Das Wichtigste in 1 Minute
- Ein KI-Managementsystem ist ein fester Rahmen für den Umgang mit KI in einer Einrichtung. Es regelt, wer KI wofür nutzen darf, wie Risiken geprüft werden und wie sich das Vorgehen verbessert. Die internationale Norm ISO/IEC 42001 beschreibt diesen Rahmen seit Dezember 2023.
- Die Norm ist freiwillig. Weder die KI-Verordnung der EU (englisch AI Act) noch ein anderes Gesetz verlangt sie von Trägern. Ein Zertifikat ersetzt keine gesetzliche Pflicht.
- Für einen überschaubaren KI-Einsatz empfehle ich eine KI-Richtlinie mit Verzeichnis, Einstufung und Schulung. Ein Managementsystem lohnt sich bei Hochrisiko-Anwendungen (etwa KI bei der Bewerberauswahl), mehreren Standorten mit einer größeren Zahl von Anwendungen, einem bestehenden Zertifikat nach ISO 9001 (der Norm für Qualitätsmanagement) oder einer Nachweisforderung von Auftraggebern.
- Ein Zertifikat stellt eine unabhängige Zertifizierungsstelle aus. Sie prüft in zwei Stufen, danach folgt jedes Jahr eine Überwachung.
- Die Pflichten für Hochrisiko-Systeme gelten ab dem 2. Dezember 2027. Wer ein Managementsystem aufbauen will, beginnt mit dem Verzeichnis der KI-Anwendungen.
Ein KI-Managementsystem (englisch AI management system) ist die Summe der Regeln, Zuständigkeiten und Abläufe, mit denen eine Organisation KI-Systeme steuert, prüft und verbessert. ISO/IEC 42001 legt dafür Anforderungen fest und gilt für jede Organisation, die KI-gestützte Produkte oder Dienste anbietet oder nutzt.
Was ist ISO/IEC 42001 und was steht darin?
ISO/IEC 42001 trägt den Titel „Informationstechnik, Künstliche Intelligenz, Managementsystem“. ISO ist die internationale Normungsorganisation, IEC ihr Gegenstück für die Elektrotechnik. Erarbeitet hat die Norm der gemeinsame Ausschuss beider Organisationen für künstliche Intelligenz (ISO/IEC JTC 1/SC 42). Die erste Ausgabe erschien nach Angaben des IEC Webstore am 18. Dezember 2023 und umfasst 51 Seiten.
Die Norm gilt für Organisationen jeder Größe, die KI-gestützte Produkte oder Dienste anbieten oder nutzen. Ein Träger, der zugekaufte KI-Funktionen verwendet, gehört deshalb zum Anwendungsbereich. Die deutsche Fassung führt das Deutsche Institut für Normung (DIN) als DIN EN ISO/IEC 42001. Sie trägt das Ausgabedatum August 2026, hat 67 Seiten und beruht auf der Ausgabe von 2023 (DIN Media).
Das Inhaltsverzeichnis der DIN-Fassung zeigt den Aufbau. Die Kapitel 4 bis 10 folgen der Gliederung, die auch andere Managementsystemnormen nutzen:
- Kapitel 4, Kontext der Organisation: Umfeld, Erwartungen der Beteiligten, Anwendungsbereich des Systems.
- Kapitel 5, Führung: Verantwortung der Leitung, KI-Richtlinie, Rollen und Befugnisse.
- Kapitel 6, Planung: KI-Risikobeurteilung, KI-Risikobehandlung, KI-System-Folgenabschätzung, KI-Ziele.
- Kapitel 7, Unterstützung: Ressourcen, Kompetenz, Bewusstsein, Kommunikation, dokumentierte Information.
- Kapitel 8, Betrieb: die geplanten Maßnahmen im laufenden Betrieb, mit Risikobeurteilung, Risikobehandlung und Folgenabschätzung.
- Kapitel 9, Leistungsbewertung: Überwachung und Messung, internes Audit, Managementbewertung.
- Kapitel 10, Verbesserung: fortlaufende Verbesserung und Korrekturmaßnahmen bei Abweichungen.
