Wissen
Wer in einem europäischen Finanzinstitut in Compliance, Risiko oder Technologie-Governance arbeitet, hat mit ziemlicher Sicherheit schon gehört, dass ISO 42001 die Antwort auf KI-Compliance sei. Anbieter wie Vanta und Drata vermarkten ISO-42001-Zertifizierungsprogramme prominent. LinkedIn ist voll von Beratern, die anbieten, Sie über ISO 42001 „KI-Verordnungs-konform“ zu machen. Die Botschaft ist eindeutig: zertifizieren lassen, Haken setzen, weitermachen.
Die Wirklichkeit ist vielschichtiger - und ein Irrtum hat hier reale Folgen.
ISO 42001, veröffentlicht im Dezember 2023, ist die weltweit erste internationale Norm für KI-Managementsysteme (AIMS). Sie liefert einen strukturierten Rahmen, mit dem Organisationen KI über den gesamten Lebenszyklus verantwortungsvoll steuern. Die KI-Verordnung, die im August 2024 in Kraft getreten ist, ist das weltweit erste umfassende KI-Gesetz - eine verbindliche Verordnung mit Sanktionen von bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes.
Sie klingen ähnlich. Beide behandeln KI-Risiken. Sie teilen sogar einen Teil des Vokabulars. Doch es sind grundlegend verschiedene Instrumente mit unterschiedlichem Rechtsgewicht, unterschiedlichem Anwendungsbereich und unterschiedlichen Durchsetzungsmechanismen. Dieser Artikel zeigt genau, wo sie zusammenlaufen, wo sie auseinandergehen und was das 2026 für Ihre Organisation bedeutet.
📜
Die Norm verstehen
Was ISO 42001 tatsächlich ist
ISO/IEC 42001:2023 ist eine internationale Norm, entwickelt vom Komitee ISO/IEC JTC 1/SC 42. Sie legt Anforderungen an Aufbau, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines KI-Managementsystems (AIMS) innerhalb einer Organisation fest. Wenn Sie ISO 27001 für Informationssicherheit oder ISO 9001 für Qualitätsmanagement kennen: ISO 42001 folgt derselben Annex-SL-Grundstruktur.
Kernmerkmale von ISO 42001
- Freiwillig - Es besteht keine gesetzliche Pflicht zur Anwendung. Organisationen wählen die Zertifizierung, um Governance-Reife zu belegen.
- Organisatorischer Anwendungsbereich - Abgedeckt ist, wie die Organisation KI steuert, statt wie ein einzelnes KI-System arbeitet.
- Lebenszyklusabdeckung - Behandelt KI von Entwurf und Entwicklung über Einsatz und Betrieb bis zur Außerbetriebnahme.
- Risikobasiert - Abschnitt 6 verlangt, dass Organisationen KI-bezogene Risiken erkennen, bewerten und eine angemessene Behandlung festlegen.
- Controls aus dem Anhang - Anhang A enthält 38 Controls über 9 Domänen, darunter Grundsätze verantwortungsvoller KI, Data Governance, Steuerung von Dritten und Folgenabschätzung.
- Zertifizierbar - Organisationen können von akkreditierten Zertifizierungsstellen auditiert und zertifiziert werden. Die ersten Zertifikate wurden Mitte 2024 ausgestellt.
ISO 42001 ist eine ehrlich nützliche Norm. Sie zwingt Organisationen dazu, KI-Governance systematisch zu denken: Wer ist verantwortlich, wie werden Risiken bewertet, wie werden Modelle dokumentiert, wie werden Interessengruppen einbezogen. Für Organisationen ohne KI-Governance-Rahmen liefert sie eine ausgezeichnete Ausgangsstruktur, und sie ist der schnellste Weg, KI-Governance aus einer Serie von Einzelfalldebatten zwischen Recht, Modellverantwortlichen und demjenigen, der den Lieferantenvertrag unterschrieben hat, herauszuholen. Die Frage ist, ob diese Struktur rechtliche Pflichten erfüllt.
⚖
Das Gesetz verstehen
Was die KI-Verordnung verlangt
Die KI-Verordnung (Verordnung 2024/1689) ist ein verbindliches Rechtsinstrument, das unmittelbar in allen 27 EU-Mitgliedstaaten gilt. Sie empfiehlt keine guten Praktiken, sondern erlegt durchsetzbare Pflichten mit erheblichen Sanktionen bei Verstößen auf. Die Verordnung nutzt ein risikobasiertes Klassifizierungssystem, das bestimmt, welche Pflichten für welche KI-Systeme gelten.
