ISO/IEC 42001, der Standard für KI-Managementsysteme, liegt inzwischen auch in deutscher Fassung vor. Mit der EN 18286:2026 wurde im Sommer zudem die erste europäische Qualitätsnorm im Umfeld der KI-Verordnung verabschiedet. Dieser Beitrag ordnet beide Entwicklungen ein und erklärt, welche Nachweise jetzt zählen.
Was bringt die deutsche Fassung der ISO 42001?
Die ISO/IEC 42001 ist die erste internationale Norm für ein Managementsystem für künstliche Intelligenz, kurz AIMS. Mit der deutschen Fassung ist sie nun in der Sprache verfügbar, in der Richtlinien, Arbeitsanweisungen und Auditberichte in deutschsprachigen Unternehmen tatsächlich geschrieben werden. Das klingt nach einem formalen Schritt, hat aber praktische Folgen: Begriffe wie Auswirkungsbeurteilung, KI-Lebenszyklus oder Verantwortlichkeit sind jetzt einheitlich belegt, und interne Diskussionen über Übersetzungsvarianten entfallen.
Zugleich beobachten wir eine Marktbewegung. Die Norm hat sich innerhalb kurzer Zeit als Referenz für KI-Governance etabliert, Zertifizierungsstellen bauen ihre Akkreditierungen aus, und Zertifikate tauchen zunehmend in Ausschreibungen und Lieferantenfragebögen auf. Für viele Organisationen ist die ISO 42001 damit vom Pilotthema zur Erwartungshaltung geworden.
Inhaltlich folgt die Norm der bekannten Struktur anderer Managementsystemstandards. Wer bereits nach ISO/IEC 27001 oder ISO 9001 arbeitet, erkennt den PDCA-Zyklus, die Anforderungen an Führung und Kontext sowie einen Maßnahmenkatalog im Anhang.
Was wurde mit der EN 18286 im Sommer verabschiedet?
Die zweite Nachricht betrifft die europäische Normungsebene. Mit der EN 18286:2026 liegt ein Standard vor, der das Qualitätsmanagementsystem für Anbieter von Hochrisiko-KI-Systemen adressiert, also eine Kernpflicht aus der KI-Verordnung. Er entstammt der europäischen Normungsarbeit zur KI-Verordnung und ist damit gezielt auf den Pflichtenkatalog der Verordnung zugeschnitten, nicht auf einen globalen Governance-Rahmen.
Entscheidend ist dabei ein Detail, das in der Marktkommunikation häufig untergeht. Eine europäische Norm entfaltet ihre rechtliche Wirkung, die sogenannte Vermutung der Konformität, erst dann, wenn sie nach Prüfung im Amtsblatt der Europäischen Union zitiert wird. Die Verabschiedung durch die Normungsorganisation ist ein wichtiger Zwischenschritt, aber noch kein Freifahrtschein.
„Verabschiedet ist nicht gleich harmonisiert. Erst die Fundstelle im Amtsblatt begründet die Vermutungswirkung.“
Reicht die ISO 42001 für die KI-Verordnung?
Hier liegt der Kern des Missverständnisses. Die ISO 42001 ist eine internationale Norm, deren Zertifizierung freiwillig erfolgt und bestätigt, dass ein Managementsystem definiert, umgesetzt und wirksam ist. Die KI-Verordnung dagegen ist Produktregulierung. Sie fragt nicht primär nach der Reife der Organisation, sondern nach der Einstufung jedes einzelnen KI-Systems und nach der Rolle des Unternehmens, typischerweise als Anbieter oder Betreiber. Ein ISO-Zertifikat ersetzt diese systembezogene Bewertung nicht.
In Gap-Analysen und Auditvorbereitungen zeigen sich dabei wiederkehrende Lücken, auch bei Unternehmen mit solidem AIMS:
- Systeminventar: Es fehlt eine vollständige Liste aller KI-Systeme, inklusive eingekaufter Funktionen in Standardsoftware, mit begründeter Risikoeinstufung.
