Sollen wir unseren KI-Einsatz zertifizieren lassen? Das fragen sich zurzeit viele Top-Entscheider in Unternehmen – unter anderem, weil seit Anfang August zentrale Transparenzpflichten gemäß dem Artikel 50 des EU AI Act gelten. Eine Entscheidungshilfe für Unternehmer!

Bis zum Sommer 2026 klang die Vorstellung wie ScienceFiction: Eine künstliche Intelligenz macht sich selbstständig und hackt auf eigene Faust ein anderes Unternehmen. Doch dann geschah es ausgerechnet bei OpenAI, einem der Pioniere der KI-Entwicklung. Während eines Sicherheitstests verließ ein KI-Agent die vorgesehene Testumgebung und griff Systeme des KIUnternehmens Hugging Face sowie weiterer Dienste an. Dieser Vorfall zeigt: Die Fähigkeiten künstlicher Intelligenz entwickeln sich schneller als die Regeln und Schutzmechanismen vieler Unternehmen.

Hinzu kommen nahezu täglich neue Meldungen über KIPannen im Unternehmensalltag: fehlerhafte Studien, erfundene Quellen, falsche Prognosen oder Chatbots, die sich zu absurden Aussagen verleiten lassen. Berühmt wurde beispielsweise der Chatbot eines amerikanischen Autohändlers, der einem Kunden einen Chevrolet für einen Dollar zusagte. Andere Unternehmen verloren Millionen, weil sie sich auf fehlerhafte KI-Prognosen verließen.

Insbesondere kleinere Unternehmen stecken einem Zwiespalt

Für Geschäftsführerinnen und Geschäftsführer – gerade kleinerer Unternehmen – erwächst dadurch ein folgender Zwiespalt.

- Einerseits bietet künstliche Intelligenz enorme Produktivitätsvorteile. In dafür geeigneten Prozessen kann ein Unternehmen mit fünf Beschäftigten heute eine Leistung erreichen, für die früher zehn oder sogar 15 Menschen notwendig gewesen wären. Angebote lassen sich schneller erstellen, Kundenanfragen automatisiert beantworten, Dokumente analysieren und wiederkehrende Aufgaben innerhalb weniger Sekunden erledigen.

- Andererseits entstehen neue Risiken. KI-Systeme können halluzinieren, Informationen erfinden und vertrauliche Daten verarbeiten, die dort niemals hätten eingegeben werden dürfen. Zudem müssen Unternehmen rechtliche Anforderungen beachten – unter anderem die Datenschutz-Grundverordnung und den EU AI Act.

Die entscheidende Frage lautet heute nicht mehr: Sollten wir als Unternehmen KI nutzen? Sie lautet: Wie können wir KI so einsetzen, dass wir ihre Vorteile nutzen, ohne die Kontrolle zu verlieren?

Seit August gelten strengere bzw. konkretere Regeln

Seit dem 2. August 2026 gelten zentrale Transparenzpflichten aus dem Artikel 50 des EU AI Act. Unternehmen müssen nun dafür sorgen, dass Menschen grundsätzlich erkennen können, wenn sie direkt mit einem KI-System wie einem Chatbot kommunizieren – sofern dies nicht ohnehin offensichtlich ist. Anbieter generativer KI-Systeme müssen darüber hinaus bestimmte KIgenerierte Inhalte maschinenlesbar kennzeichnen.

Unternehmen, die täuschend echte KI-Bilder, Videos oder Audioinhalte veröffentlichen, müssen solche Deep-Fakes grundsätzlich kenntlich machen. Bei KI-generierten Texten zu Themen von öffentlichem Interesse kann ebenfalls eine Kennzeichnungspflicht entstehen. Eine wichtige Ausnahme besteht, wenn der Text fachlich durch einen Menschen geprüft wurde und eine Person oder Redaktion die Verantwortung für die Veröffentlichung übernimmt. Eine bloße Rechtschreibkontrolle genügt dafür nicht.

Für kleine Unternehmen macht das die Situation nicht einfacher. Viele Geschäftsführer fragen sich:

- Dürfen unsere Beschäftigten ChatGPT oder andere KI-Tools verwenden und wenn ja wofür? Welche Daten dürfen in die Systeme eingegeben werden?

- Müssen wir KI-generierte Inhalte kennzeichnen?

- Wer überprüft die Ergebnisse? Und:

- Wer trägt die Verantwortung, wenn etwas schiefgeht?