Risikokategorien der KI-Verordnung
- Unannehmbares Risiko (Art. 5) - Vollständig verboten. Social Scoring, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit Ausnahmen), Manipulation schutzbedürftiger Gruppen, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Wirksam seit Februar 2025.
- Hohes Risiko (Art. 6, Anhang III) - Erlaubt, aber stark reguliert. Dazu zählen KI in der Bonitätsbewertung, der Versicherungstarifierung, der Personalauswahl, der Strafverfolgung und in kritischer Infrastruktur. Die vollen Pflichten gelten ab dem 2. Dezember 2027 (durch den Digital Omnibus von August 2026 verschoben).
- Begrenztes Risiko (Art. 50) - Transparenzpflichten. Chatbots müssen offenlegen, dass sie KI sind; Deepfakes müssen gekennzeichnet werden. Wirksam seit August 2025.
- Minimales Risiko - Keine spezifischen Pflichten, freiwillige Verhaltenskodizes werden jedoch angeregt.
Für Finanzinstitute spielt die Musik in der Hochrisikokategorie, und die Pflichten darin sind alles andere als gleich schwer. Artikel 10 zur Data Governance ist der schmerzhafte: nachzuweisen, woher die Trainingsdaten stammen und dass sie für den Zweck geeignet sind, wird bei einem über Jahre nachtrainierten Modell zur Archäologie und endet meist in unangenehmen Fragen an einen Anbieter oder ein Datenteam. Dokumentation und Aufzeichnungspflichten sind dagegen bloße Planungsaufgaben. KI-Systeme zur Bonitätsbewertung, zur Versicherungsrisikotarifierung, zur Betrugserkennung und zur Geldwäschebekämpfung fallen typischerweise unter Anhang III, Kategorie 5(b). Diese Systeme müssen die Artikel 8 bis 15 erfüllen, bevor sie in Verkehr gebracht oder in Betrieb genommen werden - das umfasst Risikomanagement, Data Governance, technische Dokumentation, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit.
Die Durchsetzung ist real
Die Sanktionen der KI-Verordnung sind gestaffelt: bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes für den Einsatz verbotener KI-Systeme, bis zu 15 Millionen Euro oder 3 % bei Verstößen gegen Hochrisikopflichten und bis zu 7,5 Millionen Euro oder 1 % für unrichtige Angaben. Die nationalen Marktüberwachungsbehörden und das neu geschaffene EU-Büro für Künstliche Intelligenz teilen sich die Durchsetzung.
📈
Gegenüberstellung
Direktvergleich: ISO 42001 vs. KI-Verordnung
Der folgende Vergleich über 14 Dimensionen zeigt, wie unterschiedlich diese beiden Instrumente sind - trotz des gemeinsamen Gegenstands.
| Dimension | ISO 42001 | KI-Verordnung |
|---|---|---|
| Charakter | Freiwillige internationale Norm | Verbindliche EU-Verordnung (Gesetz) |
| Rechtswirkung | Keine - allein vertraglicher oder reputativer Wert | Unmittelbar anwendbar in 27 EU-Mitgliedstaaten |
| Anwendungsbereich | Alle KI-Systeme im AIMS-Geltungsbereich der Organisation | KI-Systeme nach Risikostufe klassifiziert; Pflichten je Kategorie verschieden |
| Risikoansatz | Organisatorische Risikobewertung (Abschnitt 6.1) | Risikoklassifizierung auf Systemebene (Art. 6, Anhang III) |
| Dokumentation | AIMS-Dokumentation, Richtlinien, KI-Folgenabschätzungen | Technische Dokumentation je System (Art. 11, Anhang IV) mit vorgegebenem Inhalt |
| Prüfanforderungen | Allgemeine Anforderung zur Leistungsbewertung (Abschnitt 9) | Konkrete Prüfung von Genauigkeit, Robustheit, Cybersicherheit (Art. 15); Tests vor dem Einsatz (Art. 9 Abs. 7) |
| Transparenz | Organisatorische Transparenzrichtlinie (Anhang A, A.5) | Transparenz je System gegenüber Nutzenden (Art. 13); Offenlegungspflichten für Chatbots und Deepfakes (Art. 50) |
| Menschliche Aufsicht | Allgemeine Governance-Anforderung | Konkrete technische Maßnahmen für menschliches Eingreifen (Art. 14); „Stopp-Taste“ |
| Konformitätsbewertung | Zertifizierungsaudit durch Dritte gegen die Norm | Selbstbewertung oder Bewertung durch eine benannte Stelle je System (Art. 43); CE-Kennzeichnung erforderlich |
| Verbotene Praktiken | Nicht behandelt | Ausdrückliche Liste verbotener KI-Anwendungen (Art. 5) |
| Sanktionen | Verlust der Zertifizierung; Reputationsschaden | 7,5 Mio. EUR bis 35 Mio. EUR oder 1 % bis 7 % des weltweiten Umsatzes |
| Durchsetzende Stelle | Akkreditierte Zertifizierungsstellen (z. B. BSI, TÜV) | Nationale Marktüberwachungsbehörden und das EU-Büro für KI |
| Geografische Reichweite | Weltweit (jede Organisation kann sie anwenden) | EU-Markt und extraterritorial (jeder Anbieter, der Systeme in der EU bereitstellt) |
| GPAI-Pflichten | Nicht behandelt | Konkrete Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (Art. 51-55) |
Die Tabelle macht den Unterschied deutlich: ISO 42001 bescheinigt, dass Ihre Organisation ein Managementsystem hat. Die KI-Verordnung verlangt, dass jedes einzelne KI-System konkrete technische und rechtliche Anforderungen erfüllt. Das eine betrifft Governance-Reife, das andere Produktkonformität.
