ISO-42001-Audit 2026: Welche Nachweise ein KI-Managementsystem liefern muss

Warum sich die Diskussion über KI-Audits 2026 verändert hat

Drei Dinge sind in dreizehn Monaten passiert, die still und leise neu geschrieben haben, wie ein Managementsystem für künstliche Intelligenz abgesichert wird, und die meisten Governance-Programme haben keines davon nachvollzogen: ISO/IEC 42006 hat den Zertifizierungsstellen ein eigenes Regelwerk gegeben, ISO 19011 wurde revidiert und gilt ohne Übergangsfrist ab Veröffentlichung, und am 27. Juli 2026 hat die Europäische Union den Großteil ihrer Hochrisikopflichten für KI um mehr als ein Jahr verschoben.

Zusammengenommen verschieben sie den Schwerpunkt, denn die regulatorische Frist, auf die alle hingearbeitet haben, hat sich bewegt, während der freiwillige Zertifizierungsweg zugleich strenger und zum ersten Mal wirklich vergleichbar von einem Zertifikat zum nächsten geworden ist. Wenn Ihr Plan für 2026 also um eine regulatorische Kante im August 2026 herum geschrieben wurde, zielt er inzwischen auf etwas, das dort nicht mehr steht.

Dieser Leitfaden richtet sich an alle, die die Frage in einer Vorstandsvorlage oder einer Sicherheitsprüfung durch Kunden beantworten müssen: Was verlangt ein ISO/IEC-42001-Audit tatsächlich, welche Nachweise genügen ihm, und was bringt ein Zertifikat unter der KI-Verordnung, nachdem sich der Zeitplan geändert hat. Er wird bei den Nachweisen bewusst konkret, weil genau dort Vorbereitungsprogramme scheitern. Organisationen kommen mit einem Satz Richtlinien in Stufe 2 und ohne jede Aufzeichnung der Entscheidungen, die diese Richtlinien hätten steuern sollen.

Man fragt mich immer irgendeine Variante von «sind wir bereit», und das ist die falsche Frage, denn Bereitschaft ist kein Zustand, den man erreicht, sondern eine Eigenschaft Ihrer Aufzeichnungen. Wenn Ihre Nachweise nur existieren, weil jemand sie fürs Audit zusammengetragen hat, waren Sie nie bereit, sondern nur hergerichtet, und das sind zwei verschiedene Dinge, die die Ausgabe 2026 von ISO 19011 gezielt auseinanderhält.

Die drei Absicherungsebenen, die ständig verwechselt werden

Fast jedes verworrene Gespräch über KI-Absicherung wirft drei getrennte Dinge in eines zusammen. Sie sind nicht dasselbe, sie werden nicht von denselben Stellen ausgestellt, und eines davon existiert derzeit in keiner brauchbaren Form. Sie auseinanderzuhalten ist das Nützlichste, was eine Compliance-Funktion in diesem Quartal tun kann.

Die erste Ebene ist die Zertifizierung des Managementsystems: Eine akkreditierte Stelle auditiert Ihr KI-Managementsystem gegen ISO/IEC 42001 und stellt ein Zertifikat für einen definierten Geltungsbereich aus. Die zweite ist die regulatorische Konformitätsbewertung: Für ein Hochrisiko-KI-System nach der KI-Verordnung durchläuft der Anbieter ein Konformitätsbewertungsverfahren nach Artikel 43, entweder über interne Kontrolle (Anhang VI) oder über eine notifizierte Stelle, die Qualitätsmanagementsystem und technische Dokumentation bewertet (Anhang VII). Die dritte ist die Konformitätsvermutung nach Artikel 40, die nur greift, wenn eine harmonisierte Norm im Amtsblatt zitiert wurde.

Über diese dritte Ebene stolpern die meisten. Im August 2026 ist keine harmonisierte Norm der KI-Verordnung im Amtsblatt zitiert worden. Die Pipeline von CEN-CENELEC JTC 21 hat zu liefern begonnen: EN 18286:2026 zu Qualitätsmanagementsystemen wurde am 12. Juli 2026 angenommen und ist die erste tatsächlich veröffentlichte Norm zur KI-Verordnung. Veröffentlichung ist aber keine Zitierung, und nur die Zitierung löst die Rechtswirkung aus. Die praktische Folge ist nüchtern: Ein ISO/IEC-42001-Zertifikat begründet heute keine rechtliche Konformitätsvermutung nach der KI-Verordnung, und wer Ihnen etwas anderes erzählt, verkauft Ihnen etwas.

Was der Digital-Omnibus zur KI tatsächlich geändert hat

Die Verordnung (EU) 2026/1744 ändert die KI-Verordnung, statt sie zu ersetzen. Die Schlagzeile ist der Aufschub: Die vollständigen Pflichten für Hochrisikosysteme nach Anhang III verschieben sich vom 2. August 2026 auf den 2. Dezember 2027, eingebettete Hochrisikosysteme nach Anhang I vom 2. August 2027 auf den 2. August 2028. Der Text steht auf EUR-Lex, und die zugrunde liegende Verordnung (EU) 2024/1689 bleibt das Basisinstrument.

