Bei ISO 42001 dominiert im ersten Jahr ein Kostenblock, der bei anderen Managementsystemnormen kaum vorkommt: die vollständige Erfassung dessen, was überhaupt zertifiziert werden soll. KI-Systeme kommen in Unternehmen selten über ein zentrales Projekt herein. Sie stecken in eingekauften Fachanwendungen, in Funktionen des CRM, in Assistenten der Office-Umgebung, in Auswertungsskripten einzelner Abteilungen und in Diensten, die ein Fachbereich per Kreditkarte gebucht hat. Bevor eine Zertifizierungsstelle einen Geltungsbereich bestätigen kann, muss diese Liste stehen. In den meisten Häusern ist das Projektarbeit über Wochen, nicht ein Formular.
Der zweite große Unterschied liegt in der Rolle. ISO 42001 unterscheidet zwischen dem, der KI-Systeme entwickelt und bereitstellt, und dem, der sie einsetzt. Beide können sich zertifizieren lassen, aber der Aufbau unterscheidet sich grundlegend. Ein Anbieter muss Datenherkunft, Trainingsverfahren, Validierung und Modellversionen belegen. Ein reiner Anwender muss zeigen, dass er Systeme bewusst auswählt, ihre Grenzen kennt, den Einsatz überwacht und seine Lieferanten steuert. Wer diese Rolle nicht früh klärt, baut Nachweise auf, die niemand verlangt.
Der eigentliche Auditaufwand folgt dagegen der gewohnten Systematik. ISO 42001 ist eine Managementsystemnorm nach der einheitlichen Grundstruktur, die Zahl der Audittage leitet sich aus Mitarbeiterzahl und Komplexität ab. Die Mechanik dahinter erklären die Seite zu den Audittagen nach IAF MD 5 und der Eintrag zum Komplexitätsfaktor. Zwei Besonderheiten verschieben das Bild: Zertifizierungsstellen brauchen für diese Norm eine eigene Akkreditierung, und die Auditoren müssen fachliche Kompetenz zu KI-Systemen nachweisen. Der Kreis ist klein, die Vorlaufzeiten sind länger, und der Verhandlungsspielraum beim Tagessatz ist enger als bei etablierten Normen.
Die Kostenblöcke im Einzelnen
1. Das Inventar der KI-Systeme. Erfassung, Beschreibung, Zweck, verarbeitete Daten, betroffene Personen, Verantwortlicher im Haus. Dieser Schritt ist der Ausgangspunkt für alles Weitere und der aufwendigste im ersten Jahr. Erfahrungsgemäß taucht dabei ein Vielfaches dessen auf, was die IT-Abteilung erwartet hat — mit dem Nebeneffekt, dass zunächst Systeme abgeschaltet oder ersetzt werden, bevor überhaupt zertifiziert wird.
2. Rollenklärung und Geltungsbereich. Für jedes System muss geklärt sein, ob Ihr Unternehmen es bereitstellt oder nutzt, und ob es in den Geltungsbereich gehört. Diese Entscheidung bestimmt den gesamten Nachweisumfang. Der Eintrag zu Geltungsbereich und Preis beschreibt, wie stark ein Zuschnitt die Rechnung bewegt.
3. Risikobewertung und KI-Folgenabschätzung. Neben der Risikobetrachtung für die Organisation verlangt die Norm eine Bewertung der Auswirkungen auf betroffene Personen. Diese zweite Perspektive ist neu und lässt sich nicht aus dem vorhandenen Qualitätsmanagement ableiten. Der Aufwand entsteht in der Abstimmung zwischen Fachbereich, Datenschutz, Recht und Entwicklung.
4. Dokumentation über den Lebenszyklus. Datenherkunft, Aufbereitung, Trainings- und Testläufe, Freigabekriterien, Modellversionen, Überwachung im Betrieb, Verfahren beim Nachtrainieren. Für Häuser mit reifen Entwicklungsprozessen ist das eine Ergänzung. Wo Modelle bislang in Notebooks entstanden sind und ohne Versionierung produktiv gingen, ist es ein Umbau der Arbeitsweise — und der größte Einzelposten für Anbieter.
