ISO 42001-Zertifizierung: Ablauf, Kosten und Voraussetzungen

Mit der ISO 42001-Zertifizierung weisen Sie unabhängig nach, dass Ihr Unternehmen KI verantwortungsvoll entwickelt und einsetzt. Der Standard richtet sich an alle Organisationen, die KI-Systeme anbieten, entwickeln oder nutzen. Relevant wird das Zertifikat spätestens dann, wenn Kunden, Ausschreibungen oder Investoren einen Nachweis für Ihren Umgang mit KI verlangen. Hier erfahren Sie, welche Voraussetzungen Sie erfüllen müssen, wie das Audit abläuft und welche Kosten auf Sie zukommen.

Was ist die ISO 42001-Zertifizierung?

Die ISO/IEC 42001 erschien im Dezember 2023. Sie ist der erste internationale Standard für KI-Managementsysteme, nach dem Sie sich zertifizieren lassen können. Er gilt für jede Organisation, die KI entwickelt, bereitstellt oder nutzt – unabhängig von Größe und Branche. Die Zertifizierung ist der formale Nachweis einer unabhängigen Stelle, dass Sie den Standard umgesetzt haben und er in der Praxis funktioniert.

Was ist ein KI-Managementsystem (AIMS)?

Ein KI-Managementsystem (Artificial Intelligence Management System, AIMS) umfasst die Richtlinien, Prozesse, Verantwortlichkeiten und Kontrollen, mit denen Ihr Unternehmen KI verantwortungsvoll entwickelt und einsetzt. Es legt fest, wer über neue KI-Anwendungen entscheidet, wie Sie Risiken bewerten und wie Sie KI-Systeme im Betrieb überwachen. Wenn Sie ISO 27001 kennen: Das AIMS funktioniert wie ein Informationssicherheits-Managementsystem (ISMS). Statt Informationswerten stehen hier KI-Systeme und ihre Auswirkungen auf Menschen im Mittelpunkt.

Zertifizierung vs. Konformität

Zwischen „ISO 42001-konform“ und „ISO 42001-zertifiziert“ liegt ein wichtiger Unterschied:

ISO 42001-konform bedeutet: Sie richten sich nach dem Standard, aber keine unabhängige Stelle hat das geprüft.
ISO 42001-zertifiziert bedeutet: Eine akkreditierte Zertifizierungsstelle hat Ihr AIMS auditiert und die Umsetzung bestätigt.

Kunden und Auftraggeber in Ausschreibungen akzeptieren in der Regel nur ein Zertifikat einer akkreditierten Stelle als belastbaren Nachweis. Eine reine Selbstauskunft reicht dort selten aus.

Ist die ISO 42001-Zertifizierung Pflicht?

Nein, die ISO 42001-Zertifizierung ist freiwillig. In der Praxis erwarten Geschäftspartner sie aber immer häufiger.

Gesetzliche Lage in Deutschland und der EU

Kein deutsches oder europäisches Gesetz schreibt eine ISO 42001-Zertifizierung vor. Der EU AI Act (KI-Verordnung) regelt zwar verbindliche Pflichten für KI-Systeme, verlangt dieses Zertifikat aber nicht. Wie beide Regelwerke zusammenspielen, lesen Sie im Abschnitt zum EU AI Act.

Wann Kunden und Ausschreibungen ein Zertifikat verlangen

Im Vertrieb sieht das oft anders aus. Typische Situationen, in denen ein Zertifikat gefragt ist:

Sicherheitsfragebögen von Enterprise-Kunden: Große Unternehmen fragen gezielt nach Nachweisen für den verantwortungsvollen Einsatz von KI, besonders bei SaaS-Produkten mit KI-Funktionen.
Öffentliche und private Ausschreibungen: Auftraggeber nehmen Zertifikate als Eignungs- oder Bewertungskriterium auf.
Due Diligence durch Investoren: Investoren prüfen, ob KI-Risiken gesteuert werden, bevor sie in ein KI-getriebenes Geschäftsmodell investieren.

Ein Zertifikat beantwortet viele dieser Fragen mit einem Dokument und spart Ihrem Team aufwendige Einzelnachweise.

