verlangt
Die Norm beschreibt Anforderungen an ein 'AI Management System' (AIMS). Sie folgt der bewährten Struktur von ISO 27001 (High Level Structure) und ist daher integrierbar in bestehende Managementsysteme. Kernelemente sind:
- Kontext und Stakeholder: Welche KI-Systeme nutzen Sie, wer ist betroffen, welche Werte stehen auf dem Spiel?
- Führung und Verantwortung: Die Geschäftsleitung muss KI-Governance verantworten – nicht delegieren.
- Risikomanagement: Strukturierte Bewertung von Bias, Sicherheit, Robustheit, Datenschutz, gesellschaftlichen Auswirkungen.
- Lebenszyklus-Management: Von der Entwicklung über Training, Validierung, Deployment bis zur Stilllegung.
- Kontinuierliche Verbesserung: Audit-Trails, Incident-Management, Lessons Learned.
Verhältnis zu ISO 27001
ISO 27001 schützt Informationen – ISO 42001 schützt vor den spezifischen Risiken von KI-Systemen: fehlerhafte Entscheidungen, Bias, mangelnde Erklärbarkeit, Modell-Drift. Beide Normen sind komplementär. Wer ISO 27001 bereits etabliert hat, kann ISO 42001 mit überschaubarem Aufwand aufsatteln – die Audit-Strukturen lassen sich kombinieren.
Warum eine Zertifizierung sich für den Mittelstand lohnen kann
Drei Treiber machen die Zertifizierung 2026 strategisch interessant:
- Lieferanten-Anforderungen: Großkunden und Konzerne verlangen zunehmend Nachweise zu KI-Governance. Wer hier liefern kann, gewinnt Ausschreibungen.
- EU-AI-Act-Erfüllung: Eine ISO-42001-Zertifizierung schafft eine vermutete Konformität mit weiten Teilen des AI Act.
- Versicherbarkeit: Cyberversicherer beginnen, ISO 42001 als Risikoindikator zu berücksichtigen – ähnlich wie ISO 27001.
Der pragmatische Weg
Für mittelständische Unternehmen empfiehlt sich ein gestaffelter Ansatz:
- Gap-Analyse: Wo stehen Sie heute, was fehlt?
- Aufbau der Governance: Rollen, Prozesse, Dokumentation.
- Internes Audit und Korrektur
- Externes Audit durch akkreditierte Zertifizierungsstelle
DSOC begleitet Unternehmen auf diesem Weg – mit ISB-as-a-Service, AI-Risk-Assessments und integrierten Audit-Vorbereitungen für ISO 27001 und ISO 42001.