Anhang A ist ein Katalog von Steuerungszielen und Steuerungen, im Alltag Maßnahmen genannt. Nach Angaben der BSI Group (2026) sind es 38 Maßnahmen. Gemeint ist die britische BSI Group, nicht das deutsche Bundesamt für Sicherheit in der Informationstechnik. Die Organisation wählt aus dem Katalog die Maßnahmen, die sie für ihre Risiken braucht.
Anhang B erläutert die Umsetzung in neun Themenbereichen: Richtlinien, interne Organisation, Ressourcen, Folgenabschätzung, Lebenszyklus, Daten, Informationen für interessierte Parteien, Nutzung von KI-Systemen sowie Beziehungen zu Dritten und Kunden. Die Anhänge C und D enthalten Hinweise: mögliche Ziele und Risikoquellen sowie den Einsatz in verschiedenen Sektoren.
Ersetzt ISO/IEC 42001 die Pflichten aus der KI-Verordnung?
Nein. Die KI-Verordnung (EU) 2024/1689, englisch AI Act, nennt ISO/IEC 42001 an keiner Stelle. Sie verlangt von Betreibern Maßnahmen, aber weder diese Norm noch ein Zertifikat.
Betreiber ist jede Stelle, die ein KI-System beruflich in eigener Verantwortung verwendet, also auch ein Träger. Rechtsstand dieses Abschnitts ist der 15. Oktober 2026.
Was die Verordnung von Anbietern verlangt
Ein Qualitätsmanagementsystem schreibt die Verordnung nur Anbietern von Hochrisiko-KI-Systemen vor (Art. 17 Abs. 1 KI-Verordnung). Hochrisiko-Systeme sind KI-Systeme, die wegen ihrer Auswirkungen auf Menschen besonders streng geregelt sind, etwa bei der Bewerberauswahl. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt.
Ein Träger, der fertige Software nutzt, ist Betreiber. Anbieter wird er nur in Sonderfällen. Das gilt, wenn er ein Hochrisiko-System mit seinem Namen versieht, es wesentlich verändert oder ein anderes KI-System für einen Hochrisiko-Zweck umwidmet (Art. 25 Abs. 1 KI-Verordnung). Dann treffen ihn die Anbieterpflichten. Wie das bei der Personalauswahl aussieht, erklärt der Beitrag KI in Bewerbung und Personaleinsatz als Hochrisiko.
Warum die Norm keine Vermutung auslöst
Eine harmonisierte Norm ist eine europäische Norm, deren Fundstelle die EU im Amtsblatt veröffentlicht. Entspricht ein Hochrisiko-System einer solchen Norm, wird vermutet, dass es die Anforderungen nach Kapitel III Abschnitt 2 der Verordnung erfüllt, soweit die Norm sie abdeckt (Art. 40 Abs. 1 KI-Verordnung). ISO/IEC 42001 hat diesen Status nicht, auch wenn es sie inzwischen als europäische Norm EN ISO/IEC 42001 gibt.
Nach der Seite der Europäischen Kommission zur Normung (Stand 10. März 2026) sind Ziele und Begriffe der Norm nicht auf das Qualitätsmanagementsystem der Verordnung abgestimmt. Die Kommission hat deshalb eine eigene europäische Norm dafür angefordert.
Diese Norm haben CEN und CENELEC, die europäischen Normungsorganisationen, im gemeinsamen Ausschuss JTC 21 erarbeitet. Sie trägt die Nummer EN 18286. Beide haben sie im Juni 2026 angenommen und im Juli 2026 veröffentlicht (Meldungen vom 29. und 31. Juli 2026). Die Kommission hat die Fundstelle mit dem Durchführungsbeschluss (EU) 2026/2274 vom 12. Oktober 2026 am 14. Oktober 2026 im Amtsblatt veröffentlicht; sein Anhang führt nur EN 18286:2026 auf. Die Norm betrifft das Qualitätsmanagementsystem, das Art. 17 von Anbietern verlangt. Art. 17 steht in Kapitel III Abschnitt 3; wie weit die Vermutung dafür reicht, ist deshalb offen. Die Einzelheiten erklärt der Beitrag Aufbau und Grenzen von ISO/IEC 42001.
