ISO 42001: Wer trägt die Verantwortung, wenn KI im Unternehmen entscheidet?

Die Frage nach der Verantwortung für künstliche Intelligenz stellt sich längst nicht mehr allein in Unternehmen, die eigene KI-Systeme entwickeln. Auch dort, wo Software lediglich eingekauft und im betrieblichen Alltag eingesetzt wird, entstehen neue Anforderungen an Datenschutz, Qualitätssicherung und die Nachvollziehbarkeit von Entscheidungen. Besonders deutlich wird das in der Versicherungswirtschaft, in der KI-gestützte Auswertungen und automatisierte Prozesse finanzielle Auswirkungen auf Kunden und Unternehmen haben können.

Meyer betrachtet KI-Management deshalb vor allem als Führungsaufgabe. Sein Ansatz setzt bei der Transparenz über eingesetzte Systeme an und führt über die Bewertung von Risiken bis zur Dokumentation betrieblicher Entscheidungen. Dabei vertritt er die Auffassung, dass sich die Anforderungen der ISO 42001 auch in kleineren Unternehmen mit überschaubarem Aufwand umsetzen lassen. Ob eine Zertifizierung darüber hinaus notwendig oder wirtschaftlich sinnvoll ist, hängt allerdings von den jeweiligen betrieblichen Anforderungen und den Erwartungen der Geschäftspartner ab.

„Es gibt keine KI-Pannen. Es gibt nur Managementfehler.“

Herr Dr. Meyer, Sie stellen Ihrem Buch eine bemerkenswert zugespitzte These voran: „Es gibt keine KI-Pannen. Es gibt nur Managementfehler.“ Damit verlagern Sie die Verantwortung für fehlerhafte Ergebnisse künstlicher Intelligenz nahezu vollständig auf die Unternehmensführung. Ist das angesichts zunehmend autonom handelnder KI-Systeme nicht eine erhebliche Vereinfachung?

Nein, überhaupt nicht. KI-Systeme können genau das, was sie können. Nicht mehr und nicht weniger. Sie haben bestimmte Fähigkeiten, aber eben auch Schwächen und Grenzen. Und genau die muss eine Unternehmensführung kennen.

Die entscheidende Frage lautet doch: Hat das Management alles getan, um mögliche Fehler zu erkennen und zu verhindern? Hat es dafür gesorgt, dass Risiken bewertet, Ergebnisse kontrolliert und Verantwortlichkeiten festgelegt werden?

Natürlich kann eine Geschäftsführung nicht jedes technische Detail eines KI-Modells verstehen. Das muss sie auch nicht. Aber sie muss dafür sorgen, dass der Einsatz dieser Technologie verantwortungsvoll organisiert wird.

Die Verantwortung verschwindet nicht, nur weil eine Entscheidung von einer KI vorbereitet oder getroffen wird.Im Gegenteil: Je leistungsfähiger und autonomer diese Systeme werden, desto wichtiger wird die Verantwortung des Managements. Das gehört für mich zu den zentralen Führungsaufgaben der kommenden Jahre.

„Viele Unternehmen wissen nicht einmal, welche KI sie einsetzen.“

Viele Unternehmen beschäftigen sich erst mit KI-Regulierung, wenn Kunden oder Behörden entsprechende Anforderungen stellen. Gleichzeitig nutzen Beschäftigte längst KI-Anwendungen, ohne dass deren Einsatz systematisch erfasst wird. Wie kann eine Geschäftsführung Verantwortung für Technologien übernehmen, von deren Verwendung sie möglicherweise nichts weiß?

Genau hier beginnt gutes KI-Management. Die erste und vielleicht wichtigste Aufgabe besteht darin, überhaupt Transparenz zu schaffen.

Welche KI-Systeme werden im Unternehmen eingesetzt? Wer nutzt sie? Für welche Aufgaben? Und welche Ergebnisse werden damit erzeugt?

Das klingt zunächst selbstverständlich. In der Praxis fehlt dieser Überblick aber erstaunlich häufig.

Beschäftigte nutzen ChatGPT, integrierte KI-Funktionen in Software oder spezialisierte Anwendungen. Oft geschieht das, ohne dass die Geschäftsführung einen vollständigen Überblick hat.

Deshalb beginnt verantwortungsvolles KI-Management nicht mit komplizierten Richtlinien oder umfangreichen Dokumentationen. Es beginnt mit einer einfachen Bestandsaufnahme: Wo wird in unserem Unternehmen eigentlich KI eingesetzt?