Die von der Kommission genannte Begründung lohnt eine genaue Lektüre, weil sie ein Eingeständnis mit operativen Folgen ist. Der Aufschub wurde als Reaktion auf Umsetzungsschwierigkeiten vorgeschlagen: Verzögerungen bei der Benennung der zuständigen nationalen Behörden und der Konformitätsbewertungsstellen sowie das Fehlen harmonisierter Normen, Leitlinien und weiterer Compliance-Werkzeuge für Hochrisiko-KI. Mit anderen Worten: Die Maschinerie zur Bewertung der Konformität war nicht bereit, also wurde die Pflicht, bewertet zu werden, verschoben.

Zwei Dinge haben sich nicht bewegt. Die Transparenzpflichten gelten wie geplant seit dem 2. August 2026, wobei Kennzeichnungspflichten für KI-generierte Inhalte bei bereits in Verkehr gebrachten Systemen ab dem 2. Dezember 2026 greifen, und die verbotenen Praktiken, die seit Februar 2025 gelten, sind bis auf einige Ergänzungen unberührt. Ein Aufschub der Hochrisikoregeln ist keine allgemeine Amnestie.

Für eine Compliance-Leitung ist die Lesart eindeutig: Sie haben rund sechzehn Monate beim schwersten Arbeitspaket gewonnen und gar nichts bei Transparenz, verbotenen Praktiken oder den kommerziellen Erwartungen Ihrer Kunden, denn die Einkaufsabteilungen großer Kunden haben nichts verschoben. Wenn überhaupt, macht das Fehlen einer regulatorischen Untergrenze ein unabhängig auditiertes Managementsystem eher stärker unterscheidbar als schwächer.

ISO/IEC 42006:2025 und warum Zertifikate nicht mehr gleichwertig sind

ISO/IEC 42006:2025 wurde am 7. Juli 2025 veröffentlicht und legt auf Grundlage von ISO/IEC 17021-1 die Anforderungen an Stellen fest, die KI-Managementsysteme auditieren und zertifizieren. Vor ihrer Existenz arbeitete eine Stelle, die ein AIMS auditierte, mit einer allgemeinen Managementsystem-Akkreditierung und ihrer eigenen Auslegung dessen, was KI-Kompetenz bedeutet, was heute nicht mehr akzeptabel ist.

Die praktische Wirkung ist dreifach: Zertifizierungsstellen müssen nun spezifische KI-Kompetenz in ihren Auditteams nachweisen statt allgemeiner Managementsystem-Kompetenz mit einer Leseliste zu KI, die Auditdauer wird nach definierten Kriterien berechnet statt heruntergehandelt, und die Akkreditierungsstellen führen ein Übergangsprogramm, wodurch der Kreis der Stellen, die legitim ein ISO/IEC-42001-Zertifikat ausstellen dürfen, aktiv gefiltert wird.

Das ist relevant, wenn Sie Absicherung einkaufen, und ebenso, wenn Sie sie erhalten. Wenn Sie eine Zertifizierungsstelle auswählen, fragen Sie direkt, ob sie nach ISO/IEC 42006 akkreditiert ist und was der Akkreditierungsumfang abdeckt. Wenn Sie einen Lieferanten bewerten, der ein ISO/IEC-42001-Zertifikat vorlegt, prüfen Sie das Akkreditierungszeichen und den Geltungsbereich auf dem Zertifikat selbst. Ein Zertifikat, das vor dem Übergang zu ISO/IEC 42006 von einer Stelle ohne KI-spezifische Akkreditierung ausgestellt wurde, wiegt nicht dasselbe wie eines danach.

ISO 19011:2026: was sich an der Durchführung des Audits ändert

ISO 19011:2026, die vierte Ausgabe des Leitfadens zur Auditierung von Managementsystemen, wurde am 27. Mai 2026 veröffentlicht und ersetzt die Ausgabe von 2018. Als Leitfadennorm hat sie kein eigenes Inkrafttretensdatum und keine Übergangsfrist, sie gilt ab Veröffentlichung. Wenn Ihr internes Auditprogramm noch nach der Ausgabe 2018 geschrieben ist, ist es jetzt veraltet und nicht erst nächstes Jahr.

Die Revision ist eher technisch als strukturell. Liest man sie zusammen mit den Kommentaren, die Zertifizierungs- und Auditstellen seit Mai veröffentlicht haben, fallen drei Änderungen für ein AIMS auf. Die erste ist eine Verschiebung des Schwerpunkts, der nicht mehr auf der Bestätigung liegt, dass ein Prozess formal existiert, sondern auf der Bewertung, ob er die beabsichtigten Ergebnisse erreicht, was für die KI-Governance eine spürbare Verschärfung bedeutet. Ein Verfahren zur KI-Folgenabschätzung, das existiert, freigegeben ist und nie auf ein produktives Modell angewendet wurde, liest sich unter den Leitlinien von 2026 anders als unter denen von 2018.

