EU AI Act Art. 4 vs. ISO/IEC 42001 – wie KI-Managementsystem und KI-Kompetenz-Pflicht zusammenspielen

*Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für eine verbindliche juristische Einschätzung Ihrer konkreten Situation wenden Sie sich bitte an eine qualifizierte Kanzlei.*

Wer sich mit der Regulierung von KI im Unternehmenskontext beschäftigt, begegnet schnell zwei Namen: EU AI Act, Artikel 4 und ISO/IEC 42001. Beide kreisen um das Thema „verantwortungsvoller KI-Einsatz" – und werden deshalb in der Praxis häufig vermischt oder gleichgesetzt. Das ist ein Fehler, der teure Lücken hinterlässt.

Dieser Artikel erklärt klar, was die beiden Instrumente unterscheidet, was sie verbindet und welche Maßnahmen Ihr Unternehmen konkret braucht, um beide Aspekte sinnvoll zu adressieren.

Was ist ISO/IEC 42001?

Die ISO/IEC 42001 ist eine internationale Norm, die im Dezember 2023 veröffentlicht wurde. Ihr vollständiger Titel lautet: *„Information technology – Artificial intelligence – Management system"*.

Inhaltlich definiert sie Anforderungen an ein KI-Managementsystem (AIMS) – also an die organisatorischen Strukturen, Prozesse und Richtlinien, die ein Unternehmen etablieren muss, um KI verantwortungsvoll zu entwickeln, einzusetzen und kontinuierlich zu verbessern.

Typische Elemente eines AIMS nach ISO 42001:

• Governance: Wer ist intern für KI-Entscheidungen verantwortlich?
• Risikobewertung: Wie werden KI-Systeme auf Risiken geprüft, bevor sie eingesetzt werden?
• Datenverwaltung: Wie werden Trainingsdaten und Eingabedaten gesteuert und dokumentiert?
• Leistungsüberwachung: Wie wird die Qualität und Fairness von KI-Ausgaben kontinuierlich gemessen?
• Kontinuierliche Verbesserung: Plan-Do-Check-Act-Zyklus (PDCA) auf die KI-Governance angewendet.

Freiwillig, aber zertifizierbar

Wichtig: ISO/IEC 42001 ist eine freiwillige Norm. Kein Gesetz schreibt Ihnen vor, ein AIMS einzuführen. Wenn Sie es tun, können Sie sich durch eine akkreditierte Zertifizierungsstelle (ähnlich wie bei ISO 9001 oder ISO 27001) prüfen und zertifizieren lassen. Dieses Zertifikat belegt gegenüber Kunden, Partnern und Aufsichtsbehörden, dass Ihr KI-Governance-Rahmen geprüften Standards entspricht.

Was ist Artikel 4 EU AI Act?

Artikel 4 EU AI Act trägt den Titel „KI-Kompetenz" und ist seit dem 2. Februar 2025 unmittelbar anwendbares europäisches Recht. Er richtet sich an:

• Anbieter von KI-Systemen (Entwickler, die KI-Produkte auf den Markt bringen)
• Betreiber von KI-Systemen (Unternehmen, die KI im eigenen Geschäftsbetrieb nutzen)

Die Pflicht lautet vereinfacht: Stellen Sie sicher, dass Ihre Mitarbeiterinnen und Mitarbeiter, die mit KI arbeiten oder KI-Systeme beaufsichtigen, über ausreichende KI-Kompetenz verfügen. Diese Kompetenz muss dokumentiert und nachweisbar sein.

Was konkret als „ausreichend" gilt, hängt laut Art. 4 von Faktoren ab wie:

• der Art und dem Risikopotenzial der eingesetzten KI-Systeme
• der Rolle der betreffenden Person im Unternehmen
• dem Anwendungskontext (z. B. Hochrisiko-KI oder Allzweck-KI-Systeme)

Mehr Details zum genauen Umfang der Pflicht finden Sie in unserem Artikel EU AI Act Artikel 4 einfach erklärt.

