ISO 42001 und EU AI Act
Wer KI entwickelt, einkauft oder im Unternehmen nutzt, braucht heute mehr als gute Technik. Gefragt sind klare Verantwortlichkeiten, saubere Dokumentation, ein belastbarer Umgang mit Risiken und ein realistischer Blick auf die rechtlichen Pflichten. Genau hier treffen ISO/IEC 42001 und der EU AI Act aufeinander. Die Norm hilft Ihnen, KI systematisch zu steuern. Die EU-KI-Verordnung legt fest, was in Europa verbindlich einzuhalten ist. Beides ergänzt sich, ist aber nicht austauschbar.
Zwei Ebenen, die Sie sauber trennen sollten
Beim Thema ISO 42001 EU AI Act entsteht oft dieselbe Unsicherheit: Reicht ein gutes Managementsystem schon für Compliance aus? Die kurze Antwort lautet nein. ISO/IEC 42001 ist ein freiwilliger Standard für ein Artificial Intelligence Management System, kurz AIMS. Der EU AI Act ist verbindliches Recht. Wenn Sie beides richtig verzahnen, schaffen Sie eine praxistaugliche Governance statt doppelter Arbeit.
Was ISO/IEC 42001 in der Praxis regelt
ISO/IEC 42001 ist die erste internationale Managementsystemnorm speziell für KI. Sie beschreibt, wie Unternehmen KI geplant, kontrolliert und nachvollziehbar einsetzen können. Im Mittelpunkt stehen Führung, Risikodenken, Kompetenz, dokumentierte Abläufe, Lieferantensteuerung und kontinuierliche Verbesserung. Die Norm betrachtet also nicht nur das Modell oder die Software, sondern die gesamte Organisation rund um Entwicklung, Beschaffung, Einsatz, Überwachung und Anpassung von KI.
Wichtige Bausteine der Norm
- Kontext der Organisation und Anwendungsbereich des AIMS
- Rollen, Verantwortlichkeiten und Managementverantwortung
- Planung von Risiken, Chancen und Maßnahmen
- Ressourcen, Kompetenz, Schulung und Awareness
- Betriebliche Steuerung von KI-Prozessen über den Lebenszyklus
- Überwachung, interne Audits und Managementbewertung
- Korrekturmaßnahmen und kontinuierliche Verbesserung
Was der EU AI Act von Unternehmen verlangt
Der EU AI Act, also die EU-KI-Verordnung, ist verpflichtend. Betroffen sein können Anbieter, Betreiber, Importeure, Händler und weitere Marktakteure. Entscheidend ist nicht nur Ihr Unternehmenssitz. Auch Unternehmen außerhalb der EU können erfasst sein, wenn ihr KI-System in der EU bereitgestellt wird oder dessen Ergebnisse hier verwendet werden. Seit dem 2. August 2026 gelten große Teile der Verordnung. Bereits zuvor galten Verbote bestimmter Praktiken und Anforderungen an AI Literacy. Für einzelne Systemkategorien bestehen weitere Übergangsfristen.
Die Risikologik der Verordnung
- Unannehmbares Risiko – bestimmte Praktiken sind verboten, etwa einzelne manipulative oder sozial bewertende Anwendungen.
- Hohes Risiko – hier gelten besonders strenge Anforderungen, zum Beispiel in sensiblen Einsatzfeldern wie Beschäftigung, Bildung, kritischer Infrastruktur oder sicherheitsrelevanten Produktkontexten.
- Begrenztes Risiko – vor allem Transparenzpflichten, etwa wenn Nutzer mit KI interagieren.
- Minimales Risiko – in der Regel keine speziellen AI-Act-Pflichten, andere Gesetze können aber weiterhin greifen.
Wo sich ISO 42001 und der EU AI Act konkret ergänzen
Risikomanagement und Risikominderung
Die stärkste Überschneidung liegt beim Risikoansatz. Der EU AI Act verlangt, dass Risiken über den gesamten Lebenszyklus betrachtet und kontrolliert werden, vor allem bei Hochrisiko-KI. ISO/IEC 42001 liefert dafür die organisatorische Grundlage: Wer bewertet Risiken, nach welchen Kriterien, mit welchen Freigaben, wie werden Maßnahmen geprüft und wie wird nachgesteuert? Praktisch heißt das, Sie definieren Einsatzzweck, betroffene Personen, mögliche Schäden, Eintrittswahrscheinlichkeit und geeignete Gegenmaßnahmen. So entstehen aus Einzelpflichten belastbare Prozesse.
Daten-Governance, Bias und Nachvollziehbarkeit
Besonders wichtig ist die Daten-Governance. Der EU AI Act stellt hohe Anforderungen an Trainings-, Validierungs- und Testdaten, vor allem bei Hochrisiko-Systemen. Daten sollen geeignet, relevant, möglichst fehlerarm und im Hinblick auf Verzerrungen angemessen sein. Herkunft, Auswahlkriterien, bekannte Grenzen und Qualitätsmerkmale müssen nachvollziehbar bleiben. Werden personenbezogene Daten verarbeitet, greifen zusätzlich DSGVO und BDSG.
