ISO 42001 Checkliste: 10 Schritte zur Compliance

ISO 42001 Checkliste fasst die 10 wichtigsten Schritte zusammen, die Unternehmen für ein konformes KI-Managementsystem (AIMS) durchlaufen müssen. Wer KI geordnet einführen oder bestehenden KI-Einsatz auditfest steuern will, sollte Inventar, 38 zu prüfende Controls, rund 22 typische Pflicht- und Nachweisdokumente sowie einen realistischen Zeithorizont von 6 bis 12 Monaten von Anfang an gemeinsam planen.

Letzte Aktualisierung: 23. März 2026

Die praktische Kernaussage lautet: ISO/IEC 42001:2023 funktioniert nicht als Einzelmaßnahme, sondern als Managementsystem mit klarer Reihenfolge. Erst wenn Sie alle relevanten KI-Systeme erfassen, den Scope festlegen, das Management binden, Risiken bewerten, Controls auswählen, Nachweise dokumentieren, Mitarbeitende qualifizieren, intern prüfen und die Ergebnisse im Management-Review bewerten, entsteht ein belastbares AIMS statt einer Sammlung isolierter Richtlinien.

Der regulatorische Kontext ist ebenfalls wichtig. Seit dem 2. Februar 2025 verlangt Art. 4 der EU-VO 2024/1689 ein ausreichendes Maß an KI-Kompetenz, und nach Art. 40 der EU-VO 2024/1689 können harmonisierte Normen für die praktische Umsetzung künftig an Bedeutung gewinnen. ISO 42001 ersetzt den EU AI Act nicht, schafft aber die Governance-Struktur, mit der Risikoarbeit, Rollen, Kontrollen und Nachweise im Unternehmen überhaupt belastbar organisiert werden können. Für den strategischen Überblick lohnt sich deshalb zuerst der ISO-42001-Leitfaden, für das Grundverständnis zusätzlich der Überblick zu ISO 42001 und für die operative Qualifizierung die ISO-42001-Schulung.

ISO 42001 Checkliste — 10 Schritte im Überblick

Die ISO 42001 Checkliste ist am wirksamsten, wenn sie nicht nur als Leseliste, sondern als Projektplan mit Status, Verantwortlichen und Fristen geführt wird. Genau deshalb sollte jedes Unternehmen die 10 Schritte in ein Umsetzungsboard, ein GRC-Tool oder zumindest eine gemeinsame Maßnahmenliste überführen, damit Fortschritt, Blocker und Nachweise jederzeit sichtbar bleiben.

Die typische Timeline liegt bei kleinen und mittleren Unternehmen meist zwischen 6 und 12 Monaten. Ein schlanker Scope mit wenigen KI-Systemen ist oft näher an 6 Monaten, während verteilte Verantwortlichkeiten, mehrere Fachbereiche, eingekaufte Modelle, sensible Daten oder hohe Dokumentationsanforderungen den Zeitraum regelmäßig verlängern. Entscheidend ist nicht Geschwindigkeit um jeden Preis, sondern eine Reihenfolge, in der spätere Audits auf belastbaren Vorentscheidungen aufbauen.

Die Checkliste entfaltet ihren Wert erst durch Priorisierung. Wenn Ihr Unternehmen heute noch kein vollständiges KI-Managementsystem hat, sollten Sie zuerst Transparenz, Rollen und Risikologik herstellen, bevor Sie Detaildokumente produzieren. Genau hier helfen die Vertiefungen zur KI-Risikobewertung, zum Risikomanagement und zur menschlichen Aufsicht, weil diese Begriffe in fast jedem Umsetzungsschritt wieder auftauchen.

Schritt 1 — KI-Inventar erstellen

Der erste Schritt ist immer ein vollständiges KI-Inventar, weil Sie ohne Systemübersicht weder Scope noch Risiken noch Controls sauber festlegen können. Viele Projekte scheitern nicht an komplizierten Normkapiteln, sondern daran, dass niemand sicher sagen kann, welche Modelle, Tools, Automatisierungen, APIs und GenAI-Dienste im Unternehmen überhaupt produktiv, testweise oder informell genutzt werden.

