Was ist ISO 42001 (Managementsystem für KI)?

ISO/IEC 42001:2023 ist der weltweit erste internationale Standard für ein Managementsystem für KI (AIMS). Im Dezember 2023 veröffentlicht, legt er die Anforderungen dafür fest, ein Managementsystem für die verantwortungsvolle Entwicklung und Nutzung künstlicher Intelligenz in einer Organisation aufzubauen, umzusetzen, aufrechtzuerhalten und fortlaufend zu verbessern. Wo der EU AI Act ein Gesetz ist, das Ihnen sagt, was Sie erreichen müssen, ist ISO 42001 ein freiwilliges, zertifizierbares Rahmenwerk, das Ihnen sagt, wie Sie Ihre Organisation führen, damit Sie es erreichen und belegen können.

ISO 42001 zählt, weil er „Responsible AI“ ein operatives Rückgrat gibt. Grundsätze wie Fairness, Transparenz und Rechenschaft sind schnell formuliert und schwer zu systematisieren; ISO 42001 macht daraus eine wiederholbare Managementdisziplin mit definierten Rollen, Risikobewertungen, Kontrollen und Audits. Weil er derselben Struktur folgt wie breit eingeführte Standards, etwa ISO 27001 für Informationssicherheit, können Organisationen die Governance für KI in Managementsysteme einfügen, die sie ohnehin betreiben, und eine Zertifizierung durch Dritte erlangen, die Kunden, Partnern und Aufsichtsbehörden Vertrauenswürdigkeit signalisiert.

ISO 42001 im Überblick

ISO 42001 ist ein Managementsystemstandard (MSS). Er bescheinigt kein KI-Produkt und kein Modell als „sicher“; er bescheinigt, dass eine Organisation ein funktionierendes System für die Steuerung von KI betreibt: Risiken erkennen, Richtlinien setzen, Verantwortung zuweisen, Kontrollen betreiben und sich über die Zeit verbessern. Zertifiziert wird das Managementsystem, nicht der Algorithmus. Das ist dieselbe Logik wie bei ISO 27001: Bescheinigt wird nicht, dass keine Verletzung eintreten kann, sondern dass Sie einen disziplinierten Prozess für das Risiko der Informationssicherheit betreiben.

Seine bestimmenden Merkmale:

• Prozessorientiert: Er regelt, wie Entscheidungen über KI getroffen und überprüft werden, nicht die technischen Interna eines einzelnen Modells.
• Risiko- und wirkungsbasiert: Er stellt die Bewertung von Risiken in den Mittelpunkt und, für KI kennzeichnend, die Auswirkungen auf Einzelne und die Gesellschaft, nicht nur auf die Organisation.
• Zertifizierbar: Eine akkreditierte Stelle kann die Konformität prüfen und bescheinigen, genau wie bei ISO 27001 oder ISO 9001.
• Harmonisierte Struktur: Er nutzt die harmonisierte Struktur der ISO für Managementsystemnormen (früher Annex SL), dieselbe wie ISO/IEC 27001, und fügt sich damit sauber in andere Managementsysteme ein.

Wie der Standard aufgebaut ist

ISO 42001 nutzt die harmonisierte Struktur der ISO für Managementsystemnormen (früher Annex SL), dieselbe wie ISO/IEC 27001. Seine Abschnitte 4 bis 10 lassen sich naheliegend auf den Zyklus Plan-Do-Check-Act (PDCA) abbilden und ruhen auf einer Reihe KI-spezifischer Kontrollen in seinen Anhängen.