- Rollenklärung: Anbieter- und Betreiberpflichten werden vermischt, obwohl Eigenentwicklung, Beschaffung und Anpassung fremder Modelle unterschiedliche Konsequenzen haben.
- Technische Dokumentation: Managementsystemnachweise liegen vor, die produktbezogene Dokumentation mit Datenherkunft, Testergebnissen und Leistungsmetriken dagegen nicht in prüffähiger Tiefe.
- Grundrechtsperspektive: Die Auswirkungsbeurteilung nach Norm deckt die regulatorisch geforderte Betrachtung betroffener Personen nicht automatisch ab.
- Meldewege: Prozesse für schwerwiegende Vorfälle sind beschrieben, aber nicht geübt und nicht mit Fristen hinterlegt.
- KI-Kompetenz: Schulungen finden statt, sind jedoch nicht rollenspezifisch nachgewiesen.
Richtig eingesetzt ist die Norm dennoch wertvoll. Sie liefert die Governance-Struktur, in die sich die gesetzlichen Nachweise einhängen lassen: Verantwortlichkeiten, Risikomanagement, Lieferantensteuerung, Änderungsmanagement und interne Audits. Die europäische Normenfamilie konkretisiert darüber hinaus, wie einzelne Anforderungen der Verordnung technisch und organisatorisch erfüllt werden können.
Was sollten Compliance-Teams jetzt einplanen?
Aus den beiden Neuigkeiten folgt kein neues Großprojekt, sondern eine Erweiterung des Bestehenden um die Nachweisebene. Bewährt hat sich ein Vorgehen in vier Schritten:
- Inventar aktualisieren: Alle KI-Systeme erfassen, Rolle und Risikokategorie dokumentieren, Verantwortliche benennen.
- Mapping erstellen: Die Maßnahmen des Normanhangs den Artikeln der Verordnung gegenüberstellen und Lücken ausdrücklich kennzeichnen, statt Anforderungen pauschal als erfüllt zu markieren.
- Nachweise nachziehen: Für relevante Systeme technische Dokumentation, Testprotokolle, Aufsichtskonzepte und Protokollierung auf Prüfniveau bringen.
- Normenstatus verfolgen: Die Veröffentlichung der EN 18286 im Amtsblatt beobachten und die eigene Dokumentation darauf vorbereiten.
Der größte Unterschied zwischen gut vorbereiteten und angreifbaren Organisationen besteht nicht im Umfang der Unterlagen, sondern in ihrer Verknüpfung. Ein Auditor muss von der Einstufung eines Systems über die getroffenen Maßnahmen bis zum konkreten Testergebnis durchgehen können, ohne Bruch in der Beweiskette. Interne Teams empfinden die eigene Dokumentationslogik erfahrungsgemäß als schlüssig, weshalb ein Blick von außen hier oft mehr findet als eine weitere interne Runde.
Fazit: Wie ist die Lage einzuordnen?
Zwei Entwicklungen, eine Konsequenz: Die deutsche Fassung der ISO 42001 senkt die Einstiegshürde für strukturierte KI-Governance, die EN 18286 verdichtet die europäische Normungsebene zur KI-Verordnung. Ein Zertifikat bleibt ein starkes Signal für Organisationsreife und eine gute Ausgangsbasis, ersetzt aber weder die systembezogene Konformitätsbewertung noch die Nachweise, die eine Marktaufsicht oder ein Kunde einfordern kann.
In den kommenden Monaten dürfte das Normengefüge weiter an Kontur gewinnen, während der Status einzelner Dokumente beweglich bleibt. Sinnvoll ist daher ein nüchterner Zwischenschritt: Inventar prüfen, Mapping erstellen, Lücken benennen und priorisieren. Wer jetzt eine strukturierte Gap-Analyse zwischen bestehendem Managementsystem und regulatorischen Pflichten anstößt, gewinnt Zeit für Korrekturen, bevor der Nachweis verlangt wird.