Die zweite ist die erweiterte Anleitung zu Fernauditmethoden und virtuellen Standorten in Anlehnung an ISO/IEC TS 17012. Das passt gut zu KI-Systemen, wo die aussagekräftigen Nachweise in Repositories, Modellregistern, Ticketsystemen und Überwachungs-Dashboards liegen statt in einem Aktenschrank an einem physischen Standort. Rechnen Sie damit, dass Auditteams Lesezugriff, Bildschirmfreigaben produktiver Systeme und die Nachverfolgbarkeit von einer Modellversion bis zur Freigabe verlangen, die sie autorisiert hat.

Die dritte ist die verbesserte Anleitung zur Dokumentation von Feststellungen, zur Berichterstattung und zur Erfassung von Abweichungen, damit sie Korrekturmaßnahmen tragen. In der Praxis überleben vage Feststellungen dadurch seltener. Aus «unzureichende Dokumentation der Modellleistung» wird eine Feststellung, die das Modell, die Maßnahme, den erwarteten Nachweis und die Lücke benennt.

Für Organisationen mit einem internen Auditprogramm gegen ISO/IEC 42001 ist die Reihenfolge einfach. Aktualisieren Sie das Auditprogramm auf die Leitlinien von 2026, gleichen Sie die Auditkompetenz sowohl gegen diese Leitlinien als auch gegen KI-spezifisches Wissen neu ab, und führen Sie das interne Audit durch, bevor die Zertifizierungsstelle kommt, statt als Formalie, nachdem die Bereitschaft bereits erklärt wurde.

Die Nachweisakte: was ein ISO/IEC-42001-Audit wirklich verlangt

ISO/IEC 42001:2023 verbindet verbindliche Kapitel mit Anhang A, der 38 Maßnahmen in neun Maßnahmenzielen (A.2 bis A.10) enthält. Die Maßnahmen werden selektiv angewendet und in einer Erklärung zur Anwendbarkeit begründet. Das Folgende ist nach den Nachweisen geordnet, die ein Auditteam tatsächlich anfordert, Bereich für Bereich, ausgehend von dem, was üblicherweise fehlt, und nicht von dem, was üblicherweise geschrieben wird.

Verzeichnis der KI-Systeme und Geltungsbereich

Das Verzeichnis ist das zuerst angeforderte und am häufigsten unzureichende Dokument. Ein Auditteam sucht ein gepflegtes Register, das jedes KI-System im Geltungsbereich benennt, mit Zweck, Lebenszyklusphase, verantwortlicher Person, Risikoklassifizierung, Angabe ob eigenentwickelt oder beschafft, und dem Ort, an dem Modell und Daten liegen. Das typische Fehlerbild ist eine Tabelle, die an dem Tag korrekt war, an dem der Geltungsbereich geschrieben wurde.

Nachweise, die genügen: ein Register mit Änderungshistorie, ein dokumentierter Prozess zur Aufnahme neuer Systeme und eine belegbare Verbindung zu Beschaffung und Änderungsmanagement, sodass keine neue KI-Fähigkeit unregistriert in den Bestand gelangt. Nachweise, die nicht genügen: eine statische Liste ohne Spalte für die verantwortliche Person und ohne Datum der letzten Prüfung.

KI-Folgenabschätzung

Die Folgenabschätzung ist die Stelle, an der der spezifisch KI-bezogene Charakter der Norm am härtesten zubeißt, und an der Teams mit einem reifen ISO/IEC-27001-Programm am häufigsten fälschlich annehmen, sie seien abgedeckt. Eine Risikobeurteilung zur Informationssicherheit behandelt Vertraulichkeit, Integrität und Verfügbarkeit. Eine KI-Folgenabschätzung muss zusätzlich Auswirkungen auf Einzelpersonen und Gruppen behandeln, einschließlich vorhersehbaren Missbrauchs, und sie muss erneut durchgeführt werden, wenn sich das System wesentlich ändert.

Nachweise, die genügen: abgeschlossene Abschätzungen für jedes System im Geltungsbereich, mit namentlich benannten Beteiligten, einer konsistent angewendeten Methode, identifizierten Auswirkungen auf betroffene Personen und einem dokumentierten Auslöser für die Neubewertung, geknüpft an Nachtraining oder Zweckänderung. Nachweise, die nicht genügen: eine einzige Abschätzung auf Organisationsebene, die «unseren Einsatz von KI» abdeckt.

Daten-Governance und Herkunft

Auditteams verfolgen die Daten rückwärts. Für Trainings-, Validierungs- und Testdaten fragen sie, woher sie stammen, welche Rechte Sie an ihrer Nutzung halten, wie Relevanz und Repräsentativität beurteilt wurden und wie Qualitätsprobleme behandelt wurden. Bei Systemen, die Basismodelle Dritter nutzen, gelten dieselben Fragen für die Feinabstimmungsdaten und für das, was der Anbieter über das Basismodell offenlegt.

