Seit dem 2. August 2026 ist die KI-Verordnung der EU in weiten Teilen anwendbar. Seitdem bekommen wir fast täglich dieselbe Frage gestellt, meist in dieser Form: „Wenn wir uns nach ISO 42001 zertifizieren lassen, sind wir dann AI-Act-konform?“
Die kurze Antwort lautet: nein. Die längere Antwort ist interessanter, weil sie erklärt, warum die Zertifizierung trotzdem der sinnvollste erste Schritt ist. Beides sind unterschiedliche Dinge, die unterschiedliche Fragen beantworten. Wer sie gleichsetzt, kauft ein falsches Sicherheitsgefühl. Wer sie gegeneinander ausspielt, verschenkt Arbeit, die er ohnehin zweimal machen müsste.
„Die KI-Verordnung sagt, was Sie dürfen. ISO 42001 sagt, wie Sie beweisen, dass Sie es im Griff haben. Das eine ersetzt das andere nicht — es macht es bezahlbar.“ – Christian Paredes, CEO Eucerta AG
Ein Gesetz und eine Norm: der Unterschied entscheidet alles
Der EU AI Act ist eine Verordnung. Sie gilt unmittelbar, ohne dass ein nationales Gesetz sie umsetzen muss, und niemand kann sich entscheiden, sie nicht anzuwenden. Sie ordnet KI-Systeme nach Risiko: verbotene Praktiken, Hochrisiko-Systeme, Systeme mit Transparenzpflichten und der große Rest mit minimalem Risiko. Daran hängen Pflichten, Behördenaufsicht und Bußgelder.
ISO 42001:2023 ist eine Norm. Sie ist freiwillig — und zertifizierbar. Sie schreibt nicht vor, welche KI erlaubt ist. Sie beschreibt, wie eine Organisation ein KI-Managementsystem aufbaut: Welche Systeme laufen, wer verantwortet sie, welche Auswirkungen haben sie, welche Maßnahmen greifen, und woher wissen Sie, dass die Maßnahmen wirken.
Das ist der ganze Unterschied, und er ist folgenreich. Ein Gesetz definiert Grenzen. Eine Managementnorm baut die Organisation, die innerhalb dieser Grenzen arbeitsfähig bleibt. Kein Auditor der Welt kann Ihnen bescheinigen, dass Sie „AI-Act-konform“ sind — diese Feststellung trifft am Ende eine Behörde oder ein Gericht. Was ein Auditor bescheinigen kann, ist ein funktionierendes Managementsystem. Und das ist der Nachweis, den Einkauf, Kunden und Aufsicht in der Praxis sehen wollen.
Was für Ihr Unternehmen wirklich gilt — Stand September 2026
Hier lohnt der genaue Blick, denn die Fristen haben sich verschoben. Der Digital Omnibus hat die Pflichten für Hochrisiko-KI nach hinten gelegt, den Rest aber unberührt gelassen. Nach der Zeitleiste der Europäischen Kommission gilt aktuell:
- Seit 2. Februar 2025: verbotene KI-Praktiken und die Pflicht zur KI-Kompetenz der eigenen Leute.
- Seit 2. August 2025: Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck.
- Seit 2. August 2026: allgemeine Anwendbarkeit der Verordnung samt Transparenzpflichten.
- Ab 2. Dezember 2027: Hochrisiko-KI nach Anhang III, also eigenständige Systeme etwa in Personalauswahl oder Bildung.
- Ab 2. August 2028: Hochrisiko-KI, die in regulierte Produkte eingebaut ist.
Lesen Sie die Verschiebung nicht als Entwarnung. Zwei Pflichten treffen heute praktisch jedes Unternehmen, das KI nutzt. Die erste ist die KI-Kompetenz: Ihre Mitarbeitenden müssen verstehen, womit sie arbeiten. Die zweite ist die Transparenz: Wer mit einem Chatbot spricht oder KI-erzeugte Inhalte vorgelegt bekommt, muss das erkennen können. Beides ist keine Frage von Anhang III. Beides gilt jetzt.
Und die Bußgelder sind kein Schreckgespenst, sondern gestaffelt. Artikel 99 der Verordnung nennt bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen oder 3 Prozent für Pflichtverstöße und bis zu 7,5 Millionen oder 1 Prozent für falsche Angaben gegenüber Behörden. Für kleine und mittlere Unternehmen sowie Start-ups gilt dabei ausdrücklich der jeweils niedrigere Wert. Das entlastet, es entschuldigt aber nichts.
