Reicht eine ISO-42001-Zertifizierung für den EU AI Act?

Nein — eine ISO-42001-Zertifizierung allein reicht nicht. Sie belegt, dass Sie ein AI-Management-System betreiben, ersetzt aber nicht die produkt- und systemspezifischen Pflichten, die der EU AI Act für einzelne Hochrisiko-Systeme fordert.

Was ISO 42001 leistet — und was der AI Act zusätzlich verlangt

ISO/IEC 42001 ist der internationale Standard für ein AI-Management-System (AIMS): Governance, Rollen, Prozesse, kontinuierliche Verbesserung. Das ist die organisatorische Klammer, die Aufsichtsbehörden erwarten, und ein glaubwürdiger Nachweis, dass KI im Unternehmen strukturiert gesteuert wird.

Der EU AI Act setzt jedoch auf einer anderen Ebene an. Er richtet Pflichten an das einzelne System, nicht nur an die Organisation. Für ein Hochrisiko-System nach Annex III verlangt er unter anderem ein Risikomanagement-System (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Protokollierung (Art. 12), Transparenz gegenüber Nutzern (Art. 13) und menschliche Aufsicht (Art. 14). Ein AIMS beschreibt, wie Sie diese Anforderungen managen — es erbringt aber nicht automatisch den Nachweis, dass ein konkretes System sie erfüllt.

Hinzu kommt: Eine Vermutung der Konformität entsteht rechtlich nur aus harmonisierten Normen nach Artikel 40. ISO 42001 ist ein Management-System-Standard und aktuell keine solche harmonisierte Norm, die für Hochrisiko-Systeme die Konformitätsvermutung auslöst. Die dafür einschlägigen Normen werden von CEN-CENELEC (JTC 21) erst erarbeitet.

Wenn-dann: typische Konstellationen

Sie nutzen nur KI mit geringem Risiko: Dann ist ISO 42001 als freiwilliger Rahmen wertvoll, und der AI Act stellt kaum systemspezifische Anforderungen. Die Zertifizierung deckt Ihren Bedarf weitgehend.
Sie betreiben ein Hochrisiko-System: Die Zertifizierung ist eine gute Basis, aber Sie müssen zusätzlich je System die Pflichten der Art. 9–15 belegen — dokumentiert und prüfbar.
Sie brauchen den Nachweis, nicht nur den Prozess: Ein Zertifikat sagt, dass ein Prozess existiert. Audit-Reife heißt, für jede Behauptung die Evidenz vorlegen zu können. Reifegrad-Modelle wie AIMS (ISO 42001 × CMMI v3) verbinden beides.

Kurz: ISO 42001 ist notwendig-nützlich, aber nicht hinreichend. Trust entsteht nicht aus dem Zertifikat, sondern aus der nachweisbaren Erfüllung der konkreten Pflichten — das Zertifikat ist die Folge, nicht das Ziel.

Weiterführend

Wie die Pflichten pro Rolle und Risikoklasse konkret aussehen, zeigt der Leitfaden zum EU AI Act auf eu-ai-verordnung.de. Ob ein System überhaupt als Hochrisiko gilt, klärt der KI-VO-Check auf ki-vo-check.de.

AEGIRA AI Navigator leitet aus Ihrem AIMS die systemspezifischen Pflichten ab — nachweisbar und audit-ready: aegira.ai.