Erst wenn diese Transparenz hergestellt ist, lassen sich Risiken systematisch bewerten und sinnvolle Kontrollmechanismen entwickeln.

„ISO 42001 ist der Rahmen. Der EU AI Act ist eine gesetzliche Vorgabe.“

Mit dem EU AI Act existiert bereits ein europäischer Rechtsrahmen. Die ISO 42001 beschreibt dagegen ein Managementsystem für den verantwortungsvollen KI-Einsatz. Drohen Unternehmen damit nicht zwei parallele Regelwerke und zusätzliche Bürokratie?

Ich würde die beiden Regelwerke überhaupt nicht als Konkurrenz betrachten. Sie erfüllen unterschiedliche Aufgaben und ergänzen sich.

Die ISO 42001 bildet den übergeordneten Rahmen für ein funktionierendes KI-Management. Sie hilft Unternehmen dabei, künstliche Intelligenz systematisch, verantwortungsvoll und nachvollziehbar einzusetzen.

Dazu gehört selbstverständlich auch, dass gesetzliche Anforderungen eingehalten werden. Und genau hier kommt der EU AI Act ins Spiel.

Man kann es ganz einfach ausdrücken: Die ISO 42001 hilft Unternehmen, KI gut zu managen. Der EU AI Act legt bestimmte gesetzliche Anforderungen fest, die dabei einzuhalten sind.

Ein funktionierendes KI-Managementsystem sollte deshalb nicht zwei voneinander getrennte Welten schaffen. Die rechtlichen Anforderungen gehören in das bestehende Managementsystem integriert.

Das Ziel ist schließlich nicht, möglichst viele Dokumente zu produzieren. Es geht darum, KI verantwortungsvoll einzusetzen und die Einhaltung relevanter Anforderungen nachweisen zu können.

„Verantwortungsvoller KI-Einsatz wird zur Marktzugangsvoraussetzung.“

Eine ISO-42001-Zertifizierung ist freiwillig. Wenn große Auftraggeber entsprechende Nachweise verlangen, kann daraus allerdings schnell eine wirtschaftliche Notwendigkeit werden. Erwarten Sie, dass sich die Norm zu einer faktischen Marktzugangsvoraussetzung entwickelt?

Ja, davon bin ich überzeugt. Der verantwortungsvolle Umgang mit künstlicher Intelligenz wird zunehmend zu einem Qualitätsmerkmal und damit auch zu einer Voraussetzung für erfolgreiche Geschäftsbeziehungen.

Unternehmen werden künftig nicht nur danach beurteilt, ob sie KI einsetzen. Entscheidend wird sein, ob sie nachweisen können, dass sie die Ergebnisse beherrschen und verantwortungsvoll damit umgehen.

Gerade für kleinere Unternehmen sehe ich darin allerdings nicht nur eine Herausforderung, sondern eine große Chance.

Nehmen wir einen Dienstleister, der KI zur Erstellung von Analysen, Konzepten oder anderen Arbeitsergebnissen nutzt. Sein Kunde möchte schließlich nicht einfach irgendwelche billig erzeugten KI-Ergebnisse teuer einkaufen.

Er möchte sich darauf verlassen können, dass die Ergebnisse geprüft wurden, dass Risiken bekannt sind und dass jemand die Verantwortung übernimmt.

Die eigentliche Dienstleistung besteht künftig nicht mehr allein darin, mithilfe von KI ein Ergebnis zu erzeugen. Sie besteht auch darin, die Qualität dieses Ergebnisses sicherzustellen.

Wer das glaubwürdig nachweisen kann, wird einen Wettbewerbsvorteil haben. Gerade kleinere Unternehmen können sich dadurch von Wettbewerbern unterscheiden, die KI lediglich als Instrument zur schnellen und kostengünstigen Produktion einsetzen.

„Stellen Sie sich vor, es geht um viel Geld – und niemand kann die Entscheidung erklären.“

In der Versicherungswirtschaft wird KI bereits in der Dokumentenverarbeitung, Kundenkommunikation, Risikobewertung und Schadenbearbeitung eingesetzt. Fehler können hier unmittelbare finanzielle Folgen haben. Welche besonderen Anforderungen ergeben sich daraus?

Sobald KI-Ergebnisse direkte finanzielle Konsequenzen haben, wird die Nachvollziehbarkeit besonders wichtig.