Wo sich beides überschneidet — und wo die Lücke bleibt
Die Überschneidung ist groß, und sie liegt genau dort, wo die Arbeit anfällt. Beide Regelwerke setzen voraus, dass Sie wissen, welche KI-Systeme in Ihrem Haus laufen. Beide verlangen eine Einschätzung der Risiken und Auswirkungen. Beide wollen benannte Verantwortliche, nachvollziehbare Dokumentation und menschliche Aufsicht über automatisierte Entscheidungen.
Wer ein KI-Managementsystem nach ISO 42001 aufbaut, erledigt diese Grundlagenarbeit ein einziges Mal. Das Verzeichnis der KI-Systeme, die Folgenabschätzung je System, die Rollenzuordnung als Anbieter, Betreiber oder Nutzer — das ist dieselbe Substanz, aus der auch die Antworten auf jeden Lieferantenfragebogen und jede Behördenanfrage entstehen.
Die Lücke müssen Sie genauso klar sehen. ISO 42001 nimmt Ihnen die rechtliche Einordnung nicht ab. Ob eines Ihrer Systeme unter Anhang III fällt, ob Sie Anbieter oder nur Betreiber sind, welche Transparenzhinweise Ihre Produkte tragen müssen: Das sind juristische Fragen, und die Norm beantwortet sie nicht. Sie liefert nur die Grundlage, auf der sie überhaupt beantwortbar werden. Wir sagen das offen — auf unserer Seite zum EU AI Act ebenso wie hier.
Die Reihenfolge, die wir Unternehmen empfehlen
Fangen Sie mit dem Verzeichnis an, nicht mit der Rechtsfrage. Solange niemand im Haus sagen kann, welche KI-Werkzeuge in welcher Abteilung im Einsatz sind, ist jede Risikoklassifizierung Spekulation. In der Praxis ist dieser erste Schritt fast immer der lehrreichste: Es sind mehr Systeme, als die Geschäftsleitung erwartet.
Bauen Sie dann das Managementsystem und lassen Sie es prüfen. Damit haben Sie Struktur, Verantwortliche und Belege. Erst danach ordnen Sie Ihre Systeme in die Risikoklassen der Verordnung ein und leiten die spezifischen Pflichten ab. Für die meisten kleinen und mittleren Unternehmen, die gängige Büro- und Vertriebs-KI einsetzen, ist dieser zweite Schritt deutlich kleiner als befürchtet.
Der Aufwand ist planbar. Bei uns kostet die erste Norm 179 Euro im Monat, jede weitere 149 Euro, bei 36 Monaten Laufzeit und Festpreis für Unternehmen bis 30 Mitarbeitende. ISO 42001 wird häufig mit ISO 27001 gebündelt, weil sich Informationssicherheit und KI-Governance rund die Hälfte der Systemanforderungen teilen. Was Ihr Fall kostet, rechnen Sie im Kostenrechner nach, ohne Formular und ohne Gespräch.
Ein Punkt noch, weil er häufig untergeht: Zertifikate gelten bei uns drei Jahre ab dem Auditdatum. Die KI-Landschaft in einem Unternehmen ändert sich in drei Jahren erheblich. Genau deshalb ist ein Managementsystem, das in einer Plattform lebt und zwischen den Audits gepflegt wird, mehr wert als ein Ordner, der nach dem Audit einschläft.
Fazit
ISO 42001 und die KI-Verordnung sind kein Entweder-oder. Wer nur auf das Gesetz schaut, sammelt Einzelantworten und hat kein System. Wer nur auf die Norm schaut, hat ein gutes System und übersieht möglicherweise eine Rechtspflicht. Die tragfähige Position ist beides: zertifiziertes Managementsystem als Fundament, rechtliche Einordnung als darauf aufgesetzte Prüfung.
Der Vorteil dieser Reihenfolge ist, dass Sie sofort anfangen können. Die Rechtsfrage lässt sich ohne Systemverzeichnis nicht beantworten — das Systemverzeichnis lässt sich heute beginnen.
Ihr nächster Schritt: Rechnen Sie im Kostenrechner nach, was ISO 42001 für Ihr Unternehmen bedeutet, oder prüfen Sie über die Express-Zertifizierung, wie schnell es bei Ihnen gehen kann.
Weiterführend:
