ISO 42001: Was die KI-Norm leistet — und was nicht

ISO/IEC 42001 ist die erste internationale Norm für ein KI-Managementsystem: veröffentlicht am 18. Dezember 2023, 51 Seiten stark, durch akkreditierte Stellen zertifizierbar. Sie ist aber keine harmonisierte Norm der EU — ein Zertifikat erzeugt deshalb keine Konformitätsvermutung nach der KI-Verordnung. Wer sie einführt, tut das für Kunden und für Ordnung im eigenen Haus, nicht für die Aufsichtsbehörde.

Stand: 6. September 2026. Die Fristen der KI-Verordnung haben sich am 24. Juli 2026 geändert: Die Digital-Omnibus-Verordnung (EU) 2026/1744 verschiebt die Hochrisiko-Pflichten auf den 2. Dezember 2027 beziehungsweise den 2. August 2028. Viele Ratgeber im Netz nennen noch den 2. August 2026. Alle Angaben in diesem Beitrag stammen aus dem Verordnungstext und dem ISO-Katalog, jeweils mit Prüfdatum.

1. Warum ISO 42001 kein Nachweis für die KI-Verordnung ist

Suchen Sie heute nach der Norm, bekommen Sie zwei Normverkäufer, fünf Zertifizierungsstellen, drei Beratungshäuser und drei Seminaranbieter. Fast jeder dieser Treffer verdient daran, dass Sie die Zertifizierung für regulatorisch nötig halten. Googles eigene automatische Suchantwort greift das auf und nennt als Nutzen die „Erfüllung neuer gesetzlicher Vorgaben, wie beispielsweise dem EU AI Act".

Der Verordnungstext sagt etwas anderes. Nach Artikel 40 Absatz 1 wird die Konformität nur bei Systemen vermutet, die „mit harmonisierten Normen oder Teilen davon, deren Fundstellen gemäß der Verordnung (EU) Nr. 1025/2012 im Amtsblatt der Europäischen Union veröffentlicht wurden, übereinstimmen". Zwei Bedingungen also: europäische Normung und Fundstelle im Amtsblatt. ISO/IEC 42001 erfüllt keine von beiden. Sie stammt vom internationalen Gremium ISO/IEC JTC 1/SC 42, nicht vom europäischen CEN-CENELEC JTC 21.

Wir haben zusätzlich nachgezählt, statt es nur zu behaupten: Im deutschen Volltext der KI-Verordnung kommt das Wort „ISO" kein einziges Mal vor — und in der Änderungsverordnung vom Juli 2026 ebenfalls nicht. Die Verordnung nennt überhaupt keine Norm namentlich, sie beschreibt nur das Verfahren, über das Normen später einmal Rechtswirkung bekommen.

Dieses Verfahren läuft noch. CEN-CENELEC beschreibt sein Komitee JTC 21 als seit dem 1. Juni 2021 bestehend, mit „over 300 experts from more than 20 countries", und formuliert die Rechtswirkung ausdrücklich im Futur: Erst nach Veröffentlichung im Amtsblatt würden diese Normen eine Konformitätsvermutung liefern. Die vier Kernnormen — Vertrauenswürdigkeit, Risikomanagement, Qualitätsmanagement und Konformitätsbewertung — führt CEN-CENELEC am 6. September 2026 weiterhin unter „Key Standards Under Development".

Wie ernst die Verzögerung ist, steht im Gesetzestext selbst. Die Digital-Omnibus-Verordnung begründet die verschobenen Fristen mit „der verzögerten Ausarbeitung von Normen, die technische Lösungen für Anbieter von Hochrisiko-KI-Systemen bieten" und der „verzögerten Einrichtung der Governance- und Konformitätsbewertungsrahmen auf nationaler Ebene". Die EU verschiebt also Pflichten, weil die Normen fehlen — kein guter Zeitpunkt, um eine internationale Norm als deren Ersatz zu verkaufen.

Das entwertet die Norm nicht. Es verschiebt nur ihren Zweck: Sie ist ein Werkzeug für Ordnung, Kundenvertrauen und Nachweisfähigkeit — kein Freifahrtschein gegenüber einer Behörde. Welche Pflichten die KI-Verordnung tatsächlich an welche Rolle knüpft, haben wir im Beitrag zu den Pflichten aus dem EU AI Act für Unternehmen aufgeschlüsselt.