Für wen lohnt sich die ISO 42001-Zertifizierung?

Die Zertifizierung bringt vor allem drei Gruppen einen klaren Nutzen.

Anbieter und Entwickler von KI-Systemen

Dazu gehören Software- und SaaS-Unternehmen mit KI-Funktionen, KI-Start-ups und Unternehmen, die eigene Modelle trainieren. Für sie ist das Zertifikat ein Verkaufsargument. Es verkürzt Sicherheitsprüfungen beim Kunden und beantwortet wiederkehrende Fragen in Kundenfragebögen.

Unternehmen, die KI einsetzen

Auch wenn Sie KI nur nutzen, kann sich die Zertifizierung lohnen. Das gilt besonders, wenn KI in sensiblen Bereichen wie HR, Kundenservice, Finanzen oder Gesundheitswesen zum Einsatz kommt. Mit einem AIMS behalten Sie die Kontrolle über Risiken aus zugekauften KI-Tools, etwa bei automatisierten Bewerbervorauswahlen oder Chatbots mit Kundenkontakt.

Unternehmen mit ISO 27001-Zertifizierung

Wenn Sie bereits ein ISMS nach ISO 27001 betreiben, steht ein großer Teil Ihres Managementsystems schon. Wie Sie darauf aufbauen, lesen Sie im Abschnitt zu ISO 27001.

Welche Vorteile bringt die ISO 42001-Zertifizierung?

Die Zertifizierung bietet Ihnen vor allem vier Vorteile:

Vertrauen bei Kunden und Partnern

Das Zertifikat belegt unabhängig, dass Sie KI verantwortungsvoll einsetzen. Kunden müssen Ihre Angaben nicht mehr im Detail prüfen. So schließen Sie Verträge schneller ab.

Strukturiertes Management von KI-Risiken

Sie erkennen Risiken wie Verzerrungen (Bias), fehlende Transparenz oder mangelhafte Datenqualität systematisch und behandeln sie nach einem festen Verfahren. Entscheidungen über neue KI-Anwendungen folgen klaren Regeln und hängen nicht vom Einzelfall ab.

Vorbereitung auf den EU AI Act

Viele Anforderungen überschneiden sich, zum Beispiel beim Risikomanagement, bei der Dokumentation und bei der KI-Kompetenz der Mitarbeitenden. Mehr dazu im Abschnitt zum EU AI Act.

Wettbewerbsvorteil in einem jungen Markt

Bisher sind nur wenige Unternehmen nach ISO 42001 zertifiziert. Wer jetzt startet, hebt sich in Ausschreibungen und Kundengesprächen sichtbar vom Wettbewerb ab.

Welche Voraussetzungen und Anforderungen gibt es?

Die Anforderungen stehen in den Kapiteln 4 bis 10 der Norm. Ergänzt werden sie durch die Controls (Maßnahmen) in Anhang A.

Die Anforderungen aus Kapitel 4 bis 10

Die Kapitel folgen dem Aufbau, den Sie aus anderen ISO-Managementsystemnormen kennen:

Kapitel	Thema	Was das konkret bedeutet
4	Kontext der Organisation	Sie bestimmen Ihre Rolle als KI-Anbieter, -Entwickler oder -Nutzer, ermitteln interessierte Parteien und legen den Anwendungsbereich des AIMS fest.
5	Führung	Die Geschäftsleitung bekennt sich zum AIMS, verabschiedet die KI-Richtlinie und vergibt Rollen und Verantwortlichkeiten.
6	Planung	Sie bewerten KI-Risiken, planen deren Behandlung, führen KI-Folgenabschätzungen durch und setzen messbare KI-Ziele.
7	Unterstützung	Sie stellen Ressourcen bereit, sichern die Kompetenz und das Bewusstsein der Mitarbeitenden und lenken Ihre Dokumentation.
8	Betrieb	Sie setzen die geplanten Prozesse um und wiederholen Risikobewertungen und Folgenabschätzungen regelmäßig.
9	Bewertung der Leistung	Sie überwachen das AIMS, führen interne Audits durch und bewerten die Ergebnisse im Management-Review.
10	Verbesserung	Sie beheben Abweichungen, leiten Korrekturmaßnahmen ein und verbessern das AIMS fortlaufend.