5. Steuerung der Lieferanten. Der überwiegende Teil der eingesetzten KI ist eingekauft. Sie müssen belegen, dass Sie Anbieter bewusst auswählen, deren Angaben bewerten und vertraglich absichern, was Sie an Transparenz brauchen. Der praktische Aufwand liegt darin, dass große Anbieter Fragebögen nicht individuell beantworten. Sie müssen sich deshalb auf öffentlich verfügbare Unterlagen stützen und deren Aussagekraft selbst bewerten. Das ist Arbeit, die keine Vorlage abnimmt.
6. Kompetenz und Schulung. Nicht nur für die Entwicklung, sondern für alle, die KI-Ergebnisse verwenden. Die Norm verlangt, dass Beschäftigte die Grenzen der eingesetzten Systeme kennen. Das ist wiederkehrende interne Zeit, die in der Erstkalkulation regelmäßig fehlt.
7. Interne Audits und Managementbewertung. Wie bei jeder Managementsystemnorm. Wer bereits ein System betreibt, erweitert den vorhandenen Auditplan. Wer neu anfängt, baut den Regelkreis komplett auf. Der Beitrag wie Sie die interne Arbeitszeit realistisch schätzen beschreibt, wie sich dieser Block überschlagen lässt.
8. Zertifizierungsaudit in zwei Stufen. Stufe 1 prüft die Dokumentation und die Auditbereitschaft, Stufe 2 die Umsetzung vor Ort. Danach folgt der Drei-Jahres-Zyklus mit Überwachungsaudits. Bei einer jungen Norm kommt ein praktischer Punkt hinzu: Auditoren haben noch wenig Vergleichsmaterial, und Diskussionen über die Auslegung dauern länger als bei ISO 9001. Planen Sie dafür Zeit ein, nicht Geld.
9. Laufende Pflege des Inventars. Neue KI-Funktionen erscheinen in bestehenden Anwendungen, ohne dass jemand sie bestellt hat. Das Inventar aktuell zu halten ist deshalb keine jährliche Aufgabe, sondern ein fortlaufender Prozess. Er bestimmt die Folgekosten stärker als das Überwachungsaudit.
Was den Preis nach oben treibt
| Faktor | Wirkung auf die Kosten |
|---|---|
| Rolle als Anbieter statt als Anwender | Nachweise über Daten, Training, Validierung und Modellversionen kommen vollständig hinzu |
| Selbst trainierte oder feinabgestimmte Modelle | Datenherkunft und Reproduzierbarkeit müssen belegbar sein, nicht nur beschrieben |
| Viele verstreute KI-Anwendungen in Fachbereichen | Die Bestandsaufnahme wird zum eigenen Projekt mit Abstimmungsaufwand |
| Einsatz in Personalauswahl, Kreditvergabe oder Medizin | Höhere Anforderungen an Folgenabschätzung, Aufsicht und Dokumentation |
| Kein bestehendes Managementsystem | Leitungsstruktur, Dokumentenlenkung und interne Audits entstehen von Grund auf |
| Enger Auditorenmarkt | Längere Vorlaufzeiten, weniger Vergleichsangebote, mehr Reisekosten |
| Mehrere Standorte im Geltungsbereich | Zusätzliche Audittage nach der üblichen Systematik |
| Anbieter, die keine Auskunft geben | Bewertung muss aus öffentlichen Unterlagen hergeleitet und begründet werden |
| Getrennte Zertifizierung neben ISO 27001 | Gemeinsame Systemteile werden zweimal geprüft und zweimal bezahlt |
Wo sich sparen lässt
Den Geltungsbereich über die KI-Systeme schneiden, nicht über das Unternehmen. Es ist zulässig und üblich, das Managementsystem auf die Systeme zu begrenzen, für die ein Nachweis verlangt wird. Ein Anbieter, der eine einzelne Produktlinie zertifiziert, zahlt einen Bruchteil dessen, was eine Zertifizierung über alle Bereiche kostet. Das Vorgehen beschreibt der Beitrag wie Sie den Geltungsbereich kostenbewusst schneiden.
