Zum Inhalt springen
Optim-AI

KI-Governance

ISO/IEC 42001 für KMU: wann sich die Norm lohnt und wann nicht

Stand: 10. Oktober 2026. ISO/IEC 42001 ist eine internationale Norm, veröffentlicht im Dezember 2023. Sie legt die Anforderungen an ein Managementsystem für künstliche Intelligenz fest. Sie ist freiwillig. Die Zertifizierung erteilt eine unabhängige Stelle, keine Beratungsfirma. Sie bedeutet keine Konformität mit der KI-Verordnung. Für ein KMU lohnt sie sich vor allem, wenn Sie KI-basierte Produkte oder Dienstleistungen an Kunden verkaufen, die sie verlangen. In den übrigen Fällen genügen oft einige Governance-Regeln. Optim-AI hilft bei der Vorbereitung der Zertifizierung, in einem eigenen Projekt. Wir zertifizieren nicht.

Die Norm

Was ISO/IEC 42001 ist

ISO/IEC 42001:2023 trägt den Titel „Informationstechnik — Künstliche Intelligenz — Managementsystem“. Sie richtet sich an Organisationen, die KI-Systeme entwickeln, bereitstellen oder nutzen, unabhängig von ihrer Größe.

Sie betrifft kein Modell und keine Software. Sie betrifft die Art, wie das Unternehmen seine Entscheidungen rund um KI organisiert: Politik, Rollen, Risikoanalyse, Folgenabschätzung, Überwachung, Verbesserung.

Ihr Aufbau folgt dem der anderen ISO-Managementsystemnormen, darunter ISO/IEC 27001 für Informationssicherheit. Die Kapitel haben dieselben Nummern und dieselben Titel: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung. Ein Anhang A listet Referenzmaßnahmen auf. Das Unternehmen wählt die zutreffenden aus und begründet seine Ausschlüsse.

In Frankreich ist die Norm bei AFNOR unter der Bezeichnung NF EN ISO/IEC 42001, Ausgabe März 2026, erhältlich.

Die Zertifizierung. Sie ist freiwillig. Sie wird von einer Zertifizierungsstelle erteilt, nach einem Erstaudit und anschließenden Überwachungsaudits. Die Anforderungen an diese Stellen legt ISO/IEC 42006 fest, veröffentlicht 2025. In Frankreich ist das COFRAC für die Akkreditierung der Stellen zuständig. Prüfen Sie vor der Wahl einer Stelle auf cofrac.fr, oder bei der zuständigen europäischen Akkreditierungsstelle, ob ihr Akkreditierungsumfang ISO/IEC 42001 tatsächlich abdeckt.

Der Bezug zu ISO 27001. Wenn Sie bereits nach ISO 27001 zertifiziert sind, verfügen Sie über eine gemeinsame Grundlage: Managementbewertung, internes Audit, Dokumentenlenkung, Risikoanalyse. ISO 42001 ergänzt KI-spezifische Themen, etwa die Folgenabschätzung von Systemen oder die Datenqualität. Beide Systeme lassen sich gemeinsam führen.

Grenzen

Was sie nicht ist

  • Sie ist keine gesetzliche Pflicht. Kein Gesetz verpflichtet KMU zu einer Zertifizierung nach ISO 42001.
  • Sie ist keine Konformität mit der KI-Verordnung. Die europäische KI-Verordnung gewährt eine Konformitätsvermutung für harmonisierte Normen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht sind (Artikel 40). Nach unserem Kenntnisstand ist zum 10. Oktober 2026 keine harmonisierte Norm zur KI-Verordnung im Amtsblatt veröffentlicht, und ISO/IEC 42001 gehört nicht dazu. Die harmonisierten Normen werden vom europäischen Komitee CEN-CENELEC JTC 21 erarbeitet. Die am weitesten fortgeschrittene, prEN 18286, betrifft das Qualitätsmanagementsystem, das Anbieter von Hochrisiko-KI-Systemen benötigen. Die Kommission stellt sie als Entwurf dar, der sich seit dem 30. Oktober 2025 in der öffentlichen Umfrage befindet. Eine Zertifizierung nach ISO 42001 hilft Ihnen, Ihre Konformität zu organisieren. Sie weist sie nicht Anforderung für Anforderung nach.
  • Sie ist keine Garantie für Ihre Werkzeuge. Das Zertifikat bestätigt, dass Ihre Organisation einem Managementsystem folgt. Es bescheinigt nicht, dass ein bestimmtes KI-System zuverlässig oder risikofrei ist.