ISO/IEC 42001 hilft dabei, diese Anforderungen in den Alltag zu übersetzen. Sinnvoll sind klare Regeln für Datenquellen, Freigaben, Versionierung, Aufbewahrung, Löschung, Korrekturen und den Umgang mit extern bezogenen Datensätzen. Ebenso wichtig ist die Frage, wann ein KI-Ergebnis nur als Unterstützung dient und wann eine menschliche Prüfung zwingend erforderlich ist. Gute Daten-Governance reduziert nicht nur Compliance-Risiken, sondern verbessert oft direkt die Qualität der KI-Anwendung.
Dokumentation, Transparenz und menschliche Aufsicht
Der EU AI Act verlangt je nach Anwendungsfall technische Dokumentation, Nutzungsinformationen, Protokollierung, Transparenz gegenüber Nutzern und Möglichkeiten zur menschlichen Aufsicht. ISO/IEC 42001 ersetzt diese Inhalte nicht, unterstützt aber ihre systematische Erstellung und Pflege. Ein gutes AIMS regelt, welche Nachweise vorhanden sein müssen, wer sie freigibt, wie Änderungen dokumentiert werden und wie Mitarbeitende im Ernstfall eingreifen. Gerade bei Chatbots, automatisierten Bewertungen oder KI-gestützter Entscheidungsunterstützung ist das in der Praxis entscheidend.
Reicht eine ISO 42001-Zertifizierung für die Einhaltung des EU AI Act?
Nein. Eine Zertifizierung nach ISO/IEC 42001 ist ein starkes Signal für strukturierte KI-Governance, aber kein automatischer Nachweis der rechtlichen Compliance. Die Norm bewertet, ob Ihr Managementsystem wirksam aufgebaut und betrieben wird. Der EU AI Act geht an mehreren Stellen weiter und verlangt zusätzliche Nachweise auf Ebene des konkreten KI-Systems, des Einsatzkontexts und Ihrer Rolle im Markt. Besonders bei Hochrisiko-KI können technische Dokumentation, Transparenz, Monitoring, menschliche Aufsicht und weitere Pflichteninhalte erforderlich sein, die über das Zertifikat hinaus geprüft werden müssen.
Ihre nächsten Schritte
- Erstellen Sie eine KI-Inventur mit allen internen und externen Anwendungen, Modellen und Tools.
- Klären Sie pro Anwendungsfall Ihre Rolle, zum Beispiel Anbieter, Betreiber oder Integrator, und prüfen Sie die Risikoklasse.
- Führen Sie eine Gap-Analyse gegen EU AI Act und ISO/IEC 42001 durch.
- Definieren Sie schlanke Prozesse für Risiko, Daten, Freigaben, Dokumentation, Incident-Behandlung und Monitoring.
- Schulen Sie Mitarbeitende gezielt zu AI Literacy, Verantwortlichkeiten und Grenzen der eingesetzten Systeme.
Praxisnah umsetzen statt überdokumentieren
Gerade für KMU ist ein schlankes, verständliches System oft der beste Weg. Wenn bereits Managementsysteme nach DIN EN ISO 9001, DIN EN ISO/IEC 27001 oder ISO/IEC 27701 bestehen, lassen sich viele Elemente sinnvoll integrieren, statt ein separates KI-Bürokratiethema aufzubauen. Wir unterstützen Unternehmen dabei praxisnah und mit festem Ansprechpartner, von der ersten Einordnung über AIMS-Aufbau und interne Audits bis zur Zertifizierungsvorbereitung nach ISO/IEC 42001.
FAQ zu ISO 42001 und EU AI Act
Ist der EU AI Act verpflichtend?
Ja. Der EU AI Act ist verbindliches Recht. Ob und in welchem Umfang Sie betroffen sind, hängt von Ihrer Rolle, dem Einsatzgebiet des Systems und der Risikoklasse ab.
Was sind die wichtigsten Klauseln in ISO 42001?
Besonders praxisrelevant sind die Anforderungen zu Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Zusammen bilden sie das AIMS und machen KI-Governance auditierbar.
Sind bestimmte KI-Anwendungen nach dem EU AI Act verboten?
Ja. Die Verordnung verbietet bestimmte KI-Praktiken mit unannehmbarem Risiko. Dazu gehören je nach Ausgestaltung etwa manipulative Anwendungen, bestimmte Formen von Social Scoring und einzelne besonders sensible Formen der biometrischen Datenverarbeitung.
Welche ISO-Normen betreffen KI zusätzlich?
Neben ISO/IEC 42001 sind in der Praxis häufig ISO/IEC 23894 für KI-Risikomanagement, ISO/IEC 22989 für Begriffe und Konzepte sowie DIN EN ISO/IEC 27001 und ISO/IEC 27701 für Sicherheit und Datenschutz relevant.
Reicht ein ISO-42001-Projekt auch für Datenschutz und Informationssicherheit?
Nein. KI-Governance, Datenschutz und Informationssicherheit greifen ineinander, ersetzen sich aber nicht. Je nach Verarbeitung personenbezogener Daten und Schutzbedarf müssen zusätzlich DSGVO, BDSG und passende Sicherheitsmaßnahmen berücksichtigt werden.