Die KI-Verordnung der EU ist 2026 mitten in ihrer Anwendungsphase, mit wachsenden Pflichten für Hochrisiko-KI-Systeme. Doch eine praktische Frage spricht fast niemand an: Mit welchem Managementrahmen erfüllt man die KI-Verordnung? Die Antwort lautet ISO/IEC 42001, die erste internationale Norm für Managementsysteme für künstliche Intelligenz (AIMS), veröffentlicht im Dezember 2023. In diesem Artikel erkläre ich, was ISO 42001 ist, wie die Norm mit der KI-Verordnung zusammenhängt, was der PECB-Kurs Lead Implementer abdeckt und warum es eine der vielversprechendsten Zertifizierungen bis 2030 ist.

Die KI-Verordnung in fünf Minuten

Die Verordnung (EU) 2024/1689, bekannt als KI-Verordnung oder AI Act, ist die weltweit erste umfassende Regulierung künstlicher Intelligenz. Sie trat im August 2024 in Kraft und gilt stufenweise bis August 2026, wenn sie für Hochrisiko-KI-Systeme vollständig anwendbar wird.

Die KI-Verordnung teilt KI-Systeme in vier Risikostufen ein:

  • Unannehmbares Risiko: schlicht verboten (Social Scoring, kognitive Manipulation, biometrische Echtzeitüberwachung mit Ausnahmen).
  • Hohes Risiko: erlaubt, aber mit strengen Pflichten verbunden (Systeme in kritischen Infrastrukturen, Bildung, Beschäftigung, wesentlichen Diensten, Strafverfolgung, Grenzmanagement und Justiz).
  • Begrenztes Risiko: Transparenzpflichten (Chatbots, Deepfakes).
  • Minimales Risiko: keine besonderen Pflichten.

Für Hochrisikosysteme sind die Pflichten sehr konkret: Risikomanagement, Datenqualität, technische Dokumentation, Transparenz, menschliche Aufsicht, Robustheit und vor allem ein Qualitätsmanagementsystem, das den gesamten Lebenszyklus der KI steuert.

Das praktische Problem: Die KI-Verordnung sagt, was zu tun ist, aber nicht, wie. Mit welchem Rahmen weisen Sie nach, dass Sie konform sind? Hier kommt ISO/IEC 42001 ins Spiel.

Was ISO/IEC 42001 (AIMS) ist

ISO/IEC 42001:2023, veröffentlicht im Dezember 2023, ist die erste internationale Norm, die die Anforderungen an ein Managementsystem für künstliche Intelligenz (AIMS) festlegt. Sie ist für die KI, was ISO 27001 für die Informationssicherheit oder ISO 9001 für die Qualität ist: ein formaler, auditierbarer und zertifizierbarer Rahmen.

Die Norm deckt den gesamten Lebenszyklus von KI-Systemen ab: von Entwurf und Entwicklung über Einführung, Überwachung und Wartung bis zur Außerbetriebnahme. Und wie jede gute Managementsystemnorm folgt sie der High-Level-Struktur (HLS), die mit ISO 27001, ISO 9001 und ISO 22301 kompatibel ist, was die Integration erleichtert.

Wie ISO 42001 Ihnen hilft, die KI-Verordnung zu erfüllen

Das ist die entscheidende Frage. ISO 42001 ist nicht die KI-Verordnung, aber die Überschneidung ist enorm. Die Norm deckt unter anderem alle Anforderungen ab, die die KI-Verordnung an Hochrisikosysteme stellt:

  • Ein Risikomanagementsystem für KI.
  • Management der Datenqualität (insbesondere der Trainingsdaten).
  • Technische Dokumentation und Rückverfolgbarkeit.
  • Transparenz und Erklärbarkeit der Ergebnisse.
  • Menschliche Aufsicht über das System.
  • Verfahren für Robustheit und Genauigkeit.
  • Ein Qualitätsmanagementsystem über den Lebenszyklus.
  • Daten-Governance.

Ein AIMS nach ISO 42001 einzuführen deckt den Großteil der Pflichten der KI-Verordnung ab. Und wie jede zertifizierbare Norm gibt sie Ihnen etwas, das die KI-Verordnung allein nicht gibt: auditierbare, nachweisbare Belege Ihrer Konformität.