Die Controls aus Anhang A

Anhang A enthält 38 Controls, gegliedert in neun Themenbereiche (A.2 bis A.10):

Richtlinien für KI
Interne Organisation
Ressourcen für KI-Systeme
Abschätzung der Auswirkungen von KI-Systemen
Lebenszyklus von KI-Systemen
Daten für KI-Systeme
Informationen für interessierte Parteien
Nutzung von KI-Systemen
Beziehungen zu Dritten und Kunden

Sie müssen nicht jedes Control umsetzen. Sie wählen die Controls, die zu Ihren Risiken passen, und dokumentieren diese Auswahl in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA). Jeden Ausschluss begründen Sie dort nachvollziehbar. Anhang B der Norm gibt Ihnen Hinweise zur Umsetzung der einzelnen Controls.

Welche Dokumente Sie brauchen

Für das Zertifizierungsaudit benötigen Sie vor allem diese Dokumente und Nachweise:

KI-Richtlinie
Dokument zum Anwendungsbereich (Scope)
KI-Ziele
KI-Risikobewertung und Plan zur Risikobehandlung
KI-Folgenabschätzung (AI System Impact Assessment)
Erklärung zur Anwendbarkeit (Statement of Applicability)
Nachweise zu Kompetenz und Schulungen
Ergebnisse von Überwachung und Messung
Auditprogramm und Bericht zum internen Audit
Ergebnisse des Management-Reviews
Nachweise zu Abweichungen und Korrekturmaßnahmen

Wie läuft die ISO 42001-Zertifizierung ab?

Der Weg zum Zertifikat lässt sich in neun Schritte gliedern. Die ersten sechs liegen bei Ihnen, die letzten drei bei der Zertifizierungsstelle.

1. Gap-Analyse durchführen

Vergleichen Sie Ihren aktuellen Stand mit den Anforderungen der Norm. Als Ergebnis erhalten Sie eine Liste der Lücken und einen Projektplan mit Verantwortlichen und Terminen.

2. Anwendungsbereich festlegen

Entscheiden Sie, welche KI-Systeme, Produkte und Abteilungen das AIMS abdecken soll. Starten Sie fokussiert, zum Beispiel mit dem Produkt, nach dem Kunden am häufigsten fragen. Erweitern können Sie den Anwendungsbereich später.

3. KI-Risiken bewerten und Folgenabschätzung durchführen

Bewerten Sie die Risiken für jedes KI-System im Anwendungsbereich und legen Sie fest, wie Sie sie behandeln. Die KI-Folgenabschätzung untersucht zusätzlich, wie sich ein KI-System auf einzelne Menschen, Gruppen und die Gesellschaft auswirken kann.

4. Richtlinien, Controls und Erklärung zur Anwendbarkeit erstellen

Formulieren Sie Ihre KI-Richtlinie und lassen Sie sie von der Geschäftsleitung freigeben. Wählen Sie dann die passenden Controls aus Anhang A und dokumentieren Sie Auswahl und Ausschlüsse in der Erklärung zur Anwendbarkeit.

5. Mitarbeitende schulen

Bauen Sie KI-Kompetenz in allen Teams auf, die mit KI arbeiten. Das betrifft Entwicklung und Produkt ebenso wie Fachabteilungen, die KI-Tools nutzen. Mit den Schulungen erfüllen Sie zugleich einen Teil von Art. 4 EU AI Act, der Anbieter und Betreiber von KI-Systemen verpflichtet, die KI-Kompetenz ihres Personals zu fördern.

6. Internes Audit und Management-Review durchführen

Prüfen Sie Ihr AIMS vor dem Zertifizierungsaudit selbst oder mit externer Unterstützung. Die Prüfer müssen dabei unabhängig vom geprüften Bereich sein. Anschließend bewertet die Geschäftsleitung die Ergebnisse im Management-Review und entscheidet über nötige Maßnahmen.