Ein belastbares Inventar erfasst nicht nur Produktnamen, sondern den gesamten Nutzungskontext. Dokumentieren Sie pro System mindestens Zweck, Fachbereich, Owner, technische Basis, Datenquellen, betroffene Personen, Outputs, Integrationen, menschliche Aufsicht, Einsatzstatus, Lieferantenbezug und kritische Abhängigkeiten. Wenn möglich, ergänzen Sie bereits hier eine erste Einordnung nach Risiko, etwa ob das System Personalentscheidungen, Kundenbewertungen, interne Assistenzaufgaben oder rein kreative Hilfsfunktionen unterstützt.

Die Klassifizierung sollte pragmatisch beginnen und später verfeinert werden. In der Praxis hat sich eine Dreiteilung bewährt: niedrige Kritikalität für unterstützende Systeme ohne sensible Wirkung, mittlere Kritikalität für produktionsnahe Systeme mit geschäftlicher Relevanz und hohe Kritikalität für Systeme mit Auswirkungen auf Rechte, Sicherheit, erhebliche wirtschaftliche Folgen oder regulierte Prozesse. Diese Vorstruktur reduziert den Aufwand der späteren Risikoanalyse erheblich.

Die Verantwortungszuordnung gehört bereits in Schritt 1 und nicht erst in die Governance-Phase. Jedes System braucht einen fachlichen Owner, einen technischen Ansprechpartner und einen Governance-Kontakt. Wo diese Rollen fehlen, ist das ein Befund und keine Randnotiz. Ohne benannte Verantwortliche können weder Freigaben noch Änderungen noch Vorfälle wirksam gesteuert werden.

Ein gutes Inventar enthält außerdem verbotene und graue Zonen. Halten Sie fest, welche Schattennutzung bereits stattfindet, welche Browser-Tools oder Copilot-Funktionen inoffiziell verwendet werden und welche Pilotprojekte in Verträgen, Einkauf oder IT nie aufgetaucht sind. Diese Transparenz ist für die spätere Control-Auswahl oft wertvoller als ein formal perfektes, aber inhaltlich unvollständiges Register.

Schritt 2 — Scope und Kontext festlegen

Der Scope entscheidet darüber, was Ihr AIMS tatsächlich steuert und wofür das Management später Verantwortung übernimmt. Wer den Geltungsbereich zu breit ansetzt, blockiert sich oft selbst; wer ihn zu eng wählt, baut eine Governance-Insel, die zentrale Risiken außen vor lässt. Deshalb sollte der Scope realistisch, begründet und mit den wichtigsten Geschäftsprozessen verbunden sein.

Der Scope beschreibt mindestens Organisationseinheiten, Standorte, Prozesse, Systeme und Ausschlüsse. Formulieren Sie klar, ob das AIMS nur eingekaufte KI umfasst, auch Eigenentwicklungen einschließt, nur bestimmte Fachbereiche abdeckt oder zunächst auf Pilot- und Produktivsysteme begrenzt ist. Ein sauberer Einstiegsscope ist kein Zeichen von Schwäche, sondern ein Zeichen dafür, dass Ihr Managementsystem steuerbar bleiben soll.

Der Kontext der Organisation geht über die Scope-Formulierung hinaus. Identifizieren Sie interessierte Parteien wie Geschäftsführung, Mitarbeitende, Kunden, Betriebsrat, Datenschutzfunktion, Informationssicherheit, Lieferanten, Auditoren, Aufsichtsbehörden und gegebenenfalls Betroffene Ihrer KI-gestützten Entscheidungen. Für jede dieser Gruppen sollten Sie festhalten, welche Erwartungen sie an Transparenz, Sicherheit, Nachweise, Fairness, menschliche Aufsicht oder Reaktionsfähigkeit haben.

Der strategische Nutzen dieses Schritts ist hoch. Wenn Scope und Kontext sauber dokumentiert sind, lassen sich spätere Diskussionen zu Ausnahmen, Sonderfällen und Verantwortungsgrenzen erheblich schneller entscheiden. Außerdem entsteht hier die Brücke zwischen Normanforderung und Geschäftswirklichkeit, die viele Teams sonst erst im Audit mühsam nachzeichnen.

Ein typischer Fehler ist die Vermischung von Rechtsprüfung und Scope-Festlegung. Der Scope Ihres AIMS ist eine Governance-Entscheidung, während die Einordnung einzelner Pflichten aus dem EU AI Act eine Rechtsfrage bleibt. Beides muss zusammen gedacht, aber nicht verwechselt werden. Wer diesen Unterschied früh versteht, spart später viel Reibung zwischen Compliance, Fachbereichen und Management.