2. Was in der Norm steht — und was sich nicht belegen lässt

Die harten Eckdaten stehen im ISO-Katalog und sind schnell erzählt. ISO/IEC 42001:2023 trägt den Titel „Information technology — Artificial intelligence — Management system", ist Ausgabe 1, wurde am 18. Dezember 2023 veröffentlicht und umfasst 51 Seiten. Zuständig ist das gemeinsame Gremium ISO/IEC JTC 1/SC 42. Das Projekt wurde am 26. August 2020 genehmigt — von der Idee bis zur Veröffentlichung vergingen also gut drei Jahre.

ISO selbst ordnet die Norm so ein: Sie sei ein Managementsystem-Standard, dessen Einführung bedeute, Leitlinien und Verfahren für eine belastbare Steuerung der KI im Unternehmen einzurichten — nach dem Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern. Das ist dieselbe Bauart wie bei ISO 9001 oder ISO/IEC 27001, und genau daraus entsteht der praktische Nutzen: Leitungsverantwortung, Zuständigkeiten, Risikobewertung, Schulung, interne Audits und eine regelmäßige Bewertung durch die Geschäftsleitung.

Zwei Angaben lassen wir bewusst weg, obwohl sie überall kursieren. Erstens die Zahl der Referenz-Controls im Anhang A. Die frei zugängliche Online-Vorschau von ISO ist eine JavaScript-Anwendung, die bei unserem Abruf am 6. September 2026 weder über die Kommandozeile noch im Browser Text herausgab; die vollständige Norm kostet 225 Schweizer Franken. Ohne Primärquelle nennen wir keine Zahl. Belegbar ist nur: Die Norm ergänzt ihre Kapitel um informative Anhänge mit Referenzmaßnahmen und Umsetzungshinweisen.

Zweitens den üblichen Ablauf einer Zertifizierung mit Voraudit, Hauptaudit, jährlichen Überwachungen und dreijähriger Laufzeit. Diese Beschreibung stammt aus dem allgemeinen Regelwerk für Managementsystem-Zertifizierungen, nicht aus einer Quelle zu ISO/IEC 42001. Belegt ist nur der Rahmen: ISO/IEC 42006:2025 regelt die Anforderungen an die Zertifizierungsstellen und baut nach ISO-eigener Beschreibung auf ISO/IEC 17021-1 auf, ohne sie zu ersetzen.

Eine Hürde, die kaum jemand erwähnt: Es gibt die Norm nicht auf Deutsch

Vier der acht verwandten Suchanfragen zu diesem Thema drehen sich um Volltext, Download und eine deutsche Fassung. Die Antwort fällt kürzer aus, als viele hoffen. DIN Media führt ISO/IEC 42001 unter dem deutschen Titel „Informationstechnik — Künstliche Intelligenz — Managementsystem", gibt als Originalsprache aber Englisch an und bietet am 6. September 2026 nur zwei Sprachoptionen an: Englisch und eine französische Übersetzung. Der Preis liegt beim PDF-Download bei 257,60 Euro inklusive Mehrwertsteuer, bei der Versandausgabe bei 291,10 Euro. Direkt bei ISO kostet die Norm 225 Schweizer Franken.

Für einen mittelständischen Betrieb heißt das: Wer die Anforderungen im Haus verständlich machen will, übersetzt sie selbst — mit dem Risiko, Begriffe wie „shall" und „should" oder „AI system" und „AI model" unsauber zu treffen. Planen Sie diesen Schritt ein, statt ihn zu übersehen. Kostenlose Volltext-Downloads, die im Netz auftauchen, sind keine legalen Quellen.

3. Der Fristenkalender nach dem Digital Omnibus

Die meisten Beiträge zu ISO 42001 stammen aus der Zeit vor dem Sommer 2026 und rechnen mit dem 2. August 2026 als Stichtag für Hochrisiko-Systeme. Dieses Datum ist überholt. Am 8. Juli 2026 haben Parlament und Rat die Digital-Omnibus-Verordnung (EU) 2026/1744 beschlossen; sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am dritten Tag danach in Kraft, also am 27. Juli 2026.