7. Zertifizierungsaudit Stufe 1

In der ersten Stufe prüft die Zertifizierungsstelle Ihre Dokumentation. Sie klärt, ob alle geforderten Dokumente vorliegen und ob Sie bereit für Stufe 2 sind. Dieses Audit findet häufig remote statt.

8. Zertifizierungsaudit Stufe 2

In der zweiten Stufe prüft der Auditor vor Ort oder remote, ob Ihr AIMS in der Praxis funktioniert. Dafür führt er Interviews mit Verantwortlichen und Mitarbeitenden und prüft Stichproben. Stellt er Abweichungen fest, beheben Sie diese innerhalb einer vereinbarten Frist.

9. Zertifikat erhalten

Nach erfolgreichem Audit und eventuellen Korrekturen stellt die Zertifizierungsstelle das Zertifikat aus. Wie lange es gilt und welche Audits folgen, lesen Sie im Abschnitt zur Gültigkeit.

Wie lange dauert die ISO 42001-Zertifizierung?

Die Dauer hängt stark von Ihrer Ausgangslage ab.

Typische Dauer bis zum Zertifikat

Für kleine und mittlere Unternehmen dauert der Weg zum Zertifikat in der Regel einige Monate. Wenn Sie bereits ein ISMS nach ISO 27001 betreiben, kommen Sie meist schneller ans Ziel, weil Sie Prozesse und Dokumente übernehmen können.

Was die Dauer beeinflusst

Diese Faktoren bestimmen, wie schnell Sie zertifiziert sind:

Größe des Anwendungsbereichs
Anzahl und Komplexität Ihrer KI-Systeme
ein bereits bestehendes ISMS nach ISO 27001
die Zeit, die Ihr Projektteam neben dem Tagesgeschäft investieren kann
die Terminverfügbarkeit der Zertifizierungsstelle

Was kostet die ISO 42001-Zertifizierung?

Die Kosten hängen von der Größe Ihres Unternehmens und vom Anwendungsbereich des AIMS ab. Ein Festpreis lässt sich deshalb nicht seriös nennen. Planen Sie mit diesen Kostenblöcken:

Interne Kosten

Den größten Posten bildet meist die Arbeitszeit Ihres Projektteams und der Geschäftsleitung. Hinzu kommen Ausgaben für Tools und Software, etwa für Dokumentation und Risikobewertung, sowie für Schulungen der Mitarbeitenden.

Externe Kosten: Beratung und Audit

Externe Kosten entstehen an zwei Stellen:

Kostenblock	Wovon er abhängt
Beratung	Optional. Abhängig davon, wie viel Unterstützung Sie bei Gap-Analyse, Dokumentation und Auditvorbereitung brauchen.
Zertifizierungsaudit	Abhängig von der Zahl der Audittage. Diese richtet sich vor allem nach Mitarbeiterzahl, Anwendungsbereich und Komplexität Ihrer KI-Systeme.
Überwachungsaudits	Fallen im ersten und zweiten Jahr nach der Zertifizierung an. Sie sind kürzer als das Erstaudit.
Rezertifizierung	Fällt vor Ablauf der drei Jahre an, um das Zertifikat zu verlängern.

Beziehen Sie die Folgeaudits von Anfang an in Ihr Budget ein. Das Zertifikat verursacht über den gesamten Dreijahreszyklus Kosten.

So senken Sie die Kosten

Mit drei Hebeln halten Sie den Aufwand im Rahmen:

ISO 27001-Strukturen nutzen: Übernehmen Sie Risikomethodik, Auditprozess und Dokumentenlenkung aus Ihrem ISMS.
Fokussiert starten: Ein enger Anwendungsbereich senkt die Zahl der Audittage und den internen Aufwand.
Vorlagen und eine Plattform nutzen: Erprobte Vorlagen und eine Compliance-Plattform ersparen Ihnen den Aufbau jedes Dokuments von null.

Wie wir Sie dabei unterstützen: ISO 42001 Beratung.

Wer darf ISO 42001-Zertifikate ausstellen?

Nur unabhängige Zertifizierungsstellen dürfen ISO 42001-Zertifikate ausstellen. Ihr Wert hängt davon ab, ob die Stelle für diesen Standard akkreditiert ist.