Schritt 3 — Managementverpflichtung sichern

Ohne sichtbare Managementverpflichtung bleibt ISO 42001 ein Fachprojekt ohne Durchsetzungskraft. Der Standard folgt wie andere moderne Managementsysteme dem Grundprinzip, dass Führung Verantwortlichkeiten festlegt, Ressourcen bereitstellt, Prioritäten setzt und die Governance-Logik verbindlich macht. Wenn die Geschäftsführung KI nur als Technikthema delegiert, fehlen später Budget, Eskalationswege und die Autorität für unpopuläre Entscheidungen.

Managementverpflichtung bedeutet in der Praxis mehr als ein kurzes Kick-off. Die Leitung sollte den Scope freigeben, das Governance-Ziel beschreiben, eine KI-Policy verabschieden, Verantwortliche benennen, Mindestanforderungen an Beschaffung und Nutzung definieren und ein Budget für Risikoarbeit, Dokumentation, Schulung und interne Audits bereitstellen. Erst dann kann das Projektteam belastbar arbeiten.

Eine gute KI-Policy ist knapp, aber verbindlich. Sie sollte den Zweck des AIMS erklären, Grundsätze zu verantwortungsvoller Nutzung festhalten, Freigaben und Verbote strukturieren, Erwartungen an Dokumentation und menschliche Aufsicht benennen und die Verbindung zu bestehenden Managementsystemen herstellen. Wenn Sie diesen Baustein vertiefen möchten, ist die Vorlage zur KI-Policy im Unternehmen eine sinnvolle Ergänzung.

Budget ist ein Governance-Control, kein Nebenthema. Sie brauchen Zeit der Fachbereiche, Kapazität für Risiko- und Dokumentationsarbeit, gegebenenfalls Tool-Unterstützung, qualifizierte Auditoren und ein Schulungsprogramm für Schlüsselrollen. Wer hier zu knapp plant, verschiebt Aufwand nur in spätere Schleifen.

Die Managementkommunikation sollte außerdem das gewünschte Verhalten klar machen. Wenn Führung sichtbar macht, dass KI nicht improvisiert, sondern nachvollziehbar eingeführt, überwacht und verbessert wird, steigt die Akzeptanz für Inventar, Freigabeprozesse und Kontrollnachweise deutlich. Genau an dieser Stelle lohnt sich für viele Organisationen eine begleitende ISO-42001-Schulung, damit Management, Compliance und Fachbereiche dieselbe Begriffswelt teilen.

Schritt 4 — KI-Risikoanalyse durchführen

Die KI-Risikoanalyse ist der Kern Ihrer ISO 42001 Checkliste, weil sich hier entscheidet, welche Risiken Sie akzeptieren, behandeln oder eskalieren müssen. Ein AIMS ohne belastbare Risikoanalyse bleibt oberflächlich, selbst wenn Dokumente und Policies formal vorhanden sind. Entscheidend ist deshalb eine Methode, die technische, organisatorische, rechtliche und grundrechtsbezogene Auswirkungen gemeinsam betrachtet.

Ein sinnvoller Startpunkt ist die Systemcharakterisierung. Beschreiben Sie Zweck, Nutzende, Betroffene, Datenquellen, Modelltyp, Integrationen, menschliche Aufsicht und bekannte Grenzen des Systems. Erst auf dieser Basis lassen sich Risiken realistisch identifizieren. Wer nur pauschale Kategorien wie Bias oder Halluzination notiert, erzeugt selten handlungsfähige Maßnahmen.

Die Risikoidentifikation sollte mehrere Perspektiven kombinieren. Nutzen Sie Fachinterviews, Incident-Rückblicke, Lieferantenunterlagen, Datenschutz- und Security-Prüfungen, Missbrauchsszenarien und regulatorische Leitfragen. Besonders wichtig ist der Blick auf Art. 9 der EU-VO 2024/1689, weil dort die Grundlogik des Risikomanagements für Hochrisiko-KI beschrieben wird. ISO 42001 und der EU AI Act sind nicht deckungsgleich, aber beide verlangen, dass Risiken strukturiert erkannt, bewertet und mit Maßnahmen verknüpft werden.

