EU-AI-Act & ISO 42001

Q: Kann die ISO 42001 in ein bestehendes QM- oder IT-System integriert werden?

Ja, ISO 42001 lässt sich durch die Harmonized Structure gut in bestehende Managementsysteme integrieren. Besonders sinnvoll ist die Verbindung mit ISO 9001 im Qualitätsmanagement, ISO 27001 im Informationssicherheitsmanagement oder ISO 37301 im Compliance-Management.

Der EU-AI-Act und die ISO 42001 bilden gemeinsam den Rahmen für den sicheren und verantwortungsvollen Einsatz von künstlicher Intelligenz im Unternehmen. Der Artikel erklärt die Unterschiede und Gemeinsamkeiten, zeigt die Rolle der ISO 42001 bei der Umsetzung der KI-Verordnung und erläutert, wo zusätzliche Anforderungen entstehen.

EU-AI-Act & ISO 42001 – Auf einen Blick

Was regelt der EU-AI-Act?

Als weltweit erstes umfassendes KI-Gesetz regelt der EU-AI-Act Entwicklung, Bereitstellung, Betrieb und Nutzung von KI-Systemen in der EU.

Welche Aufgabe hat ISO/IEC 42001?

Mit ISO 42001 erhalten Unternehmen einen internationalen Standard für ein Artificial-Intelligence-Management-System, um KI-Governance, Risiken, Kontrollen und Nachweise strukturiert aufzubauen.

Warum sollten Unternehmen beide Rahmenwerke gemeinsam betrachten?

Die gemeinsame Betrachtung von EU-AI-Act und ISO 42001 hilft, rechtliche Pflichten mit klaren Prozessen, Rollen, Dokumentation und kontinuierlicher Verbesserung zu verbinden.

Wen betrifft die Umsetzung von EU-AI-Act und ISO 42001?

Betroffen sind Unternehmen, die KI-Systeme entwickeln, anbieten, betreiben oder nutzen und dafür rechtliche Pflichten, interne Verantwortlichkeiten und auditfähige Nachweise aufbauen müssen.

Was regelt der EU-AI-Act?

Der EU-AI-Act, im deutschen Sprachraum KI-Verordnung genannt, ist der verbindliche Rechtsrahmen der Europäischen Union für künstliche Intelligenz. Er regelt, wie Unternehmen KI-Systeme entwickeln, anbieten, betreiben und nutzen dürfen.

Im Kern folgt die Verordnung einem risikobasierten Ansatz. Je höher das Risiko für Sicherheit, Grundrechte oder Verbraucher ist, desto strenger fallen die Anforderungen aus.

Die KI-Verordnung unterscheidet vier Risikostufen:

Unannehmbares Risiko: Verbotene KI-Praktiken wie Social Scoring oder manipulative Systeme.
Hohes Risiko: KI in kritischer Infrastruktur, Personalprozessen, Kreditprüfung, Medizin oder Bildung.
Begrenztes Transparenzrisiko: Chatbots, generative KI oder Deepfakes mit Kennzeichnungspflichten.
Minimales Risiko: alltägliche Anwendungen wie Spamfilter oder einfache Assistenzfunktionen.

Für Unternehmen bedeutet das: KI-Systeme müssen identifiziert, klassifiziert und passend dokumentiert werden. Besonders bei Hochrisiko-KI steigen die Anforderungen an technische Dokumentation, Datenqualität, menschliche Aufsicht und Risikomanagement.

Was ist ISO/IEC 42001?

ISO/IEC 42001 ist der erste internationale Standard für ein Artificial-Intelligence-Management-System, kurz AIMS. Die ISO-Norm wurde im Dezember 2023 veröffentlicht und hilft Unternehmen, KI-Governance, Risiken, Rollen, Kontrollen und Nachweise strukturiert aufzubauen.

Der Standard gliedert seine Anforderungen in zehn Klauseln und ergänzt sie durch 39 spezifische KI-Kontrollen. Diese betreffen unter anderem Risikominderung, Datenverwaltung, Transparenz, menschliche Kontrolle und Überwachung von KI-Systemen im Betrieb.