✅
Echte Überschneidung
Wo ISO 42001 bei der KI-Verordnung hilft
Fairerweise gibt es erhebliche echte Überschneidungen. Eine Organisation mit einem belastbaren AIMS steht für die Anforderungen der KI-Verordnung deutlich besser da als eine, die bei null anfängt. Das sind die Bereiche mit substanzieller Annäherung:
Fünf Bereiche echter Deckungsgleichheit
1. Rahmen für das Risikomanagement
ISO 42001 Abschnitt 6.1 verlangt einen systematischen Prozess zur KI-Risikobewertung. Artikel 9 der KI-Verordnung verlangt ein Risikomanagementsystem für Hochrisiko-KI. Der ISO-Rahmen liefert genau die Governance-Struktur und Methodik, die Artikel 9 einfordert - auch wenn die Verordnung dies auf Ebene des einzelnen Systems verlangt, lässt sich der organisatorische Prozess aus ISO 42001 unmittelbar übertragen.
2. Dokumentation und Aufzeichnungen
ISO 42001 Abschnitt 7.5 und die Controls aus Anhang A (A.6.2.4, A.6.2.5) etablieren Dokumentationspraktiken, darunter Systembeschreibungen, Datendokumentation und Entscheidungsaufzeichnungen. Die Artikel 11 und 12 sowie Anhang IV der KI-Verordnung verlangen ausführliche technische Dokumentation und automatische Protokollierung. Die für ISO aufgebauten Gewohnheiten und Strukturen bilden dafür ein solides Fundament.
3. Data Governance
Das Control A.7 aus Anhang A der ISO 42001 behandelt Datenqualität, Herkunft und Eignung für den Zweck. Artikel 10 der KI-Verordnung verlangt Data-Governance-Praktiken für Trainings-, Validierungs- und Testdatensätze. Wer Data Governance unter ISO 42001 formalisiert hat, findet viel Vorarbeit für Artikel 10 bereits erledigt.
4. Überwachung und fortlaufende Verbesserung
ISO 42001 Abschnitt 9 (Leistungsbewertung) und Abschnitt 10 (Verbesserung) etablieren Prozesse für Überwachung, Messung, Analyse und Korrekturmaßnahmen. Artikel 72 der KI-Verordnung verlangt eine Beobachtung nach dem Inverkehrbringen für Hochrisikosysteme. Die aus ISO gewachsene Überwachungskultur und -infrastruktur stützt diese Pflicht unmittelbar.
5. Governance-Struktur
ISO 42001 Abschnitt 5 (Führung) verlangt das Bekenntnis der obersten Leitung, definierte Rollen und Verantwortlichkeiten sowie eine KI-Richtlinie. Die KI-Verordnung verlangt von Betreibern angemessene Governance-Strukturen (Art. 26). ISO 42001 schafft genau jene organisatorische Rechenschaftspflicht, die die Verordnung als vorhanden voraussetzt.