Ein Zertifikat nach ISO/IEC 42001 löst die Vermutung deshalb nicht aus. Die Zertifizierungsgesellschaft DQS hält ebenfalls fest, dass ein solches Zertifikat nicht gleichbedeutend mit der Einhaltung der KI-Verordnung ist.
Was ein Managementsystem Betreibern nützt
Seit dem 2. Februar 2025 gilt die Pflicht zur KI-Kompetenz. Ein Träger muss Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz seiner Beschäftigten unterstützen. Ein bestimmtes Niveau muss er für keine Person gewährleisten (Art. 4 KI-Verordnung). Was das konkret heißt, steht im Beitrag zur KI-Kompetenz nach Art. 4.
Für Hochrisiko-Systeme kommen ab dem 2. Dezember 2027 weitere Betreiberpflichten dazu (Art. 26 KI-Verordnung). Diese Frist hat die EU 2026 mit einer Änderungsverordnung verschoben, dem sogenannten Digital Omnibus; Einzelheiten stehen im Beitrag AI Act nach dem Digital Omnibus: Fristen auf qm-praxiswerk.de. Der Träger muss unter anderem:
- das System nach der Betriebsanleitung des Anbieters verwenden und dafür Maßnahmen treffen,
- die menschliche Aufsicht Personen übertragen, die Kompetenz, Ausbildung und Befugnis haben,
- den Betrieb überwachen und bei Risiken oder schwerwiegenden Vorfällen den Anbieter und die Marktüberwachungsbehörde informieren,
- automatisch erzeugte Protokolle, soweit er sie kontrolliert, mindestens sechs Monate aufbewahren,
- Beschäftigte vorab informieren, wenn das System am Arbeitsplatz eingesetzt wird.
Die Verordnung schreibt kein Managementsystem vor, um das zu erfüllen. Ein Managementsystem kann aber festlegen, wer zuständig ist, wer freigibt, wer überwacht und wo Nachweise liegen. Das ersetzt nicht die Prüfung der einzelnen Pflichten.
Hinzu kommt möglicherweise eine Grundrechte-Folgenabschätzung. Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen, müssen sie vor dem ersten Einsatz bestimmter Hochrisiko-Systeme durchführen (Art. 27 Abs. 1 KI-Verordnung). Die Erwägungsgründe der Verordnung nennen Sozialdienste als Beispiel für solche Dienste. Das Gesetz sagt nicht, wann ein freier Träger darunterfällt. Ich empfehle, die Frage vor dem Einsatz jedes Hochrisiko-Systems schriftlich zu klären.
Die Norm kennt ein ähnliches Verfahren, die KI-System-Folgenabschätzung. Eine Folgenabschätzung untersucht, welche Auswirkungen ein System auf Menschen haben kann; der Leitfaden ISO/IEC 42005 empfiehlt sie für alle Phasen des Lebenszyklus. Ob ihr Ergebnis die Inhalte der Grundrechte-Folgenabschätzung abdeckt, muss der Träger im Einzelfall prüfen.
Welche Normen gehören zu ISO/IEC 42001?
Drei weitere Normen gehören dazu, alle vom selben Ausschuss. Die Tabelle ordnet sie ein.
| Norm | Gegenstand | Ausgabe | Nutzen für Träger |
|---|---|---|---|
| ISO/IEC 42001 | Anforderungen an ein KI-Managementsystem | Dezember 2023, deutsche Fassung August 2026 | Grundlage für Aufbau und Zertifizierung |
| ISO/IEC 23894 | Leitfaden zum Umgang mit KI-spezifischen Risiken | Februar 2023, 26 Seiten | Hilfe bei der Risikobeurteilung, keine Anforderungsnorm |
| ISO/IEC 42005 | Leitfaden für KI-System-Folgenabschätzungen zu Auswirkungen auf Einzelne und Gesellschaft | Mai 2025, 39 Seiten | Vorgehen für die Folgenabschätzung über den ganzen Lebenszyklus |
| ISO/IEC 42006 | Zusätzliche Anforderungen an Stellen, die KI-Managementsysteme auditieren und zertifizieren | Juli 2025, 31 Seiten | Maßstab bei der Auswahl der Zertifizierungsstelle |
Wann lohnt sich ein KI-Managementsystem und wann reicht eine KI-Richtlinie?
Das hängt davon ab, wie viel KI ein Träger einsetzt und was er nach außen nachweisen muss. Ich unterscheide drei Lösungen. Die Tabelle stellt sie gegenüber.
| Merkmal | KI-Richtlinie mit Verzeichnis | Angelehnt an ISO/IEC 42001 | Zertifiziert |
|---|---|---|---|
| Inhalt | Regeln für erlaubte Werkzeuge, Verzeichnis, Einstufung nach der KI-Verordnung, Schulung | Zusätzlich feste Rollen, Risikobeurteilung, Folgenabschätzung, internes Audit, Managementbewertung | Wie angelehnt, aber nach dem Normtext vollständig umgesetzt und belegt |
| Passt bei | Überschaubarem KI-Einsatz ohne Hochrisiko-Anwendung | Hochrisiko-Anwendung, mehreren Standorten mit einer größeren Zahl von Anwendungen, vorhandenem Qualitätsmanagement | Nachweisforderung durch Auftraggeber oder Partner |
| Nachweis nach außen | Richtlinie, Verzeichnis, Schulungsliste | Dokumentation nach dem Aufbau der Norm, ohne Zertifikat | Zertifikat einer Zertifizierungsstelle |
| Prüfung | Leitung und Datenschutzbeauftragter | Internes Audit durch eine unabhängige Person | Externes Audit in zwei Stufen, danach jährliche Überwachung |
Wann ein Managementsystem sinnvoll wird
- Hochrisiko-Anwendungen: KI bei der Bewerberauswahl, bei Entscheidungen über Beschäftigte oder in der Bildung, etwa bei der Bewertung von Lernergebnissen (Anhang III Nr. 3 und 4 KI-Verordnung). Für sie gelten besondere Betreiberpflichten.
- Mehrere Standorte und eine größere Zahl von Anwendungen: Dann kann eine einzelne Datei mit Zuständigkeiten an Grenzen stoßen, weil Freigaben und Änderungen abgestimmt werden müssen.
- Zertifiziertes Qualitätsmanagement: Die KI-Regeln lassen sich in vorhandene Abläufe einbauen, statt ein zweites System zu führen.
- Nachweisforderung: Verlangt ein Kostenträger, ein Auftraggeber oder ein Kooperationspartner ausdrücklich einen Nachweis, kann ein Zertifikat die Antwort sein.
Wann eine KI-Richtlinie genügt
Nutzt ein Träger Schreibhilfen, Übersetzer und KI-Funktionen der Fachsoftware, aber keine Hochrisiko-Anwendung, genügen nach meiner Einschätzung vier Bausteine für die Steuerung der KI: Verzeichnis, Einstufung nach der KI-Verordnung, KI-Richtlinie und dokumentierte Schulungen. Die Pflichten aus Datenschutz und Schweigepflicht bleiben davon unberührt. Für Verzeichnis und Einstufung gibt es den KI-Check, für die Regeln selbst die KI-Richtlinie.
Beispiel
Angenommen, ein Träger der Eingliederungshilfe mit zwei Standorten nutzt eine Schreibhilfe, einen Übersetzungsdienst und eine KI-Funktion in der Fachsoftware. KI bei Bewerbung oder Personaleinsatz gibt es nicht. Dann kann eine KI-Richtlinie mit Verzeichnis, Einstufung und dokumentierter Schulung genügen. Ein Managementsystem mit Audit und Managementbewertung wäre für diesen Einsatz mehr Aufwand, als die KI-Verordnung verlangt.
Beispiel
Angenommen, ein Bildungsträger mit fünf Standorten ist nach ISO 9001 zertifiziert. Er setzt ein KI-Werkzeug zur Vorauswahl von Bewerbungen und ein weiteres zur Bewertung von Lernergebnissen ein. Beide Anwendungen gehören zu den Hochrisiko-Bereichen der KI-Verordnung. Dann bietet es sich an, die KI-Regeln in das vorhandene Qualitätsmanagement einzubauen, ein internes Audit einzuplanen und erst danach über ein Zertifikat zu entscheiden.