Stellen Sie sich einen Streitfall vor. Ein Kunde ist mit einer Entscheidung nicht einverstanden. Es geht möglicherweise um eine erhebliche Geldsumme. Und irgendwann kommt die naheliegende Frage: Können Sie eigentlich nachvollziehen, wie dieses Ergebnis zustande gekommen ist?

Was antwortet ein Unternehmen dann?

„Nein, leider keine Ahnung“?

Das wäre eine denkbar schlechte Ausgangsposition.

Deshalb muss Transparenz von Anfang an Bestandteil des KI-Managements sein. Unternehmen müssen sich überlegen, welche Entscheidungen dokumentiert werden müssen und wie sich deren Zustandekommen später nachvollziehen lässt.

Das ist im Grunde nichts Neues. Denken Sie an die Rückverfolgbarkeit kritischer Waren. Dort muss ein Unternehmen ebenfalls nachvollziehen können, wann ein Produkt wo hergestellt, verarbeitet und ausgeliefert wurde.

Warum sollten wir bei KI-gestützten Entscheidungen, die erhebliche finanzielle Auswirkungen haben können, geringere Anforderungen an die Nachvollziehbarkeit stellen?

Natürlich hängt der erforderliche Umfang der Dokumentation vom jeweiligen Risiko ab. Aber gerade in der Versicherungswirtschaft halte ich die systematische Nachvollziehbarkeit für unverzichtbar.

„Man kann nicht die gesamte KI-Lieferkette kontrollieren.“

Ein Versicherungsmakler nutzt möglicherweise eine Software mit integrierten KI-Funktionen. Die zugrunde liegenden Modelle stammen wiederum von einem internationalen Technologieunternehmen. Wer trägt in einer solchen Konstellation die Verantwortung für fehlerhafte Ergebnisse?

Der Makler muss zunächst einmal Verantwortung für die Ergebnisse übernehmen, die er in seiner eigenen Tätigkeit verwendet.

Er kann sich nicht einfach darauf zurückziehen, dass irgendein Softwarehersteller oder KI-Anbieter das Ergebnis erzeugt hat.

Gleichzeitig müssen wir realistisch bleiben. Ein Versicherungsmakler wird kaum in der Lage sein, die gesamte technische Lieferkette zu kontrollieren. Er kann nicht sämtliche Trainingsdaten analysieren oder jedes Detail der eingesetzten Modelle verstehen.

Das ist auch gar nicht der entscheidende Punkt.

Wichtig ist, dass er angemessene Kontrollmechanismen etabliert. Dazu können beispielsweise stichprobenartige Prüfungen von KI-Ergebnissen gehören.

Entscheidend ist die Frage, ob das Unternehmen nachweisen kann, dass es die Risiken erkannt und im Rahmen seiner Möglichkeiten geeignete Maßnahmen ergriffen hat.

Es wird immer Bereiche geben, die sich der vollständigen Kontrolle entziehen. Das ist keine Besonderheit künstlicher Intelligenz, sondern gehört grundsätzlich zur Unternehmensführung.

Niemand kann alles kontrollieren. Aber jedes Unternehmen muss sich damit auseinandersetzen, was es kontrollieren kann und welche Maßnahmen angesichts der bestehenden Risiken erforderlich sind.

„KI-Kompetenz bedeutet nicht, alle Beschäftigten in Schulungen zu schicken.“

Der EU AI Act verlangt Maßnahmen zur Sicherstellung ausreichender KI-Kompetenz. Wie sollen Beschäftigte Ergebnisse kritisch kontrollieren, wenn KI-Systeme Aufgaben übernehmen, die Menschen teilweise gar nicht mehr in derselben Geschwindigkeit bearbeiten können?

Ich würde das ausgesprochen praxisnah angehen.

Wir haben beispielsweise Unternehmen zertifiziert, in denen KI-Ergebnisse regelmäßig in internen Besprechungen oder Townhall-Meetings diskutiert werden.

Das ist ein guter Ansatz, weil sich Beschäftigte dadurch kontinuierlich mit den Möglichkeiten und Grenzen der eingesetzten Systeme auseinandersetzen.

Bei KI-Kompetenz denken viele Unternehmen sofort an Schulungen, Seminare und Teilnahmebescheinigungen. Aber darum geht es nicht ausschließlich.

KI-Kompetenz bedeutet nicht automatisch, dass jeder Beschäftigte eine formale Schulung absolvieren muss. Entscheidend ist, ob die Menschen über die Fähigkeiten verfügen, die sie für ihren jeweiligen Umgang mit KI benötigen.

