ISO/ IEC 42001: Zertifizierung belegt nicht die Konformität mit dem EU AI Act

Eine Zertifizierung nach der Norm ISO/IEC 42001 für ein Managementsystem für Künstliche Intelligenz stellt keinen automatischen Beleg für die vollständige Erfüllung der Vorgaben des europäischen KI-Gesetzes dar.

Wie eine fachliche Orientierungshilfe klarstellt, zertifiziert dieser Standard ausschließlich das Managementsystem einer Organisation innerhalb eines definierten Geltungsbereichs. Einzelne KI-Modelle oder spezifische KI-Systeme werden durch die Norm hingegen nicht als rechtskonform bestätigt oder freigegeben.

Grenzen des Managementsystems und rechtliche Tragweite

ISO/IEC 42001 gilt nicht als harmonisierter Standard nach Artikel 40 des EU AI Act und begründet daher keine rechtliche Konformitätsvermutung. Zwar bietet der Standard eine strukturierte Basis für die betriebliche Steuerung: Anhang A der Norm umfasst 38 Kontrollen in neun Zielbereichen, wobei Organisationen die konkreten Ein- und Ausschlüsse über eine Anwendbarkeitserklärung dokumentieren. Zudem ist eine strukturierte KI-Folgenabschätzung fest in den Klauseln 6.1.4 und 8.4 des Regelwerks verankert.

Dennoch entbindet das Managementsystem Entwickler und Betreiber nicht von den gesetzlichen Pflichten der europäischen Verordnung. Ein nach ISO/IEC 42001 aufgesetztes System ersetzt weder das formelle Konformitätsbewertungsverfahren noch die CE-Kennzeichnung.

Die neuen Regelungen zum EU AI Act stellen Unternehmen vor komplexe Herausforderungen bei der Risikobewertung und Dokumentation. Dieser kostenlose Report klärt auf, welche KI-Systeme konkret als Hochrisiko gelten und welche neuen Pflichten auf Sie zukommen. KI-Verordnung Umsetzungsleitfaden kostenlos herunterladen

Auch die verpflichtende Registrierung in der EU-Datenbank, die Erstellung der technischen Dokumentation nach Anhang IV der Verordnung sowie die Meldepflichten bei schweren Vorfällen müssen gesondert und bezogen auf das jeweilige System erbracht werden.

FinTech Global empfiehlt Organisationen vor diesem Hintergrund eine systematische Abweichungsanalyse für jedes einzelne Hochrisikosystem, um verbleibende regulatorische Lücken vor dem Inkrafttreten der Pflichten zu schließen.

Harmonisierter Standard EN 18286 und Fristen für Hochrisikosysteme

Einen anderen rechtlichen Status hat die europäische Norm EN 18286:2026. Die EU-Kommission veröffentlichte im Amtsblatt mit dem Durchführungsbeschluss (EU) 2026/2274 die Referenz auf diesen ersten harmonisierten Standard zum AI Act. EN 18286 beschreibt ein Qualitätsmanagementsystem für Anbieter von Hochrisiko-KI entlang des gesamten System-Lebenszyklus.

Compliance-Experten warnen davor, die Tragweite der neuen KI-Regulierung zu unterschätzen, da bei Verstößen empfindliche Strafen drohen. Ein kostenloser Umsetzungsleitfaden zum EU AI Act bietet Ihnen jetzt den notwendigen Überblick über alle relevanten Übergangsfristen und Anforderungen. Kostenloses E-Book zum EU AI Act sichern

Wer diesen Standard anwendet, begründet die rechtliche Vermutung der Konformität mit den abgedeckten Anforderungen nach Artikel 17 der Verordnung. Die Anwendung der EN 18286 ist freiwillig; sie dient als gezielte Ergänzung zu übergreifenden Managementsystemen wie ISO/IEC 42001, ISO 9001 oder ISO 13485, ersetzt diese jedoch nicht.

Für die Einhaltung der Vorgaben für Hochrisikosysteme gelten gestaffelte Übergangsfristen gemäß der Verordnung (EU) 2026/1744. Die Regelungen des Kapitels III, Abschnitte 1 bis 3, für Hochrisikosysteme nach Artikel 6 Absatz 2 in Verbindung mit Anhang III greifen ab dem 2. Dezember 2027. Für Hochrisikosysteme nach Artikel 6 Absatz 1 in Verbindung mit Anhang I gelten die regulatorischen Bestimmungen ab dem 2. August 2028.