Der EU AI Act ist seit dem 1. August 2024 in Kraft – und seine Anforderungen werden stufenweise verbindlich. Für Unternehmen, die KI-Systeme entwickeln, betreiben oder nutzen, stellt sich damit eine dringende Frage: Wie lassen sich die regulatorischen Pflichten strukturiert und nachweisbar erfüllen? ISO/IEC 42001, der erste internationale Standard für KI-Managementsysteme, liefert darauf die bisher überzeugendste Antwort.
Was fordert der EU AI Act von Unternehmen?
Der EU AI Act entfaltet seine Wirkung stufenweise: Seit dem 2. Februar 2025 sind Verbote bestimmter KI-Praktiken sowie Anforderungen an KI-Kompetenz nach Art. 4 bereits anwendbar. Seit dem 2. August 2025 gelten die Governance-Regeln und Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI). Am 2. August 2026 werden die vollständigen Anforderungen an Hochrisiko-KI-Systeme wirksam – darunter KI in den Bereichen Personalverwaltung, Bildung, kritische Infrastruktur und Zugang zu Dienstleistungen.
Die Konsequenzen bei Verstößen sind erheblich: Bei Verstößen gegen verbotene KI-Praktiken drohen Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Für Verstöße gegen die Anforderungen an Hochrisiko-KI-Systeme können Bußgelder von bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes verhängt werden.
Wichtig zu verstehen: Der EU AI Act gilt für jede Organisation, die KI-Systeme auf dem EU-Markt anbietet, innerhalb der EU einsetzt oder deren KI-Ergebnisse Personen in der EU betreffen – unabhängig davon, wo das Unternehmen selbst ansässig ist.
Was ist ISO/IEC 42001 – und warum ist sie die Antwort auf den EU AI Act?
ISO/IEC 42001 ist der erste international anerkannte Standard für KI-Managementsysteme (AIMS). Er wurde im Dezember 2023 veröffentlicht und definiert Anforderungen an den verantwortungsvollen, transparenten und nachvollziehbaren Einsatz von KI. Die Norm strukturiert den gesamten Lebenszyklus von KI-Systemen – von der Entwicklung über den Betrieb bis zur Außerbetriebnahme – und fordert systematische Risikobewertungen, Transparenzdokumentation und klare Verantwortlichkeiten.
Da harmonisierte Normen zum Zeitpunkt des August-Stichtags 2026 voraussichtlich noch nicht verfügbar sein werden, müssen Unternehmen auf andere Weise nachweisen, dass ihre KI-Systeme die Anforderungen des EU AI Act erfüllen. Als anerkannte Orientierung gilt dabei ISO/IEC 42001.
Wie unterstützt ISO/IEC 42001 konkret die EU-AI-Act-Compliance?
ISO/IEC 42001 deckt die zentralen Anforderungen des EU AI Act direkt ab:
- Risikomanagement (Art. 9): Klausel 8.2 der ISO/IEC 42001 ermöglicht es Unternehmen, KI-Risiken systematisch zu identifizieren, zu bewerten und zu behandeln – und deckt damit die Anforderungen an ein Risikomanagementsystem für Hochrisiko-KI direkt ab.
- Transparenz und Dokumentation (Art. 11 und 13): Klausel 7.4 der Norm legt Best Practices für die Dokumentation und Offenlegung von KI-Modellen und Entscheidungsprozessen fest – und erfüllt damit die Transparenzpflichten des EU AI Act.
- Menschliche Aufsicht (Art. 14): ISO/IEC 42001 fordert klar definierte Kontrollmechanismen und Eskalationsprozesse, die sicherstellen, dass Menschen KI-Systeme jederzeit überwachen und eingreifen können.
- KI-Kompetenz (Art. 4): Die Norm verlangt Schulungen und Sensibilisierungsmaßnahmen für alle Mitarbeitenden, die mit KI-Systemen arbeiten.
ISO/IEC 42001 bedeutet keine automatische EU-AI-Act-Konformität – sie legt jedoch die Governance-Grundlage, auf der unternehmensspezifische Lücken zum EU AI Act gezielt und effizient geschlossen werden können.
Wer ist betroffen – und wann sollte man handeln?
Vom EU AI Act betroffen sind grundsätzlich drei Gruppen: Unternehmen, die KI-Systeme entwickeln und auf dem EU-Markt anbieten, Unternehmen, die KI-Systeme in ihren Betrieb integrieren (z. B. HR-Software mit KI, automatisierte Kreditentscheidungen, KI-gestützte Bildungstools), sowie Unternehmen, die Drittanbieter-KI-Lösungen (z. B. Chatbots, Analyseplattformen) nutzen und dabei als Betreiber eingestuft werden.
Gerade der letzte Punkt wird oft unterschätzt: Wer KI-Dienste einsetzt, ohne selbst Entwickler zu sein, kann dennoch unter die Betreiberpflichten des EU AI Act fallen. Ein funktionierendes AIMS nach ISO/IEC 42001 schafft hier Klarheit über Rollen, Verantwortlichkeiten und Dokumentationspflichten.
Der Aufbau eines KI-Managementsystems braucht Zeit. Für mittelständische Unternehmen sind erfahrungsgemäß 3 bis 9 Monate vom ersten Gap-Assessment bis zur Zertifizierungsreife einzuplanen. Wer den Stichtag im August 2026 im Blick hat, sollte jetzt mit der Vorbereitung beginnen.
Fazit
Der EU AI Act macht KI-Governance für viele Unternehmen zur regulatorischen Pflicht – mit konkreten Fristen und empfindlichen Bußgeldern. ISO/IEC 42001 ist der strukturierteste Weg, diese Anforderungen systematisch umzusetzen und gegenüber Aufsichtsbehörden, Kunden und Partnern nachweisbar zu erfüllen. Wer bereits nach ISO/IEC 27001 zertifiziert ist, hat dabei einen klaren Vorsprung: Die Grundstruktur des AIMS ist bereits vorhanden, und beide Zertifizierungen lassen sich in einem kombinierten Audit bei ADVANTA Cert GmbH effizient zusammenlegen.
Sie möchten wissen, ob Ihr Unternehmen vom EU AI Act betroffen ist und wie eine ISO/IEC 42001 Zertifizierung konkret aussieht? Wenden Sie sich jederzeit an unser Team von ADVANTA Cert GmbH – wir begleiten Sie vom ersten Gap-Assessment bis zur Zertifikatsübergabe.