Wie passt ISO/IEC 42001 zu ISO 9001?
Ein Träger mit zertifiziertem Qualitätsmanagement muss nicht von vorn beginnen. ISO/IEC 42001 folgt der Harmonized Structure, einer gemeinsamen Gliederung für Managementsystemnormen. Sie legt Aufbau, Begriffe und einen einheitlichen Kerntext fest.
Sie steht in den Regeln von ISO und IEC im Annex Q der Ausgabe 2026, früher im Annex L und ursprünglich im Annex SL (ISO/TC 176, 2019). Nach Angaben von DQS ist die Norm deshalb mit ISO 9001 und mit ISO/IEC 27001 vereinbar, der Norm für Informationssicherheit. Ein eigener Anhang der Norm (Anhang D.2) behandelt die Integration in andere Managementsystemnormen.
| Baustein | Im Qualitätsmanagement | Für KI zu ergänzen | Kapitel der Norm |
|---|---|---|---|
| Politik | Qualitätspolitik | KI-Richtlinie mit Grundsätzen für den KI-Einsatz | 5.2 |
| Risiken | Risiken und Chancen | KI-Risikobeurteilung und -behandlung | 6.1.2, 6.1.3 |
| Auswirkungen | Neu für KI | KI-System-Folgenabschätzung für Klienten und Beschäftigte | 6.1.4, 8.4 |
| Kompetenz | Schulungsplan, Qualifikationen | Schulung zu KI-Systemen und Datenschutz | 7.2, 7.3 |
| Dokumentation | Dokumentenlenkung | KI-Verzeichnis und Nachweise in derselben Lenkung | 7.5 |
| Prüfung und Bewertung | Internes Audit, Managementbewertung | KI als Prüfgegenstand und als Thema der Leitung | 9.2, 9.3 |
| Abweichungen | Korrekturmaßnahmen | KI-Vorfälle und Fehlergebnisse als Abweichung | 10.2 |
Gemeinsam führen heißt konkret: ein Auditprogramm, ein Termin für die Managementbewertung, ein Verfahren für Dokumente. KI kommt als Gegenstand hinzu. Praktische Fragen zum Handbuch klärt der Beitrag KI im QM-Handbuch auf qm-praxiswerk.de.
Die Qualitätsnorm liegt in neuer Ausgabe vor: ISO 9001:2026 ist am 16. September 2026 erschienen. Nach Angaben der Zertifizierungsgesellschaft LRQA bleibt ein Zertifikat nach ISO 9001:2015 während der Übergangsphase gültig, die bis zum 30. September 2029 läuft. Ich empfehle, die Umstellung und die KI-Ergänzung gemeinsam zu planen.
Wie läuft eine Zertifizierung nach ISO/IEC 42001 ab?
Ein Zertifikat stellt eine Zertifizierungsstelle aus, also eine unabhängige Organisation, die Managementsysteme prüft und bescheinigt. Für Stellen, die KI-Managementsysteme prüfen, gilt die Norm ISO/IEC 42006. Sie ergänzt ISO/IEC 17021-1, die allgemeine Norm für Zertifizierungsstellen von Managementsystemen.
In Deutschland ist die Deutsche Akkreditierungsstelle (DAkkS) für die Akkreditierung zuständig; ob sie bereits Stellen für ISO/IEC 42001 akkreditiert hat, zeigt ihre Datenbank der akkreditierten Stellen. Akkreditierung heißt: Die Akkreditierungsstelle prüft, ob die Zertifizierungsstelle fachlich kompetent und unparteiisch arbeitet. Die DAkkS hat nach eigener Meldung an ISO/IEC 42006 mitgearbeitet (Mai 2024). Ich empfehle, bei der Auswahl die Akkreditierung zu prüfen: Lassen Sie sich die Urkunde zeigen und achten Sie darauf, dass ISO/IEC 42001 zu ihrem Geltungsbereich gehört.
