ISO/IEC 42001: Das Managementsystem für KI

Braucht Ihr KMU ISO/IEC 42001?

Die Norm erschien im Dezember 2023. Sie ist freiwillig und zertifizierbar.
Sie ist gleich aufgebaut wie ISO 9001 oder ISO/IEC 27001. Wer eine davon hat, baut auf Bestehendem auf.
Die meisten KMU brauchen sie vorerst nicht. Für Anbieter von KI-Lösungen, regulierte Branchen und Zulieferer grosser Kunden sieht das anders aus.

Was regelt die Norm?

ISO/IEC 42001 legt Anforderungen an ein Managementsystem für künstliche Intelligenz (englisch AIMS) fest. Welche Technik Sie verwenden, lässt sie offen. Sie beschreibt, wie ein Unternehmen organisiert sein muss, damit es KI kontrolliert einsetzt: Wer ist verantwortlich? Wie werden Risiken und Auswirkungen auf Menschen bewertet? Wie stellen Sie fest, ob ein System noch tut, was es soll?

Die Norm gilt für alle, die KI entwickeln, anbieten oder nutzen, unabhängig von Grösse und Branche.

Wie ist sie aufgebaut?

Die Norm folgt der einheitlichen Struktur aller ISO-Managementsystemnormen (Kapitel 4 bis 10):

Kapitel	Inhalt	Praktisch heisst das
4 Kontext	Umfeld, Interessengruppen, Geltungsbereich	Welche KI-Systeme gehören dazu, welche Rolle haben wir (Anbieter, Nutzer)?
5 Führung	Verantwortung der Leitung, KI-Politik	Die Geschäftsleitung legt Grundsätze fest und benennt Verantwortliche.
6 Planung	Risikobeurteilung, Folgenabschätzung, Ziele	Risiken und Auswirkungen auf Personen und Gesellschaft bewerten und behandeln.
7 Unterstützung	Ressourcen, Kompetenz, Kommunikation, Dokumentation	Schulung, klare Dokumente, Wissen über Daten und Modelle.
8 Betrieb	Umsetzung der Massnahmen	Lebenszyklus der KI-Systeme steuern: Entwicklung, Beschaffung, Betrieb, Ausserbetriebnahme.
9 Bewertung	Überwachung, interne Audits, Managementbewertung	Messen, ob die Systeme und das Managementsystem funktionieren.
10 Verbesserung	Korrekturmassnahmen, fortlaufende Verbesserung	Aus Vorfällen und Audits lernen.

Dazu kommen Anhang A mit 38 Massnahmen (Controls) in neun Themenbereichen und Anhang B mit Umsetzungshinweisen. Die Massnahmen betreffen etwa KI-Richtlinien, Rollen, Daten für KI-Systeme, die Information der Betroffenen, die Nutzung der Systeme und Lieferanten. Welche davon für Sie gelten, begründen Sie in einer Anwendbarkeitserklärung.

Verhältnis zum EU AI Act

Ein Zertifikat nach ISO/IEC 42001 belegt nicht, dass Sie den EU AI Act einhalten. Die Norm deckt aber viele organisatorische Anforderungen ab (Risikomanagement, Dokumentation, menschliche Aufsicht, Qualitätsmanagement) und ist deshalb eine gute Grundlage. Für die Konformitätsvermutung unter dem AI Act erarbeiten die europäischen Normungsorganisationen CEN und CENELEC eigene, harmonisierte Normen.

Stand Oktober 2026 ist noch keine harmonisierte Norm zum AI Act im EU-Amtsblatt veröffentlicht. Am weitesten ist die Norm zum Qualitätsmanagement (EN 18286). Normen zu Risikomanagement, Cybersicherheit und Datensätzen sind in Arbeit. Wer heute ISO/IEC 42001 umsetzt, schafft die Strukturen, an die diese Normen später anknüpfen.

Wann lohnt sich eine Zertifizierung?

Situation	Empfehlung
Sie nutzen KI-Werkzeuge für interne Aufgaben, etwa als Treuhandbüro für Zusammenfassungen und Entwürfe	Keine Zertifizierung nötig. Ein KI-Aktionsplan mit Richtlinie und Werkzeugliste reicht.
Sie bauen KI in Produkte oder Dienstleistungen für Kunden ein	Die Norm als Leitfaden nutzen. Eine Zertifizierung prüfen, wenn Kunden Nachweise verlangen.
Sie entwickeln KI-Lösungen für andere (Softwarehaus, Agentur)	Ein Zertifikat hilft im Verkauf, vor allem gegenüber Banken, Versicherungen und Behörden.
Regulierte Branche (Finanz, Gesundheit) oder Hochrisiko-Anwendungen	Ein Managementsystem ist dringend empfohlen. Es erleichtert Nachweise gegenüber Aufsicht und Kunden.

Der Weg zur Zertifizierung

Geltungsbereich festlegen: welche KI-Systeme, Standorte und Prozesse?
Lückenanalyse gegenüber der Norm, mit externer Unterstützung oft 2 bis 5 Tage.
Aufbau: KI-Politik, Rollen, Risiko- und Folgenabschätzung, Anwendbarkeitserklärung, Schulung, Dokumentation. Ein KMU braucht dafür typischerweise 3 bis 9 Monate.
Internes Audit und Managementbewertung.
Zertifizierungsaudit in zwei Stufen durch eine akkreditierte Stelle. Danach folgen jährliche Überwachungsaudits und nach drei Jahren eine Rezertifizierung.

Tipp: Wer bereits nach ISO/IEC 27001 zertifiziert ist, kann viele Prozesse (Dokumentenlenkung, Audits, Managementbewertung) übernehmen und beide Normen im selben Audit prüfen lassen.

Wer zertifiziert in der Schweiz?

In der Schweiz bieten unter anderem die SQS und die Zertifizierungsstelle von KPMG Schweiz Zertifizierungen nach ISO/IEC 42001 an. Achten Sie auf eine Akkreditierung durch die Schweizerische Akkreditierungsstelle (SAS) oder eine gleichwertige Stelle. Im Verzeichnis der SAS können Sie das nachsehen. Lassen Sie sich nicht von derselben Stelle beraten und zertifizieren, sonst ist die Unabhängigkeit nicht gewahrt.

Häufige Fragen

Ist ISO/IEC 42001 Pflicht?

Nein, die Norm ist freiwillig. Sie lohnt sich vor allem für Anbieter von KI-Lösungen, regulierte Branchen und Zulieferer, deren Kunden einen Nachweis verlangen.

Ersetzt ISO/IEC 42001 die Konformität mit dem EU AI Act?

Nein. Die Norm deckt viele organisatorische Anforderungen ab, ist aber keine harmonisierte Norm zum AI Act. Stand Oktober 2026 ist noch keine solche Norm im EU-Amtsblatt veröffentlicht.

Quellen

Diese Seite gibt einen Überblick und ersetzt keine Beratung im Einzelfall. Gesetze und Fristen ändern sich; verbindlich sind die verlinkten amtlichen Texte.