ISO 42001 zertifizierte KI: Wer ist es wirklich – und was zählt sonst?

Nur sehr wenige KI-Anbieter sind heute tatsächlich nach ISO 42001 zertifiziert, und amaiko gehört nicht dazu: wir sind an ISO 42001 ausgerichtet, aber nicht zertifiziert. Das steht hier so deutlich, weil die Unterscheidung im Markt systematisch verwischt wird – und weil du sie bei jedem Anbieter in zwei Minuten selbst prüfen kannst.

Was du aus diesem Artikel mitnimmst:

• ISO/IEC 42001:2023 ist die erste internationale Norm für KI-Managementsysteme, veröffentlicht im Dezember 2023.
• Ein Zertifikat vergibt ausschließlich eine akkreditierte Zertifizierungsstelle – niemals der Anbieter selbst.
• Drei Formulierungen, drei verschiedene Aussagen: zertifiziert, ausgerichtet, ready.
• Prüfen kostet zwei Minuten: Zertifikatsnummer, Zertifizierungsstelle, Geltungsbereich.
• Für den Mittelstand entscheidet meist etwas anderes: wo die Daten verarbeitet werden und was im AV-Vertrag steht.

Was ist die ISO 42001 – und was heißt „zertifiziert”?

ISO/IEC 42001:2023 legt die Anforderungen an ein KI-Managementsystem fest: wie eine Organisation KI-Risiken erfasst, Verantwortlichkeiten festlegt, Entscheidungen dokumentiert und das Ganze laufend verbessert. Veröffentlicht wurde sie im Dezember 2023 vom Gemeinschaftskomitee ISO/IEC JTC 1/SC 42.

Wichtig: Die Norm beschreibt ein Managementsystem, keine Produkteigenschaft. Sie sagt nichts darüber aus, wie gut ein Modell antwortet – sondern darüber, ob der Anbieter seine KI kontrolliert betreibt.

„Zertifiziert” heißt: Eine unabhängige, akkreditierte Zertifizierungsstelle hat das Managementsystem geprüft und ein Zertifikat mit Nummer, Geltungsbereich und Laufzeit ausgestellt. In Deutschland akkreditiert die DAkkS solche Stellen. Eine Selbstauskunft ist keine Zertifizierung – auch dann nicht, wenn sie überzeugend formuliert ist.

Wie prüfst du, ob ein KI-Anbieter wirklich zertifiziert ist?

Drei Fragen, und du weißt es. Stell sie schriftlich, dann hast du die Antwort auch für die Beschaffungsakte:

1. „Wie lautet die Zertifikatsnummer, und welche Stelle hat sie ausgestellt?” Ein echtes Zertifikat hat beides. Wer stattdessen auf eine Marketingseite verweist, hat keins.
2. „Ist diese Stelle akkreditiert – und von wem?” Zertifizierungsstellen brauchen selbst eine Akkreditierung, in Deutschland durch die DAkkS. Ohne Akkreditierung ist das Papier eine Meinung.
3. „Wie lautet der Geltungsbereich?” Die Frage, die am häufigsten etwas aufdeckt. Ein Zertifikat kann für eine einzelne Konzerntochter, ein Rechenzentrum oder ein einzelnes Produkt gelten – und nicht für das, was du kaufst.

Fehlt eine dieser drei Antworten, liegt keine Zertifizierung vor. Das ist kein Ausschlussgrund – aber es gehört korrekt in deine Dokumentation.

Was unterscheidet „zertifiziert”, „ausgerichtet” und „ready”?

Hier verschwimmt im Markt am meisten, deshalb im Klartext:

• Zertifiziert – geprüft und bestätigt von einer akkreditierten Stelle, nachweisbar über die Zertifikatsnummer.
• Ausgerichtet (aligned) – das Managementsystem ist an den Anforderungen der Norm aufgebaut, aber ohne externe Prüfung. Überprüfbar an Dokumentation und Prozessen, nur eben ohne Zertifikat.
• Ready – der Anbieter hält sich für zertifizierungsfähig. Eine Absichtserklärung, kein Nachweis.

Alle drei können legitim sein. Nur die erste ist ein Zertifikat, und nur sie darf so heißen.

Wo steht amaiko?

amaiko ist an ISO 42001 ausgerichtet, nicht zertifiziert. Es gibt keine Zertifikatsnummer und keine akkreditierte Stelle, auf die wir verweisen könnten. Wenn du eine Zeile für die Compliance-Dokumentation brauchst: „ISO 42001-konform ausgerichtet, nicht zertifiziert.” Genau so.

Belegen können wir die Verarbeitung: amaiko betreibt eigene Infrastruktur in Deutschland – die Daten liegen nicht in der Microsoft-Cloud, sondern auf unserer eigenen, davon getrennten Infrastruktur. amaiko ist DSGVO-konform und am EU AI Act ausgerichtet (Verordnung (EU) 2024/1689). Details auf der Security-Seite.