Den Ablauf beschreibt die Zertifizierungsgesellschaft DQS so:
- Stufe 1: Die Prüfer sehen Dokumentation, Folgenabschätzungen, Managementbewertung und interne Audits ein und klären, ob das System zertifizierungsreif ist. Diese Bausteine müssen also vorher stattgefunden haben.
- Stufe 2: Die Prüfer untersuchen vor Ort oder per Fernzugang, ob alle Prozesse des Systems wirken.
- Zertifikat: Nach dem Auditbericht entscheidet die Zertifizierungsstelle über die Erteilung.
- Überwachungsaudit: Nach den Auslegungshinweisen der europäischen Akkreditierungsorganisation EA zu ISO/IEC 17021-1 findet einmal pro Kalenderjahr ein Audit statt, außer im Jahr der Rezertifizierung.
- Gültigkeit: Das Zertifikat gilt nach Angabe von DQS drei Jahre. Vor Ablauf folgt die Rezertifizierung, also eine erneute Prüfung für den nächsten Zyklus.
Wie hoch der Aufwand ist, hängt nach Angaben von DQS von Größe, Umfang und Standorten ab. Den Hauptaufwand sieht DQS darin, die Steuerung von KI schriftlich festzulegen und Folgenabschätzungen durchzuführen. Eine Kostenzahl nenne ich nicht, weil sie vom Einzelfall abhängt. Fragen Sie vor der Beauftragung nach Ablauf, Audittagen und Preisen.
Wer macht was?
- Die Leitung verantwortet das System und entscheidet über Anwendungsbereich, Richtlinie und Ressourcen.
- Die Beratung unterstützt den Aufbau, prüft aber nicht. Ich führe weder das interne Audit noch die Zertifizierung durch.
- Das interne Audit führt eine andere Person durch als die Beratung, intern oder extern. Wer ein System mit aufbaut, sollte es nicht selbst prüfen.
- Die Zertifizierungsstelle beauftragt der Träger selbst und unabhängig von der Beratung.
In sieben Schritten zum KI-Managementsystem
Der Aufbau folgt den Kapiteln der Norm. Ich empfehle diese Reihenfolge:
- Erfassen Sie alle KI-Anwendungen. Fragen Sie in jedem Bereich nach Schreibhilfen, Übersetzern, Diktierfunktionen und KI-Funktionen der Fachsoftware, auch nach privaten Konten (Schatten-KI). Das Ergebnis ist das KI-Verzeichnis.
- Legen Sie den Anwendungsbereich fest. Bestimmen Sie, welche Standorte, Angebote und Anwendungen das System umfasst. Bei vorhandenem Qualitätsmanagement empfehle ich denselben Geltungsbereich.
- Beschließen Sie KI-Richtlinie und Rollen. Die Leitung setzt die Grundsätze, benennt Verantwortliche und stellt Zeit bereit.
- Beurteilen Sie Risiken und Auswirkungen. Beginnen Sie bei Hochrisiko-Anwendungen und bei Systemen, die Entscheidungen über Klienten oder Beschäftigte beeinflussen. Halten Sie fest, wen ein Fehler treffen kann.
- Wählen Sie die Maßnahmen aus Anhang A aus. Legen Sie fest, welche Maßnahmen Sie umsetzen, und begründen Sie schriftlich, welche Sie weglassen.
- Schulen Sie und dokumentieren Sie. Verbinden Sie die Schulung mit der Pflicht zur KI-Kompetenz und führen Sie alle Nachweise in einer gemeinsamen Dokumentenlenkung.
- Prüfen Sie intern und bewerten Sie in der Leitung. Lassen Sie eine unabhängige Person auditieren und halten Sie die Managementbewertung ab. Danach entscheiden Sie, ob eine Zertifizierung sinnvoll ist.
Was in den nächsten Wochen zu tun ist
Für die Leitung sind drei Dinge jetzt dran:
- Verzeichnis vervollständigen. Lassen Sie alle KI-Anwendungen aufstellen und markieren Sie, welche Bewerbung, Personaleinsatz oder Bildung betreffen. Für Hochrisiko-Systeme gelten die Betreiberpflichten ab dem 2. Dezember 2027.