Die KI nicht verhindern, sondern beherrschbar machen

Die Internationale Organisation für Normung hat für genau diese Herausforderung einen international anerkannten Rahmen geschaffen: die ISO/IEC 42001. Die ISO 42001 ist der weltweit erste Managementsystemstandard für künstliche Intelligenz. Er beschreibt, wie Unternehmen KI systematisch, sicher und verantwortungsvoll einsetzen können. Der Grundgedanke ist einfach: KI soll nicht durch Bürokratie verhindert werden. Klare Strukturen, Verantwortlichkeiten und Kontrollen sollen Unternehmen vielmehr dabei helfen, das Potenzial der Technologie kontrolliert auszuschöpfen.

Dazu verlangt die Norm unter anderem:

- ein Inventar der eingesetzten KI-Anwendungen,
- eine Bewertung der jeweiligen Chancen und Risiken,
- klar definierte Verantwortlichkeiten,
- Regeln für Daten und vertrauliche Informationen,
- festgelegte Freigabe- und Prüfprozesse,
- Kompetenzen und Schulungen für Beschäftigte,
- die Überwachung eingesetzter KI-Systeme,
- den Umgang mit Fehlern und Vorfällen,
- eine regelmäßige Verbesserung des KI-Managements.

Damit wird die KI aus der betrieblichen Grauzone geholt. Statt dass jeder Beschäftigte selbst entscheidet, welches Tool für welchen Zweck eingesetzt werden darf, entstehen nachvollziehbare Regeln. Die ISO 42001 ersetzt jedoch keine Rechtsberatung und garantiert nicht automatisch die Einhaltung des EU AI Acts. Die Norm schafft vielmehr ein Managementsystem, mit dem Unternehmen rechtliche, ethische und wirtschaftliche Anforderungen strukturiert erfassen und in der Praxis umsetzen können.

Vertrauen wird zum neuen Wettbewerbsvorteil

Durch den schnellen Ausbau künstlicher Intelligenz entsteht in der Beziehung zwischen Unternehmen und ihren Kunden ein neues Gut: Vertrauen in den sicheren Einsatz von KI. Ein Unternehmen, das eine Agentur beauftragt, muss sich darauf verlassen können, dass KIgenerierte Arbeitsergebnisse in einem klaren Prozess überprüft werden. Schließlich möchte kein Kunde zum Beispiel eine Studie oder Marktuntersuchung erhalten, deren Quellen frei erfunden sind. Und die Mandanten einer Rechtsanwaltskanzlei müssen darauf vertrauen können, dass in einem Schriftsatz keine Gerichtsurteile zitiert werden, die überhaupt nicht existieren. Genau das ist bereits mehrfach geschehen. Mittlerweile dokumentieren Gerichte weltweit zahlreiche Fälle, in denen erfundene Urteile und Quellen aus KI-Systemen ungeprüft übernommen wurden.

Und jedes Unternehmen, dessen Beschäftigte KI im Arbeitsalltag einsetzen, muss sicherstellen, dass diese Mitarbeitenden ausreichend geschult sind. Sie müssen wissen, dass die KI überzeugend formulieren und trotzdem falschliegen kann. Sie müssen verstehen, welche Daten vertraulich sind und warum diese nicht ohne Weiteres in öffentliche KI-Tools eingegeben werden dürfen.

Stellen Sie sich das Gegenteil vor: Eine Agentur liefert Fantasieergebnisse. Eine Kanzlei trägt unbeabsichtigt erfundene Tatsachen vor Gericht vor. Beschäftigte laden vertrauliche Kundeninformationen in frei zugängliche KIAnwendungen hoch. Oder ein Chatbot gibt Kunden verbindlich klingende Zusagen, die das Unternehmen gar nicht erfüllen kann oder möchte. Das eigentliche Problem ist dann nicht der Einsatz künstlicher Intelligenz. Das Problem ist der Einsatz ohne klare Regeln.

Die ISO 42001 lässt sich unabhängig zertifizieren

Wie bei einem Qualitätsmanagementsystem nach ISO 9001 oder einem Informationssicherheitsmanagementsystem nach ISO 27001 kann auch ein KI-Managementsystem von Unternehmen wie der DICIS AG unabhängig geprüft werden. Bei einer solchen Zertifizierung untersucht eine unabhängige Zertifizierungsstelle, ob das Unternehmen die Anforderungen der ISO 42001 erfüllt und seine Regeln tatsächlich in der Praxis anwendet. Die ISO selbst führt keine Zertifizierungen durch. Diese Aufgabe übernehmen unabhängige Zertifizierungsstellen. Die Zertifizierung ist freiwillig und keine gesetzliche Voraussetzung für den KI-Einsatz.