„Die ISO-42001-Zertifizierung verhält sich zur Konformität mit der KI-Verordnung wie die ISO-27001-Zertifizierung zur DSGVO-Konformität: Sie belegt organisatorische Reife und etabliert gute Praktiken, erfüllt die gesetzlichen Anforderungen aus sich heraus jedoch nicht.“
⚠
Kritische Lücken
Wo die ISO-42001-Zertifizierung an ihre Grenzen stößt
Hier wird es ernst. Trotz der Überschneidung gibt es sieben erhebliche Bereiche, in denen die ISO-42001-Zertifizierung allein Sie gegenüber der KI-Verordnung angreifbar lässt. Jeder davon steht für eine Lücke, die durch gesonderte, gezielte Compliance-Arbeit geschlossen werden muss. Sie sind unterschiedlich teuer, und eine Priorisierung auf dieser Basis lohnt sich. Ihr Inventar gegen die Liste verbotener Praktiken zu prüfen (Lücke 4) ist ein Vormittag mit einer Juristin. Die Datenbankregistrierung (Lücke 6) ist ein Formular. Lücke 2, der systembezogene technische Nachweis zu Genauigkeit, Robustheit und Protokollierung, landet direkt bei Entwicklungsteams, die für das Quartal längst verplant sind, und genau damit sollten Sie jetzt beginnen.
Lücke 1: Konformitätsbewertung auf Systemebene (Art. 43)
Die KI-Verordnung verlangt eine Konformitätsbewertung für jedes einzelne Hochrisiko-KI-System, bevor es in Verkehr gebracht werden darf. Je nach Systemtyp kann das eine Selbstbewertung sein oder eine benannte Stelle erfordern. Die ISO-42001-Zertifizierung ist eine organisatorische Bewertung; sie sagt nichts darüber aus, ob ein bestimmtes System die technischen Anforderungen der Verordnung erfüllt. Sie können nach ISO 42001 zertifiziert sein und dennoch nicht konforme KI-Systeme betreiben.
Lücke 2: Konkrete technische Anforderungen an Hochrisikosysteme (Art. 8-15)
Die KI-Verordnung schreibt konkrete technische Anforderungen vor: Genauigkeitskennzahlen müssen angegeben und eingehalten werden (Art. 15 Abs. 1), Robustheit gegen Fehler und gegnerische Angriffe muss sichergestellt sein (Art. 15 Abs. 4), Cybersicherheitsmaßnahmen müssen im Verhältnis zu den Risiken stehen (Art. 15 Abs. 5), und die automatische Protokollierung muss bestimmte Ereignisse erfassen (Art. 12). ISO 42001 behandelt diese Themen auf Richtlinienebene, verlangt jedoch nicht den systembezogenen technischen Nachweis, den die Verordnung einfordert.
Lücke 3: Transparenzanforderungen je System (Art. 13, Art. 50)
ISO 42001 etabliert eine Transparenzrichtlinie. Die KI-Verordnung verlangt konkrete Offenlegungen je System: Hochrisikosysteme müssen Betriebsanleitungen bereitstellen, die Zweckbestimmung, Genauigkeitsniveaus, bekannte Grenzen und Maßnahmen zur menschlichen Aufsicht erläutern (Art. 13). Zusätzlich gelten für Chatbots und Deepfake-Generatoren eigene Offenlegungspflichten (Art. 50). Eine allgemeine Transparenzrichtlinie erfüllt diese kleinteiligen systembezogenen Anforderungen nicht.
Lücke 4: Verbotene KI-Praktiken (Art. 5)
Die KI-Verordnung verbietet bestimmte KI-Anwendungen ausdrücklich: Social Scoring, das Ausnutzen von Schutzbedürftigkeit, das ungezielte Auslesen von Gesichtsbildern, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie bestimmte biometrische Kategorisierungssysteme. ISO 42001 kennt keine entsprechende Regelung. Eine Organisation kann vollständig nach ISO 42001 zertifiziert sein und zugleich KI-Systeme betreiben, die nach der KI-Verordnung rechtswidrig sind.
Lücke 5: Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (Art. 51-55)
Die KI-Verordnung führt eigene Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) ein, darunter technische Dokumentation, Informationen für nachgelagerte Anbieter, Urheberrechtskonformität und - für Modelle mit systemischem Risiko - gegnerische Tests, Meldung von Vorfällen und Modellbewertung. ISO 42001 wurde vor der Fertigstellung der GPAI-Bestimmungen veröffentlicht und behandelt diese Pflichten überhaupt nicht.
