Wir brauchen noch keine KI-Compliance. Das ist doch alles Zukunftsmusik.“
Diese Einschätzung verkennt den Rechtsstand. Der EU AI Act gilt seit August 2024. Erste Pflichten gelten seit Februar 2025. Weitere folgen gestaffelt bis 2028. Betroffen sind nicht nur große Anbieter. Auch Unternehmen, die KI in Buchhaltung, Vertrieb, Personal oder Kundenservice einsetzen, treffen konkrete Pflichten.
Die KI-Nutzung ist rasant gestiegen. 41 Prozent der deutschen Unternehmen setzen KI bereits aktiv ein, im Vorjahr waren es 17 Prozent. Weitere 48 Prozent planen den Einsatz. Die Verbreitung ist damit kein Nischenthema.
Schwieriger ist, dass viele Unternehmen KI unbemerkt einsetzen: Das Buchhaltungssystem kategorisiert Rechnungen automatisch, das CRM liefert Kundenempfehlungen, ein Mitarbeiter formuliert E-Mails mit ChatGPT. Auch solche Schatten-Einsätze fallen unter den AI Act.
Zwei Standards, ein Ziel ISO 27001 ist im Mittelstand etabliert. Der Standard sichert Informationssicherheit und schafft ein strukturiertes Managementsystem. Viele Unternehmen sind bereits zertifiziert. Entwickelt wurde er, bevor KI zum Standard in Geschäftsprozessen wurde. Die bestehenden Controls erfassen diese KI-spezifischen Risiken nicht vollständig.
ISO 42001 schließt diese Lücke. Der Standard definiert ein KI-Managementsystem mit Fokus auf Datenqualität, Bias-Vermeidung, Transparenz, Erklärbarkeit, menschliche Aufsicht und dokumentierte Modellrisiken.
Die Implementierung bedeutet keine doppelte Arbeit. ISO 42001 nutzt die gleiche Systemstruktur wie ISO 27001: identische High-Level-Structure, gleiche Logik, zusätzliche KI-spezifische Anforderungen. Wer bereits ISO 27001 implementiert hat, kann den KI-Aufbau in der Regel um 30 bis 40 Prozent verkürzen. Die Organisation erweitert bestehende Prozesse um KI-Kontrollen, statt ein neues System zu errichten.
Für kleinere und mittlere Unternehmen liegen die Zertifizierungskosten ab etwa 8.000 Euro. Die Zertifizierung reduziert Risiken und schafft Effizienzgewinne, wenn KI in zentralen Prozessen eingesetzt wird oder Kunden Vertrauen in den kontrollierten KI-Einsatz fordern.
Fristen und Pflichten Der EU AI Act gilt nicht nur auf dem Papier. Seit Februar 2025 sind verbotene Praktiken untersagt: Social Scoring, manipulative Steuerung und die Ausnutzung von Schwächen.
Die KI-Kompetenz von Beschäftigten muss ebenfalls nachgewiesen werden. Teams müssen die eingesetzten KI-Systeme verstehen, ihre Grenzen kennen und Risiken erkennen. Diese Pflicht ist in vielen Organisationen noch nicht umgesetzt.
Seit August 2025 treffen Anbieter von Allzweck-KI-Modellen zusätzliche Pflichten. Modelle wie GPT, Claude oder Llama unterliegen Dokumentations-, Transparenz- und Governance-Anforderungen.
KnowledgePilot dokumentiert daher die eingesetzten Modelle, deren Trainingsdaten, Risiken und Steuerungsmaßnahmen. Käufer von KI-Systemen müssen diese Nachweise vom Anbieter verlangen. Fehlt die Dokumentation, signalisiert das unzureichendes Risikomanagement.
Ab dem 2. August 2026 greifen die Transparenzpflichten nach Artikel 50. Systeme, die mit Nutzern interagieren, müssen als KI erkennbar sein. Zur gleichen Zeit werden die Sanktionsvorschriften vollstreckbar.
