ISO/IEC 42001 und der EU AI Act: Wie ein KI-Managementsystem Ihre Compliance trägt
ISO/IEC 42001:2023 liefert ein zertifizierbares KI-Managementsystem, das viele Pflichten des EU AI Act organisatorisch abbildet – ersetzt aber nicht die rechtliche Konformitätsvermutung, die nur harmonisierte Normen begründen.
Was ISO/IEC 42001:2023 tatsächlich ist
ISO/IEC 42001:2023, im Dezember 2023 veröffentlicht, ist die erste international zertifizierbare Managementsystem-Norm für Künstliche Intelligenz (AI Management System, AIMS). Sie folgt derselben Annex-SL-Struktur wie ISO 9001 oder ISO/IEC 27001 und läuft als Plan-Do-Check-Act-Zyklus: Kontext und Geltungsbereich festlegen, Risiken und Auswirkungen bewerten, Steuerungsmaßnahmen umsetzen, Wirksamkeit prüfen und kontinuierlich verbessern.
Der Kern der Norm ist Annex A mit 38 Steuerungsmaßnahmen (Controls), gruppiert in neun Bereiche – von KI-Richtlinien und Rollen über Datenqualität und Lebenszyklus-Management bis zu Transparenz und Auswirkungsbewertung. Diese Controls sind nicht pauschal verpflichtend: Sie wählen die anwendbaren Maßnahmen risikobasiert aus und begründen Auslassungen nachvollziehbar in einer Anwendbarkeitserklärung.
Warum Zertifizierung nicht gleich AI-Act-Konformität ist
Der EU AI Act (Verordnung (EU) 2024/1689) wurde am 12. Juli 2024 im Amtsblatt veröffentlicht und trat am 1. August 2024 in Kraft; die Transparenzpflichten gelten ab dem 2. August 2026, während die Kernpflichten für eigenständige Hochrisiko-KI (Anhang III) nach der „Digital-Omnibus“-Änderung von 2026 erst ab dem 2. Dezember 2027 greifen. Nach Artikel 40 begründen ausschließlich harmonisierte Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht sind, eine widerlegbare Konformitätsvermutung – erarbeitet von CEN-CENELEC (JTC 21).
ISO/IEC 42001 ist eine internationale Norm und steht außerhalb dieses EU-Harmonisierungsverfahrens; ein Zertifikat verschafft daher für sich genommen keine Konformitätsvermutung nach dem AI Act. Wer sich allein darauf stützt, trägt im Streitfall weiterhin die volle Nachweislast. Der praktische Wert liegt anderswo: Das AIMS liefert genau die organisatorische Struktur – Governance, Risikoprozess, Dokumentation –, auf der eine spätere Act-Konformität aufsetzt.
Das organisatorische Rückgrat, das viele Act-Pflichten trägt
Mehrere Bausteine des AIMS decken sich inhaltlich mit Kernanforderungen des AI Act für Hochrisiko-Systeme, ohne die rechtliche Vermutung zu ersetzen. Wer das AIMS ernst betreibt, hat die Belege für ein Audit ohnehin bereits erzeugt.
- Risikomanagement: Der fortlaufende PDCA-Risikoprozess des AIMS spiegelt die Pflicht zum kontinuierlichen Risikomanagement für Hochrisiko-Systeme (Artikel 9) wider.
- Dokumentation und Nachvollziehbarkeit: Anwendbarkeitserklärung, Lebenszyklus- und Datenmanagement-Records liefern die Grundlage für technische Dokumentation und Aufzeichnungspflichten.
- Menschliche Aufsicht: Die Annex-A-Controls zu Oversight und Rollen zahlen unmittelbar auf die Human-Oversight-Anforderungen (Artikel 14) ein.
ISO/IEC 23894 und 42005 als Begleitnormen
ISO/IEC 42001 verweist auf zwei nicht-zertifizierbare Leitfäden, die einzelne Klauseln vertiefen. ISO/IEC 23894:2023 überträgt die Risikomanagement-Grundsätze aus ISO 31000 auf KI und beschreibt, wie der Risikoprozess innerhalb des AIMS konkret ausgestaltet wird. ISO/IEC 42005:2025 ergänzt die Auswirkungsbewertung (Impact Assessment) über den KI-Lebenszyklus – der Punkt, der den grundrechtsorientierten Erwägungen des AI Act am nächsten kommt.
Zusammen ergibt sich eine klare Rollenverteilung: ISO/IEC 42001 ist die zertifizierbare Managementebene, 23894 der Risikoprozess darin und 42005 die Methodik der Auswirkungsbewertung. Keine dieser Normen ist selbst ein Rechtsinstrument – gemeinsam bilden sie jedoch ein belastbares Fundament, das eine Organisation prüfbereit für kommende harmonisierte Normen macht.
Behandeln Sie eine ISO/IEC-42001-Zertifizierung als organisatorisches Rückgrat für die AI-Act-Bereitschaft, nicht als rechtlichen Konformitätsnachweis – und verfolgen Sie parallel die harmonisierten Normen im EU-Amtsblatt.