- Lösung festlegen. Entscheiden Sie schriftlich, ob eine KI-Richtlinie genügt oder ein Managementsystem entstehen soll. Fragen Sie bei Auftraggebern und Kostenträgern nach, ob jemand ein Zertifikat verlangt.
- Mit dem Qualitätsmanagement abstimmen. Wenn Sie ISO 9001 anwenden, planen Sie die Umstellung auf die Ausgabe 2026 und die KI-Ergänzung gemeinsam.
Wenn Sie ein Managementsystem aufbauen wollen, unterstütze ich Sie mit dem KI-Managementsystem, entweder angelehnt an ISO/IEC 42001 oder mit Vorbereitung auf die Zertifizierung. Das interne Audit führt dabei eine andere Person durch und die Zertifizierungsstelle beauftragen Sie selbst.
Häufige Fragen
Ist ISO 42001 Pflicht für soziale Einrichtungen?
Nein. Weder die KI-Verordnung noch ein anderes Gesetz verlangt die Norm oder ein Zertifikat von Trägern. Die Verordnung verlangt Maßnahmen, zum Beispiel zur KI-Kompetenz, aber keine bestimmte Norm.
Welche Anforderungen stellt ISO 42001?
Die Kapitel 4 bis 10 verlangen ein System aus Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Dazu gehören KI-Richtlinie, Risikobeurteilung, Folgenabschätzung, internes Audit und Managementbewertung. Anhang A bietet nach Angaben der BSI Group 38 Maßnahmen zur Auswahl.
Was kostet eine ISO 42001 Zertifizierung?
Eine Zahl nenne ich nicht, weil der Preis nach Angaben von DQS von Größe, Umfang und Standorten abhängt. Holen Sie Angebote von Zertifizierungsstellen ein und lassen Sie Audittage und Überwachungsaudits ausweisen. Die Norm selbst kostet als deutsches PDF 161,20 € inklusive Umsatzsteuer (DIN Media, Stand 8. Oktober 2026).
Wie lange gilt ein ISO 42001 Zertifikat?
Nach Angabe von DQS drei Jahre. Dazwischen findet einmal pro Kalenderjahr ein Überwachungsaudit statt, außer im Jahr der Rezertifizierung. Vor Ablauf folgt die Rezertifizierung.
Reicht eine KI-Richtlinie oder brauche ich ISO 42001?
Für einen überschaubaren Einsatz ohne Hochrisiko-Anwendung reichen nach meiner Einschätzung Verzeichnis, Einstufung, KI-Richtlinie und dokumentierte Schulung. Die Richtlinie ist auch Teil des Managementsystems, das Rollen, Risikoprüfung, internes Audit und Managementbewertung hinzufügt. Welche Lösung passt, hängt vom Einsatz und von Nachweisforderungen ab.
Passt ISO 42001 zu ISO 9001?
Ja. Beide folgen einer gemeinsamen Gliederung und nach Angaben von DQS lässt sich die Zertifizierung mit Audits nach ISO 9001 kombinieren. Managementbewertung, internes Audit und Dokumentation lassen sich dann gemeinsam führen.
Quellen
- Europäische Union: Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27. Juli 2026 (geändert durch die Verordnung (EU) 2026/1744), Art. 3, 4, 16, 17, 25, 26, 27, 40, 113 und Anhang III. Konsolidierter Text bei EUR-Lex, abgerufen am 8. Oktober 2026.
- Europäische Union: Verordnung (EU) 2024/1689 (KI-Verordnung), Erwägungsgrund 96, ABl. L vom 12. Juli 2024. Volltext bei EUR-Lex, abgerufen am 8. Oktober 2026.
- Europäische Kommission: Durchführungsbeschluss (EU) 2026/2274 vom 12. Oktober 2026 über die harmonisierten Normen für Hochrisiko-KI-Systeme zur Unterstützung der Verordnung (EU) 2024/1689, Amtsblatt L vom 14. Oktober 2026. Beschluss bei EUR-Lex, abgerufen am 15. Oktober 2026.