Sie schiebt genau den Teil nach hinten, an dem eine Managementsystem-Norm ansetzen würde. Der folgende Kalender gibt den Stand vom 6. September 2026 wieder, gelesen im deutschen Volltext beider Verordnungen:

Für die Normfrage folgen daraus zwei Dinge. Erstens haben Anbieter von Hochrisiko-Systemen nach Anhang III mehr als ein Jahr zusätzlich Zeit — das nimmt Druck aus einer Zertifizierungsentscheidung, die viele Häuser im Sommer 2026 überstürzt getroffen hätten. Zweitens ist die Wahrscheinlichkeit gestiegen, dass bis dahin eine echte harmonisierte Norm vorliegt. Wer heute zertifiziert, sollte deshalb einplanen, das Managementsystem später an eine europäische Norm anzupassen.

Nebenbei entschärft dieselbe Verordnung Artikel 4 zur KI-Kompetenz. Er verlangt jetzt Maßnahmen zur Förderung der Kompetenz und stellt ausdrücklich klar, dass er niemanden verpflichtet, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren". Wichtig für die Einordnung: Artikel 4 taucht im Bußgeldkatalog der Verordnung nicht auf. Die Pflicht besteht, sie ist aber nicht unmittelbar sanktionierbar.

4. Artikel 9 und Artikel 17 im Klartext

Zwei Artikel der KI-Verordnung klingen so, als seien sie für ein Managementsystem gemacht. Beide richten sich ausschließlich an Anbieter von Hochrisiko-KI-Systemen — also an Häuser, die solche Systeme entwickeln oder unter eigenem Namen in Verkehr bringen. Wer lediglich gekaufte KI-Werkzeuge im Betrieb einsetzt, ist Betreiber und fällt nicht darunter. Ob Ihr Fall überhaupt hochriskant ist, klärt unser Beitrag zur Einstufung von Hochrisiko-KI nach Anhang III.

Artikel 9 verlangt in Absatz 1 knapp: „Für Hochrisiko-KI-Systeme wird ein Risikomanagementsystem eingerichtet, angewandt, dokumentiert und aufrechterhalten." Absatz 2 beschreibt es als fortlaufenden Prozess über den gesamten Lebenszyklus mit vier Schritten — Risiken für Gesundheit, Sicherheit und Grundrechte ermitteln, sie auch für vorhersehbare Fehlanwendung bewerten, Erkenntnisse aus der Marktbeobachtung einbeziehen und geeignete Gegenmaßnahmen ergreifen.

Artikel 17 geht weiter: Anbieter „richten ein Qualitätsmanagementsystem ein, das die Einhaltung dieser Verordnung gewährleistet". Der Artikel zählt dreizehn Pflichtbestandteile auf, darunter:

• ein Konzept zur Einhaltung der Regulierungsvorschriften samt Änderungsmanagement;
• Verfahren für Entwurf, Entwicklung, Qualitätskontrolle und Qualitätssicherung;
• Prüf-, Test- und Validierungsverfahren mit festgelegter Häufigkeit;
• die anzuwendenden technischen Spezifikationen und Normen;
• Verfahren für das Datenmanagement über den gesamten Lebenszyklus;
• das Risikomanagementsystem aus Artikel 9;
• Marktbeobachtung nach dem Inverkehrbringen und Meldung schwerwiegender Vorfälle;
• einen Rechenschaftsrahmen für die Verantwortlichkeiten von Leitung und Personal.

Wer diese Liste neben die Kapitelstruktur eines Managementsystems legt, sieht die Überschneidung sofort. Und die Verordnung erlaubt die Verbindung ausdrücklich: Nach Artikel 9 Absatz 10 dürfen Anbieter, die schon anderem Unionsrecht unterliegen, die Risikoaspekte in bestehende Verfahren integrieren; nach Artikel 17 Absatz 3 gilt dasselbe für vorhandene Qualitätsmanagementsysteme. Ein gepflegtes System nach ISO/IEC 42001 liefert also einen erheblichen Teil der später verlangten Dokumentation — es ersetzt sie nur nicht.

Ein oft übersehener Satz hilft kleineren Häusern: Nach Artikel 17 Absatz 2 erfolgt die Umsetzung „in einem angemessenen Verhältnis zur Größe der Organisation des Anbieters". Ein Zehn-Personen-Betrieb schuldet also nicht das Aktenwerk eines Konzerns, wohl aber dieselbe Sorgfalt.