Die Europäische Kommission selbst hat angekündigt, dass harmonisierte Normen (darunter ISO 42001) zu den bevorzugten Mechanismen für die Konformitätsvermutung nach der KI-Verordnung gehören werden. Wer im Hochrisikobereich tätig ist, für den wird 42001 in der Praxis zur Marktanforderung.

Möchten Sie sich als ISO/IEC 42001 Lead Implementer zertifizieren lassen?
Offizielle PECB-Schulung mit einem praktizierenden Berater, im Selbststudium oder mit Einzelbegleitung auf Englisch.

Zum Kurs →Mit Ricardo sprechen

Der Aufbau der Norm

ISO/IEC 42001 folgt der High-Level-Struktur der ISO-Managementsysteme. Das bedeutet dieselben vertrauten Hauptabschnitte für alle, die von ISO 27001 kommen:

  1. Anwendungsbereich, normative Verweisungen und Begriffe.
  2. Kontext der Organisation.
  3. Führung und Verpflichtung der Leitung.
  4. Planung (Ziele, KI-Risikomanagement).
  5. Unterstützung (Ressourcen, Kompetenz, Kommunikation, Dokumentation).
  6. Betrieb (Maßnahmen über den KI-Lebenszyklus).
  7. Bewertung der Leistung (interne Audits, Managementbewertung).
  8. Fortlaufende Verbesserung.

Außerdem enthält die Norm einen Anhang A mit 38 spezifischen Maßnahmen für KI-Systeme, gegliedert in neun Kategorien: Richtlinien, interne Organisation, Ressourcen, Folgenabschätzung, Lebenszyklus, Daten, Informationen für Dritte, verantwortungsvolle Nutzung und Beziehungen zu Dritten.

Was der Kurs Lead Implementer abdeckt

Der Kurs PECB Certified ISO/IEC 42001 Lead Implementer ist eine intensive fünftägige Schulung, die alle Aspekte der Einführung eines AIMS abdeckt. Das Programm:

  1. Grundlagen der KI und regulatorischer Kontext. KI-Konzepte, die KI-Verordnung, ISO 42001 und verwandte Normen (ISO/IEC 23894, ISO/IEC 22989).
  2. Planung des AIMS. Kontext, Anwendungsbereich, Richtlinie, Rollen und Verantwortlichkeiten.
  3. Risikoanalyse und KI-Folgenabschätzung. Methodik, Praxisfälle.
  4. Umsetzung der Maßnahmen aus Anhang A. Die 38 Maßnahmen, eine nach der anderen.
  5. Messung, internes Audit und Vorbereitung auf die Zertifizierung.

Für wen die Norm relevant ist

ISO 42001 Lead Implementer passt zu mehreren Profilen:

  • GRC-Berater, die sich frühzeitig im Markt für KI-Governance positionieren möchten, bevor er sich mit Wettbewerbern füllt.
  • Compliance-Verantwortliche oder Datenschutzbeauftragte in Organisationen, die KI-Systeme in ihren Prozessen bereits einsetzen oder einsetzen wollen.
  • CISOs oder Sicherheitsverantwortliche, die die Konvergenz von Sicherheit, Datenschutz und KI sehen und ein integriertes Management vorantreiben möchten.
  • Daten- oder ML-Fachleute, die den Schritt in Richtung Governance gehen möchten, nicht nur in Richtung der technischen Modelle.
ISO/IEC 42001 wird für die KI-Governance sein, was ISO 27001 seinerzeit für die Informationssicherheit war: der De-facto-Standard, den der Markt von jeder Organisation verlangen wird, die ernsthaft mit KI arbeitet.

Schulung und Zertifizierung

Wenn Sie den Schritt zur offiziellen PECB-Zertifizierung gehen möchten, ist der Kurs ISO/IEC 42001 Lead Implementer der direkte Weg: offizielles PECB-Selbststudium, damit Sie in Ihrem eigenen Tempo vorankommen und sich auf die Zertifizierungsprüfung vorbereiten.