Nachweise, die genügen: dokumentierte Entscheidungen zur Datenbeschaffung, Aufzeichnungen zu Lizenzen und Rechten, eine auf den vorgesehenen Zweck bezogene Datenqualitätsbewertung und eine Aufzeichnung dessen, was ausgeschlossen wurde und warum. Nachweise, die nicht genügen: ein Datenkatalog ohne Herkunftsfeld.

Dokumentation zu Transparenz und Erklärbarkeit

Suchdaten zeigen ein deutliches Bündel an Interesse von Unternehmensseite daran, welche Erklärbarkeitsnachweise ein Audit tatsächlich verlangt, und die ehrliche Antwort lautet, dass es vom Publikum abhängt, dem die Transparenz dient. Die Norm erwartet, dass Sie bestimmt haben, wer was über das System verstehen muss, und dass Sie für jede Gruppe passende Informationen erzeugt haben: Nutzende, betroffene Personen, interne Aufsichtsfunktionen und, wo einschlägig, Aufsichtsbehörden.

Nachweise, die genügen: eine dokumentierte Bestimmung des Informationsbedarfs je Publikum, die Artefakte selbst (Modellkarten, nutzerseitige Hinweise, interne technische Dokumentation) und eine Versionshistorie, die jedes Artefakt an eine Modellversion bindet. Nachweise, die nicht genügen: eine technische Modellkarte, die das Data-Science-Team geschrieben hat, ohne jeden Beleg, dass jemand anderes berücksichtigt wurde.

Fairness und Verzerrungstests

Das ist der Maßnahmenbereich mit der größten Lücke zwischen dem, was Organisationen sagen, und dem, was sie zeigen können. Verlangt wird nicht, dass Ihr System vollkommen fair herauskommt, was weder erreichbar noch von der Norm gefordert ist, sondern dass Sie definiert haben, was Fairness für dieses System in diesem Kontext bedeutet, gegen diese Definition getestet, das Ergebnis festgehalten und eine dokumentierte Entscheidung über das Verbleibende getroffen haben.

Nachweise, die genügen: ein je System erklärtes Fairnessziel, die gewählte Kennzahl und ihre Begründung, Testergebnisse über die relevanten Kohorten, die Akzeptanzschwelle und die Freigabe der verbleibenden Ungleichheit einschließlich der Person, die sie akzeptiert hat. Nachweise, die nicht genügen: eine Aussage in der KI-Richtlinie, die Organisation bekenne sich zu Fairness.

Menschliche Aufsicht

Menschliche Aufsicht lässt sich leicht behaupten und schwer belegen. Die Auditfrage ist nicht, ob nominell ein Mensch in der Schleife sitzt, sondern ob diese Person über die Informationen, die Befugnis und die praktische Fähigkeit zum Eingreifen verfügt und ob Eingriffe tatsächlich stattfinden.

Nachweise, die genügen: definierte Aufsichtsrollen mit dokumentierter Kompetenz, die Oberfläche oder der Prozess, über den Aufsicht ausgeübt wird, und Protokolle, die echte Eingriffe zeigen, einschließlich Übersteuerungen und Eskalationen. Nachweise, die nicht genügen: ein Prozessdiagramm mit einem Kasten «menschliche Prüfung» und keiner Aufzeichnung, dass je ein Mensch etwas geprüft hätte.

Umgang mit Vorfällen und Überwachung nach dem Einsatz

KI-Vorfälle sehen nicht aus wie Sicherheitsvorfälle. Modelldrift, verschlechterte Leistung in einer Untergruppe, ein unerwartetes Ausgabemuster und eine Halluzination, die einen Kunden erreicht, sind im Sinne der KI-Governance allesamt Vorfälle, und die meisten Organisationen haben für keinen davon einen Weg, weil ihr Vorfallprozess für Ausfälle und Datenschutzverletzungen gebaut wurde.

Nachweise, die genügen: eine Definition des KI-Vorfalls, die Leistung und Verhalten ebenso umfasst wie Verfügbarkeit, Überwachung mit je System definierten Schwellenwerten, Aufzeichnungen zur Triage und mindestens ein durchgearbeiteter Fall, der den Prozess bis zu einer dokumentierten Lösung durchläuft. Nachweise, die nicht genügen: das allgemeine IT-Vorfallverfahren mit dem Wort «KI» im Absatz zum Geltungsbereich.

KI von Dritten und Lieferanten

Anhang A.10 regelt die Beziehungen zu Dritten, und dort ist der Bestand meist am größten und die Governance am dünnsten. Jede eingebettete KI-Funktion in einem beschafften SaaS-Produkt ist KI von Dritten. Das gilt ebenso für jeden API-Aufruf an ein Basismodell, für jede KI-Fähigkeit, die ein Anbieter in einem Produktupdate aktiviert, und für jedes Modell in einer Unterauftragskette.