Die Risikobewertung sollte mit dokumentierten Skalen arbeiten. Viele Unternehmen nutzen eine 1-bis-5-Skala für Eintrittswahrscheinlichkeit und Auswirkung und unterscheiden technische, organisatorische und gesellschaftliche Folgen. Wichtig ist die Begründung: Warum ist ein Risiko hoch, mittel oder akzeptabel? Welche Evidenz stützt die Einschätzung? Welche Schwellen lösen zusätzliche Freigaben oder Maßnahmen aus?

Eine gute Risikoanalyse mündet immer in einen Maßnahmenplan. Legen Sie pro Risiko fest, ob Sie es vermeiden, mindern, überwachen, vertraglich adressieren oder bewusst akzeptieren. Wenn Sie das Thema vertiefen wollen, helfen der Überblick zu ISO 42001, die Seite ISO 42001 für Unternehmen und der Glossarbegriff zur KI-Risikobewertung, weil dort Governance-Logik, Reifegrad und Bewertungsgrundlagen anschlussfähig erklärt werden.

Schritt 5 — Controls auswählen und SoA erstellen

Nach der Risikoanalyse folgt die Control-Auswahl, weil Maßnahmen nur dann auditierbar werden, wenn sie auf Risiken, Scope und Governance-Zielen aufbauen. ISO 42001 verweist in Annex A auf 38 zu prüfende Controls, die Unternehmen nicht blind übernehmen, sondern auf Relevanz, Angemessenheit und Umsetzung prüfen sollten. Genau aus dieser Ableitung entsteht das Statement of Applicability, kurz SoA.

Das SoA ist eines der wichtigsten Arbeitsdokumente im Projekt. Es dokumentiert, welche Controls für Ihren Scope relevant sind, warum sie gelten oder entfallen, wie sie umgesetzt werden und welche Nachweise dafür existieren. Für Auditoren ist das SoA oft der schnellste Einstieg in Ihr AIMS, weil es die Brücke zwischen Risiken, Normlogik und operativer Realität sichtbar macht.

Die Control-Auswahl sollte nicht isoliert im Compliance-Team stattfinden. Binden Sie Informationssicherheit, Datenschutz, Fachverantwortliche, Einkauf, HR und Technik ein, weil viele Controls nur wirksam sind, wenn sie in reale Prozesse übersetzt werden. Ein Control zu Lieferantenmanagement bleibt wirkungslos, wenn Beschaffung und Vendor Due Diligence nicht eingebunden sind; ein Control zu menschlicher Aufsicht bleibt leer, wenn operative Teams keine Entscheidungsgrenzen kennen.

Prüfen Sie Controls besonders gründlich in vier Bereichen: Governance und Verantwortlichkeiten, Daten- und Modellkontrollen, Transparenz und Aufsicht, Betrieb und Überwachung. Gerade eingekaufte KI-Systeme erzeugen hier häufig Lücken, weil Unternehmen zwar Nutzende sind, aber kein vollständiges technisches Innenleben sehen. Dann müssen vertragliche Nachweise, Einsatzgrenzen und interne Kontrollmechanismen umso sauberer dokumentiert werden.

Wenn Sie die Erstellung des SoA systematisieren wollen, sind der ISO-42001-Leitfaden, die Seite ISO 42001 für Unternehmen und der Überblick zu ISO 42001 die passendsten nächsten Schritte. Dort zeigt sich meist schnell, welche Maßnahmen bereits existieren und welche Controls nur scheinbar erfüllt sind.

Schritt 6 — Prozesse und Dokumentation aufbauen

ISO 42001 wird erst wirksam, wenn Ihre Prozesse und Nachweise nicht mehr verstreut, sondern reproduzierbar dokumentiert sind. In der Praxis entstehen rund 22 typische Pflicht- und Nachweisdokumente, auch wenn die genaue Zahl je nach Scope und Reifegrad variiert. Entscheidend ist nicht Papiermenge, sondern Nachvollziehbarkeit: Wer entscheidet was, auf welcher Grundlage, mit welchem Nachweis und in welchem Verbesserungszyklus?