Akkreditierte Zertifizierungsstellen

In Deutschland akkreditiert die Deutsche Akkreditierungsstelle (DAkkS) Zertifizierungsstellen. Für ISO 42001 sind viele Stellen derzeit über ausländische Akkreditierungsstellen akkreditiert, zum Beispiel über UKAS (Großbritannien), RvA (Niederlande) oder ANAB (USA). Deren Zertifikate werden über das International Accreditation Forum (IAF) gegenseitig anerkannt. Prüfen Sie deshalb immer, ob der Akkreditierungsumfang Ihrer Zertifizierungsstelle ISO 42001 ausdrücklich einschließt.

Die Rolle der ISO/IEC 42006

Die ISO/IEC 42006:2025 legt fest, welche zusätzlichen Anforderungen Stellen erfüllen müssen, die KI-Managementsysteme auditieren und zertifizieren. Sie baut auf der ISO/IEC 17021-1 auf und regelt zum Beispiel, welche Kompetenzen Auditoren für KI mitbringen müssen. Für Sie heißt das: Auditoren mit nachgewiesenem KI-Wissen prüfen Ihr AIMS (Quelle: ISO).

Worauf Sie bei der Wahl der Zertifizierungsstelle achten

Achten Sie bei der Auswahl auf diese Punkte:

Akkreditierung: Gilt sie ausdrücklich für ISO 42001?
Erfahrung: Hat die Stelle bereits ISO 42001-Audits durchgeführt und kennt sie KI-Systeme wie Ihre?
Kombinierte Audits: Kann sie ISO 42001 gemeinsam mit ISO 27001 auditieren?
Verfügbarkeit: Bietet sie Audittermine in Ihrem geplanten Zeitraum an?

Wie lange ist ein ISO 42001-Zertifikat gültig?

Ein ISO 42001-Zertifikat gilt drei Jahre. In dieser Zeit prüft die Zertifizierungsstelle regelmäßig, ob Ihr AIMS weiterhin wirkt.

Gültigkeit von 3 Jahren

Das Zertifikat ist ab dem Ausstellungsdatum drei Jahre gültig, sofern Sie die Überwachungsaudits bestehen.

Jährliche Überwachungsaudits

Im ersten und zweiten Jahr nach der Zertifizierung finden kürzere Überwachungsaudits statt. Der Auditor prüft dabei, ob Ihr AIMS weiterhin funktioniert und ob Sie es weiterentwickeln.

Rezertifizierungsaudit

Vor Ablauf der drei Jahre erneuert ein vollständiges Audit das Zertifikat für einen weiteren Zyklus. Planen Sie dieses Audit rechtzeitig ein, damit keine Lücke in der Zertifizierung entsteht.

Wie nutzen Sie ISO 27001 für die ISO 42001-Zertifizierung?

Mit einer bestehenden ISO 27001-Zertifizierung sparen Sie Zeit und Aufwand, weil beide Standards auf demselben Fundament stehen.

Gemeinsame Managementsystem-Struktur

Beide Standards folgen der Harmonisierten Struktur der ISO (früher Annex SL). Die Kapitel 4 bis 10 stimmen deshalb weitgehend überein: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung.

Welche Dokumente und Prozesse Sie wiederverwenden

Aus Ihrem ISMS übernehmen	Für das AIMS ergänzen
Methode für das Risikomanagement	Bewertung KI-spezifischer Risiken
Prozess für interne Audits	KI-Folgenabschätzung
Management-Review	Controls aus Anhang A der ISO 42001
Dokumentenlenkung	KI-Richtlinie und KI-Ziele
Schulungs- und Awareness-Konzept	Schulungsinhalte zur KI-Kompetenz

Kombinierte Audits

Viele Zertifizierungsstellen auditieren ISO 27001 und ISO 42001 gemeinsam. Das spart Audittage, und Ihr Team muss sich nur einmal auf ein Audit vorbereiten. Fragen Sie bei der Angebotsanfrage gezielt danach.

Wie unterstützt die ISO 42001-Zertifizierung die Umsetzung des EU AI Act?

