ISO 42001.
KI-Verantwortung, Risiken und betriebliche Entscheidungen in einem Managementsystem organisieren und dessen Nachweisgrenzen verstehen.
- ISO/IEC 42001:2023
- Von Jonathan Bezdek
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
ISO 42001 ist die internationale Anforderungsnorm für ein KI-Managementsystem, kurz AIMS. ISO/IEC 42001:2023 richtet sich an Organisationen, die KI entwickeln, bereitstellen oder nutzen. Sie ordnet Verantwortung, Risiken und laufende Verbesserung. Eine freiwillige Zertifizierung durch eine unabhängige Stelle bewertet das Managementsystem im festgelegten Geltungsbereich, keine pauschale Freigabe jeder KI-Anwendung.
ISO 42001 und das KI-Managementsystem.
Ein KI-Managementsystem verbindet organisatorische Ziele mit verlässlichen Entscheidungen über den Einsatz künstlicher Intelligenz. Das AIMS beschreibt, wer Verantwortung trägt, welche Informationen eine Entscheidung braucht und wie Erfahrungen zu Verbesserungen führen. ISO/IEC 42001:2023 ist dafür die erste internationale Ausgabe vom Dezember 2023; der öffentliche ISO-Publikationseintrag führt sie weiterhin als veröffentlicht.
Die Norm betrachtet die Organisation und ihren Umgang mit KI. Das unterscheidet ein AIMS von einem einzelnen Modelltest, einer Produktzulassung oder einer Prüfung nur des Quellcodes. Ein gutes Testergebnis kann eine Entscheidung unterstützen; zusätzlich muss nachvollziehbar bleiben, wer den Einsatz unter welchen Bedingungen verantwortet und wie Änderungen bewertet werden.
Die öffentliche ISO-Erläuterung zu ISO 42001, Abschnitt 3, trennt die Unterstützung rechtlicher Pflichten von deren tatsächlicher Erfüllung. Ein Managementsystem schafft dafür Arbeitsabläufe, ersetzt aber keine Prüfung des konkreten Rechtsrahmens. Europäische oder nationale Übernahmen mit einer anderen Jahreszahl sind außerdem von der internationalen Grundausgabe zu unterscheiden.
Für wen ISO 42001 geeignet ist.
ISO 42001 richtet sich auch an Organisationen, die KI von anderen Anbietern beziehen. Die öffentlichen ISO- und IEC-Beschreibungen nennen Entwicklung, Bereitstellung und Nutzung unabhängig von Größe oder Branche. Ein Dienstleister mit eingekauften KI-Werkzeugen kann deshalb ein AIMS aufbauen, ohne selbst ein Basismodell zu trainieren.
Der passende Geltungsbereich ergibt sich aus den tatsächlichen Tätigkeiten. Klären Sie beispielsweise, welche Dienste, Teams, Standorte und Entscheidungen betrachtet werden sollen und welche Abhängigkeiten zu externen Modellen bestehen. Ein enger Einstieg erleichtert die Organisation der Arbeit; Schnittstellen und Folgen außerhalb dieser Grenze müssen trotzdem erkennbar sein.
Kunden können einen bestimmten Zertifizierungsumfang erwarten. Fragen Sie früh, ob der Nachweis die Entwicklung eines Dienstes, dessen Betrieb oder die interne Nutzung abdecken soll. Der Name der Organisation auf einem Zertifikat allein erklärt noch nicht, welche KI-Tätigkeit tatsächlich bewertet wurde.
Die ISO-42001-Anforderungen im Überblick.
Die Anforderungen verbinden Leitung und Ziele mit KI-bezogener Risikoarbeit, betrieblichen Abläufen und Verbesserung. Die folgenden sechs Arbeitsbereiche sind eine redaktionelle Orientierung anhand der öffentlichen ISO-Erläuterung, keine vollständige Wiedergabe der Norm oder ihrer Anhänge.
Auftrag und Verantwortung klären.
Die Leitung gibt der KI-Arbeit Richtung und Zuständigkeiten. Für die praktische Umsetzung sollten Fachbereich, Entwicklung, Einkauf und Kontrollfunktionen erkennen können, welche Entscheidungen sie treffen dürfen und wann andere beteiligt werden. Ein zentraler Koordinator ersetzt die fachliche Verantwortung der einzelnen Beteiligten nicht.
