ISO 42001 einfach erklärt: das KI-Managementsystem für Unternehmen.
ISO/IEC 42001 ist die erste internationale Norm für ein KI-Managementsystem. Sie legt fest, wie Sie Regeln, Rollen, Risiken und Kontrollen für KI so organisieren, dass ein Auditor sie prüfen kann. Dieser Ratgeber erklärt den Aufbau, die 38 Maßnahmen aus Anhang A, den Weg zum Zertifikat und was die Norm mit dem EU AI Act zu tun hat.
Stand: 30. Oktober 2026 · keine Rechtsberatung
Das Wichtigste in Kürze
- ISO/IEC 42001 beschreibt ein
KI-Managementsystem (AIMS) : Richtlinien, Verantwortliche, Risikobewertung, Folgenabschätzung, Kontrollen und laufende Verbesserung für alle KI, die Sie entwickeln, anbieten oder nutzen. - Die Norm ist
freiwillig und für Organisationen jeder Größe gedacht. Zertifiziert wird die Organisation, nicht ein Produkt. - Anhang A enthält
38 Maßnahmen in neun Bereichen . Welche gelten, begründen Sie in der Erklärung zur Anwendbarkeit. - ISO 42001 ist
keine harmonisierte Norm der KI-Verordnung. Ein Zertifikat ersetzt die gesetzlichen Pflichten nicht, hilft aber, sie geordnet umzusetzen.
Was ist ISO 42001?
ISO/IEC 42001:2023 ist eine Norm von ISO und IEC für ein
Die Norm gilt für Organisationen, die KI
Aufgebaut ist sie wie ISO 27001 oder ISO 9001: Die Kapitel 4 bis 10 enthalten die Anforderungen, die ein Auditor prüft. Dazu kommen vier Anhänge: Anhang A mit den Maßnahmen, Anhang B mit Umsetzungshinweisen, Anhang C mit möglichen Zielen und Risikoquellen und Anhang D zur Anwendung in verschiedenen Branchen.
Die 38 Maßnahmen aus Anhang A in neun Bereichen.
Anhang A ist das Herzstück für die Praxis. Die Maßnahmen sind nach Zielen gruppiert. Die Spalte rechts zeigt, welche Nachweise ein Auditor typischerweise sehen will.
| Bereich | Worum es geht | Typischer Nachweis |
|---|---|---|
| A.2 KI-Richtlinien | Eine KI-Richtlinie, abgestimmt mit anderen Richtlinien, regelmäßig überprüft | Freigegebene KI-Richtlinie mit Datum |
| A.3 Interne Organisation | Rollen, Verantwortung, Meldewege für Bedenken | Rollenmatrix, Meldeprozess |
| A.4 Ressourcen | Daten, Werkzeuge, Rechenleistung und Personal dokumentieren | Inventar der KI-Systeme und Komponenten |
| A.5 Folgenabschätzung | Auswirkungen auf Menschen und Gesellschaft bewerten | Folgenabschätzung pro KI-System |
| A.6 Lebenszyklus | Ziele, Entwicklung, Test, Freigabe, Betrieb, Überwachung | Freigabeprotokolle, Testergebnisse, Betriebslogs |
| A.7 Daten | Herkunft, Qualität und Aufbereitung der Daten | Datenquellen mit Verantwortlichen |
| A.8 Information | Nutzer und Betroffene verständlich informieren | KI-Hinweise, Nutzerdokumentation |
| A.9 Nutzung | Verantwortungsvoller, bestimmungsgemäßer Einsatz | Nutzungsregeln, Schulungen |
| A.10 Dritte | Lieferanten, Kunden und geteilte Verantwortung | Verträge, Lieferantenbewertung |
Zusammenfassung nach ISO/IEC 42001:2023, Anhang A. Die Bereiche beginnen bei A.2. Den Normtext erhalten Sie bei ISO oder in Deutschland über DIN Media.
ISO 42001 und der EU AI Act: was zusammenpasst und was nicht.
Die KI-Verordnung ist Gesetz, ISO 42001 ist eine freiwillige Norm. Die Norm begründet
Trotzdem lohnt sich der Blick auf die Überschneidungen: Wer ein KI-Managementsystem aufbaut, hat ein Inventar, klare Rollen, Risikobewertung und Dokumentation. Genau das brauchen Sie auch, um die Pflichten der Verordnung nachzuweisen.
| Thema | ISO/IEC 42001 | KI-Verordnung (EU AI Act) |
|---|---|---|
| Rechtsnatur | Freiwillige Norm | EU-Verordnung, unmittelbar geltendes Recht |
| Gilt für | Jede Organisation, die sich dafür entscheidet | Anbieter, Betreiber und weitere Akteure nach Rolle und Risiko |
| Nachweis | Zertifikat einer akkreditierten Stelle | Je nach Pflicht: Dokumentation, Konformitätsbewertung, Registrierung |
| KI-Kompetenz | Kompetenz und Bewusstsein (Kapitel 7) | Art. 4: Maßnahmen zur KI-Kompetenz |
| Transparenz | Information für Interessengruppen (A.8) | Art. 50: Hinweise bei Chatbots und KI-Inhalten |
| Folgen bei Verstößen | Abweichung im Audit, im Extremfall Entzug des Zertifikats | Bußgelder nach Art. 99 |
EU AI Act (deutsch) →KI-Verordnung: aktueller Stand →EU AI Act Risikoklassen →
In fünf Schritten zur ISO-42001-Zertifizierung.