Der Zeitplan der KI-Verordnung, Stand: 10. Oktober 2026. Die Verordnung (EU) 2024/1689 wurde durch die Verordnung (EU) 2026/1744, den sogenannten „Digital Omnibus“, geändert. Dieser Text ist seit dem 27. Juli 2026 in Kraft. Die Pflichten für Hochrisiko-Systeme nach Anhang III, etwa die Auswahl von Bewerbungen oder der Zugang zu Krediten, gelten ab dem 2. Dezember 2027. Die Pflichten für Systeme in regulierten Produkten (Anhang I) gelten ab dem 2. August 2028. Diese Daten sind fest. Sie hängen nicht von der Veröffentlichung harmonisierter Normen ab. Die Einzelheiten, Anwendung für Anwendung, finden Sie auf unserer Seite KI-Verordnung für KMU.

Wann es sich lohnt

Wann sie sich für ein KMU lohnt

Die Zertifizierung erfordert Zeit der Geschäftsleitung, Dokumentation und wiederkehrende Audits. Sie ist gerechtfertigt, wenn sie einer tatsächlichen Nachfrage entspricht.

  • Sie verkaufen ein KI-basiertes Produkt oder eine KI-basierte Dienstleistung an Großkunden. Deren Lieferantenfragebögen können fragen, wie Sie KI steuern. Ein Zertifikat beantwortet einen Teil dieser Fragen in standardisierter Form.
  • Sie sind in einer regulierten Branche tätig. Gesundheit, Finanzen, Versicherungen, Personalwesen: Ihre Kunden oder Ihre Aufsichtsbehörden erwarten ein dokumentiertes Risikomanagement.
  • Sie sind bereits nach ISO 27001 zertifiziert. Der zusätzliche Aufwand ist geringer, weil das Grundgerüst besteht.
  • Sie entwickeln Systeme, die nach der KI-Verordnung als hochriskant eingestuft werden könnten. Die Norm befreit Sie von nichts. Sie bietet aber einen Rahmen, um die Arbeit zu organisieren.

Wann warten

Wann sie sich nicht lohnt

  • Sie nutzen KI nur als Bürowerkzeug. Schreibassistent, Besprechungszusammenfassungen, Übersetzung. Das Hauptrisiko liegt dann in den Daten, die Ihre Teams eingeben. Klare Nutzungsregeln behandeln es direkter als ein vollständiges Managementsystem.
  • Niemand verlangt sie von Ihnen. Ohne Anforderung eines Kunden oder eines Marktes hat das Zertifikat wenig kommerziellen Nutzen.
  • Sie haben noch keine Bestandsaufnahme Ihrer Anwendungen. Ein System zu zertifizieren, dessen Umfang man nicht kennt, ergibt keinen Sinn. Die Bestandsaufnahme kommt zuerst.

Ohne Zertifizierung

Wie Sie beginnen, ohne eine Zertifizierung anzustreben

Die Grundlagen der Norm sind nützlich, auch wenn Sie nie bis zum Zertifikat gehen. Sie entsprechen dem, was jede Geschäftsleitung über KI in ihrem Unternehmen wissen sollte.

  1. Die tatsächlichen Anwendungen erfassen.

    Welche Werkzeuge, für welche Aufgaben, mit welchen Daten. Einschließlich derer, die ohne Freigabe eingeführt wurden.

  2. Verantwortliche benennen.

    Wer entscheidet über die Einführung eines Werkzeugs, wer verfolgt die Risiken, wer reagiert bei einem Vorfall.

  3. Nutzungsregeln schreiben.

    Welche Daten das Unternehmen nicht verlassen, welche Werkzeuge zugelassen sind, welche menschliche Prüfung erforderlich ist.

  4. Die Risiken überprüfen.

    Jede Anwendung nach Schwere und Wahrscheinlichkeit einstufen und dann über eine Antwort entscheiden: beibehalten, regeln, beenden.

Wird später eine Zertifizierung nötig, bildet diese Arbeit ihre Grundlage.