Nachweise, die genügen: die KI der Lieferanten im Verzeichnis erfasst, Vertragsklauseln zu KI-spezifischen Pflichten, eine dem Risiko angemessene Sorgfaltsprüfung und ein Prozess zur Erkennung von KI-Fähigkeiten, die Anbieter nach Vertragsunterzeichnung einführen. Nachweise, die nicht genügen: ein Lieferantenregister mit einer Ja-Nein-Spalte «nutzt KI».

Herkunftsnachweise werden zum eigentlichen Beweis

Die derzeit interessanteste Verschiebung in der KI-Absicherung findet bei den Herkunftsnachweisen statt und nicht in den Kapiteln des Managementsystems. Aufsichtsbehörden, Normungsgremien und die führenden Labore selbst sind aus drei verschiedenen Richtungen bei derselben Idee angekommen: Wenn eine Maschine dieses Artefakt erzeugt hat, sollte diese Tatsache mit dem Artefakt mitreisen. Für ein Auditprogramm verwandelt das eine philosophische Debatte über Zuschreibung in eine Maßnahme mit prüfbarem Ergebnis.

Der regulatorische Treiber ist Artikel 50 der KI-Verordnung, den der Omnibus nicht verschoben hat. Die Transparenzpflichten gelten seit dem 2. August 2026. Artikel 50 teilt die Anforderung in zwei Ebenen, die regelmäßig zu einer verschmolzen werden: einen für Menschen sichtbaren Hinweis und eine maschinenlesbare Kennzeichnung im Inhalt selbst, damit ein System und nicht eine Person erkennen kann, dass die Ausgabe künstlich erzeugt wurde. Generative Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit, die maschinenlesbare Kennzeichnung zu erfüllen. Die Bußgelder dieser Stufe erreichen 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, mit einer wissenswerten Einschränkung: Für KMU und Start-ups gilt der niedrigere der beiden Beträge und nicht der höhere.

Die faktische Antwort auf die maschinenlesbare Hälfte sind die Content Credentials von C2PA, getragen von einer Mitgliedschaft im vierstelligen Bereich, darunter Adobe, Microsoft, Google, Intel, die BBC und AP. Seien Sie beim Status genau, denn die Spezifikation befindet sich lediglich im beschleunigten Verfahren zu einer ISO-Norm, ISO 22144 zu Content Credentials, die im August 2026 noch im Entwurfsstadium war. Behandeln Sie C2PA als Marktkonvention und nicht als etablierte internationale Norm, und seien Sie skeptisch bei Anbietern, die sie als bereits veröffentlicht darstellen. Ein Content Credential bündelt Erstellungszeitstempel, verwendetes Modell und dessen Version sowie spätere menschliche Bearbeitungen in einer kryptografischen Signatur innerhalb der Datei, was sie auditierbar macht: Ein Auditteam kann eine Ausgabe öffnen und prüfen, ob der Nachweis vorhanden, unversehrt und stimmig mit dem ist, was Ihr Verzeichnis als Erzeuger ausweist.

Achten Sie darauf, was das mit dem Maßnahmenbereich Transparenz macht. Transparenznachweise waren bisher dokumentarisch, also Modellkarten, Hinweise und Richtlinien, während die Herkunftskennzeichnung einen Teil davon forensisch macht, sodass Sie eine Stichprobe von Ausgaben ziehen und tatsächlich verifizieren können, was genau der Art von Nachweis entspricht, zu der ISO 19011:2026 die Auditteams drängt, weil sie Wirksamkeit statt bloßer Existenz zeigt.

Der Fall, den niemand in den Geltungsbereich genommen hat: KI-geschriebener Code

Die Herkunft von Inhalten bekommt Aufmerksamkeit, weil die Verordnung sie benennt, doch die größere nicht erfasste Exposition liegt in den meisten Organisationen im Code. Programmierassistenten schreiben inzwischen Produktivsoftware in Unternehmen, deren KI-Verzeichnis drei kundenseitige Modelle aufführt und sonst nichts. Fragen Sie eine Governance-Funktion, ob KI-generierter Code in den AIMS-Geltungsbereich fällt, und Sie bekommen meist eine Pause, dann ein Nein, dann eine deutlich längere Pause.

Die Werkzeuge haben den schwierigen Teil im Stillen gelöst. Claude Code von Anthropic schreibt eine Zeile Co-Authored-By mit der Modellkennung in jeden Commit, an dem es beteiligt ist, sodass eine einzige Abfrage mit git log jeden KI-gestützten Commit der Repository-Historie zurückgibt. Breitere Konventionen entstehen und ergänzen Abstufungen, mit Assisted-by für leichte Vorschläge, Co-authored-by für wesentliche Beiträge und Generated-by für überwiegend maschinell geschriebenen Code, jeweils verbunden mit einem Signed-off-by, das eine namentlich benannte Person in der Verantwortung hält. Nichts davon erfordert den Kauf einer Plattform, denn es sind Metadaten, die Ihre Versionsverwaltung ohnehin mitführt.