Lücke 6: Registrierung in der EU-Datenbank (Art. 49, Art. 71)
Anbieter und Betreiber von Hochrisiko-KI-Systemen müssen sich in der öffentlichen EU-Datenbank registrieren, bevor das System in Verkehr gebracht wird (Art. 49). Betreiber, die Behörden sind, müssen sich ebenfalls registrieren (Art. 49 Abs. 3). Das ist eine konkrete Verfahrenspflicht ohne Entsprechung in ISO 42001. Eine Zertifizierung registriert Ihre Systeme nicht.
Lücke 7: Konkrete Vorgaben zur Beobachtung nach dem Inverkehrbringen (Art. 72)
ISO 42001 verlangt allgemeine Überwachung und Verbesserung. Die KI-Verordnung legt darüber hinaus fest, dass Anbieter von Hochrisikosystemen ein System zur Beobachtung nach dem Inverkehrbringen einrichten müssen, das der Art und den Risiken des Systems angemessen ist, aktiv und systematisch Daten erheben und auswerten muss und in das Risikomanagementsystem zurückfließen muss. Die Verordnung verlangt außerdem die Meldung schwerwiegender Vorfälle an die Behörden (Art. 73) innerhalb definierter Fristen - ein Punkt, den ISO 42001 nicht behandelt.
⚖
Das Fazit
Das Urteil: Sie brauchen beides, aus jeweils eigenen Gründen
Die Antwort auf die Titelfrage ist eindeutig: ISO 42001 und die KI-Verordnung sind zwei verschiedene Dinge, und ja, Sie müssen sich sehr wahrscheinlich um beide kümmern. Sie verfolgen jedoch unterschiedliche Zwecke und ergänzen einander, statt sich gegenseitig zu vertreten.
ISO 42001 ist Ihr Fundament
- Organisatorische Reife der KI-Governance
- Systematische Risikomanagementprozesse
- Dokumentationskultur und -infrastruktur
- Vertrauen der Interessengruppen und Marktsignal
- Rahmen für fortlaufende Verbesserung
Die KI-Verordnung ist Ihre Rechtspflicht
- Technische Konformität auf Systemebene
- Konformitätsbewertung je KI-System
- Prüfung gegen verbotene Praktiken
- Registrierung in der EU-Datenbank
- Meldung von Vorfällen an die Behörden
Ein Bild dazu: ISO 42001 ist die Fahrausbildung - sie bringt Ihnen bei, verantwortungsvoll zu fahren. Die KI-Verordnung ist die Straßenverkehrsordnung - sie legt die konkreten Regeln fest, die auf der Straße gelten, mit Polizei zur Durchsetzung und Bußgeldern bei Verstößen. Die Ausbildung erhöht die Wahrscheinlichkeit, dass Sie die Regeln einhalten, befreit Sie von ihnen aber nicht.
„Die ISO-42001-Zertifizierung ist ein gutes Fundament für die Konformität mit der KI-Verordnung und tritt nicht an deren Stelle. Die Norm baut Governance-Reife auf; das Gesetz verlangt konkrete Nachweise auf Systemebene. Beides ist wertvoll. Jedes für sich bleibt unvollständig.“
Erwähnenswert ist, dass die Europäische Kommission harmonisierte Normen ausdrücklich als Weg zur Konformitätsvermutung nach der KI-Verordnung anerkennt (Art. 40). Stand Mitte 2026 ist ISO 42001 im Amtsblatt jedoch nicht als harmonisierte Norm unter der KI-Verordnung gelistet. Die europäischen Normungsorganisationen (CEN/CENELEC) entwickeln über JTC 21 eigene harmonisierte Normen zur KI-Verordnung, die von ISO 42001 getrennt sind. Solange keine harmonisierten Normen förmlich veröffentlicht sind, begründet keine freiwillige Norm, ISO 42001 eingeschlossen, eine Konformitätsvermutung.
🔍
Realitätscheck am Markt
Was Compliance-Anbieter bei „KI-Compliance“ falsch darstellen
An dieser Stelle verdient die Marktkommunikation genaues Hinsehen. Plattformen wie Vanta und Drata stellen ISO-42001-Zertifizierungsprogramme prominent heraus und nutzen im Marketing Begriffe wie „KI-Compliance“ und „KI-Governance“. Gegen ein Angebot zur ISO-42001-Unterstützung ist nichts einzuwenden, die Norm ist wertvoll. Das Problem liegt in der Suggestion.