Kernunterschied: zwei verschiedene Ebenen

Hier liegt der entscheidende Punkt, den viele Unternehmen übersehen:

| | ISO/IEC 42001 | Art. 4 EU AI Act | |---|---|---| | Art | Freiwillige internationale Norm | Verbindliches EU-Recht (seit 2.2.2025) | | Gegenstand | Organisatorisches KI-Managementsystem | KI-Kompetenz der Belegschaft | | Fokus | Prozesse, Strukturen, Governance | Wissen, Fähigkeiten, Schulung | | Nachweis | Zertifikat durch akkreditierte Stelle | Schulungsdokumentation, Prüfungsnachweise | | Wer entscheidet? | Unternehmen (freiwillig) | EU-Verordnung (Pflicht) |

ISO/IEC 42001 ist kein Ersatz für Art. 4 – und Art. 4 ist kein Ersatz für ISO/IEC 42001.

Ein Unternehmen kann ein vollständig zertifiziertes AIMS nach ISO 42001 betreiben und trotzdem gegen Art. 4 verstoßen, wenn die Mitarbeiterschulungen fehlen oder nicht dokumentiert sind. Umgekehrt können alle Mitarbeiter bestens geschult sein – ohne dass ein AIMS existiert.

Wo sie sich ergänzen

Obwohl es sich um unterschiedliche Instrumente handelt, greifen sie sinnvoll ineinander:

1. AIMS als struktureller Rahmen für Art.-4-Maßnahmen

Ein KI-Managementsystem nach ISO 42001 enthält typischerweise auch Abschnitte zu Kompetenz und Bewusstsein (Competence & Awareness). Wenn Ihr AIMS vorschreibt, welche Rollen welche Schulungen benötigen, schafft das einen natürlichen dokumentarischen Rahmen für die Art.-4-Compliance. Der PDCA-Zyklus sorgt zudem dafür, dass Schulungsmaßnahmen regelmäßig überprüft und aktualisiert werden – genau das, was Art. 4 im Geiste verlangt.

2. Art.-4-Kompetenz stärkt das AIMS

Umgekehrt gilt: Ein AIMS ist nur so gut wie die Menschen, die es umsetzen. Wer sicherstellt, dass alle relevanten Mitarbeiter die Grundlagen von KI, ihre Risiken und den regulatorischen Kontext verstehen, legt damit auch das Fundament für ein funktionierendes KI-Governance-System.

3. Gemeinsame Dokumentationspflicht

Sowohl ISO 42001 als auch Art. 4 verlangen eine nachvollziehbare Dokumentation. Wer ein AIMS führt, hat oft bereits Teile der für Art. 4 nötigen Nachweise – etwa Schulungsprotokolle, Rollenbeschreibungen mit KI-Bezug oder Risikoregistries. Diese Synergien sollten gezielt genutzt werden.

Praktische Einordnung: Wo steht Ihr Unternehmen?

Für die meisten kleinen und mittleren Unternehmen sieht die Realität so aus:

Sofortiger Handlungsbedarf (Art. 4): Die Kompetenz-Pflicht gilt jetzt. Wer KI-Tools wie ChatGPT, Copilot, oder branchenspezifische KI-Anwendungen im Betrieb einsetzt, muss die betroffenen Mitarbeiter schulen und dies dokumentieren können. Eine Prüfung durch die Bundesnetzagentur oder im Rahmen eines Schadenfalls kann jederzeit erfolgen.

Mittelfristige Option (ISO 42001): Ein AIMS nach ISO 42001 ist ein sinnvoller nächster Schritt für Unternehmen, die KI strategisch einsetzen oder KI-Systeme an Kunden liefern. Es ist kein Pflichtprogramm für jeden – aber es stärkt Ihre Position gegenüber Kunden, Partnern und Aufsichtsbehörden erheblich.

Wenn Sie noch am Anfang stehen: Beginnen Sie mit Art. 4. Klären Sie, wer in Ihrem Unternehmen mit KI arbeitet, schulen Sie diese Personen strukturiert und dokumentieren Sie alles. Mehr zu den konkreten Schritten finden Sie in unserem Leitfaden KI-Kompetenz rechtssicher dokumentieren.