Für eine regulierte Engineering-Organisation ist das die günstigste KI-Governance-Maßnahme überhaupt und zugleich die am häufigsten abgeschaltete. Teams deaktivieren die Zeile aus kosmetischen Gründen, weil sie das Log unübersichtlich macht oder weil einer Leitung die Optik missfällt, und diese Entscheidung löscht still die Prüfspur. Wenn eine Vorfalluntersuchung, ein Sicherheitsfragebogen eines Kunden oder eine Aufsichtsbehörde irgendwann fragt, welche Teile eines Systems maschinell geschrieben wurden und wer sie abgenommen hat, sollte die Antwort eine Abfrage sein und keine Ausgrabung. Zu wissen ist auch, dass die Zeile abschaltbar ist, eine Suche mit git log also ein positives Signal darstellt und kein Beweis für Abwesenheit.

Stufe 1, Stufe 2 und Überwachung: der Zyklus in der Praxis

Die Zertifizierung folgt dem klassischen zweistufigen Modell aus ISO/IEC 17021-1, für KI verfeinert durch ISO/IEC 42006. Stufe 1 ist eine Bereitschafts- und Dokumentenprüfung und umfasst üblicherweise den Geltungsbereich, die Erklärung zur Anwendbarkeit, die Methode der Risiko- und Folgenabschätzung, den internen Auditbericht und die Managementbewertung. Sie dient der Feststellung, ob Stufe 2 tragfähig ist, und eine Stufe 1, die in einer Verschiebung endet, ist ein normales und oft richtiges Ergebnis.

Stufe 2 prüft Umsetzung und Wirksamkeit. Unter ISO 19011:2026 ist der Fokus auf Wirksamkeit schärfer, denn das Team zieht Stichproben realer Fälle und fragt, ob das System erreicht hat, wofür es entworfen wurde. Feststellungen werden abgestuft, wobei schwerwiegende Abweichungen die Zertifizierung bis zur Korrektur blockieren und geringfügige einen Korrekturmaßnahmenplan erfordern.

Nach der Zertifizierung folgen Überwachungsaudits, in der Regel jährlich, mit einer vollständigen Rezertifizierung im dritten Jahr. Die Überwachung ist keine leichtere Fassung desselben Audits, sondern ein Blick auf das, was sich seit dem letzten Besuch geändert hat, und in einem KI-Bestand ist Veränderung permanent: neue Modelle, nachtrainierte Modelle, neue Lieferanten, neue Anwendungsfälle. Organisationen, die sie als Formalie behandeln, sammeln Feststellungen genau deshalb an, weil ihre Änderungssteuerung das AIMS nie aktuell gehalten hat.

Was das ehrlicherweise an Aufwand kostet

Den Aufwand dominiert die Rekonstruktion von Nachweisen und nicht die Dokumentation. Organisationen, die bereits ein zertifiziertes ISO/IEC-27001-Managementsystem betreiben, finden die Kapitelstruktur vertraut und den Inhalt von Anhang A fremd: Das Governance-Skelett überträgt sich, die KI-spezifischen Maßnahmen nicht. Die eigentliche Arbeit liegt in der Vollständigkeit des Verzeichnisses, den Folgenabschätzungen je System und dem Aufbau der Nachweiskette von der Modellversion bis zur Freigabe.

Zwei Kostenposten werden durchgängig unterschätzt. Überwachungsaudits wiederholen sich jährlich und skalieren mit Größe und Volatilität des KI-Bestands, der in den meisten Organisationen wächst. Und die interne Auditkompetenz hat nun eine KI-Dimension, die ein allgemeiner Managementsystem-Hintergrund nicht automatisch mitbringt, was entweder Schulung des vorhandenen Teams oder Zukauf der Fähigkeit bedeutet.

Wo ISO/IEC 42001 nicht hilft

Die Zertifizierung ist eine Absicherung des Managementsystems, und drei Dinge, die man von ihr erwartet, wird sie nicht leisten. Sie bewertet nicht, ob ein konkretes KI-System sicher oder genau ist, denn das ist eine Frage auf Produktebene, die in die technische Dokumentation gehört und nicht auf das Zertifikat. Eine zertifizierte Organisation kann ein schlechtes Modell ausrollen, und das Audit fängt es nur ab, wenn auch der Governance-Prozess versagt hat, der es hätte abfangen sollen.

Sie ersetzt nicht die Konformitätsbewertung nach der KI-Verordnung. Wenn Sie Anbieter eines Hochrisiko-KI-Systems sind, gilt Artikel 43 für Sie nach dem verschobenen Zeitplan, und ein Zertifikat über das Managementsystem ist keine Konformitätsbewertung. Es ist wirklich nützliche Vorarbeit, besonders für die Anforderungen an das Qualitätsmanagementsystem nach Artikel 17, doch beides bleiben eigenständige Rechtsgegenstände.