Das AI-Omnibus-Paket vom Mai 2026 entschärft zentrale Pflichten. Es verlegt die Konformitätsbewertungen für eigenständige Hochrisiko-Systeme auf Dezember 2027, für KI in regulierten Produkten auf August 2028. Grund: Die harmonisierten Normen waren nicht rechtzeitig verfügbar.
Betroffene Bereiche umfassen unter anderem Personalauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur und medizinische Diagnostik. Unternehmen, die dort KI einsetzen, gewinnen Zeit, verlieren aber nicht den erheblichen Aufwand. Eine ausführliche Einordnung der Fristen vom 2. August 2026 liefert der Beitrag „EU AI Act für KMU“.
Interne Wissens-Assistenten, die auf eigene Dokumente antworten, fallen in der Regel nicht in die Hochrisikokategorie. Als Anwendersysteme unterliegen sie den Nutzerpflichten, nicht dem vollen Hochrisiko-Katalog.
Strafen Die Sanktionen sind hoch. Bei verbotenen Praktiken drohen Bußgelder bis zu 35 Millionen Euro oder bis zu sieben Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Bei anderen Verstößen belaufen sich die maximalen Bußgelder auf 15 Millionen Euro oder drei Prozent.
Für einen Mittelständler sind solche Beträge existenzbedrohend. Ob die EU in jedem Fall durchgreift, lässt sich nicht vorhersagen. Auf einen solchen Verzicht zu bauen, ist riskant.
Handlungsleitfaden Inventur Erfassen Sie alle Systeme mit KI-Funktionen. Dazu gehören Buchhaltungstools, CRM-Systeme, Browser-Extensions, SaaS-Apps und mobile Anwendungen. Abteilungen sollten offenlegen, welche Tools Vorschläge, Vorhersagen, Kategorisierungen oder generierte Texte liefern.
Dokumentieren Sie Einsatzbereiche, Datenflüsse und Verantwortlichkeiten. Personaldaten, Kreditentscheidungen, Kundengespräche und technische Dokumentation erzeugen jeweils unterschiedliche Risiken.
Managementbasis Die Übergangsfrist auf ISO 27001:2022 ist am 31. Oktober 2025 abgelaufen. Zertifikate nach der Fassung 2013 verlieren ihre Tauglichkeit. Unternehmen ohne gültiges Zertifikat starten direkt mit der aktuellen Version.
Informationssicherheit ist keine optionale Zusatzleistung. Sie schützt Systeme, Daten und Prozesse.
Beschäftigte brauchen konkrete Schulungen: KI kann fehlerhaft, voreingenommen oder unzureichend transparent sein. Die Schulungen verdeutlichen, wie Risiken erkannt, Ergebnisse geprüft und menschliche Entscheidungsvorbehalte gesetzt werden.
Dokumentieren Sie die eingesetzten Systeme, ihre Zwecke und die Datenflüsse. Diese Unterlagen belegen Sorgfalt und schaffen die Grundlage für spätere Prüfungen.
Zertifizierungsentscheidung Nicht jedes Unternehmen benötigt sofort eine KI-Zertifizierung. Bei marginaler Nutzung genügen strukturierte Dokumentation, Schulung und Risikoanalyse.
Steuert KI strategische Prozesse, entwickeln Unternehmen eigene Modelle oder fordern Kunden einen nachvollziehbaren KI-Einsatz, sollte ISO 42001 ernsthaft evaluiert werden.
Der Nutzen geht über Compliance hinaus. Der Standard reduziert Diskriminierungsrisiken, macht Modellentscheidungen nachvollziehbarer und schafft einen belastbaren Prozess für den weiteren KI-Einsatz.
Position von KnowledgePilot KnowledgePilot dokumentiert die Modellauswahl, testet Modelle auf Bias, sichert Quellenangaben und beachtet Datenschutzanforderungen. Diese Maßnahmen führen auf ISO 42001 zu. Der Aufbau läuft.