Unsere Rolle

Die Rolle von Optim-AI

Unsere Rolle ist es, Sie bei der Vorbereitung der Zertifizierung zu unterstützen. Das Zertifikat selbst erteilt eine akkreditierte Stelle, die Sie wählen.

Wir führen die Vorbereitung in einem eigenen Vorbereitungsprojekt durch. Es gehört zur Leistung „Individuelle Projekte“ unserer Begleitung, folgt auf das Audit und baut auf dessen Ergebnissen auf.

Die drei Leistungen der Begleitung sind auf der Seite Leistungen beschrieben.

Optim-AI zertifiziert nicht. Wir sind keine Zertifizierungsstelle. Wie beim Audit erteilt unsere Arbeit weder ein Siegel noch ein Zertifikat. Optim-AI führt das Zertifizierungsaudit nicht durch und wählt die Stelle nicht für Sie aus.

Vorbereitung

Unsere Vorbereitungsmethode

Die Methode geht von den Ergebnissen unseres KI-Audits aus. Sie ordnet sie den Anforderungen eines KI-Managementsystems zu, in der Reihenfolge der Kapitel 4 bis 10 der Norm. Diese Kapitel folgen der gemeinsamen Struktur der ISO-Managementsystemnormen (früher „Anhang SL“). Manche Audit-Ergebnisse decken eine Anforderung ab. Andere sind nur ein Ausgangspunkt. Wir geben das bei jedem Schritt an.

Die Arbeiten, die über das Audit hinausgehen, bilden das eigene Vorbereitungsprojekt: KI-Politik, Folgenabschätzung, Erklärung zur Anwendbarkeit, Vorbereitung des internen Audits und der Managementbewertung, Lückenanalyse.

  1. Kontext und Anwendungsbereich festlegen (Kapitel 4).

    Die Übersicht der tatsächlichen KI-Anwendungen, gemeldet und nicht gemeldet, und die Bestandsaufnahme sensibler Daten beschreiben die Ausgangslage. Gemeinsam mit Ihnen leiten wir daraus den Anwendungsbereich des Managementsystems ab: welche Tätigkeiten, welche Werkzeuge, welche Standorte. Wir legen auch Ihre Rolle für jedes System fest: Sie entwickeln es, stellen es bereit oder nutzen es.

  2. Die Geschäftsleitung einbinden und die KI-Politik schreiben (Kapitel 5).

    Die KI-Nutzungsregeln, bereit zur Aufnahme in die Arbeitsordnung, dienen als Grundlage. Die KI-Politik wird mit der Geschäftsleitung verfasst, die sie freigibt. Die Rollen werden benannt: wer über die Einführung eines Werkzeugs entscheidet, wer die Risiken verfolgt, wer bei einem Vorfall reagiert.

  3. Risiken beurteilen und behandeln (Kapitel 6).

    Die Liste der nach Schwere und Wahrscheinlichkeit eingestuften Risiken wird zur Risikobeurteilung. Der Gegenmaßnahmenplan wird zur Risikobehandlung. Zwei Arbeiten kommen zum Audit hinzu. Erstens die Folgenabschätzung jedes KI-Systems für die betroffenen Personen. Zweitens die Auswahl der Maßnahmen aus Anhang A, die bei Ihnen gelten, mit Begründung der Ausschlüsse: das ist die Erklärung zur Anwendbarkeit. Die Ziele des Managementsystems werden in diesem Schritt festgelegt.

  4. Die Unterstützung organisieren (Kapitel 7).

    Wir listen die erforderlichen Kompetenzen und die Sensibilisierungsmaßnahmen für die Teams auf. Wir richten die Lenkung der geforderten Dokumente ein: Politik, Risikobeurteilung, Erklärung zur Anwendbarkeit, Nutzungsregeln, Aufzeichnungen.

  5. Umsetzen (Kapitel 8).

    Die Zielarchitektur zeigt, was bei Ihnen bleibt, was an einen Dritten geht, und warum. Der Aktionsplan, gestaffelt über 3, 6 und 12 Monate, legt die Reihenfolge der Arbeiten fest. Die ausgewählten Maßnahmen werden angewendet und dokumentiert.

  6. Überwachen und bewerten (Kapitel 9).

    Die Steuerungskennzahlen und der Überprüfungsrhythmus aus dem Audit dienen der Überwachung. Wir helfen Ihnen, das interne Auditprogramm zu organisieren und die erste Managementbewertung vorzubereiten.