5. ISO 27001, TISAX und die anderen KI-Normen

ISO/IEC 42001 steht nicht allein. Rund um sie ist innerhalb von zweieinhalb Jahren eine kleine Normenfamilie entstanden, und die Rollen darin unterscheiden sich deutlich:

Interessant ist das Datum von ISO/IEC 42006: Erst seit Juli 2025 gibt es überhaupt eine Norm, die regelt, welche Anforderungen an Stellen zu stellen sind, die KI-Managementsysteme prüfen und zertifizieren. Der Prüfrahmen ist also gut anderthalb Jahre jünger als die Norm, die er prüfbar machen soll. Das ist kein Vorwurf, sondern eine Reifeaussage: Der Markt für ISO-42001-Zertifikate ist jung, und Angebote unterscheiden sich stärker als bei etablierten Normen.

Verhältnis zu ISO 27001

Die praktisch wichtigste Nachbarschaft ist ISO/IEC 27001. Beide sind Managementsystem-Normen mit demselben Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern. Wer bereits ein Informationssicherheits-Managementsystem betreibt, kann Leitungsbewertung, internes Auditprogramm, Dokumentenlenkung, Schulungsnachweise und Korrekturmaßnahmen gemeinsam führen und muss im Wesentlichen den KI-spezifischen Teil ergänzen: Systeminventar, Risikobewertung je System, Folgenabschätzung, Rollen und Freigabeprozesse. Das ist unsere Einschätzung aus Projekten und keine Zusage über den Aufwand — sie hängt daran, wie gepflegt das bestehende System wirklich ist.

Abgrenzung zu TISAX

Ein Vergleich, der die Sache scharf stellt: Bei TISAX täuscht das Wort. Wer eine „TISAX-Zertifizierung" verspricht, benutzt einen falschen Begriff, denn TISAX ist ein Prüf- und Austauschmechanismus und stellt kein Zertifikat aus — nachzulesen in unserem Beitrag zu TISAX für Zulieferer. Bei ISO/IEC 42001 stimmt das Wort Zertifizierung. Hier täuscht etwas anderes: die Erwartung, was das Zertifikat rechtlich bewirkt. Beide Male lohnt dieselbe Frage — wofür genau brauchen Sie den Nachweis, und wer verlangt ihn?

6. Was die Zertifizierung kostet — und warum wir keine Zahl nennen

„Wie hoch sind die Kosten für die ISO-42001-Zertifizierung?" ist die meistgestellte Frage zum Thema. Wir haben nach einer belastbaren Antwort gesucht und keine gefunden: Weder ISO noch eine Akkreditierungsstelle noch eine der großen Zertifizierungsstellen veröffentlicht Preise. Alle rechnen auf Anfrage, weil sich die Auditzeit erst aus dem Betrieb ergibt.

Deshalb nennen wir bewusst keine Spanne. Zahlen, die in Vergleichsportalen kursieren, stammen aus Einzelangeboten oder aus dem Ausland und geben nichts her, woran Sie planen könnten. Was wir stattdessen liefern können, sind die Größen, die Ihr Angebot tatsächlich treiben:

• Zahl und Art der KI-Systeme. Ein einzelner Assistent im Kundenservice ist etwas anderes als eine Produktfamilie mit eigenen Modellen und Trainingsdaten.
• Anzahl der Mitarbeitenden und Standorte. Wie bei jeder Managementsystem-Zertifizierung ist die Betriebsgröße der erste Rechenposten.
• Reifegrad der Dokumentation. Wer schon nach ISO 27001 arbeitet, hat einen großen Teil der Struktur bereits stehen.
• Eigene Anbieterrolle. Wer KI-Systeme selbst entwickelt, muss Entwurf, Test und Datenmanagement nachweisen — das erweitert den Prüfumfang deutlich.
• Interner Aufwand vor dem Audit. Der größere Posten ist selten die Rechnung der Zertifizierungsstelle, sondern die eigene Arbeitszeit für Bestandsaufnahme, Regeln und Nachweise.

Holen Sie mindestens zwei Angebote ein und lassen Sie sich die kalkulierte Auditzeit in Tagen ausweisen. Nur diese Zahl macht Angebote vergleichbar — der Endbetrag allein tut es nicht.

