21. August 2026 · Morten Babakhani · Aktualisiert am 29. September 2026
ISO/IEC 42001 beschreibt ein Managementsystem für künstliche Intelligenz — aufgebaut wie ISO 27001, nur für KI-spezifische Risiken. Wer 27001 kennt, erkennt die Struktur sofort: Kontext, Rollen, Ziele, Risikobeurteilung, Maßnahmen, Wirksamkeitsprüfung. Die Norm selbst: ISO/IEC 42001:2023.
Die Frage ist nicht, ob die Norm gut gemacht ist. Die Frage ist, ob Sie sie brauchen.
Wann sie sich rechnet
Wenn Sie Anbieter sind. Sobald Sie KI-Funktionen in einem Produkt ausliefern, müssen Sie gegenüber Kunden erklären, wie Sie Modelle beurteilen, überwachen und abschalten. Ein Managementsystem beantwortet das einmal statt in jedem Ausschreibungsverfahren neu.
Wenn Sie im regulierten Umfeld verkaufen. Einkaufsabteilungen in Banken, Versicherungen und im öffentlichen Sektor fragen inzwischen nach Nachweisen zur KI-Governance. Ohne Struktur beantworten Sie 40-seitige Fragebögen von Hand — pro Kunde.
Wenn mehrere Teams Modelle einsetzen. Ab einer gewissen Größe weiß niemand mehr, welche Modelle produktiv im Einsatz sind. Ein Verzeichnis mit Zweck, Verantwortlichem und Abschaltweg ist dann kein Formalismus, sondern Betriebsvoraussetzung.
Wann sie nur Papier erzeugt
Wenn Sie eine einzige zugekaufte KI-Funktion nutzen, die der Hersteller verantwortet, brauchen Sie kein Managementsystem. Sie brauchen die Unterlagen des Herstellers, eine benannte Aufsicht und einen dokumentierten Zweck. Das passt auf drei Seiten.
Der Fehler in die andere Richtung ist genauso teuer: eine Zertifizierung anstreben, bevor überhaupt klar ist, welche Modelle im Haus laufen. Dann zertifizieren Sie eine Fiktion.
Was die Norm mit dem AI Act zu tun hat
Beides deckt sich nicht, aber es überlappt erheblich. Risikobeurteilung, Dokumentation, menschliche Aufsicht, Überwachung im Betrieb und Vorfallbehandlung verlangen beide. Wer die Norm ordentlich umsetzt, hat einen großen Teil der Betreiberpflichten aus dem AI Act strukturell erledigt — nicht automatisch die Konformität, aber die Grundlage dafür.
Umgekehrt gilt: Eine Zertifizierung ersetzt keine Konformitätsbewertung. Wer das verwechselt, zahlt zweimal.
Wie wir es in Projekten anfangen
Wir beginnen mit dem Verzeichnis, nicht mit dem Handbuch. Jede KI-Nutzung im Haus bekommt eine Zeile: Zweck, Datenarten, Anbieter oder Eigenentwicklung, Aufsicht, Protokollierung, Abschaltweg. Das dauert wenige Tage und macht meist schon sichtbar, wo die eigentlichen Risiken liegen — häufig nicht dort, wo man sie erwartet hat, sondern in kleinen Assistenzfunktionen, die jemand ohne Absprache aktiviert hat.
Erst danach entscheidet man, ob ein Managementsystem angemessen ist. Diese Reihenfolge erspart im Zweifel ein ganzes Projekt.
Der Aufwand, realistisch benannt
Wer die Norm ernsthaft umsetzt, braucht drei Dinge: eine benannte Verantwortung mit Zeit im Kalender, ein Verzeichnis der KI-Einsätze, das gepflegt wird, und eine wiederkehrende Durchsicht. Das Handbuch ist der kleinste Teil.
Der Aufwand liegt nicht im Aufschreiben, sondern im Nachhalten: Wer prüft, ob ein Modell noch den Zweck erfüllt, für den es freigegeben wurde? Wer merkt, dass eine Assistenzfunktion aktiviert wurde, die niemand beurteilt hat?
Planen Sie deshalb weniger Zeit für die Einführung und mehr für den Betrieb. Ein Managementsystem, das im zweiten Jahr niemand pflegt, ist teurer als keines — weil es einen Nachweis erzeugt, den man nicht halten kann.