Ein Maschinenbauer aus Oberfranken verlor im April 2026 einen Auftrag. Nicht wegen der Qualität, nicht wegen des Preises. Der Auftraggeber hatte ISO 42001 zur Vergabebedingung gemacht. Das Unternehmen hatte keine Zertifizierung. Der Auftrag ging an einen Mitbewerber, der sie hatte.
Ein Standard, den kaum jemand kennt
ISO 42001 ist der erste internationale Standard für KI-Managementsysteme, veröffentlicht im Dezember 2023. TÜV Süd und DEKRA zertifizieren bereits in Deutschland. Wer davon gehört hat, ist noch in der Minderheit. Aber das nimmt Fahrt auf.
Was die ISO verlangt, ist weniger mysteriös, als ihr Name vermuten lässt: Wie identifiziert ihr KI-Risiken? Wer trägt Verantwortung, und sind die Entscheidungen der Systeme nachvollziehbar? Das klingt nach Bürokratie. Es ist aber der Rahmen, der verhindert, dass KI-Projekte unkontrolliert wachsen, bis jemand eine Entscheidung anfechtet.
Was es kostet, und was es spart
Für kleine und mittlere Unternehmen liegt der Aufwand einer Erstzertifizierung bei 15.000 bis 50.000 Euro. Kein kleiner Betrag. Verglichen mit einem verlorenen Auftrag, einer Haftungsklage oder dem Vertrauensschaden nach einem KI-Vorfall ist es aber sicher das Investment wert.
Was mich bewegt: Die meisten wissen nicht, dass sie das Governance-Problem längst haben. Sie glauben, ohne großes KI-Projekt gebe es kein KI-Problem. Kleine Piloten, kleine Ergebnisse, kein Anlass, Prozesse zu dokumentieren. Bis ein Auftrag daran scheitert.
Wer ISO 27001 hat, fängt nicht bei null an
Ich habe das selbst durchlebt. Bei ThinkOwl, als KI-Anbieter für den Mittelstand mit rund 200 Leuten, haben wir ISO 27001 durchgezogen, den Standard für Informationssicherheit. Nicht als Kür, sondern weil Enterprise-Kunden ohne den Nachweis gar nicht erst mit dir reden.
Ohne die Basics kommst du durch keine Tür.
Und wer 27001 schon hat, fängt bei 42001 nicht bei null an. Beide Normen teilen denselben Aufbau: Risikobewertung, Verantwortlichkeiten, Dokumentation. 42001 setzt oben drauf und schließt die Lücke, die 27001 offen lässt: die KI-eigenen Risiken.
Vom Pluspunkt zum Ausschlusskriterium
Was gestern noch ein Pluspunkt war, wird gerade zum Ausschlusskriterium. Fehlt es, bist du raus, bevor das Gespräch beginnt. Salesforce hat das verstanden, sich als einer der ersten großen Anbieter zertifizieren lassen und macht es zum Verkaufsargument.
Das Tempo zieht an. Und es stellt die Frage nach dem Chief AI Officer: Wer zeichnet für all das verantwortlich? Nicht der Titel entscheidet, sondern das Mandat. Governance ist keine Frage der Größe, sondern der Haltung.
Kennt ihr Unternehmen, die ISO 42001 bereits angehen? Ich bin gespannt, wie die Wahrnehmung in euren Branchen ist.
Quellen
- ISO/IEC 42001:2023, offizielle Norm-Seite: iso.org
- ISO 42001 Zertifizierung, TÜV Süd: tuvsud.com
- Salesforce, erste ISO-42001-Zertifizierung: salesforce.com
- Maschinenbauer-Beispiel, ISO 42001 Audit 2026: Skill-Sprinters