DIN EN ISO/IEC 42001:2026 ist da – aber bedeutet ein Zertifikat auch AI-Act-Konformität?

Mit der DIN EN ISO/IEC 42001:2026 steht Unternehmen nun auch in Deutschland ein wichtiger Standard für den systematischen Umgang mit Künstlicher Intelligenz zur Verfügung. Wer daraus allerdings ableitet, mit einer Zertifizierung automatisch die Anforderungen des europäischen AI Acts zu erfüllen, sollte genauer hinschauen.

Künstliche Intelligenz entwickelt sich zunehmend von einem Technologie- zu einem Governance-Thema. Unternehmen müssen nicht mehr nur entscheiden, wo und wie sie KI einsetzen, sondern auch, wie sie deren Einsatz steuern, Risiken bewerten, Verantwortlichkeiten festlegen und die Einhaltung regulatorischer Anforderungen nachweisen.

Genau hier setzt die ISO/IEC 42001 an.

Mit der DIN EN ISO/IEC 42001:2026-08 liegt die Norm inzwischen auch als deutsche Fassung der EN ISO/IEC 42001:2026 vor. Sie schafft einen international anerkannten Rahmen für ein Artificial Intelligence Management System (AIMS) und ermöglicht Unternehmen, ihre KI-Governance systematisch aufzubauen und zertifizieren zu lassen.

Für Unternehmen ist das ein wichtiger Schritt. Trotzdem gilt: Eine Zertifizierung nach ISO/IEC 42001 bedeutet nicht automatisch Konformität mit dem EU AI Act.

Was regelt die ISO/IEC 42001?

Die Norm definiert einen strukturierten Rahmen für den verantwortungsvollen Einsatz und die Steuerung von KI in Organisationen.

Die ISO/IEC 42001 ist eine Managementsystemnorm für Organisationen, die KI-Systeme entwickeln, bereitstellen oder einsetzen.

Ähnlich wie die ISO/IEC 27001 für Informationssicherheit definiert sie einen organisatorischen Rahmen, innerhalb dessen Verantwortlichkeiten, Prozesse, Risiken und Kontrollmechanismen für KI systematisch gesteuert werden.

Dazu gehören beispielsweise:

die Festlegung von Rollen und Verantwortlichkeiten für KI,
die Bewertung und Behandlung von KI-bezogenen Risiken,
Richtlinien und Prozesse für Entwicklung und Nutzung von KI,
die Bewertung der Auswirkungen von KI-Systemen,
Anforderungen an Daten und den Lebenszyklus von KI-Systemen,
Überwachung, Messung und kontinuierliche Verbesserung sowie
eine nachvollziehbare Dokumentation der KI-Governance.

Gerade für Unternehmen, die bereits mit etablierten Managementsystemen arbeiten, ist die Struktur vertraut. ISO/IEC 42001 folgt der Harmonized Structure mit den bekannten Kapiteln 4 bis 10.

Unternehmen mit einem bestehenden Informationssicherheitsmanagementsystem nach ISO/IEC 27001 bringen deshalb bereits viele methodische und organisatorische Voraussetzungen mit.

Warum erfüllt ISO/IEC 42001 nicht automatisch den AI Act?

Weshalb eine Zertifizierung zwar Governance nachweist, aber derzeit keine regulatorische Konformitätsvermutung nach dem EU AI Act auslöst.

Hier liegt derzeit eines der größten Missverständnisse rund um die Norm.

Der EU AI Act sieht in Artikel 40 die Möglichkeit einer sogenannten Konformitätsvermutung vor. Vereinfacht gesagt: Wendet ein Unternehmen eine einschlägige harmonisierte europäische Norm an, deren Fundstelle im Amtsblatt der Europäischen Union veröffentlicht wurde, kann für die davon abgedeckten Anforderungen davon ausgegangen werden, dass diese regulatorisch erfüllt sind.

Entscheidend ist dabei jedoch nicht allein, dass eine Norm europäisch oder international anerkannt ist.

Entscheidend ist ihre Harmonisierung für den AI Act und die Veröffentlichung ihrer Fundstelle im EU-Amtsblatt.

Genau diese Voraussetzung erfüllt die ISO/IEC 42001 derzeit nicht.

Ein ISO/IEC-42001-Zertifikat kann daher ein sehr starker Nachweis für eine strukturierte und verantwortungsvolle KI-Governance sein. Es erzeugt aber für sich genommen keine Konformitätsvermutung nach dem AI Act.

Das ist insbesondere für Unternehmen wichtig, die mit einer Zertifizierung regulatorische Sicherheit verbinden.

Worin unterscheiden sich ISO/IEC 42001 und EN 18286?

Zwei Normen, zwei Perspektiven: KI-Governance auf Organisationsebene versus regulatorische Anforderungen für Hochrisiko-KI.

Besonders relevant wird deshalb die Abgrenzung zur neuen EN 18286:2026 „Artificial Intelligence – Quality Management System for EU AI Act Regulatory Purposes“.

Die Norm wurde speziell im Kontext des europäischen AI Acts entwickelt und adressiert das Qualitätsmanagementsystem für Anbieter von Hochrisiko-KI-Systemen.

Artikel 17 des AI Acts verlangt von diesen Anbietern ein dokumentiertes Qualitätsmanagementsystem. Dieses muss unter anderem regulatorische Compliance, Entwicklung und Qualitätssicherung, Tests und Validierung, Datenmanagement, Risikomanagement, Post-Market-Monitoring, Dokumentation und Verantwortlichkeiten umfassen.

Damit unterscheiden sich die Perspektiven beider Normen.

ISO/IEC 42001 betrachtet KI-Governance aus Sicht der Organisation.