- International Electrotechnical Commission (IEC Webstore): ISO/IEC 42001:2023, Information technology, Artificial intelligence, Management system, Edition 1.0, veröffentlicht am 18. Dezember 2023, 51 Seiten, Anwendungsbereich. Eintrag im IEC Webstore, abgerufen am 8. Oktober 2026.
- DIN Media: DIN EN ISO/IEC 42001:2026-08, Deutsche Fassung EN ISO/IEC 42001:2026, 67 Seiten, Preis; Gliederung nach dem Inhaltsverzeichnis der Ausgabe. Produktseite bei DIN Media, abgerufen am 8. Oktober 2026.
- IEC Webstore: ISO/IEC 23894:2023, Guidance on risk management, Edition 1.0, veröffentlicht am 6. Februar 2023, 26 Seiten. Eintrag im IEC Webstore, abgerufen am 8. Oktober 2026.
- IEC Webstore: ISO/IEC 42005:2025, AI system impact assessment, Edition 1.0, veröffentlicht am 28. Mai 2025, 39 Seiten. Eintrag im IEC Webstore, abgerufen am 8. Oktober 2026.
- IEC Webstore: ISO/IEC 42006:2025, Requirements for bodies providing audit and certification of artificial intelligence management systems, Edition 1.0, veröffentlicht am 7. Juli 2025, 31 Seiten. Eintrag im IEC Webstore, abgerufen am 8. Oktober 2026.
- Europäische Kommission: Understanding the standardisation of the AI Act (Fragen und Antworten), Stand 10. März 2026. Seite online, abgerufen am 8. Oktober 2026.
- CEN-CENELEC: Artificial intelligence, Themenseite zum Ausschuss JTC 21 und zu harmonisierten Normen. Seite online, abgerufen am 8. Oktober 2026.
- CEN-CENELEC: First Standard Approved under the AI Act, Meldung vom 29. Juli 2026. Meldung online, abgerufen am 8. Oktober 2026.
- CEN-CENELEC: EN 18286 in the Spotlight: Supporting Compliance with the AI Act, Meldung vom 31. Juli 2026. Meldung online, abgerufen am 8. Oktober 2026.
- Deutsche Akkreditierungsstelle (DAkkS): Beteiligung der DAkkS bei der Entwicklung des KI-Standards ISO/IEC DIS 42006, Fachmeldung vom 10. Mai 2024. Meldung online, abgerufen am 8. Oktober 2026.
- Deutsche Akkreditierungsstelle (DAkkS): Zertifizierungsstellen für Managementsysteme (ISO/IEC 17021) und Datenbank der akkreditierten Stellen. Zertifizierungsstellen für Managementsysteme, Datenbank, abgerufen am 15. Oktober 2026.
- European co-operation for Accreditation (EA): FAQ 37.12 zu ISO/IEC 17021-1:2015, Abschnitt 9.1.3 (Überwachungsaudits), Antwort vom März 2019. FAQ online, abgerufen am 8. Oktober 2026.
- DQS: ISO 42001 Certification, Ablauf der Zertifizierung, Gültigkeit, Überwachungsaudits, Aufwand, ohne Datumsangabe. Seite online, abgerufen am 8. Oktober 2026.
- DQS: ISO 42001 Explained, zuletzt geprüft am 3. Juni 2026. Seite online, abgerufen am 8. Oktober 2026.
- BSI Group: ISO/IEC 42001:2023 AI Controls Implementation, Kursbeschreibung mit Angabe zu Anhang A, Copyright 2026. Seite online, abgerufen am 8. Oktober 2026.
- ISO/IEC: Directives, Part 1, Procedures for the technical work, 21. Ausgabe 2026, Annex Q (Harmonized approach for management system standards). Direktiven bei ISO, abgerufen am 15. Oktober 2026.
- ISO/TC 176: Revision of the High-Level Structure for Management System Standards, Meldung vom 7. Juni 2019. Meldung online, abgerufen am 8. Oktober 2026.
- LRQA: ISO 9001:2026 in Kraft getreten, Meldung vom 16. September 2026. Meldung online, abgerufen am 8. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