Der entscheidende Unterschied besteht im Nachweis nach außen: Das Unternehmen behauptet nicht nur, dass es künstliche Intelligenz verantwortungsvoll einsetzt. Es hat mit der Zertifizierung einen Beleg dafür, dass es seine Strukturen, Prozesse und Kontrollen diesbezüglich unabhängig überprüfen lässt. Gerade gegenüber größeren Auftraggebern kann dies die Prüfung als (potenzieller) Lieferant erleichtern. Statt immer wieder umfangreiche Fragebögen zum KI-Einsatz beantworten zu müssen, verfügt das Unternehmen über einen standardisierten und international verständlichen Nachweis.

Braucht mein Unternehmen eine KI-Zertifizierung?

Die klare Antwort lautet: Nicht jedes Unternehmen braucht sofort eine Zertifizierung nach ISO 42001. Wenn lediglich einzelne Beschäftigte die KI gelegentlich für interne Ideen oder Formulierungshilfen nutzen, können zunächst eine verständliche KI-Richtlinie, klare Verantwortlichkeiten und regelmäßige Schulungen ausreichen.

Interessanter wird eine Zertifizierung, wenn:

- KI wesentliche Geschäftsprozesse beeinflusst,
- KI in Produkte oder Dienstleistungen integriert wird,
- Arbeitsergebnisse maßgeblich mit KI erstellt werden,
- sensible oder vertrauliche Daten verarbeitet werden,
- Kunden direkt mit KI-Systemen interagieren,
- KI-generierte Inhalte veröffentlicht werden,
- viele Beschäftigte unterschiedliche KI-Anwendungen einsetzen,
- größere Auftraggeber Nachweise zum KI-Management verlangen,
- das Unternehmen sich als besonders sicherer und professioneller Anbieter positionieren möchte.

Softwarehersteller, IT-Dienstleister, Agenturen, Beratungsunternehmen und andere wissensintensive Dienstleister gehören deshalb zu den Unternehmen, für die eine Zertifizierung besonders interessant sein kann. Bei ihnen ist KI häufig nicht nur ein internes Hilfsmittel, sondern Bestandteil der Leistung, die Kunden kaufen.

Drei Fragen entscheiden über den wirtschaftlichen Nutzen

Geschäftsführerinnen und Geschäftsführer, die vor der Entscheidung „Zertifizierung ja oder nein“ stehen sollten sich drei zentrale Fragen stellen:

1. Können unsere Kunden darauf vertrauen, korrekte Ergebnisse zu erhalten – unabhängig davon, wie sie entstanden sind? Entscheidend ist nicht, ob ein Mensch oder eine KI einen ersten Entwurf erstellt hat. Entscheidend ist, ob das Ergebnis zuverlässig geprüft wurde.

2. Können unsere Kunden darauf vertrauen, dass wir KI nur innerhalb der rechtlich zulässigen Grenzen einsetzen? Dazu gehören unter anderem Datenschutz, Transparenzpflichten, Urheberrecht und die Anforderungen des EU AI Acts.

3. Können unsere Kunden darauf vertrauen, dass diese Standards im gesamten Unternehmen gelten?

Ein professionelles KI-Management darf nicht davon abhängen, welcher Beschäftigte gerade einen Auftrag bearbeitet. Notwendige Kompetenzen, Kontrollen und Freigaben müssen überall vorhanden sein. Wer diese drei Fragen nachvollziehbar beantworten kann, schafft Vertrauen. Wer die Antworten zusätzlich unabhängig prüfen lässt, macht dieses Vertrauen sichtbar.

Eine neue Form der Qualitätsauszeichnung

Das Interesse an der ISO 42001 ist 2026 deutlich gestiegen. Nach eigenen Auswertungen des weltweiten Google-Suchinteresses haben sich entsprechende Suchanfragen innerhalb weniger Monate nahezu verdreifacht. Der Grund liegt auf der Hand: Je selbstverständlicher künstliche Intelligenz im Unternehmensalltag wird, desto wichtiger wird die Frage, wie zuverlässig sie eingesetzt wird.

Eine ISO-42001-Zertifizierung kann deshalb zu einer neuen Form des Wettbewerbsvorteils werden, denn sie signalisiert Kunden, Auftraggebern und Geschäftspartnern: Dieses Unternehmen nutzt KI nicht unkontrolliert. Es hat Risiken bewertet, Verantwortlichkeiten geregelt, Beschäftigte geschult und seine Prozesse unabhängig überprüfen lassen.

Nicht jedes Unternehmen braucht dafür sofort ein Zertifikat. Aber jedes Unternehmen, das künstliche Intelligenz einsetzt, braucht klare Regeln. Denn die größte Gefahr ist nicht, dass Unternehmen KI verwenden. Die größte Gefahr ist, dass sie KI verwenden, ohne genau zu wissen, wo, wie und mit welchen Folgen.

Gastbeitrag von Dr. Jens-Uwe Meyer, CEO der DICIS AG.