Was ist ISO/IEC 42001?
ISO/IEC 42001:2023 ist die erste internationale Norm für ein AI Management System (AIMS), im deutschsprachigen Kontext häufig KI-Managementsystem genannt. Sie beschreibt, wie Organisationen KI verantwortungsvoll, transparent und nachweisbar entwickeln, bereitstellen oder nutzen können.
Für Institute mit bestehendem ISO-27001- oder ISO-9001-Managementsystem ist das hilfreich, weil ISO/IEC 42001 in die bekannte Managementsystem-Logik passt: Kontext, Führung, Planung, Support, Betrieb, Bewertung und Verbesserung.
Was leistet ISO/IEC 42001 für den EU AI Act?
Die Norm unterstützt insbesondere Governance, Risiko- und Qualitätsmanagement, Kompetenz, Dokumentation, Lieferantensteuerung und kontinuierliche Verbesserung. Damit ist sie ein sehr guter Rahmen, um EU AI Act-Compliance organisatorisch zu verankern.
- Risikomanagement und dokumentierte Bewertungsprozesse
- Data Governance und Qualitätsanforderungen
- Human Oversight und Verantwortlichkeiten
- Kompetenz, Bewusstsein und Schulung
- Lieferanten- und Lebenszyklusmanagement
Wo stößt ISO/IEC 42001 an Grenzen?
Bei fünf Themen braucht es eigene Prüfungen: Rollenklärung, CE-Kennzeichnung und EU-Datenbank, FRIA, Incident Response und Arbeitsrecht.
| Bereich | EU AI Act verlangt | Zusätzlich erforderlich |
|---|---|---|
| Rollenklärung | Abgrenzung Anbieter, Betreiber, Importeur, Händler | Juristische und prozessuale Bewertung je System und Nutzung |
| CE / EU-Datenbank | Anbieterpflichten bei Hochrisiko-KI | Konformitätsbewertung, technische Dokumentation und Registrierung, wenn Anbieterrolle vorliegt |
| FRIA | Fundamental Rights Impact Assessment für bestimmte Hochrisiko-Nutzungen | Konkrete Folgenabschätzung für Kredit und Life/Health Insurance sowie ggf. weitere Konstellationen |
| Incident Response | Meldepflichten nach EU AI Act, DSGVO und DORA | Abgestimmter Drei-Regime-Prozess mit klaren Fristen und Eskalationswegen |
| Arbeitsrecht | Information und ggf. Mitbestimmung bei HR-KI | Einbindung von Arbeitnehmervertretung und Prüfung österreichischer ArbVG-Anforderungen |
Welche AI-Act-Pflichten deckt ISO/IEC 42001 nicht vollständig ab?
Fünf formale Pflichten: Konformitätsbewertung (Art. 43), CE-Kennzeichnung (Art. 48), EU-Datenbankregistrierung (Art. 49), Post-Market-Monitoring (Art. 72) und Incident Response (Art. 73). ISO/IEC 42001 ist ein starker Managementsystem-Rahmen, eine Zertifizierung ersetzt diese Pflichten aber nicht automatisch. Die Lücken sollten explizit dokumentiert werden.
| Lücke | EU AI Act | Zusätzlich zu klären |
|---|---|---|
| Konformitätsbewertung | Art. 43 | Formales Verfahren je Anbieterrolle und Hochrisiko-System. |
| CE-Kennzeichnung | Art. 48 | Nur relevant, wenn Anbieterpflichten greifen; Prozess und Nachweise separat führen. |
| EU-Datenbankregistrierung | Art. 49 | Registrierungspflichten für bestimmte Hochrisiko-Systeme gesondert prüfen. |
| Post-Market Monitoring | Art. 72 | AI-Act-spezifische Überwachung und Rückkopplung mit Anbieterinformationen definieren. |
| Incident Response | Art. 73, DSGVO, DORA, NISG 2026 | Meldekaskade mit unterschiedlichen Behördenwegen und Fristen abbilden. |
Welche harmonisierten EU-Normen gibt es zum AI Act?
CEN/CENELEC erarbeiten harmonisierte Normen für den EU AI Act. Als erste Norm für AI-Act-Zwecke wurde EN 18286:2026 (Qualitätsmanagementsystem für AI-Act-Zwecke, insbesondere Art. 17 für Anbieter von Hochrisiko-KI) am 31. Juli 2026 von CEN/CENELEC als veröffentlicht bekanntgegeben. Normveröffentlichung und Veröffentlichung der Fundstelle im EU-Amtsblatt sind zwei getrennte Schritte: Erst die Amtsblattfundstelle löst eine Konformitätsvermutung aus. Für EN 18286 ist sie mit Durchführungsbeschluss (EU) 2026/2274 am 14. Oktober 2026 erschienen; die Vermutung gilt für die von der Norm abgedeckten Anforderungen von Art. 17. ISO/IEC 42001 ist ein starkes Fundament, ersetzt diese Prüfung aber nicht automatisch.
CSRD/ESRS: Kann ISO 42001 als Nachweisrahmen dienen?
Ja, als organisatorischer Rahmen. Wenn KI-Bias oder diskriminierende KI-Entscheidungen als wesentliche Nachhaltigkeitsauswirkung oder Governance-Risiko einzustufen sind, braucht die CSRD-/ESRS-Berichterstattung belastbare Nachweise. ISO/IEC 42001 kann dafür den organisatorischen Rahmen liefern: Policies, Rollen, Risikobewertungen, Kontrollen, Monitoring, interne Audits und Management Reviews. Die ESRS-Berichtspflicht selbst wird dadurch nicht ersetzt, aber die Nachweisfähigkeit wird deutlich besser strukturierbar. Voraussetzung ist, dass das Institut überhaupt berichtspflichtig ist: Die Richtlinie (EU) 2026/470 hat den CSRD-Anwendungsbereich auf EU-Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. Euro Nettoumsatz eingeschränkt; nationale Umsetzung, Übergangsjahre und Konzernbetrachtung sind zusätzlich zu prüfen. Zudem muss die Auswirkung oder das Risiko wesentlich sein – nicht jeder Bias-Vorfall führt zu einer ESRS-Angabe.
Eine Implementierung ist kein reines IT-Projekt. Sie betrifft Vorstand, Compliance, Legal, IT, HR, Einkauf und Fachabteilungen. Zentral sind Scope, KI-Inventar, Risiko- und Kontrollmodell, Rollen, Nachweise und regelmäßige Managementbewertungen.
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).