7. Wann sich die Norm lohnt und wann eine Richtlinie reicht

Weil ISO/IEC 42001 kein rechtlicher Nachweis ist, wird sie zu einer betriebswirtschaftlichen Entscheidung. Aus unseren Projekten hat sich eine einfache Prüfreihe bewährt. Für die Norm spricht es, wenn mindestens einer dieser Punkte auf Sie zutrifft:

• Kunden fragen danach. Der häufigste echte Auslöser ist ein Lieferantenfragebogen oder eine Ausschreibung, in der die Norm genannt wird. Dann ist sie eine Vertriebsvoraussetzung, kein Compliance-Thema.
• Sie sind selbst Anbieter. Wer KI-Funktionen in eigene Produkte einbaut und sie unter eigenem Namen verkauft, trägt die Anbieterrolle — und braucht die Dokumentation aus Artikel 9 und 17 ohnehin.
• Sie betreiben schon ein Managementsystem. Neben einer gepflegten ISO 27001 ist der Zusatzaufwand überschaubar, weil Sie nur den KI-spezifischen Teil ergänzen.
• KI trifft bei Ihnen Entscheidungen über Menschen. Bewerberauswahl, Kreditwürdigkeit, Leistungsbewertung: Hier hilft ein System, das Rollen, Prüfungen und Widerspruchswege verbindlich festlegt.
• Sie sind Teil einer Lieferkette mit Nachweisdruck. Automobil, Medizintechnik und Finanzdienstleistung reichen Anforderungen erfahrungsgemäß nach unten weiter.

Gegen die Norm — genauer: für den einfacheren Weg — spricht der Normalfall im Mittelstand. Wenn Sie gekaufte KI-Werkzeuge einsetzen, keine eigenen Modelle bauen und niemand einen Nachweis von Ihnen verlangt, brauchen Sie kein zertifiziertes Managementsystem. Sie brauchen Klarheit darüber, welche Werkzeuge erlaubt sind, welche Daten hineindürfen, wer freigibt und wer prüft. Genau das leistet eine schriftliche Regelung; wie sie aufgebaut wird, zeigt unsere Muster-Gliederung für die KI-Richtlinie im Unternehmen. Der Sprung zur Norm lohnt sich später — wenn ein Kunde ihn verlangt.

Unsere Rolle dabei, ohne Missverständnis: Yagemi zertifiziert nicht und ist keine Zertifizierungsstelle. Wir ordnen für Sie ein, ob ISO/IEC 42001 in Ihrer Situation überhaupt der richtige Hebel ist, bringen Ihre KI-Prozesse und Ihre Dokumentation in eine auditfähige Form und begleiten Sie zur akkreditierten Zertifizierungsstelle — die Prüfung selbst führt immer ein unabhängiger Dritter durch.

8. In sechs Schritten vorbereiten

So gehen wir vor, wenn ein Betrieb die Norm ernsthaft prüfen will. Die Reihenfolge ist bewusst gewählt: Die Schritte, die eine Fehlentscheidung verhindern, kommen zuerst.

1. Den Auslöser benennen. Wer verlangt den Nachweis, in welchem Dokument steht das, und bis wann? Ohne konkreten Adressaten fehlt der Norm der Zweck — und damit die Grundlage für jede Aufwandsentscheidung.
2. Ein Systemverzeichnis anlegen. Jedes KI-Werkzeug mit Name, Anbieter, Fachbereich, Zweck, Datenarten und verantwortlicher Person. Eine Tabelle genügt, und sie ist an einem Vormittag gefüllt. Ohne sie lässt sich weder ein Geltungsbereich noch ein Aufwand schätzen.
3. Die eigene Rolle je System klären. Anbieter oder Betreiber — diese Einordnung entscheidet über fast alles Weitere und fällt je System unterschiedlich aus, sobald Sie ein gekauftes Werkzeug unter eigenem Namen weitergeben.
4. Den Geltungsbereich eng schneiden. Ein Managementsystem muss nicht das ganze Haus umfassen. Ein klar abgegrenzter Bereich mit den relevanten Systemen ist schneller auditfähig und billiger als ein Rundumschlag.
5. Vorhandenes wiederverwenden. Leitungsbewertung, Auditprogramm, Schulungsnachweise, Lieferantenprüfung, Vorfallbearbeitung: Was aus einem anderen Managementsystem existiert, wird um den KI-Teil erweitert statt neu geschrieben.
6. Erst dann Angebote einholen. Mit Verzeichnis, Rollen und Geltungsbereich bekommen Sie belastbare Angebote statt Hausnummern — und können die kalkulierte Auditzeit vergleichen.