Compliance ist jedoch eine geteilte Aufgabe. Kunden müssen die eingesetzten Modelle kennen, ihre eigene Nutzung dokumentieren und ihre Beschäftigten schulen. Wir stellen Werkzeuge und Nachweise bereit. Die Verantwortung tragen beide Seiten.
Praxis im Mittelstand Viele Unternehmen empfinden die regulatorische Dichte als Hürde. ISO 27001, ISO 42001, EU AI Act und DSGVO erzeugen einen hohen Koordinationsaufwand.
Der pragmatische Vorteil liegt in der vorhandenen Struktur: Unternehmen mit ISO 27001 erweitern das bestehende System um KI-Kontrollen. Wer ohne Zertifikat startet, legt jetzt die Basis. Spätere Erweiterungen werden dadurch einfacher.
Die Verschiebung der Hochrisiko-Pflichten auf 2027 und 2028 ist eine Atempause, kein Freibrief. Hektische Nachbesserungen kurz vor der Frist kosten mehr als ein systematischer Aufbau jetzt.
Kernwirkung ISO 27001 schützt Daten und Informationen. ISO 42001 steuert den KI-Einsatz. Der EU AI Act macht die Anforderungen verbindlich.
Ein diskriminierendes KI-System erzeugt Haftungsrisiken. Ein System ohne Quellenangaben führt zu falschen Geschäftsentscheidungen. Ein System ohne Transparenz untergräbt Kundenvertrauen. Wer mit fremden Geheimnissen arbeitet, trifft mit der Wahl des Verarbeitungsorts keine Komfortentscheidung, sondern eine Rechtsfrage nach § 203 StGB.
Die Standards reduzieren diese Risiken, weil sie Prozesse, Kontrollen und Nachweise strukturieren.
Erste Schritte Unternehmen müssen nicht sofort alles umsetzen. Jetzt anfangen ist entscheidend.
Der erste Schritt führt zu einer vollständigen Inventur. Die anschließende Bewertung klärt Diskriminierungs-, Fehler- und Vertrauensrisiken. Danach entstehen konkrete Maßnahmen mit Terminen und Verantwortlichkeiten.
Diese Woche klärt sich: der genaue Bestand an KI-Systemen, der Einfluss auf Entscheidungen und die Lücken in der Dokumentation.
Der EU AI Act wartet nicht. Die Fristen laufen, die Risiken steigen. Wer jetzt handelt, kann die Anforderungen sauber, wirtschaftlich und nachweisbar umsetzen.
Die datenschutzseitige Aufstellung Ihrer KI-Nutzung klären wir in 30 Minuten — unverbindlich. Die Kosten für einen Einstieg stehen auf der Preisseite.
Quellen
ISO/IEC 27001:2022: Information Security Management Systems
ISO/IEC 42001:2023: Artificial Intelligence Management System
Weiterführend: Vanta Guide to ISO 42001
EU AI Act (Verordnung 2024/1689): EUR-Lex Volltext (DE)
Englische Version: EUR-Lex (EN)
Übersichtliche Aufbereitung: AI Act Law
EU-Kommission: KI-Gesetz – Regulatory Framework
OECD AI Policy Observatory: oecd.ai
Daten und Trends: Trends & Data
Deutschland-Report: OECD AI Review of Germany
Zertifizierungsstellen (Deutschland):
-
TÜV SÜD: ISO 42001 Zertifizierung
Interview EU AI Act & ISO 42001: Value Magazin -
DNV: ISO/IEC 42001 Künstliche Intelligenz
Akkreditierungsmeldung: DNV als akkreditierte Zertifizierungsstelle -
DEKRA: ISO 42001 Zertifizierung
Hintergrundartikel: ISO 42001 sichert die Potenziale
ANAB-Akkreditierung: Pressemitteilung