Im Mittelpunkt steht die Frage: Wie kann eine Organisation den Einsatz und die Entwicklung von KI systematisch, verantwortungsvoll und risikoorientiert steuern?

EN 18286 betrachtet Qualitätsmanagement stärker aus der regulatorischen Perspektive des AI Acts.

Hier lautet die zentrale Frage: Wie muss ein Qualitätsmanagementsystem ausgestaltet sein, damit ein Anbieter insbesondere die regulatorischen Anforderungen für Hochrisiko-KI-Systeme erfüllen kann?

Diese Unterscheidung ist wichtig.

Denn beide Ansätze konkurrieren nicht zwangsläufig miteinander – sie können sich vielmehr ergänzen.

Wie spielen ISO/IEC 27001, ISO/IEC 42001 und EN 18286 zusammen?

Wie bestehende Managementsysteme die Grundlage für eine integrierte KI-Governance und regulatorische Compliance schaffen.

Für viele Unternehmen zeichnet sich damit eine interessante Managementsystem-Landschaft ab:

ISO/IEC 27001 schafft den organisatorischen Rahmen für Informationssicherheit.
ISO/IEC 42001 erweitert diesen Gedanken um ein systematisches Management von Künstlicher Intelligenz.
EN 18286 adressiert spezifisch regulatorische Anforderungen des europäischen AI Acts an das Qualitätsmanagement für Hochrisiko-KI-Systeme.

Gerade Unternehmen mit einem etablierten ISMS müssen deshalb beim Aufbau einer KI-Governance nicht bei null anfangen.

Strukturen für Governance, Risikomanagement, Dokumentation, interne Audits, Management Reviews, kontinuierliche Verbesserung oder den Umgang mit Abweichungen sind vielfach bereits vorhanden.

Die Aufgabe besteht vielmehr darin, diese Strukturen sinnvoll um die spezifischen Anforderungen von KI zu erweitern.

Warum ist ISO/IEC 42001 trotz fehlender Konformitätsvermutung relevant?

Warum die Norm Unternehmen dennoch dabei unterstützt, zentrale Anforderungen des AI Acts organisatorisch umzusetzen.

Aus der fehlenden Konformitätsvermutung sollte nicht der falsche Schluss gezogen werden, ISO/IEC 42001 sei für den AI Act bedeutungslos.

Das Gegenteil ist der Fall.

Der AI Act verlangt von Unternehmen zunehmend genau jene Fähigkeiten, die ein funktionierendes Managementsystem unterstützt: klare Verantwortlichkeiten, dokumentierte Prozesse, Risikomanagement, Nachvollziehbarkeit und kontinuierliche Kontrolle.

ISO/IEC 42001 bietet hierfür einen international anerkannten organisatorischen Rahmen.

Die Norm sollte deshalb nicht primär als vermeintlicher „AI-Act-Zertifizierungsschein“, sondern als Grundlage für eine belastbare AI Governance verstanden werden.

Und genau darin liegt möglicherweise ihr größter Wert.

Was sollten Unternehmen jetzt tun?

Welche Schritte jetzt sinnvoll sind, um KI-Governance, Managementsysteme und regulatorische Anforderungen zusammenzuführen.

Unternehmen sollten ISO/IEC 42001 und den AI Act nicht als zwei getrennte Projekte betrachten – sie aber ebenso wenig miteinander gleichsetzen.

Sinnvoll ist vielmehr eine gemeinsame Architektur aus AI Governance, Managementsystem und regulatorischer Compliance.

Wer bereits nach ISO/IEC 27001 zertifiziert ist, sollte zunächst prüfen, welche bestehenden Strukturen für ein AIMS weiterverwendet werden können. Darauf aufbauend können die zusätzlichen Anforderungen der ISO/IEC 42001 integriert werden.

Parallel sollte analysiert werden, welche Rollen das Unternehmen nach dem AI Act einnimmt und welche KI-Systeme möglicherweise als Hochrisiko-KI einzustufen sind. Für Anbieter solcher Systeme muss die regulatorische Spur – insbesondere mit Blick auf Artikel 17 und EN 18286 – separat betrachtet werden.

So entsteht kein weiteres isoliertes Managementsystem, sondern im besten Fall ein integrierter Governance-Ansatz.

Ist ISO/IEC 42001 also Fundament oder Freifahrtschein?

Warum die Norm vor allem als organisatorisches Fundament für den verantwortungsvollen Einsatz von KI verstanden werden sollte.

Die Antwort ist eindeutig: Fundament.

Mit der DIN EN ISO/IEC 42001:2026 bekommt KI-Governance in Deutschland einen wichtigen zusätzlichen Schub.

Für Unternehmen schafft die Norm eine hervorragende Grundlage, um Künstliche Intelligenz nicht nur technisch einzusetzen, sondern organisatorisch beherrschbar zu machen.

Gerade Unternehmen mit einem bestehenden ISO/IEC-27001-Managementsystem verfügen bereits über viele Strukturen, auf denen sie aufbauen können.

Trotzdem muss die Erwartung klar sein: ISO/IEC 42001 ist ein Managementsystem für KI – kein automatischer Nachweis der AI-Act-Konformität.

Wer KI-Governance heute nachhaltig aufbauen möchte, sollte deshalb drei Ebenen zusammendenken: bestehende Managementsysteme wie ISO/IEC 27001, das AI Management System nach ISO/IEC 42001 und die konkreten regulatorischen Anforderungen des EU AI Acts.

So wird aus regulatorischer Pflicht mehr als Compliance: eine belastbare organisatorische Grundlage für den verantwortungsvollen und skalierbaren Einsatz von KI.