Auffällig ist, wie wenig an diesem Ablauf normspezifisch ist. Die ersten drei Schritte lohnen sich auch dann, wenn Sie am Ende auf die Zertifizierung verzichten. Sie sind zugleich die Grundlage für jede spätere Einstufung nach der KI-Verordnung.

9. Fazit: eine gute Norm, mit dem falschen Etikett verkauft

ISO/IEC 42001 ist eine solide Managementsystem-Norm. Sie zwingt dazu, KI-Einsatz zu inventarisieren, Verantwortung zu benennen, Risiken systematisch zu bewerten und Ergebnisse regelmäßig zu überprüfen. Betriebe, die das durchziehen, sind hinterher besser aufgestellt — unabhängig davon, welches Papier am Ende an der Wand hängt.

Falsch ist nur das Etikett, mit dem sie häufig verkauft wird. Sie ist kein Nachweis gegenüber der KI-Verordnung, weil dafür nach Artikel 40 eine europäische Norm mit Fundstelle im Amtsblatt nötig wäre. Die entsprechenden Normen sind noch in Arbeit, und die EU hat wegen dieser Verzögerung sogar Fristen verschoben. Wer heute zertifiziert, kauft Ordnung und Kundenvertrauen — nicht Rechtssicherheit.

Für die meisten mittelständischen Betriebe lautet die ehrliche Empfehlung deshalb: Erst Systemverzeichnis und schriftliche Regeln, dann prüfen, ob jemand mehr verlangt. Wenn Sie diese Einordnung für Ihr Haus schriftlich haben möchten, sehen wir uns Ihre Systeme, Rollen und Kundenanforderungen an — das ist der Kern unserer Beratung zu KI-Governance und EU AI Act.

Hinweis: Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Die Angaben zur KI-Verordnung, zu den Normen und zu den Preisen geben den Stand vom 6. September 2026 wieder; Fristen und Normungsstände ändern sich. Prüfen Sie vor einer Zertifizierungsentscheidung den aktuellen Stand und ziehen Sie für Ihren Einzelfall anwaltliche Beratung heran.

10. Häufige Fragen zu ISO 42001

Was ist ISO 42001?

ISO/IEC 42001:2023 ist die erste internationale Norm für ein Managementsystem für künstliche Intelligenz. Sie verlangt Leitlinien, Zuständigkeiten, Risikobewertung und regelmäßige Überprüfung für alle KI-Systeme einer Organisation. Veröffentlicht wurde sie am 18. Dezember 2023, sie umfasst 51 Seiten und ist durch akkreditierte Stellen zertifizierbar.

Wie hoch sind die Kosten für die ISO-42001-Zertifizierung?

Dafür gibt es keine belastbare Zahl. Weder ISO noch Akkreditierungs- oder Zertifizierungsstellen veröffentlichen Listenpreise; kalkuliert wird nach Auditzeit, Standorten, Mitarbeiterzahl und Anzahl der KI-Systeme. Wir nennen deshalb bewusst keine Spanne. Belegbar ist nur der Normtext: 225 Schweizer Franken bei ISO.

Gibt es ISO 42001 auf Deutsch?

Bei DIN Media wird die Norm am 6. September 2026 nur in Englisch und in französischer Übersetzung angeboten, als Originalsprache ist Englisch angegeben. Eine deutsche Fassung steht dort nicht zur Auswahl. Deutsch ist nur der Titel: Informationstechnik — Künstliche Intelligenz — Managementsystem.

Was kostet der Normtext und wo bekommt man ihn?

ISO verkauft ISO/IEC 42001:2023 für 225 Schweizer Franken als PDF, ePub oder Papierausgabe. DIN Media verlangt für den englischen PDF-Download 257,60 Euro inklusive Mehrwertsteuer, für die Versandausgabe 291,10 Euro. Kostenlose Downloads sind keine legalen Quellen (Stand: 6. September 2026).

Erfüllt eine ISO-42001-Zertifizierung die KI-Verordnung?

Nein. Eine Konformitätsvermutung entsteht nach Artikel 40 der KI-Verordnung nur durch harmonisierte Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht wurden. ISO/IEC 42001 ist eine internationale ISO-Norm, keine europäische. Die Zertifizierung kann die spätere Dokumentation vorbereiten, sie ersetzt aber keinen Konformitätsnachweis gegenüber einer Behörde.

Ab wann gelten die Hochrisiko-Pflichten der KI-Verordnung?