Kriterium	Was es aussagt	Nachweis
ISO 42001 zertifiziert	Externe Prüfung bestanden	Zertifikatsnummer + akkreditierte Stelle
ISO 42001 ausgerichtet	Managementsystem nach der Norm gebaut	Dokumentation, Prozesse
ISO 42001 ready	Selbsteinschätzung	Keiner
DSGVO-Konformität	Rechtmäßige Verarbeitung	AV-Vertrag, TOM, Verarbeitungsverzeichnis
Verarbeitungsort	Welche Jurisdiktion zugreifen kann	Vertrag + Rechenzentrumsangabe

Was zählt für den Mittelstand mehr als ein Zertifikat?

Unbequem, aber wahr: Ein Zertifikat beantwortet nicht die Frage, die dein Betriebsrat stellt. Die lautet nicht „welche Norm?”, sondern „wer kann auf unsere Daten zugreifen?”.

Drei Dinge wiegen in der Praxis schwerer.

Der Verarbeitungsort. Nicht wo die Daten ruhen, sondern wo die Tokens gerechnet werden. Ein US-Anbieter mit europäischem Rechenzentrum bleibt ein US-Anbieter – eine Frage der Jurisdiktion, die kein Zertifikat auflöst. Auseinandergenommen haben wir das in DSGVO-konforme KI in Microsoft Teams.

Der AV-Vertrag. Auftragsverarbeitung, Subunternehmer, Löschfristen, Weisungsrecht. Das Dokument, das im Ernstfall zählt – und konkreter als jede Norm.

Ob das System überhaupt benutzt wird. Eine perfekt zertifizierte KI, die niemand öffnet, ist eine Compliance-Position und kein Werkzeug. Genau daran scheitern die meisten Rollouts, wie in warum Mitarbeitende Copilot ignorieren gezeigt.

Du willst prüfen, wo deine Daten wirklich verarbeitet werden – mit Vertrag statt Siegel? Jetzt kostenlose Live-Demo buchen.

Häufig gestellte Fragen (FAQ)

Ist amaiko nach ISO 42001 zertifiziert?

Nein. amaiko ist an ISO 42001 ausgerichtet, besitzt aber keine Zertifizierung nach dieser Norm – keine Zertifikatsnummer, keine akkreditierte Zertifizierungsstelle. Für die interne Compliance-Dokumentation lautet die korrekte Formulierung: „ISO 42001-konform ausgerichtet, nicht zertifiziert.”

Wie erkenne ich, ob ein KI-Anbieter wirklich ISO 42001 zertifiziert ist?

Frage nach der Zertifikatsnummer, der ausstellenden Zertifizierungsstelle und dem Geltungsbereich. Alle drei Angaben existieren bei einem echten Zertifikat. Prüfe zusätzlich, ob die Stelle akkreditiert ist – in Deutschland durch die DAkkS. Fehlt eine der drei Antworten, liegt keine Zertifizierung vor.

Was ist der Unterschied zwischen „ISO 42001 zertifiziert” und „ISO 42001 ausgerichtet”?

Zertifiziert bedeutet, dass eine unabhängige akkreditierte Stelle das KI-Managementsystem geprüft und bestätigt hat. Ausgerichtet bedeutet, dass der Anbieter sein Managementsystem an den Anforderungen der Norm aufgebaut hat, ohne externe Prüfung. Beides kann legitim sein, aber nur das Erste ist ein Zertifikat.

Brauche ich für den EU AI Act eine ISO 42001 Zertifizierung?

Nein. Die Verordnung (EU) 2024/1689 verlangt keine ISO-Zertifizierung. Ein Managementsystem nach ISO 42001 hilft, die Dokumentations- und Governance-Anforderungen strukturiert zu erfüllen, ist aber kein gesetzlich vorgeschriebener Nachweis.

Was ist die ISO/IEC 42001 überhaupt?

ISO/IEC 42001:2023 ist die erste internationale Norm für KI-Managementsysteme, veröffentlicht im Dezember 2023. Sie legt fest, wie eine Organisation KI-Risiken erfasst, Verantwortlichkeiten regelt und Entscheidungen dokumentiert. Sie beschreibt ein Managementsystem, keine Produkteigenschaft – über die Qualität der Modellantworten sagt sie nichts aus.

Was sollte ich statt eines Zertifikats prüfen?

Den Verarbeitungsort – also wo die Tokens tatsächlich gerechnet werden, nicht nur wo die Daten ruhen –, den Auftragsverarbeitungsvertrag mit Subunternehmern und Löschfristen, und ob das System im Alltag tatsächlich genutzt wird. Ein Zertifikat beantwortet keine dieser drei Fragen.

Was kostet amaiko?

amaiko kostet 29,91 € pro Nutzer und Monat bei jährlicher Abrechnung (37,39 € monatlich). Für strenge Datenanforderungen gibt es amaiko liberté zu 44,87 € pro Nutzer und Monat: ausschließlich Modelle von Mistral, jeder Token in der EU verarbeitet.