Der Weg ähnelt anderen ISO-Zertifizierungen. Wer bereits ISO 27001 hat, kann Richtlinien, Dokumentenlenkung, internes Audit und Managementbewertung weiterverwenden.
Umfang festlegen
Welche KI-Systeme, Standorte und Rollen gehören dazu? Sind Sie Entwickler, Anbieter oder Nutzer?
Inventar und Risiken
Alle KI-Systeme erfassen, Risiken bewerten und eine Folgenabschätzung je System machen.
Maßnahmen umsetzen
Anhang A durchgehen, die Erklärung zur Anwendbarkeit schreiben, Lücken schließen.
Intern prüfen
Internes Audit und Managementbewertung durchführen, Abweichungen beheben.
Zertifizieren lassen
Audit Stufe 1 und 2 durch eine akkreditierte Stelle. Danach jährliche Überwachungsaudits.
Achten Sie auf eine akkreditierte Zertifizierungsstelle, in Deutschland etwa durch die DAkkS. Die Anforderungen an Stellen, die KI-Managementsysteme auditieren, regelt ISO/IEC 42006. Für die Folgenabschätzung gibt ISO/IEC 42005 Hinweise, für das Risikomanagement ISO/IEC 23894.
Was eine KI-Plattform zum Managementsystem beitragen kann.
Ein Managementsystem lebt von Nachweisen. Viele davon entstehen dort, wo die KI läuft: Wer hat ein Modell geändert, welche Quellen sind angebunden, wann wurden Daten gelöscht, worauf stützt sich eine Antwort?
RAGSuite liefert solche Nachweise. Die Plattform ist nicht zertifiziert und ersetzt kein Managementsystem; sie macht es aber leichter, Anhang A belegbar umzusetzen.
Quelle bei jeder Antwort
Antworten verweisen auf die Textstelle. Das stützt Transparenz (A.8) und die Überwachung im Betrieb (A.6). In allen Editionen.
Löschung mit Nachweis
Automatische Löschung mit Nachweis und ein Schalter, der die Speicherung abstellt. In der Community Edition enthalten.
Rollen und Audit-Log
Organisationen, Teams, Rollen und das vollständige Audit-Log mit Export gehören zu Enterprise. Die Community Edition zeigt die letzten 15 Tage.
Betrieb unter Ihrer Kontrolle
Selbst gehostet auf Ihren Servern oder in der RAGSuite Engine mit Rechenzentrum in Deutschland. Das vereinfacht die Lieferantenbewertung (A.10).
KI-Governance →Administration und Sicherheit →Trust Center →
Sind Sie bereit für ISO 42001?
Haken Sie ab, was erledigt ist. Nichts wird gespeichert.
Fragen zu ISO 42001.
Was ist ISO 42001?
ISO/IEC 42001 ist die internationale Norm für ein KI-Managementsystem, kurz AIMS. Sie beschreibt, wie eine Organisation Regeln, Rollen, Risiken und Kontrollen für den Einsatz und die Entwicklung von KI festlegt, umsetzt und laufend verbessert. Sie erschien im Dezember 2023.
Ist ISO 42001 Pflicht?
Nein. ISO 42001 ist eine freiwillige Norm. Pflicht sind gesetzliche Vorgaben wie die KI-Verordnung (EU AI Act) und die DSGVO. Kunden oder Ausschreibungen können ein Zertifikat aber verlangen.
Erfüllt ein ISO-42001-Zertifikat den EU AI Act?
Nein, nicht automatisch. ISO 42001 ist keine harmonisierte Norm der KI-Verordnung und begründet keine Vermutung der Konformität. Ein KI-Managementsystem hilft aber, viele Pflichten geordnet umzusetzen: Inventar, Rollen, Risikobewertung, Dokumentation und KI-Kompetenz.
Wie viele Maßnahmen hat Anhang A?
Anhang A enthält 38 Maßnahmen (Controls) in neun Bereichen, von KI-Richtlinien über Daten und Lebenszyklus bis zu Lieferanten. Welche Sie anwenden, begründen Sie in der Erklärung zur Anwendbarkeit.
Wie läuft die Zertifizierung ab?
Eine Zertifizierungsstelle, idealerweise akkreditiert, prüft in zwei Stufen: Stufe 1 prüft Dokumentation und Bereitschaft, Stufe 2 die gelebte Umsetzung. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits. Die Anforderungen an die Zertifizierungsstellen regelt ISO/IEC 42006.
Was ist der Unterschied zu ISO 27001?
ISO 27001 regelt Informationssicherheit, ISO 42001 den verantwortungsvollen Umgang mit KI, etwa Folgenabschätzung, Datenqualität und Transparenz. Beide nutzen dieselbe Grundstruktur, deshalb lassen sie sich gut in einem integrierten Managementsystem verbinden.
Ist RAGSuite nach ISO 42001 zertifiziert?
Nein. Zertifiziert wird immer eine Organisation mit ihrem Managementsystem, kein Softwareprodukt allein. RAGSuite kann Nachweise liefern, die in Ihr KI-Managementsystem einfließen, etwa Audit-Log, Löschfristen und Quellen zu jeder Antwort.
Nachweise für Ihr KI-Managementsystem, direkt aus der Plattform.
Stefan zeigt Ihnen, welche Nachweise RAGSuite liefert und wo Ihr Managementsystem selbst ansetzen muss.