Und sie begründet heute keine Konformitätsvermutung. Das bleibt so, bis eine harmonisierte Norm im Amtsblatt zitiert wird. Beobachten Sie die Pipeline von JTC 21, aber lesen Sie sie genau: EN 18286:2026 zu Qualitätsmanagementsystemen ist inzwischen veröffentlicht, was ein realer Fortschritt ist, und sie ist weiterhin nicht zitiert. Beachten Sie zudem, dass die Anforderungen an das Qualitätsmanagementsystem nach Artikel 17 außerhalb der Bestimmungen von Kapitel III Abschnitt 2 liegen, an die die Vermutung nach Artikel 40 anknüpft, sodass selbst eine Zitierung dort keine saubere Vermutung für die gesamte Hochrisikoregelung ergäbe. Bauen Sie kein Compliance-Argument auf einer Zitierung, die nicht stattgefunden hat.

Drei Zertifizierungsmuster und was jedes davon lehrt

Hinweise zu Nachweisen werden erst nützlich, wenn man die Gestalt sieht, die sie in einer realen Organisation annehmen. Drei Situationen wiederholen sich oft genug, um einen Namen zu verdienen. Die erste ist öffentlich und nachprüfbar. Die beiden anderen ergeben sich daraus, was passiert, wenn die Norm auf einen gewöhnlichen Unternehmensbestand trifft, behandeln Sie sie also als Arithmetik und nicht als Anekdote.

Muster eins: das führende Labor, bei dem Governance zuerst kam

Anthropic hat eine akkreditierte ISO/IEC-42001-Zertifizierung erhalten, für sein KI-Managementsystem und als eines der ersten führenden KI-Labore, wobei das Zertifikat von Schellman Compliance, LLC ausgestellt wurde, einer vom ANSI National Accreditation Board akkreditierten Stelle, mit Wirkung ab Januar 2025. Lesen Sie danach die Zeile zum Geltungsbereich statt der Schlagzeile, denn sie deckt Forschung und Entwicklung im Bereich KI sowie KI-Dienstleistungen ab und nicht die gesamte Organisation, was genau die Unterscheidung ist, auf der dieser Artikel besteht, hier sichtbar an einem der meistbeachteten Zertifikate der Branche.

Das lehrreiche Detail ist die Reihenfolge, denn die Zertifizierung baute auf Governance auf, die bereits existierte und bereits öffentlich war: ein veröffentlichter Rahmen zur verantwortungsvollen Skalierung, gezielte Arbeit am Verhalten und an der Ausrichtung der Modelle und laufende Sicherheitsforschung. Statt die Governance zu schaffen, machte das Audit bestehende Governance für Dritte lesbar, was die richtige Reihenfolge ist und diejenige, die die meisten Unternehmensprogramme umdrehen. Sie beauftragen einen Satz Richtlinien, um zertifiziert zu werden, und stellen dann in Stufe 2 fest, dass Richtlinien ohne Betriebsaufzeichnungen nichts belegen.

Eine zweite Lehre steckt in der Zertifizierungsstelle. Suchdaten zeigen, dass Menschen aktiv abfragen, ob eine bestimmte Firma ein Anbieter für ISO-42001-Audits ist. Käufer betreiben inzwischen genau die Sorgfalt, die ISO/IEC 42006 ermöglichen sollte: nicht nur prüfen, dass ein Zertifikat existiert, sondern prüfen, wer es ausgestellt hat und unter welcher Akkreditierung. Wenn Ihr Beschaffungsfragebogen von Lieferanten ein ISO-42001-Zertifikat verlangt, aber weder Akkreditierungszeichen noch Geltungsbereich abfragt, sammeln Sie ein Logo.

Muster zwei: der Verzeichnisschock

Nehmen Sie eine Organisation, die überzeugt ist, eine Handvoll KI-Systeme zu betreiben: einen kundenseitigen Assistenten, ein Prognosemodell, einen Dokumentenklassifizierer. Machen Sie nun die Arithmetik, zu der die Abgrenzung des Geltungsbereichs zwingt. Zählen Sie die KI-Funktionen, die im Serviceportal bereits aktiviert sind, die Bewertung im Recruiting-Werkzeug, den im CRM eingebetteten Assistenten, die Programmierassistenten quer durch die Entwicklung, Übersetzung und Textentwurf in der Bürosuite. Kaum eine davon hat jemand im Raum gebaut, und jede einzelne ist ein KI-System im Sinne der Definition der Norm.

Diese Lücke ist kein Dokumentationsfehler, sondern ein Fehler im Geltungsbereich mit Governance-Ursache, denn nichts in Beschaffung oder Änderungsmanagement verlangte je, eine KI-Fähigkeit zu deklarieren. Die Korrektur ist unspektakulär: Fügen Sie dem Lieferanten-Onboarding und der Abnahme von Produktänderungen eine KI-Deklarationspflicht hinzu und ziehen Sie bestehende Verträge und Administrationskonsolen einmal durch. Genau das vor dem Verfassen von Richtlinien zu tun spart die Nacharbeit, weil das Verzeichnis den Geltungsbereich setzt, der Geltungsbereich die Erklärung zur Anwendbarkeit und die Erklärung zur Anwendbarkeit alles, was Sie belegen müssen.