Die Lücke in der Botschaft
Wenn ein Anbieter einem europäischen Finanzinstitut „KI-Compliance“ verkauft und dabei Werkzeuge zur ISO-42001-Zertifizierung liefert, kann das Etikett ein falsches Gefühl von Vollständigkeit erzeugen. Die Compliance-Verantwortliche sieht „KI-Compliance“ auf ihrem Dashboard und setzt im Kopf einen Haken. Währenddessen gilt:
- Niemand hat die KI-Systeme in die Risikokategorien der KI-Verordnung eingeordnet
- Es wurden keine Konformitätsbewertungen je System durchgeführt
- Kein System wurde gegen die Liste verbotener Praktiken geprüft
- Eine Registrierung in der EU-Datenbank ist nicht erfolgt
- Technische Dokumentation nach Anhang IV existiert für kein System
- Kein Plan zur Beobachtung nach dem Inverkehrbringen erfüllt die Vorgaben aus Art. 72
Hier geht es nicht um Kritik an ISO 42001 als Norm, sie ist ehrlich gut gemacht. Es geht um Kritik an Marketing, das eine organisatorische Governance-Zertifizierung mit rechtlicher Regulierungskonformität gleichsetzt. Das sind verschiedene Dinge. Compliance-Teams haben Anspruch auf klare, ehrliche Auskunft darüber, was jedes Instrument abdeckt und wo Lücken bleiben.
Ein verantwortungsvoller Anbieter hilft Ihnen zur ISO-42001-Zertifizierung und bildet zugleich die konkreten Pflichten der KI-Verordnung ab, die für Ihre Systeme gelten. Beides gleichzusetzen lässt Sie angreifbar zurück, ob aus Missverständnis oder aus Vereinfachung.
🎯
Unser Ansatz
Wie Venvera KI-Governance angeht
Wir haben Venveras Modul zur KI-Verordnung von Grund auf um die Unterscheidung zwischen organisatorischer Governance und Konformität auf Systemebene herum gebaut. Statt die ISO-42001-Zertifizierung als „KI-Compliance erledigt“ zu behandeln, arbeiten wir mit zwei einander ergänzenden Ebenen:
Ebene 1: KI-Systemregister & Risikoklassifizierung
Jedes KI-System, das Ihre Organisation entwickelt, einsetzt oder vertreibt, wird mit seiner Risikoklassifizierung nach der KI-Verordnung registriert. Hochrisikosysteme werden über den gesamten Compliance-Lebenszyklus verfolgt: Konformitätsbewertung, technische Dokumentation, Transparenzpflichten, Maßnahmen zur menschlichen Aufsicht, Beobachtung nach dem Inverkehrbringen und Status der Registrierung in der EU-Datenbank.
Das ist Konformität auf Systemebene, also genau der Teil, den ISO 42001 offen lässt.
Ebene 2: Verfolgung der organisatorischen Governance
Neben der Verfolgung auf Systemebene bieten wir eine Reifebewertung der Governance im Einklang mit den Controls der ISO 42001. Risikomanagementprozesse, Data-Governance-Richtlinien, Rollen und Verantwortlichkeiten, Einbindung von Interessengruppen und fortlaufende Verbesserung, alles auf organisatorischer Ebene verfolgt.
Das unterstützt sowohl die Vorbereitung auf die ISO-42001-Zertifizierung als auch die von der KI-Verordnung implizit vorausgesetzte organisatorische Governance-Reife.
Und weil Venvera bereits DORA, die DSGVO, ISO 27001, NIS2 und weitere Rahmenwerke steuert, sorgt das rahmenwerksübergreifende Control-Mapping dafür, dass KI-Governance mit dem Rest verbunden bleibt. Ein KI-System, das personenbezogene Daten verarbeitet, löst in derselben Plattform Pflichten aus KI-Verordnung und DSGVO aus. Ein Bonitätsmodell in einem DORA-regulierten Unternehmen bildet sich gleichzeitig auf drei Rahmenwerke ab. So funktioniert Compliance in der Praxis: verbunden statt in Silos je Rahmenwerk.