Die Abschnitte 4 bis 10 sind der Kern des Managementsystems und mit anderen ISO-Standards gemeinsam:

• Abschnitt 4, Kontext. Die Organisation, ihre KI-Anwendungen, die interessierten Parteien und den Geltungsbereich des AIMS verstehen.
• Abschnitt 5, Führung. Verpflichtung der obersten Leitung, eine KI-Richtlinie und zugewiesene Rollen.
• Abschnitt 6, Planung. Risikobewertung, Risikobehandlung für KI, Ziele und, als Besonderheit, eine Folgenabschätzung für KI-Systeme mit Blick auf Einzelne und die Gesellschaft (6.1.4, durchgeführt gemäß 8.4).
• Abschnitt 7, Unterstützung (Support). Ressourcen, Kompetenz, Bewusstsein und dokumentierte Information.
• Abschnitt 8, Betrieb. Das AIMS betreiben: die Kontrollen über den Lebenszyklus der KI hinweg umsetzen.
• Abschnitt 9, Bewertung der Leistung. Überwachung, Messung, internes Audit und Managementbewertung.
• Abschnitt 10, Verbesserung. Nichtkonformitäten behandeln und fortlaufend besser werden.

Zentrale Anforderungen und Kontrollen

Über die Abschnittsstruktur hinaus führt Anhang A Referenzkontrollen eigens für KI auf, die eine Organisation anhand ihrer Risiko- und Folgenabschätzungen auswählt und anwendet. Die wiederkehrenden Themen, die ISO 42001 am deutlichsten von allgemeinen Managementstandards abheben, sind:

• Folgenabschätzung für KI: Die Folgen für Einzelne und die Gesellschaft bewerten, nicht nur das Risiko für die Organisation. Dieser gesellschaftliche Blick ist das Markenzeichen des Standards.
• Daten für KI-Systeme: Kontrollen für Herkunft, Qualität und Management der Daten, die KI speisen. Der Standard verknüpft gute KI ausdrücklich mit gesteuerten KI-ready Daten.
• Ressourcen für KI-Systeme: Die Daten, Werkzeuge, Rechen- und Personalressourcen dokumentieren, auf die jedes KI-System angewiesen ist.
• Lebenszyklus-Management: Governance über Entwurf, Entwicklung, Bereitstellung, Betrieb und Außerbetriebnahme hinweg.
• Transparenz und Information: Nutzern und Betroffenen sagen, wie KI eingesetzt wird und was sie tut.
• Nutzung von KI-Systemen: Festlegen, wie die Organisation KI-Systeme verantwortungsvoll und bestimmungsgemäß nutzt.
• Management von Dritten und Lieferanten: Die Governance auf KI-Komponenten und Modelle ausdehnen, die Sie nicht selbst gebaut haben.

Die Anhänge B, C und D ergänzen einen Umsetzungsleitfaden, mögliche Ziele und Risikoquellen sowie Hinweise dazu, das AIMS in bestimmten Bereichen anzuwenden.

Zertifizierung und der EU AI Act

ISO 42001 ist zertifizierbar: Eine akkreditierte Zertifizierungsstelle prüft das AIMS und stellt bei Konformität ein Zertifikat aus, das üblicherweise durch Überwachungsaudits und eine regelmäßige Rezertifizierung aufrechterhalten wird, genau wie bei ISO 27001. Die Zertifizierungsstellen selbst werden nach ISO/IEC 42006:2025 bewertet (veröffentlicht im Juli 2025), die auf ISO/IEC 17021-1 aufbaut. Die Zertifizierung ist freiwillig, wird aber zunehmend bei der Sorgfaltsprüfung von Anbietern verlangt.

Sein Verhältnis zum EU AI Act ist ergänzend, nicht doppelt:

• Der Rechtsakt ist verbindliches Recht, ISO 42001 ein freiwilliges Rahmenwerk. Konformität mit dem Standard bedeutet nicht automatisch, dass der Rechtsakt eingehalten ist.
• Der Standard ist aber ein starker Beleg für Sorgfalt. Ein laufendes AIMS zeigt die Art von Risikomanagement, Dokumentation und Aufsicht, die der Rechtsakt verlangt. ISO 42001 ist jedoch keine harmonisierte Norm im Sinne des Rechtsakts und begründet keine Konformitätsvermutung.
• Harmonisierte Normen sind ein eigener Strang. CEN-CENELEC JTC 21 erarbeitet die harmonisierten Normen für den AI Act, darunter prEN 18286, eine Norm für Qualitätsmanagementsysteme zu den Pflichten von Anbietern von Hochrisiko-KI-Systemen nach Artikel 17, die am 30. Oktober 2025 in die öffentliche Umfrage ging. Nur Normen, deren Fundstellen im Amtsblatt veröffentlicht sind, begründen eine Konformitätsvermutung (AI Act, Artikel 40). Ein reifes Programm nach ISO 42001 verschafft einer Organisation dennoch eine bessere Ausgangslage, um sie zu übernehmen.

Kurz gesagt ist ISO 42001 der praktische Weg, auf dem viele Organisationen ihren Kurs zur Bereitschaft für den AI Act und zu einer breiteren KI-Governance in den Betrieb übersetzen werden.

Data Governance für ein AIMS

Jeder Abschnitt und jede Kontrolle in ISO 42001 läuft am Ende auf dieselbe Frage hinaus: Können Sie es zeigen? Auditoren nehmen keine Absichten an, sie verlangen Nachweise. Und der größte Teil dieser Nachweise sind Informationen über Daten: welche Daten Ihre KI-Systeme trainiert haben und speisen, woher sie stammen, wie ihre Qualität gesichert wurde, wer für sie verantwortlich ist und wie ihre Verwendung dokumentiert ist.

Damit wird Data Governance zum Unterbau eines zertifizierbaren AIMS:

• Ein Datenkatalog und das Metadatenmanagement stützen Abschnitt 7.5 (dokumentierte Information) sowie die Dokumentation der Ressourcen (A.4) und die Datenkontrollen (A.7) aus Anhang A.
• Data Lineage belegt die Herkunft und stützt die Folgenabschätzungen und Risikobewertungen im Kern von Abschnitt 6.
• Datenqualitätsmanagement und Klassifizierung weisen die Datenkontrollen für KI aus Anhang A nach.
• Klare Datenverantwortung erfüllt die Rechenschaft, die der Standard von der Führung abwärts erwartet.

Der Ansatz von Dawiso für KI-Governance macht diese Nachweise zum Nebenprodukt des normalen Betriebs: Katalog, Glossar und Lineage, die täglich gepflegt werden, sind zugleich der dokumentierte, prüfbare Nachweis, auf den eine Bewertung nach ISO 42001 angewiesen ist. Das Managementsystem ist die Disziplin; gesteuerte Daten machen sie belegbar.

Fazit

ISO 42001 ist der Weg, auf dem Responsible AI ein System wird statt ein Slogan. Indem er die Governance für KI in die vertraute, zertifizierbare Mechanik eines Managementstandards fasst, lässt er Organisationen KI mit derselben Strenge betreiben, die sie für Qualität und Sicherheit längst anwenden, und das jedem gegenüber belegen, der danach fragt. Er ersetzt den EU AI Act nicht, aber er ist einer der klarsten Wege, ihn zu erfüllen. Und wie jedes Rahmenwerk für Governance ruht er am Ende auf einer einzigen Fähigkeit: die Daten hinter Ihrer KI zu kennen, zu dokumentieren und ihnen zu vertrauen.

Quellen

• ISO, ISO/IEC 42001:2023 (Katalogseite) (veröffentlicht im Dezember 2023; umgesetzt nach der Plan-Do-Check-Act-Methodik).
• ISO, ISO/IEC 42006:2025, Requirements for bodies providing audit and certification of AI management systems (veröffentlicht im Juli 2025).
• Europäische Kommission, Standardisation of the AI Act (CEN-CENELEC JTC 21 und die harmonisierten Normen in Vorbereitung).
• Amt für Veröffentlichungen der EU (EUR-Lex), Verordnung (EU) 2024/1689, Artificial Intelligence Act (Artikel 40, harmonisierte Normen und Konformitätsvermutung).