Die ISO 42001-Zertifizierung ersetzt die gesetzlichen Pflichten aus dem EU AI Act nicht. Sie schafft aber die Strukturen, mit denen Sie diese Pflichten deutlich leichter erfüllen. Einen Überblick über die Verordnung finden Sie auf unserer Seite zum EU AI Act. Wie wir Sie bei der Umsetzung unterstützen, lesen Sie unter EU AI Act Beratung.

Gemeinsamkeiten von ISO 42001 und EU AI Act

Beide Regelwerke setzen an denselben Punkten an:

Risikomanagement: Sie erkennen und behandeln Risiken über den gesamten Lebenszyklus eines KI-Systems.
Dokumentation: Sie halten Entscheidungen, Risikobewertungen und technische Informationen nachvollziehbar fest.
Menschliche Aufsicht: Sie legen fest, wer KI-Systeme überwacht und bei Bedarf eingreift.
Transparenz: Sie informieren Nutzer und Betroffene über den Einsatz von KI.
KI-Kompetenz (Art. 4 EU AI Act): Sie fördern das KI-Wissen Ihrer Mitarbeitenden. Diese Pflicht gilt seit dem 2. Februar 2025.

Was die Zertifizierung nicht abdeckt

Einige Pflichten aus dem EU AI Act bleiben auch mit Zertifikat bestehen:

Produktspezifische Pflichten: Für Hochrisiko-KI-Systeme verlangt der EU AI Act eine Konformitätsbewertung und die CE-Kennzeichnung. Nach der Änderung durch den Digital Omnibus (Verordnung (EU) 2026/1744) gelten diese Pflichten für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027 und für Systeme nach Anhang I ab dem 2. August 2028.
Keine Konformitätsvermutung: Die ISO 42001 ist derzeit keine harmonisierte Norm unter dem EU AI Act. Ein Zertifikat gilt deshalb nicht automatisch als Nachweis, dass Sie die Verordnung einhalten.

Welche Fehler sollten Sie bei der ISO 42001-Zertifizierung vermeiden?

Drei Fehler kosten Unternehmen in der Praxis am häufigsten Zeit und Geld.

Anwendungsbereich zu weit oder zu eng gefasst

Ein zu weiter Anwendungsbereich verursacht unnötigen Aufwand, ein zu enger Lücken, die der Auditor findet. Beides verzögert das Zertifikat. Tipp: Starten Sie mit den KI-Systemen, die für Ihre Kunden am wichtigsten sind.

KI-Systeme nicht vollständig erfasst

Zugekaufte Tools und KI-Funktionen in bestehender Software, etwa in CRM- oder Office-Anwendungen, geraten oft in Vergessenheit. Fehlen sie in der Risikobewertung, entstehen blinde Flecken, die im Audit auffallen. Tipp: Erstellen Sie vor der Risikobewertung ein vollständiges Verzeichnis aller KI-Systeme.

KI-Kompetenz der Mitarbeitenden unterschätzt

Der Auditor prüft in Interviews, ob Mitarbeitende die Regeln für den Umgang mit KI kennen und anwenden. Fehlende Kenntnisse führen schnell zu Abweichungen. Tipp: Planen Sie Schulungen früh ein und dokumentieren Sie jede Teilnahme.

Wie unterstützt DataGuard Ihr Team bei der ISO 42001-Zertifizierung?

DataGuard begleitet Sie von der Gap-Analyse bis zum bestandenen Audit. Unsere Plattform bündelt Risikobewertung, Controls, Dokumentation und Schulungen an einem Ort. Vorlagen für KI-Richtlinie, Folgenabschätzung und Erklärung zur Anwendbarkeit verkürzen den Aufbau Ihres AIMS. Unsere Expertinnen und Experten unterstützen Sie bei Anwendungsbereich, Risikobewertung und Auditvorbereitung. Wenn Sie bereits ein ISMS mit DataGuard betreiben, bauen Sie Ihr AIMS direkt darauf auf.

Unsere Kunden erreichen seit über 7 Jahren eine Erfolgsquote von 100 % bei Audits nach Standards wie ISO 27001 und weiteren regulatorischen Anforderungen.