Ein Unternehmen muss geeignete Maßnahmen ergreifen und nachvollziehbar machen können, wie es die erforderlichen Kompetenzen sicherstellt.

Das können Schulungen sein. Es können aber auch regelmäßige interne Besprechungen, praktische Übungen oder dokumentierte Diskussionen über KI-Ergebnisse sein.

Wichtig ist, dass die Beschäftigten lernen, Ergebnisse kritisch zu hinterfragen, typische Fehler zu erkennen und zu verstehen, wann zusätzliche Kontrollen erforderlich sind.

Eine Teilnahmebescheinigung allein sagt schließlich noch wenig darüber aus, ob jemand tatsächlich in der Lage ist, ein fehlerhaftes KI-Ergebnis zu erkennen.

„Bürokratie ist die Unfähigkeit, Dinge einfach zu dokumentieren.“

Sie beschreiben die ISO 42001 als einen Standard, der sich auch in kleineren Unternehmen mit überschaubarem Aufwand umsetzen lässt. Gleichzeitig verlangt ein Managementsystem dokumentierte Prozesse, Risikobewertungen und regelmäßige Überprüfungen. Wo verläuft für Sie die Grenze zwischen notwendiger Kontrolle und lähmender Bürokratie?

Für mich hat gutes KI-Management überhaupt nichts mit überflüssiger Bürokratie zu tun. Im Gegenteil.

Wir verfügen heute über technische Möglichkeiten, mit denen sich betriebliche Abläufe sehr einfach dokumentieren lassen.

Nehmen Sie interne Meetings. Früher musste jemand Protokoll führen, Ergebnisse zusammenfassen und Dokumente ablegen. Heute können Besprechungen automatisch transkribiert und mithilfe von KI ausgewertet werden.

Damit lassen sich Entscheidungen, Verantwortlichkeiten und vereinbarte Maßnahmen mit minimalem zusätzlichem Aufwand dokumentieren.

Bürokratie entsteht für mich dort, wo Unternehmen nicht in der Lage sind, Ergebnisse schnell, schlank und zielgerichtet festzuhalten.

Ein funktionierendes KI-Management muss deshalb möglichst eng mit den tatsächlichen Arbeitsabläufen verbunden sein.

Wenn ein Unternehmen mit zehn Beschäftigten regelmäßig über seine KI-Anwendungen spricht, Risiken bewertet und wichtige Entscheidungen dokumentiert, kann es damit bereits wesentliche Grundlagen eines Managementsystems schaffen.

Natürlich müssen die Anforderungen der Norm erfüllt werden. Aber dafür braucht man nicht zwangsläufig komplizierte Ordnerstrukturen oder umfangreiche Handbücher.

Mein Ideal ist ein KI-Management, das im betrieblichen Alltag praktisch nebenbei funktioniert und die entscheidenden Ergebnisse automatisch oder mit geringem Aufwand dokumentiert.

„Ein Zertifikat soll Vertrauen schaffen – nicht Norm-Vokabular produzieren.“

Sie sind Autor, Auditor und mit der DICIS AG selbst im Zertifizierungsgeschäft tätig. Diesen möglichen Interessenkonflikt sprechen Sie in Ihrem Buch ausdrücklich an. Was kann eine ISO-42001-Zertifizierung tatsächlich leisten, und woran erkennt man, ob ein Unternehmen seine KI-Risiken wirklich beherrscht?

Der wichtigste Zweck eines Zertifikats besteht darin, Vertrauen zu schaffen.

Ein Unternehmen zeigt seinen Kunden damit, dass es sich systematisch mit dem verantwortungsvollen Einsatz künstlicher Intelligenz auseinandersetzt.

Es signalisiert: Wir drücken nicht einfach auf einen Knopf und glauben anschließend jeden Unsinn, den uns die KI liefert. Wir haben uns Gedanken über Risiken, Verantwortlichkeiten und Kontrollmechanismen gemacht.

Aber natürlich ist ein Zertifikat keine Garantie dafür, dass niemals ein Fehler passiert.

Entscheidend ist deshalb, wie eine Zertifizierung durchgeführt wird und welche Aussagen sich daraus tatsächlich ableiten lassen.

Ich bin ausgesprochen skeptisch gegenüber Audits, bei denen vor allem mit kompliziertem Norm-Vokabular gearbeitet wird.

Wenn ein Zertifizierungsbericht hauptsächlich aus allgemeinen Formulierungen besteht, sagt das wenig über die tatsächliche Qualität des KI-Managements aus.