Muster drei: die bereits nach ISO 27001 zertifizierte Organisation

Eine Organisation mit einem reifen, zertifizierten Managementsystem für Informationssicherheit geht ISO/IEC 42001 als Delta-Übung an. In einem Sinn hat sie recht: Kapitelstruktur, Rhythmus der Managementbewertung, die Maschinerie des internen Audits und der Korrekturmaßnahmenprozess übertragen sich unverändert. Das ist ein echter Vorsprung und verkürzt den Programmzeitplan meist spürbar.

Schief geht es bei der Annahme, dass sich auch die Risikoarbeit überträgt, was sie nicht tut. Eine Risikobeurteilung zur Sicherheit denkt in Bedrohung, Schwachstelle und Auswirkung auf die Organisation, während eine KI-Folgenabschätzung in Auswirkungen auf Menschen und Gruppen denkt, einschließlich vorhersehbaren Missbrauchs, was ein anderer analytischer Gegenstand ist und andere Beteiligte erfordert. Teams, die die KI-Folgenabschätzung allein der Informationssicherheitsfunktion überlassen, erzeugen Dokumente, die kompetent und gut strukturiert sind und durchgängig die Dimension der betroffenen Personen verfehlen, nach der die Norm eigentlich fragt. Recht, Datenschutzfunktion und eine fachliche Verantwortung in dieselbe Bewertung zu holen, ist die einzige Korrektur, die das löst.

Was jetzt zu tun ist, nach Rolle

KI-Governance scheitert häufiger an den Nähten zwischen den Funktionen als innerhalb einer von ihnen. Der Aufschub der Hochrisikoregelung hat die künstliche Frist beseitigt, die diese Funktionen in denselben Raum zwang, was die ausdrückliche Zuweisung von Rollen wichtiger macht und nicht unwichtiger. Die folgende Tabelle zeigt die Aufteilung, die in der Praxis funktioniert.

Ein Koordinationspunkt verbindet alle sechs. Jemand muss das Entscheidungsprotokoll verantworten, und es sollte nicht die Person sein, die gerade das Zertifizierungsprojekt leitet. Entscheidungen festzuhalten ist eine dauerhafte Betriebsgewohnheit, und wenn ein temporäres Programm sie verantwortet, stirbt sie in der Woche, in der das Zertifikat eintrifft, also genau dann, wenn das erste Überwachungsaudit seine Feststellungen zu sammeln beginnt.

Checkliste zur Auditbereitschaft

Nutzen Sie das als Selbsttest vor Stufe 1. Wo Sie nicht mit beigefügtem Nachweis Ja sagen können, steht Ihre Lückenliste.

Was in den nächsten 90 Tagen zu tun ist

Richten Sie zuerst den Plan am geänderten Zeitplan neu aus. Wenn Ihr Programm auf eine Frist der KI-Verordnung im August 2026 dimensioniert war, dimensionieren Sie es neu, denn die Hochrisikopflichten nach Anhang III greifen jetzt am 2. Dezember 2027 und die nach Anhang I am 2. August 2028, während die Transparenzpflichten bereits gelten. Was Sie haben, ist eine Umverteilung des Aufwands und keine Pause.

Schließen Sie zweitens die Nachweislücke vor der Richtlinienlücke. Greifen Sie drei KI-Systeme zufällig aus dem Verzeichnis und versuchen Sie den Nachverfolgbarkeitstest: Folgenabschätzung, Datenentscheidungen, Testergebnisse, Freigabe, Überwachung, jeweils in unter einer Stunde. Was dabei bricht, ist Ihr Vorbereitungsprogramm.

Reparieren Sie drittens die Auditfunktion, bevor Sie die Dokumentation reparieren. Aktualisieren Sie das interne Auditprogramm auf ISO 19011:2026, prüfen Sie, dass die durchführende Person KI-spezifische Kompetenz besitzt und nicht nur Managementsystem-Kompetenz, und führen Sie ein echtes internes Audit durch. Die Feststellungen werden nützlicher sein als jede Lückenanalyse einer Beratung, weil sie aus Ihren eigenen Nachweisen stammen.

Nächster Schritt

Wenn Ihre Rolle darin besteht, AIMS-Audits zu leiten oder zu beauftragen, deckt die Zertifizierungsschulung ISO 42001 Lead Auditor den Auditprozess von Anfang bis Ende gegen ISO 19011:2026 und den Kontext von ISO/IEC 42006 ab. Wenn Sie das Managementsystem aufbauen statt es zu auditieren, ist das Programm ISO 42001 Lead Implementer der richtige Einstieg, und Teams mit Fokus auf der darunterliegenden Risikoebene beginnen meist mit dem AI Risk Manager. Alle drei finden sich in unserem Trainings-Hub zur KI-Governance, neben dem Umsetzungs-Playbook und dem Leitfaden zur Konformität mit der KI-Verordnung.