  7. Verbessern (Kapitel 10).

    Festgestellte Nichtkonformitäten führen zu Korrekturmaßnahmen. Der Aktionsplan wird bei jeder Managementbewertung überprüft.

  8. Lücken analysieren und dann übergeben.

    Vor dem Zertifizierungsaudit vergleichen wir Ihr System mit den Anforderungen der Norm, Kapitel für Kapitel, und mit den ausgewählten Maßnahmen aus Anhang A. Sie erhalten die Liste der verbleibenden Lücken und der Maßnahmen, um sie zu schließen. Danach beauftragen Sie die Zertifizierungsstelle Ihrer Wahl. Prüfen Sie vorher, ob ihr Akkreditierungsumfang ISO/IEC 42001 abdeckt.

Sie können nach jedem Schritt aufhören. Die erstellten Dokumente gehören Ihnen.

Die Dauer hängt vom Umfang ab und davon, was bereits besteht, zum Beispiel eine Zertifizierung nach ISO 27001. Sie wird im ersten Gespräch festgelegt.

Häufige Fragen

Die Fragen von Geschäftsführern

Was ist ISO 42001, in einem Satz?
Eine internationale Norm, die beschreibt, wie eine Organisation die KI steuert, die sie entwickelt, bereitstellt oder nutzt: Politik, Rollen, Risiken, Überwachung und Verbesserung.
Muss ein KMU nach ISO 42001 zertifiziert sein?
Nein. Keine gesetzliche Pflicht schreibt das vor. Die Frage stellt sich vor allem, wenn Ihre Kunden es verlangen oder wenn Sie KI-basierte Lösungen verkaufen.
Macht die Zertifizierung nach ISO 42001 konform mit der KI-Verordnung?
Nein. Die Konformitätsvermutung gilt nur für harmonisierte Normen, die im Amtsblatt der Europäischen Union veröffentlicht sind. Nach unserem Kenntnisstand ist das zum 10. Oktober 2026 bei keiner der Fall, und ISO/IEC 42001 gehört nicht dazu. Die Zertifizierung kann helfen, Ihr Vorgehen zu strukturieren.
Kann Optim-AI uns zertifizieren?
Nein. Optim-AI ist keine Zertifizierungsstelle. Nur eine akkreditierte Stelle erteilt das Zertifikat. Wir helfen Ihnen, Ihr KI-Managementsystem im Vorfeld vorzubereiten, bis zur Lückenanalyse.
Wie läuft die Vorbereitung mit Optim-AI ab?
Es ist ein eigenes Vorbereitungsprojekt, das auf das KI-Audit folgt. Es geht von dessen Ergebnissen aus: tatsächliche Anwendungen, sensible Daten, eingestufte Risiken, Nutzungsregeln, Aktionsplan. Wir ergänzen sie, um die Kapitel 4 bis 10 der Norm abzudecken, und messen dann die verbleibenden Lücken vor dem Zertifizierungsaudit. Die Dauer hängt vom Umfang ab.

Quellen

Die herangezogenen Texte

Stand der Seite: 10. Oktober 2026. Der Normtext wird nicht zitiert. Wir haben im Amtsblatt keine harmonisierte Norm zur KI-Verordnung gefunden. Keine Zertifizierungsstelle wird genannt: Prüfen Sie deren Akkreditierungsumfang auf cofrac.fr.

KI-Audit für KMU und MittelstandTatsächliche Anwendungen, gefährdete Daten, Risiken und Gegenmaßnahmenplan.KI-Verordnung für KMUPflichten und Zeitplan, Stand: 10. Oktober 2026.Risiken und KontrolleDie fünf tatsächlichen Risiken und ihre Gegenmaßnahmen.Die MethodeDiagnose, Audit, Projekte.LeistungenDiagnose, Audit, individuelle Projekte.KontaktEin erstes Gespräch von dreißig Minuten, unverbindlich.

Nächster Schritt

Klären, ob sich ISO 42001 für Sie lohnt

Das erste Gespräch dauert dreißig Minuten und ist unverbindlich. Es dient dazu, Ihren Bedarf einzugrenzen und festzulegen, was zuerst zu prüfen ist.

30 Minuten buchenKI-Reifegrad-Test starten