Ein gutes Audit erkennt man daran, dass konkret beschrieben wird, wie ein Unternehmen die Anforderungen der Norm in der Praxis umsetzt.

Welche KI-Anwendungen werden genutzt? Wie werden Risiken bewertet? Welche Kontrollen existieren? Wie wird mit Fehlern umgegangen?

Genau diese Substanz wollen wir in unseren Zertifizierungsberichten sichtbar machen.

Ein Zertifikat sollte nicht bloß bestätigen, dass ein Unternehmen bestimmte Dokumente vorgelegt hat. Es sollte nachvollziehbar machen, dass ein Managementsystem tatsächlich eingerichtet und wirksam umgesetzt wurde.

„Nicht das Managementsystem muss sich verändern. Sondern seine Umsetzung.“

KI entwickelt sich inzwischen so schnell, dass betriebliche Organisationsstrukturen kaum Schritt halten können. Insbesondere KI-Agenten, die eigenständig Informationen verarbeiten und Handlungen ausführen, verändern die Anforderungen an Kontrolle und Verantwortung. Kann ein klassisches Managementsystem dieser Dynamik überhaupt noch gerecht werden?

Ich würde zunächst einmal der Vorstellung widersprechen, dass ein Managementsystem grundsätzlich etwas Starres ist.

Ein gutes Managementsystem ist beweglich. Es muss sich an veränderte Anforderungen anpassen können. Genau das gehört zu seinem Wesen.

Die Norm beschreibt bestimmte Anforderungen, die wir als Auditoren überprüfen. Aber ein Unternehmen muss sich nicht permanent mit den einzelnen Formulierungen der Norm beschäftigen.

Es muss vor allem dafür sorgen, dass die Anforderungen in der Praxis sinnvoll umgesetzt werden.

Deshalb würde ich auch nicht sagen, dass wir völlig neue Managementsysteme brauchen.

Was sich grundlegend verändert, ist die Art, wie wir Managementsysteme umsetzen.

Früher waren Managementsysteme häufig mit umfangreichen Handbüchern, zahllosen Dokumenten und komplizierten Ordnerstrukturen verbunden.

Heute können wir mithilfe digitaler Technologien und künstlicher Intelligenz viele dieser Aufgaben erheblich vereinfachen.

Informationen lassen sich automatisch erfassen, Entscheidungen dokumentieren und Prozesse laufend überprüfen.

Das eröffnet enorme Möglichkeiten, gerade für kleinere und mittelständische Unternehmen.

Die Anforderungen an Verantwortung, Transparenz und Kontrolle bleiben bestehen. Aber die Instrumente, mit denen wir diese Anforderungen erfüllen, werden immer leistungsfähiger.

Und genau darin liegt für mich die Zukunft des KI-Managements: Nicht mehr Bürokratie, sondern bessere Kontrolle durch intelligentere Prozesse.

Herr Dr. Meyer, ich bedanke mich herzlich für das ausführliche Gespräch und Ihre interessanten Einblicke in die Herausforderungen, vor denen Unternehmen beim verantwortungsvollen Einsatz künstlicher Intelligenz stehen.

Zur Person

Dr. Jens-Uwe Meyer ist Vorstandsvorsitzender der DICIS AG, die auf digitale Zertifizierungen von Managementsystemen spezialisiert ist. Als Autor, Unternehmer und Lead Auditor beschäftigt er sich insbesondere mit der praktischen Umsetzung internationaler Managementstandards. In seinem 2026 bei BusinessVillage erschienenen Buch „ISO 42001 – KI-Managementsysteme. Einführung und Zertifizierung“ erläutert er, wie Unternehmen künstliche Intelligenz verantwortungsvoll einsetzen, Risiken beherrschen und die Einhaltung entsprechender Anforderungen nachweisen können.

Bibliografische Angaben:
Dr. Jens-Uwe Meyer: ISO 42001 – KI-Managementsysteme. Einführung und Zertifizierung. Das Praxishandbuch für künstliche Intelligenz im Unternehmen.
BusinessVillage, Göttingen 2026
ISBN 978-3-86980-900-7

Redaktioneller Hinweis: Die ISO 42001 ist ein freiwilliger internationaler Standard für KI-Managementsysteme. Eine Zertifizierung nach dieser Norm ersetzt nicht die Einhaltung gesetzlicher Anforderungen, insbesondere des EU AI Act. Die im Interview geäußerten Einschätzungen zur künftigen Bedeutung von Zertifizierungen geben die Position des Gesprächspartners wieder.