Ziele und Erwartungen zusammenführen.
Das Managementsystem braucht einen nachvollziehbaren Bezug zu den Zielen der Organisation und den Erwartungen betroffener Parteien. Beschreiben Sie für den gewählten Einsatz, welches Ergebnis beabsichtigt ist und welche Grenzen gelten. So können Verantwortliche später beurteilen, ob eine Änderung noch zum freigegebenen Zweck passt.
Risiken und Auswirkungen beurteilen.
KI-Risikoarbeit betrachtet auch mögliche Folgen für Menschen und Gruppen. Die öffentliche Beschreibung der ergänzenden ISO/IEC 42005:2025 verdeutlicht diese Perspektive über den Lebenszyklus. Praktisch hilft eine getrennte Betrachtung betrieblicher Schäden und Auswirkungen auf Betroffene, damit gute Leistungswerte relevante Nachteile nicht verdecken.
Daten, Lieferanten und Lebenszyklus steuern.
Verantwortung reicht über die erste Einführung hinaus. Dokumentieren Sie die für Ihren Einsatz relevanten Datenquellen, externen Dienste und Änderungswege so, dass spätere Entscheidungen auf dem richtigen Stand beruhen. Eine Aktualisierung eines eingekauften Modells kann neue Evaluierungen oder andere Nutzungsgrenzen erforderlich machen.
Kompetenz und Informationen bereitstellen.
Beteiligte brauchen Informationen, die zu ihrer Aufgabe passen. Ein einkaufendes Team benötigt andere Entscheidungsgrundlagen als Personen, die KI-Ausgaben im Betrieb bewerten. Halten Sie Zuständigkeiten, bekannte Grenzen und Eskalationswege verständlich fest und prüfen Sie, ob diese Informationen bei der tatsächlichen Nutzung ankommen.
Bewerten und verbessern.
Ein AIMS bleibt nur belastbar, wenn Erfahrungen und erkannte Abweichungen zu überprüfbaren Entscheidungen führen. Untersuchen Sie deshalb den Betrieb und die Wirksamkeit Ihrer Abläufe. Für jede Verbesserung sollte erkennbar sein, wer sie verantwortet, welches Ergebnis erwartet wird und woran die spätere Bewertung anknüpft.
Ein KI-Managementsystem aufbauen.
Anwendungsfälle abgrenzen.
Erfassen Sie als praktischen Einstieg einen konkreten KI-Dienst mit Zweck, beteiligten Personen und wichtigen Abhängigkeiten, statt nur die Namen eingekaufter Modelle aufzulisten.
Entscheidungsrechte festlegen.
Benennen Sie Verantwortliche für Nutzung, technische Änderungen und Bewertung und stimmen Sie ab, welche Entscheidungen Leitung, Fachbereiche und Kontrollfunktionen gemeinsam treffen.
Risiken und Folgen untersuchen.
Bewerten Sie anhand des tatsächlichen Einsatzkontexts mögliche Fehlwirkungen und betroffene Gruppen und bestimmen Sie, welche zusätzlichen Informationen für eine belastbare Entscheidung fehlen.
Abläufe und Nachweise betreiben.
Setzen Sie passende Maßnahmen um und verbinden Sie Freigaben, Tests, Lieferanteninformationen und betriebliche Beobachtungen mit dem jeweils bewerteten Dienst und Versionsstand.
Intern bewerten.
Prüfen Sie die Umsetzung mit ausreichender Distanz zur eigenen Arbeit und halten Sie fest, welche Abweichungen, offenen Entscheidungen und Verbesserungen vor der nächsten Freigabe bearbeitet werden.
Betrieb und Nachweis fortführen.
Planen Sie regelmäßige Neubewertungen sowie gegebenenfalls eine unabhängige Zertifizierung und reagieren Sie auch zwischen geplanten Terminen auf veränderte Modelle, Aufgaben oder Auswirkungen.
Was die ISO-42001-Zertifizierung belegt.
Eine ISO-42001-Zertifizierung bestätigt die bewertete Konformität des AIMS innerhalb seines angegebenen Geltungsbereichs. Nach der öffentlichen ISO-Erläuterung, Abschnitt 7, ist sie freiwillig und wird von unabhängigen Zertifizierungsstellen durchgeführt. ISO entwickelt die Norm, stellt selbst aber keine Zertifikate aus.