Seit der Digital-Omnibus-Verordnung vom 8. Juli 2026 gelten die Pflichten aus Kapitel III für Systeme nach Anhang III ab dem 2. Dezember 2027 und für Systeme nach Anhang I ab dem 2. August 2028. Der ursprüngliche Termin 2. August 2026 ist überholt.

Was ist der Unterschied zwischen ISO 42001 und ISO 27001?

ISO/IEC 27001 regelt Informationssicherheit, ISO/IEC 42001 den verantwortlichen Umgang mit KI. Beide sind Managementsystem-Normen und arbeiten nach demselben Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern. Wer 27001 betreibt, kann Leitung, internes Auditprogramm, Schulungsnachweise und Dokumentenlenkung gemeinsam führen und muss im Kern nur den KI-spezifischen Teil ergänzen.

Braucht mein Unternehmen ISO 42001?

Gesetzlich verlangt sie niemand. Sinnvoll wird sie, wenn Kunden sie in Ausschreibungen fordern, wenn Sie selbst KI-Produkte anbieten oder wenn Sie bereits ein Managementsystem betreiben. Für den reinen Einsatz gekaufter KI-Werkzeuge im Betrieb genügt in aller Regel eine schriftliche KI-Richtlinie.

Welche KI-Zertifizierungen gibt es für Unternehmen?

Für Organisationen ist ISO/IEC 42001 derzeit die einzige verbreitete Managementsystem-Zertifizierung mit KI-Bezug. Daneben stehen Personenzertifikate von Schulungsanbietern, die etwas ganz anderes bescheinigen: die Kenntnisse einer Person, nicht die Prozesse eines Betriebs. Ein amtlicher Konformitätsnachweis nach der KI-Verordnung existiert am 6. September 2026 noch nicht.

11. Quellen & offizielle Informationen

Alle wurden am 6. September 2026 abgerufen und inhaltlich gegengelesen. Externe Quellen öffnen in einem neuen Tab.

• Verordnung (EU) 2024/1689 — KI-Verordnung, deutscher Volltext — Grundlage für Artikel 40 Absatz 1 (Konformitätsvermutung nur bei harmonisierten Normen mit Fundstelle im Amtsblatt), Artikel 9 (Risikomanagementsystem), Artikel 17 (Qualitätsmanagementsystem samt der dreizehn Bestandteile) und Artikel 113 in der Ursprungsfassung.
• Verordnung (EU) 2026/1744 — Digital-Omnibus-Verordnung zur KI — beschlossen am 8. Juli 2026, veröffentlicht am 24. Juli 2026, in Kraft seit 27. Juli 2026; Quelle für die verschobenen Hochrisiko-Fristen, für die Neufassung von Artikel 4 und für die Begründung mit der verzögerten Ausarbeitung von Normen.
• ISO — Katalogeintrag ISO/IEC 42001:2023 — Titel, Ausgabe 1, Veröffentlichung am 18. Dezember 2023, Projektgenehmigung am 26. August 2020, 51 Seiten, Gremium ISO/IEC JTC 1/SC 42 und der Preis von 225 Schweizer Franken.
• ISO — Katalogeintrag ISO/IEC 42006:2025 — Anforderungen an Stellen, die KI-Managementsysteme prüfen und zertifizieren; Beleg dafür, dass diese Norm auf ISO/IEC 17021-1 aufbaut und sie nicht ersetzt.
• ISO — Katalogeintrag ISO/IEC 23894:2023 — Leitfaden zum KI-Risikomanagement; Beleg für Ausgabe, Umfang und dafür, dass es sich um eine Anleitung und nicht um eine Anforderungsnorm handelt.
• ISO — Katalogeintrag ISO/IEC 42005:2025 — Folgenabschätzung für KI-Systeme; Beleg für Ausgabedatum und Umfang.
• DIN Media — ISO/IEC 42001:2023-12 — deutscher Titel, Originalsprache Englisch, die angebotenen Sprachoptionen Englisch und Französisch sowie die Preise von 257,60 Euro für den PDF-Download und 291,10 Euro für die Versandausgabe.
• CEN-CENELEC — Artificial Intelligence, JTC 21 — Einrichtung des Komitees am 1. Juni 2021, Angabe zur Zahl der beteiligten Fachleute, die Formulierung im Futur zur Konformitätsvermutung nach Veröffentlichung im Amtsblatt und die Liste der vier Kernnormen als noch in Entwicklung.