📅
Zeitplan
Wichtige Fristen der KI-Verordnung, die Sie im Blick behalten müssen
Die stufenweise Einführung der KI-Verordnung bedeutet, dass Pflichten gerade jetzt durchsetzbar werden. Für die ISO-42001-Zertifizierung gibt es keine vergleichbaren Fristen, sie folgt Ihrem Zeitplan. Das Gesetz tut das nicht.
| Datum | Was in Kraft tritt | Status |
|---|---|---|
| 1. August 2024 | Die KI-Verordnung tritt in Kraft | ✓ Erledigt |
| 2. Februar 2025 | Verbotene Praktiken (Art. 5) durchsetzbar; Pflichten zur KI-Kompetenz (Art. 4) | ✓ Erledigt |
| 2. August 2025 | Pflichten für GPAI-Modelle (Art. 51-55); Governance-Stellen eingerichtet; Sanktionsrahmen aktiv | ✓ Erledigt |
| 2. August 2026 | Transparenzpflichten (Art. 50): Kennzeichnung von Chatbots, Deepfakes und synthetischen Inhalten. Der Digital Omnibus hat dieses Datum unverändert gelassen. | Bevorstehend |
| 2. Dezember 2027 | Hochrisiko-KI-Systeme (Art. 6, Anhang III): Konformitätsbewertung, technische Dokumentation, Betreiberpflichten (Art. 26). Durch den Digital Omnibus von August 2026 verschoben. | Bevorstehend |
| 2. August 2028 | Hochrisiko-KI, die in regulierte Produkte eingebettet ist (Anhang I). Durch den Digital Omnibus von August 2027 verschoben. | Bevorstehend |
Für Finanzinstitute: Dezember 2027 ist jetzt die Hochrisiko-Frist
KI-Systeme in Bonitätsbewertung, Versicherungsrisikobewertung, Betrugserkennung und Geldwäschebekämpfung, die unter Anhang III, Kategorie 5(b) fallen, müssen bis zum 2. Dezember 2027 konform sein, dem Datum, auf das der Digital Omnibus dies von August 2026 verschoben hat. Eine ISO-42001-Zertifizierung dauert 6 bis 12 Monate. Das Abbilden und Schließen der Pflichten aus der KI-Verordnung je System dauert ähnlich lange. Wer beide Arbeitsstränge noch nicht begonnen hat, dem wird die Uhr unangenehm knapp. Lesen Sie die Verschiebung richtig: Sie hat ein Datum bewegt und inhaltlich nichts erleichtert. Harmonisierte Normen sind weiterhin in Arbeit, die zusätzlichen Monate sind also Monate zum Aufbau systembezogener Nachweise statt Monate des Wartens darauf, dass jemand anderes die Anforderung für Sie definiert.
🛠
Aktionsplan
Praktische Empfehlungen für 2026
Aus der obigen Analyse ergibt sich, was wir europäischen Finanzinstituten für die KI-Governance 2026 empfehlen:
Schritt 1: Bauen Sie Ihr KI-Systeminventar auf
Bevor Sie eine Zertifizierung oder ein Compliance-Programm angehen, erstellen Sie ein vollständiges Inventar jedes KI-Systems, das Ihre Organisation entwickelt, einsetzt oder einkauft. Nehmen Sie eingekaufte KI auf, die in anderen Produkten steckt. Sie können nur klassifizieren, was Sie sehen. Rechnen Sie damit, dass das Inventar selbst die Überraschung ist. KI kommt weit häufiger über beschaffte Software ins Haus als aus einem Data-Science-Team, und die Systeme, die niemand für KI hält, das Screening-Werkzeug im HR-Paket, das Modell im Zahlungsdienstleister, sind genau die, um die es Anhang III geht.
Schritt 2: Ordnen Sie jedes System der KI-Verordnung zu
Bilden Sie jedes KI-System auf die Risikokategorien der KI-Verordnung ab. Prüfen Sie zuerst auf verbotene Praktiken (Art. 5). Bewerten Sie danach gegen die Hochrisikokategorien aus Anhang III. Für Finanzdienstleistungen verdienen Kategorie 5(b) (Kreditwürdigkeit und Bonitätsbewertung) und Kategorie 5(a) (Versicherungstarifierung) besondere Aufmerksamkeit.
Schritt 3: Nutzen Sie ISO 42001 als Governance-Fundament
Setzen Sie ISO 42001 ein, um Ihren organisatorischen KI-Governance-Rahmen zu etablieren. Das baut die Prozesse, die Dokumentationskultur, die Risikomanagementmethodik und die Governance-Strukturen auf, die die Konformität mit der KI-Verordnung auf Systemebene stützen und zugleich weiterhin voraussetzen.
Schritt 4: Schließen Sie die Lücken auf Systemebene
Arbeiten Sie für jedes Hochrisiko-KI-System die konkreten Pflichten ab: technische Dokumentation (Anhang IV), Konformitätsbewertung (Art. 43), Transparenzangaben (Art. 13), Maßnahmen zur menschlichen Aufsicht (Art. 14), Tests zu Genauigkeit und Robustheit (Art. 15), Pläne zur Beobachtung nach dem Inverkehrbringen (Art. 72) und die Registrierung in der EU-Datenbank (Art. 49).