Die Kompetenz der prüfenden Stelle ist eine eigene Frage. ISO/IEC 42006:2025 ergänzt nach der öffentlichen ISO-Beschreibung die Anforderungen an Stellen, die KI-Managementsysteme auditieren und zertifizieren. Prüfen Sie bei der Auswahl den passenden Tätigkeitsumfang und den Akkreditierungsstatus, wie es die ISO-Seite zur Zertifizierung empfiehlt.
Ein vorgelegter Nachweis muss zur aktuellen Entscheidung passen. Kontrollieren Sie Geltungsbereich, ausstellende Stelle, Status und die ausgewiesenen Gültigkeitsangaben. Betriebliche Aufzeichnungen und technische Evaluierungen bleiben erforderlich, um konkrete KI-Anwendungen zu beurteilen; sie erhalten durch ein AIMS-Zertifikat keine pauschale Sicherheits- oder Rechtsfreigabe.
ISO 42001 und andere Frameworks.
ISO 27001 organisiert Informationssicherheit und kann bestehende Abläufe für die KI-Arbeit bereitstellen. NIST AI RMF unterstützt die kontextbezogene Untersuchung von KI-Risiken, während der EU AI Act eigene gesetzliche Rollen und Pflichten festlegt. ISO 9001 bietet einen weiteren Managementsystemkontext für gemeinsame Abläufe zur Prozesssteuerung und Verbesserung; der jeweilige fachliche Bewertungsgegenstand bleibt erhalten.
- ISO 27001Die Anforderungen an das Informationssicherheitsmanagement einordnen.
- NIST AI RMFDie freiwillige Risikoarbeit für KI im Einsatzkontext verstehen.
- EU AI ActRechtliche Rollen, Einstufung und anwendbare Pflichten gesondert prüfen.
- ISO 9001Qualitätsmanagement und gemeinsame Managementabläufe einordnen.
In Secani.
Secani enthält einen redaktionellen Arbeitskatalog zur ISO/IEC 42001:2023. Profilangaben erfassen unter anderem Anbieter- oder Nutzerrolle, externe Modelle, personenbezogene KI-Daten und mögliche Auswirkungen. Begründete Anwendbarkeitsentscheidungen helfen dabei, die Bearbeitung auf den beschriebenen Kontext zu beziehen. Der Katalog ist eine Arbeitshilfe und ersetzt weder den rechtmäßigen Normzugang noch die fachliche Bewertung oder unabhängige Zertifizierung.
Nächster Schritt.
Wählen Sie einen KI-Anwendungsfall und stellen Sie Zweck, verantwortliche Person, wesentliche Abhängigkeiten und die bisherige Freigabe zusammen. Prüfen Sie anschließend, ob eine andere Person erkennen kann, auf welcher Grundlage der Einsatz erlaubt wurde und wann die Entscheidung erneut bewertet werden soll. Daraus entsteht ein konkreter Einstieg in das Managementsystem.
Häufige Fragen.
Ja. Der allgemeine Anwendungsbereich umfasst auch Organisationen, die KI-Produkte oder KI-Dienste von anderen Anbietern nutzen. Entscheidend sind die eigene Tätigkeit und der festgelegte Geltungsbereich des Managementsystems.
Nein. Die Zertifizierung bewertet das KI-Managementsystem in seinem Geltungsbereich. Die Sicherheit und Eignung konkreter Anwendungen benötigen weiterhin passende technische und fachliche Bewertungen.
Nein. Das AIMS kann die Organisation der Nachweise unterstützen, ersetzt aber keine rechtliche Rollen- und Anwendbarkeitsprüfung. Gesetzlich vorgeschriebene Bewertungsverfahren bleiben gesondert zu beachten.
Nein. Die Zertifizierung ist eine freiwillige, eigenständige Entscheidung. Eine Organisation kann ihre KI-Verantwortung und betrieblichen Abläufe bereits vor einer externen Bewertung aufbauen und verbessern.
KI-Verantwortung nachvollziehbar organisieren.
Besprechen Sie mit Secani, wie Sie Kontext, Entscheidungen und Nachweise zusammenführen.
Diese Seite ordnet die Norm allgemein ein. Maßgeblich sind der aktuelle Normstand und die Anforderungen des jeweiligen Bewertungs- und Rechtsrahmens.