Ein Wort zu Bußgeldern: Klarheit statt Panikmache

In vielen Artikeln zum EU AI Act werden die Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes erwähnt. Diese Beträge stammen aus Artikel 5 EU AI Act und betreffen verbotene KI-Praktiken – also den Einsatz von KI-Systemen, die grundsätzlich untersagt sind (z. B. soziales Scoring durch Behörden oder manipulative Systeme, die das Unterbewusstsein ausnutzen).

Artikel 4 hat keinen eigenständigen Bußgeldtatbestand. Eine fehlende Mitarbeiterschulung führt nicht automatisch zu einem 35-Millionen-Bußgeld. Das bedeutet nicht, dass Art. 4 bedeutungslos ist – der Nachweis fehlender Kompetenz kann im Rahmen anderer Verstöße erschwerend wirken und Haftungsrisiken erhöhen. Aber die Zahlen pauschal mit Schulungspflichten zu verknüpfen, ist irreführend.

Mehr zu den tatsächlichen Konsequenzen lesen Sie in unserem Artikel zu verbotenen KI-Praktiken nach Art. 5 EU AI Act.

Checkliste: Was Ihr Unternehmen jetzt tun sollte

Kurzfristig (Art. 4 – Pflicht seit 2.2.2025):

• [ ] Inventarisieren: Welche KI-Systeme nutzt Ihr Unternehmen?
• [ ] Rollen klären: Wer arbeitet mit KI oder beaufsichtigt KI-Systeme?
• [ ] Schulung durchführen: Inhalte angemessen auf die eingesetzten Systeme zuschneiden
• [ ] Dokumentieren: Teilnahmenachweise, Testergebnisse, Schulungsinhalte aufbewahren
• [ ] Auffrischen: Schulung bei wesentlichen Änderungen wiederholen

Mittelfristig (ISO 42001 – optional, aber empfehlenswert):

• [ ] Prüfen, ob ein AIMS für Ihre Unternehmensgröße und KI-Intensität sinnvoll ist
• [ ] Verantwortlichkeiten für KI-Governance intern klären
• [ ] Risikobasierter Ansatz: Hochrisiko-KI braucht mehr Governance als Allzweck-Tools
• [ ] Zertifizierungsstelle evaluieren, wenn externes Zertifikat gewünscht

Einen konkreten Fahrplan mit Fristen finden Sie in unserem Überblick der EU-AI-Act-Fristen bis 2027. Und wenn Sie noch unklar sind, ob Ihr Unternehmen überhaupt betroffen ist: Der Artikel Wen betrifft Art. 4 EU AI Act? gibt schnell Klarheit.

Unser Angebot: Schulung und Nachweis für Art. 4

Wir bieten ein digitales KI-Kompetenz-Training nach Art. 4 EU AI Act an – mit strukturierten Lernmodulen, einer anschließenden Wissenskontrolle und einem personalisierten Zertifikat mit Prüf-ID.

Klarstellung: Unser Zertifikat ist ein privater Kompetenznachweis – kein staatliches Zertifikat, keine ISO-42001-Zertifizierung, keine akkreditierte Prüfung. Es dokumentiert, dass eine Person die Schulung abgeschlossen und die Lernkontrolle bestanden hat – genau das, was Unternehmen für die Art.-4-Compliance brauchen.

Noch nicht sicher, ob Schulungsbedarf besteht? Starten Sie mit unserem kostenlosen KI-Kompetenz-Schnellcheck – in unter 5 Minuten wissen Sie, wo Ihre Mitarbeiterinnen und Mitarbeiter stehen.

Oder direkt zum Angebot und Preisen – auch als Firmen-Lizenz für mehrere Mitarbeiter verfügbar.

*Fazit: ISO/IEC 42001 und Art. 4 EU AI Act sind zwei verschiedene Instrumente mit unterschiedlichen Zielen – ein KI-Managementsystem und eine Kompetenz-Schulungspflicht. Sie schließen sich nicht aus, sondern ergänzen sich. Beginnen Sie mit dem, was Pflicht ist: dokumentierte KI-Kompetenz für Ihre Belegschaft.*