Mit ISO 27001 kombinieren. Beide Normen teilen den gesamten Rahmen: Kontext, Führung, Ziele, Dokumentenlenkung, interne Audits, Managementbewertung, Korrekturmaßnahmen. Im integrierten Audit wird dieser Teil einmal geprüft. Wie groß der Effekt ausfällt, ordnet die Seite zu mehreren Normen im kombinierten Verfahren ein. Für Unternehmen, die ohnehin ein Informationssicherheits-Managementsystem betreiben, ist ISO 42001 dadurch ein Aufsatz und kein zweites Projekt.
Die Rolle vor dem Projektstart festlegen. Viele Unternehmen bauen zunächst Anbieternachweise auf und stellen später fest, dass sie ausschließlich einsetzen. Diese Arbeit ist verloren. Eine Stunde Klärung am Anfang spart Wochen.
Das Inventar dort führen, wo Systeme beschafft werden. Wenn die KI-Erfassung an den bestehenden Beschaffungs- oder Freigabeprozess gekoppelt wird, pflegt sie sich selbst. Ein separat geführtes Verzeichnis veraltet zwischen zwei Audits und muss vor jedem Termin rekonstruiert werden.
Fördermöglichkeiten vor dem Start prüfen. Für Digitalisierungs- und Managementsystemvorhaben gibt es Landesprogramme, und viele schließen einen Zuschuss aus, sobald das Vorhaben begonnen hat. Der Einstieg steht auf der Seite zur Förderung von Zertifizierungen und im Eintrag zum vorzeitigen Maßnahmenbeginn.
Termine früh binden. Weil akkreditierte Stellen für diese Norm rar sind, ist der Auditkalender der Engpass, nicht das Budget. Wer erst drei Monate vor dem gewünschten Termin anfragt, zahlt für Flexibilität — meist in Form von Reisekosten für einen weiter entfernten Auditor.
Was ISO 42001 gegenüber anderen Normen teurer oder günstiger macht
Als eigenständige Erstzertifizierung liegt ISO 42001 im Bereich anderer Managementsystemnormen vergleichbarer Größe, mit einem Aufschlag für den knappen Auditorenmarkt. Als Ergänzung zu einem bestehenden System nach ISO 27001 ist sie deutlich günstiger als eine zweite Norm normalerweise wäre, weil sich der gesamte Rahmen teilt. Diese Spreizung ist größer als bei den meisten anderen Kombinationen: Der Unterschied zwischen Einzelzertifizierung und Aufsatz macht bei ISO 42001 mehr aus als bei ISO 14001 neben ISO 9001.
Teurer als andere Normen ist ISO 42001 an einer Stelle dauerhaft: bei der Pflege des Geltungsbereichs. Ein Umweltmanagementsystem verändert sich mit dem Standort, ein Qualitätsmanagementsystem mit den Prozessen. Beides bewegt sich langsam. Der KI-Bestand eines Unternehmens verändert sich mit jedem Softwareupdate eines Lieferanten. Wer das nicht organisatorisch löst, hat vor jedem Überwachungsaudit dieselbe Bestandsaufnahme erneut zu leisten.
Und ein Punkt für die Entscheidung, der häufig falsch dargestellt wird: ISO 42001 ist keine harmonisierte Norm zur EU-KI-Verordnung und erzeugt keine Konformitätsvermutung. Wer sich zertifizieren lässt, erfüllt damit nicht automatisch die Anforderungen der Verordnung. Was die Zertifizierung leistet, ist etwas anderes und trotzdem wertvoll: Sie erzwingt Inventar, Rollenklärung und Dokumentation — also genau die Grundlagen, ohne die ein späterer Nachweis gegenüber Kunden oder Behörden gar nicht möglich wäre. Wer ISO 42001 als Compliance-Abkürzung verkauft bekommt, sollte beim Anbieter nachfragen.