ISO/IEC 42001 bescheinigt ein KI-Managementsystem innerhalb eines festgelegten Geltungsbereichs. Das Zertifikat belegt für sich genommen nicht, dass ein einzelnes KI-System die Anforderungen des EU AI Act erfüllt. Welche der beiden Fristen für bestimmte Hochrisiko-Systeme gilt, hängt von deren Einstufung ab.
Was ISO/IEC 42001 zertifiziert
Die Norm ISO/IEC 42001:2023 ist ein freiwilliger, zertifizierbarer Standard für ein KI-Managementsystem, kurz AIMS. Laut FinTech Global bezieht sich das Zertifikat auf das Managementsystem einer Organisation und dessen definierten Geltungsbereich, nicht auf die rechtliche Konformität eines einzelnen KI-Produkts.
FinTech Global zufolge überschneiden sich Themen der Norm mit Bereichen des EU AI Act, darunter Risikomanagement, Daten-Governance und menschliche Aufsicht. Das Zertifikat ersetzt jedoch nicht die jeweils geltenden gesetzlichen Anforderungen an ein konkretes System. FinTech Global führt als Beispiele dafür Konformitätsbewertung, CE-Kennzeichnung, Registrierung in der EU-Datenbank, technische Dokumentation nach Anhang IV und die Meldung schwerwiegender Vorfälle an.
Welche Fristen für Hochrisiko-Systeme gelten
Die Verordnung (EU) 2026/1744 knüpft zwei Anwendungsdaten an unterschiedliche Einstufungen. Sie betreffen die jeweils erfassten Vorschriften in Kapitel III, Abschnitte 1 bis 3, einschließlich der in der Verordnung geregelten Ausnahme. Die Änderungsverordnung legt dafür folgende Zuordnung fest:
| Einstufung des Hochrisiko-Systems | Rechtsgrundlage | Erfasste Vorschriften | Anwendungsbeginn |
| Einstufung nach Artikel 6 Absatz 2 und Anhang III | Artikel 6 Absatz 2, Anhang III | Kapitel III, Abschnitte 1–3, im Umfang der Verordnung | 2. Dezember 2027 |
| Einstufung nach Artikel 6 Absatz 1 und Anhang I | Artikel 6 Absatz 1, Anhang I | Kapitel III, Abschnitte 1–3, im Umfang der Verordnung | 2. August 2028 |
Für die passende Frist zählt, welcher Einstufungsroute das konkrete Hochrisiko-System zugeordnet ist.
Diese Daten gelten nicht pauschal für sämtliche Pflichten des EU AI Act. Für andere Vorschriften nennt Artikel 113 eigene Anwendungszeitpunkte: Der allgemeine Anwendungsbeginn ist der 2. August 2026; Vorschriften zur KI-Kompetenz gelten seit dem 2. Februar 2025. Der konsolidierte Artikel 113 führt die Anwendungsdaten und ihren jeweiligen Geltungsbereich auf.
Was die Zertifizierung für die Prüfung eines Systems bedeutet
Ein AIMS kann Verfahren für Themen wie Risikomanagement, Daten-Governance und menschliche Aufsicht bündeln. Für ein einzelnes System bleibt daneben zu klären, welche Einstufung und welche gesetzlichen Anforderungen auf dieses System zutreffen. Eine organisatorische Zertifizierung beantwortet diese systembezogene Frage nicht automatisch.
FinTech Global empfiehlt, nach dem Aufbau des AIMS jedes Hochrisiko-System gesondert mit den Anforderungen des EU AI Act abzugleichen. Die Frist ergibt sich dabei aus der Einstufung: Artikel 6 Absatz 2 in Verbindung mit Anhang III führt für die erfassten Vorschriften zum 2. Dezember 2027, Artikel 6 Absatz 1 in Verbindung mit Anhang I zum 2. August 2028.