Schritt 5: Wählen Sie Werkzeuge, die beides verstehen
Wählen Sie eine Compliance-Plattform, die zwischen organisatorischer Governance und Konformität auf Systemebene unterscheidet. Seien Sie vorsichtig bei Anbietern, die die ISO-42001-Zertifizierung als die gesamte „KI-Compliance“ darstellen. Ihre Werkzeuge sollten beide Ebenen verfolgen und die Lücken sichtbar machen.
Häufig gestellte Fragen
Macht mich eine ISO-42001-Zertifizierung konform mit der KI-Verordnung?
Nein. ISO 42001 zertifiziert ein organisatorisches KI-Managementsystem; die KI-Verordnung erlegt Pflichten je System auf: Risikoklassifizierung, Konformitätsbewertung, technische Dokumentation und Registrierung in der EU-Datenbank. ISO 42001 ist ein starkes Fundament, das die Governance-Vorarbeit beschleunigt, tritt aber nicht an die Stelle der Verordnung und begründet aus sich heraus keine Konformitätsvermutung.
Ab wann gelten die Hochrisikopflichten der KI-Verordnung jetzt?
Der Digital Omnibus zur KI, am 29. Juni 2026 vom Rat angenommen, hat die Hochrisiko-Fristen verschoben. Eigenständige Hochrisikosysteme nach Anhang III gelten ab dem 2. Dezember 2027, in regulierte Produkte eingebettete Hochrisiko-KI nach Anhang I ab dem 2. August 2028. Die Transparenzpflichten aus Artikel 50 gelten weiterhin ab dem 2. August 2026, und die Verbote (Februar 2025) sowie die Pflichten für KI mit allgemeinem Verwendungszweck (August 2025) sind bereits in Kraft.
Brauche ich sowohl ISO 42001 als auch Konformität mit der KI-Verordnung?
Wer Hochrisiko-KI in der EU betreibt, für den ist die KI-Verordnung verpflichtend. ISO 42001 ist freiwillig. Die meisten regulierten Organisationen profitieren von beidem: ISO 42001 für organisatorische Reife und ein belastbares Governance-System, die KI-Verordnung für den systembezogenen Rechtsnachweis, den eine Aufsichtsbehörde verlangen kann.
Begründet ISO 42001 eine Konformitätsvermutung nach der KI-Verordnung?
Derzeit nicht. Nur im Amtsblatt gelistete harmonisierte Normen begründen nach Artikel 40 eine Konformitätsvermutung. CEN und CENELEC (JTC 21) entwickeln harmonisierte Normen zur KI-Verordnung, ISO 42001 ist Stand Mitte 2026 jedoch nicht als solche gelistet.
Wie ist ISO 42001 aufgebaut?
ISO/IEC 42001:2023 folgt derselben Annex-SL-Grundstruktur wie ISO 27001, mit einem KI-Managementsystem, das auf Führung, Planung, Risikobewertung und fortlaufender Verbesserung aufbaut, ergänzt um die Controls aus Anhang A über neun Bereiche zu Richtlinien für verantwortungsvolle KI, Data Governance, Steuerung von Dritten und Folgenabschätzung.
Primärquellen
Dieser Vergleich stützt sich auf die Primärtexte und die amtlichen Leitlinien: die KI-Verordnung, Verordnung (EU) 2024/1689 (Artikel 5, 6, 8-15, 40, 43, 49, 50, 72, 99 sowie Anhänge III und IV); die endgültige Annahme des Digital Omnibus zur KI durch den Europäischen Rat (29. Juni 2026), die die Hochrisiko-Fristen verschoben hat; ISO/IEC 42001:2023; sowie die Seiten der Europäischen Kommission zur KI-Verordnung. Prüfen Sie den aktuellen Text, bevor Sie sich auf ein bestimmtes Datum stützen.
Geprüft: Juli 2026 · Autor: Venvera Compliance Team
Dieser Artikel dient ausschließlich der Information und stellt keine Rechtsberatung dar. ISO 42001 und die Abschnittsverweise beziehen sich auf ISO/IEC 42001:2023. Die Artikelverweise zur KI-Verordnung beziehen sich auf die Verordnung (EU) 2024/1689 in der im Amtsblatt der Europäischen Union veröffentlichten Fassung. Für Compliance-Entscheidungen im Einzelfall sollten Organisationen qualifizierten Rechtsrat einholen.