Sie folgt der bekannten Managementsystemlogik und lässt sich gut mit bestehenden Standards verbinden, etwa mit ISO 27001 für Informationssicherheit, ISO 37301 für Compliance oder ISO 9001 für Qualitätsmanagement. Durch die Harmonized Structure können Unternehmen das KI-Managementsystem leichter in bestehende Managementsysteme integrieren.

Die ISO-42001-Familie ergänzt die Kernnorm um weitere Standards:

ISO 42001: definiert Anforderungen und Kontrollziele für das KI-Managementsystem.
ISO 42002: liefert Anwendungsleitlinien und operative Kontrollen für Umsetzung und Betrieb.
ISO 42005: unterstützt KI-Folgenabschätzungen, besonders bei Hochrisiko-KI.
ISO 42006: regelt Anforderungen an Zertifizierungsstellen und externe Audits.

Die Wirksamkeit des Managementsystems wird regelmäßig überprüft, etwa im Rahmen der Managementbewertung. Eine ISO-42001-Zertifizierung erfolgt über unabhängige Drittparteien und wird im Zertifizierungsaudit geprüft.

Beratung zu EU-AI-Act & ISO 42001

CSM Consulting hilft Ihnen, EU-AI-Act und ISO/IEC 42001 gemeinsam umzusetzen. So nutzen Sie bestehende Managementsysteme und senken die Kosten für KI-Governance, Risikobewertung und Nachweise.

EU-AI-Act und ISO 42001: Gemeinsamkeiten und Unterschiede

EU-AI-Act und ISO 42001 verfolgen dasselbe Grundziel: KI-Systeme sollen sicher, transparent und nachvollziehbar eingesetzt werden. Der Unterschied liegt im Charakter der Regelwerke. Der EU-AI-Act ist verbindliches Recht, ISO 42001 ist ein freiwilliger Standard für ein KI-Managementsystem.

Beide Rahmenwerke arbeiten risikobasiert und verlangen belastbare Nachweise. In der Praxis überschneiden sich viele Themen, etwa bei Dokumentation, Risikobewertung, Governance und Kontrolle von KI-Systemen.

Merkmal	EU-AI-Act	ISO/IEC 42001
Art des Regelwerks	Verbindliche EU-Verordnung	Internationaler Standard für ein AIMS
Fokus	Produkt, Anwendung und Risikoklasse	Organisation, Prozesse und Managementsystem
Verbindlichkeit	Rechtlich verpflichtend bei KI-Bezug in der EU	Freiwillig, aber zertifizierbar
Ansatz	Risikobasierter Ansatz nach Risikostufen	Risikomanagement über den KI-Lebenszyklus
Zielgruppe	Anbieter, Betreiber, Importeure und Anwender von KI-Systemen	Organisationen jeder Größe und Branche
Dokumentation	Technische Dokumentation, Aufzeichnungspflichten, Nachweise	Kontextbezogene Dokumentation, Rollen, Kontrollen und Verfahren
Prüfung	Behördliche Kontrolle und Konformitätsbewertung bei Hochrisiko-KI	Prüfung durch unabhängige Stellen im Zertifizierungsaudit
Konsequenz	Bußgelder und Marktmaßnahmen bei Verstößen	Zertifikat wird verweigert, ausgesetzt oder entzogen

Wie ISO 42001 Unternehmen bei der EU-AI-Act-Umsetzung hilft

ISO 42001 hilft Unternehmen, Anforderungen aus dem EU-AI-Act in konkrete Prozesse, Rollen und Nachweise zu übersetzen. Die Norm macht aus rechtlichen Vorgaben ein steuerbares Managementsystem.

Unternehmen müssen KI-Systeme erfassen, Risiken bewerten, Verantwortlichkeiten festlegen und Maßnahmen dokumentieren. Die ISO 42001 liefert einen Rahmen für KI-Governance, KI-Risikomanagement, Datenqualität, Transparenz und menschliche Kontrolle.

Praktisch unterstützt die Norm vor allem an diesen Schnittstellen:

KI-Inventar: Unternehmen erfassen, welche KI-Systeme genutzt, entwickelt oder bereitgestellt werden.
Risikobewertung: Risiken werden über den Lebenszyklus der KI betrachtet, von der Planung bis zum Betrieb.
Dokumentation: Nachweise werden an Kontext, Rolle, Anwendung und Risikoklasse angepasst.
Kontrollen: ISO 42001 enthält konkrete KI-Kontrollen für Governance, Daten, Transparenz und Überwachung.
Verantwortung: Rollen und Zuständigkeiten werden eindeutig zugewiesen.
Kontinuierliche Verbesserung: Der Plan-Do-Check-Act-Zyklus sorgt für regelmäßige Prüfung und Anpassung.

Für anspruchsvolle KI-Anwendungen hilft ISO 42001, Dokumentation, Verantwortlichkeiten und Kontrollen über eine klare Verfahrensanweisung abzusichern.

Reicht ISO 42001 für Compliance mit dem EU-AI-Act?

Eine ISO-42001-Zertifizierung hilft bei der Umsetzung des EU-AI-Act, ersetzt aber keine vollständige rechtliche Prüfung. Je nach Mapping liegt die Überschneidung zwischen EU-AI-Act und ISO 42001 bei etwa 40 – 50 Prozent.

Unternehmen mit ISO-42001-Zertifizierung können dadurch einen deutlichen Vorsprung bei der Compliance mit dem EU-AI-Act aufbauen. Je nach Ausgangslage kann dieser Vorsprung 18 – 24 Monate betragen, weil zentrale Bausteine wie Governance, Risikobewertung, Dokumentation und kontinuierliche Verbesserung bereits im Unternehmen verankert sind.

Trotzdem bleibt eine Lücke. Der EU-AI-Act enthält verbindliche Anforderungen, die über ein Managementsystem hinausgehen. Dazu zählen Einsatzverbote für bestimmte KI-Praktiken, technische Dokumentationspflichten, Marktüberwachung, Registrierungspflichten und mögliche Bußgelder. Bei schwerwiegenden Verstößen können diese bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Wert höher ist.

Hochrisiko-KI: Wo zusätzliche Anforderungen entstehen

Bei Hochrisiko-KI entstehen die höchsten Anforderungen an Dokumentation, Kontrolle und Nachweisführung. Unternehmen müssen hier genauer belegen, wie Risiken bewertet, Daten geprüft, Ergebnisse überwacht und menschliche Aufsicht sichergestellt werden.

Der EU-AI-Act unterscheidet KI-Systeme nach Risiko. Systeme mit unannehmbarem Risiko sind in der EU verboten. Hochrisiko-KI bleibt erlaubt, unterliegt aber strengen Vorgaben. Das betrifft zum Beispiel KI in Personalprozessen, Kreditprüfungen, Bildung, kritischer Infrastruktur, Medizin oder sicherheitsrelevanter Qualitätssicherung.

Wichtige Zusatzanforderungen sind:

Technische Dokumentation: Unternehmen müssen nachvollziehbar beschreiben, wie das KI-System funktioniert, welche Daten genutzt werden und welche Risiken bestehen.
Aufzeichnungspflichten: Relevante Ereignisse, Entscheidungen und Systemprozesse müssen über Logs nachvollziehbar bleiben.
Datenqualität: Trainings-, Validierungs- und Testdaten müssen geeignet, aktuell und möglichst verzerrungsarm sein.
Menschliche Aufsicht: Verantwortliche Personen müssen KI-Ergebnisse prüfen, eingreifen und Entscheidungen nachvollziehen können.
Grundrechte-Folgenabschätzung: Bei bestimmten Anwendungen muss bewertet werden, wie sich das KI-System auf Grundrechte, Diskriminierungsschutz oder Privatsphäre auswirkt.

Im Betrieb sollten Unternehmen diese Punkte über eine klare Verfahrensanweisung absichern. Die Geschäftsführung sollte den Status regelmäßig in der Managementbewertung prüfen, besonders wenn neue KI-Systeme eingeführt, bestehende Modelle verändert oder gesetzliche Fristen erreicht werden.

Best Practices für Unternehmen

Der EU-AI-Act gilt seit dem 2. Februar 2025 stufenweise und wird bis 2028 vollständig wirksam. Unternehmen sollten Gesetz und ISO 42001 deshalb gemeinsam betrachten, damit Governance, Nachweise und Kontrollen sauber ineinandergreifen.

Typischer Fehler 1 – EU-AI-Act und ISO 42001 getrennt prüfen

Viele Unternehmen starten mit zwei parallelen Projekten. Ein Team prüft die KI-Verordnung, ein anderes baut ein KI-Managementsystem nach ISO 42001 auf. Dadurch entstehen doppelte Listen, doppelte Bewertungen und widersprüchliche Nachweise.

Praktische Lösung

Eine kombinierte GAP-Analyse zeigt früh, welche Anforderungen bereits erfüllt sind und wo Lücken bestehen. Ein erfahrener ISO-Berater kann EU-AI-Act und ISO 42001 gemeinsam bewerten und daraus einen schlanken Maßnahmenplan ableiten.

Typischer Fehler 2 – KI-Systeme zu spät erfassen

Ohne vollständiges KI-Inventar bleibt unklar, welche Anwendungen unter den EU-AI-Act fallen. Besonders riskant sind Tools, die bereits in Fachabteilungen genutzt werden, aber noch keine Freigabe, Risikoklasse oder Dokumentation haben.

Praktische Lösung

Unternehmen sollten alle KI-Systeme erfassen, klassifizieren und mit Verantwortlichen verknüpfen. So wird sichtbar, welche Anwendungen minimales Risiko haben und wo strengere Pflichten entstehen.

Typischer Fehler 3 – Interne Prüfung erst kurz vor der Zertifizierung

Viele Schwachstellen zeigen sich erst im Audit. Dazu gehören fehlende Schulungsnachweise, unklare Rollen, lückenhafte Risikobewertungen oder veraltete Verfahrensanweisungen.

Praktische Lösung

Ein internes Audit oder Systemaudit sollte vor der externen Prüfung stattfinden. So lassen sich Lücken rechtzeitig schließen, bevor ein Zertifizierungsaudit ansteht.

Häufige Fragen und Antworten

Ist eine ISO-42001-Zertifizierung gesetzlich vorgeschrieben?

Eine ISO-42001-Zertifizierung ist gesetzlich nicht vorgeschrieben und bleibt freiwillig. Der EU-AI-Act ist dagegen verbindlich und verpflichtet Unternehmen, die Anforderungen der KI-Verordnung für ihre KI-Systeme zu prüfen und umzusetzen.

Kann die ISO 42001 in ein bestehendes QM- oder IT-System integriert werden?

Ja, ISO 42001 lässt sich durch die Harmonized Structure gut in bestehende Managementsysteme integrieren. Besonders sinnvoll ist die Verbindung mit ISO 9001 im Qualitätsmanagement, ISO 27001 im Informationssicherheitsmanagement oder ISO 37301 im Compliance-Management.

Müssen Unternehmen den EU-AI-Act beachten, wenn sie KI nur einkaufen?

Ja, Unternehmen müssen den EU-AI-Act auch bei eingekauften KI-Systemen beachten. Wer HR-Tools, Chatbots oder Datenanalyse-Software im Betrieb einsetzt, trägt Betreiberpflichten und muss Risikoklasse, Anbieterinformationen, Freigaben und laufende Kontrolle nachvollziehbar steuern. ISO 42001 hilft, diesen Prozess sauber in Einkauf, Compliance und KI-Governance einzubinden.