21. August 2026 · Morten Babakhani · Aktualisiert am 5. November 2026
ISO/IEC 42001 beschreibt ein Managementsystem für künstliche Intelligenz — aufgebaut wie ISO 27001, nur für KI-spezifische Risiken. Wer 27001 kennt, erkennt die Struktur sofort: Kontext, Rollen, Ziele, Risikobeurteilung, Maßnahmen, Wirksamkeitsprüfung. Die Norm selbst: ISO/IEC 42001:2023.
Die Frage ist nicht, ob die Norm gut gemacht ist. Die Frage ist, ob Sie sie brauchen.
Wann sie sich rechnet
Wenn Sie Anbieter sind. Sobald Sie KI-Funktionen in einem Produkt ausliefern, müssen Sie gegenüber Kunden erklären, wie Sie Modelle beurteilen, überwachen und abschalten. Ein Managementsystem beantwortet das einmal statt in jedem Ausschreibungsverfahren neu.
Wenn Sie im regulierten Umfeld verkaufen. Einkaufsabteilungen in Banken, Versicherungen und im öffentlichen Sektor fragen inzwischen nach Nachweisen zur KI-Governance. Eine gemeinsame Struktur hilft dabei, wiederkehrende Fragen zu Verantwortlichkeiten, Prüfungen und Betrieb zu beantworten.
Wenn mehrere Teams Modelle einsetzen. Ab einer gewissen Größe weiß niemand mehr, welche Modelle produktiv im Einsatz sind. Ein Verzeichnis mit Zweck, Verantwortlichem und Abschaltweg ist dann kein Formalismus, sondern Betriebsvoraussetzung.
Wann sie nur Papier erzeugt
Bei einzelnen zugekauften KI-Funktionen kann zunächst ein schlankeres Vorgehen angemessen sein: Zweck, Herstellerunterlagen, Zuständigkeiten und Kontrollen dokumentieren. Ob ein Managementsystem sinnvoll oder vertraglich gefordert ist, hängt von Einsatz und Risiken ab.
Der Fehler in die andere Richtung ist genauso teuer: eine Zertifizierung anstreben, bevor überhaupt klar ist, welche Modelle im Haus laufen. Dann zertifizieren Sie eine Fiktion.
Was die Norm mit dem AI Act zu tun hat
Beides deckt sich nicht, aber es überlappt erheblich. Risikobeurteilung, Dokumentation, menschliche Aufsicht, Überwachung im Betrieb und Vorfallbehandlung verlangen beide. Ein Managementsystem kann die Bearbeitung solcher Aufgaben strukturieren. Welche Pflichten für einen konkreten KI-Einsatz erfüllt sind, muss gesondert geprüft werden.
Umgekehrt gilt: Eine Zertifizierung ersetzt keine Konformitätsbewertung. Wer das verwechselt, zahlt zweimal.
Wie wir es in Projekten anfangen
Wir beginnen mit dem Verzeichnis, nicht mit dem Handbuch. Jede KI-Nutzung im Haus bekommt eine Zeile: Zweck, Datenarten, Anbieter oder Eigenentwicklung, Aufsicht, Protokollierung, Abschaltweg. Das macht sichtbar, wo die eigentlichen Risiken liegen — häufig nicht dort, wo man sie erwartet hat, sondern in kleinen Assistenzfunktionen, die jemand ohne Absprache aktiviert hat.
Erst danach entscheidet man, ob ein Managementsystem angemessen ist. Diese Reihenfolge erspart im Zweifel ein ganzes Projekt.
Der Aufwand, realistisch benannt
Wer die Norm ernsthaft umsetzt, braucht drei Dinge: eine benannte Verantwortung mit Zeit im Kalender, ein Verzeichnis der KI-Einsätze, das gepflegt wird, und eine wiederkehrende Durchsicht. Das Handbuch ist der kleinste Teil.
Der Aufwand liegt nicht im Aufschreiben, sondern im Nachhalten: Wer prüft, ob ein Modell noch den Zweck erfüllt, für den es freigegeben wurde? Wer merkt, dass eine Assistenzfunktion aktiviert wurde, die niemand beurteilt hat?
Planen Sie deshalb weniger Zeit für die Einführung und mehr für den Betrieb. Ein Managementsystem, das im zweiten Jahr niemand pflegt, ist teurer als keines — weil es einen Nachweis erzeugt, den man nicht halten kann.