Zu den zentralen Dokumenten gehören typischerweise Scope-Beschreibung, Kontextanalyse, KI-Policy, Rollenmatrix, Inventar, Risikomethodik, Risikoregister, Maßnahmenregister, SoA, Freigabeprozess, Lieferantenbewertung, Schulungsplan, Kompetenznachweise, Incident- und Eskalationsverfahren, Change-Management, Monitoring- und KPI-Logik, Auditprogramm, Auditberichte sowie Managementreview-Protokolle. Wenn diese Unterlagen verteilt in Einzelordnern, E-Mails und Präsentationen liegen, ist das ein Governance-Risiko.

Die Prozessarchitektur sollte schlank, aber verbindlich sein. Definieren Sie mindestens, wie neue KI-Systeme gemeldet werden, wann eine Risikoanalyse erforderlich ist, wer Freigaben erteilt, wie Änderungen bewertet werden, wie Vorfälle eskalieren, wie Lieferanten geprüft werden und wie Schulungspflichten ausgelöst werden. Jede Prozessbeschreibung sollte an reale Rollen und reale Nachweise gekoppelt sein.

Dokumentation muss außerdem versionierbar sein. Halten Sie Versionsstände, Freigaben, Review-Zyklen und Aufbewahrung nachvollziehbar fest, damit Sie im Audit nicht nur aktuelle Dokumente, sondern auch Änderungslogik zeigen können. Gerade bei KI-Systemen mit häufigen Updates ist dieser Punkt wichtiger als in klassischen Richtlinienwelten.

Die beste Dokumentation ist die, die operativ genutzt wird. Vermeiden Sie deshalb reine Audit-Texte ohne Anschluss an Einkauf, IT, HR oder Produktbetrieb. Wenn ein Prozessdokument niemand im Alltag nutzt, wird es im Audit selten überzeugend wirken.

Schritt 7 — Schulung und Kompetenz sicherstellen

Schulung ist kein Spätpunkt, sondern ein Pflichtbaustein für ein funktionierendes AIMS. Seit dem 2. Februar 2025 verlangt Art. 4 der EU-VO 2024/1689 ein ausreichendes Maß an KI-Kompetenz, und ISO 42001 verstärkt diese Logik durch Anforderungen an Rollen, Awareness und Kompetenzsicherung. Wer Controls einführt, ohne die betroffenen Rollen zu qualifizieren, schafft Formalität ohne Wirksamkeit.

Ein gutes Schulungsprogramm ist rollenbasiert. Geschäftsführung braucht Steuerungs- und Haftungsverständnis, Compliance braucht Norm- und Nachweislogik, Fachbereiche brauchen zulässige Nutzung und Eskalationswege, IT und Produktteams brauchen tiefere Kenntnisse zu Daten, Modellen, Änderungen und Monitoring. Genau aus dieser Differenzierung entsteht eine Kompetenzmatrix, die zeigt, wer welche Schulung in welcher Tiefe und Frequenz benötigt.

Awareness allein genügt meist nicht. Sie brauchen zusätzlich Nachweise zu Abschluss, Wiederholung, Rollenbezug und inhaltlicher Relevanz. Halten Sie deshalb Schulungsziele, Zielgruppen, Frequenz, Abschlusskriterien und Dokumentationsweise fest. Wenn ein Audit fragt, wie Ihr Unternehmen KI-Kompetenz organisiert, reicht eine Kursliste ohne Rollenlogik selten aus.

Die Kompetenzsicherung sollte auch externe Parteien berücksichtigen. Prüfen Sie, ob Lieferanten, Dienstleister, ausgelagerte Entwicklungspartner oder beratende Funktionen Einfluss auf Ihr AIMS haben und welche Nachweise Sie dort erwarten. Gerade bei eingekauften oder gemeinsam betriebenen KI-Lösungen endet Kompetenzverantwortung nicht an der Organigrammgrenze.

Für die operative Umsetzung lohnt sich meist eine Kombination aus Basisqualifizierung und vertiefender Spezialschulung. Wer das Thema strukturiert aufbauen will, findet den direktesten Einstieg in der ISO-42001-Schulung und den regulatorischen Hintergrund im Glossar zu KI-Kompetenz.

Schritt 8 — Controls implementieren

Die Implementierung entscheidet darüber, ob Ihre Checkliste echte Wirksamkeit oder nur theoretische Reife erzeugt. Controls gelten erst dann als umgesetzt, wenn sie in operative Abläufe, Systemgrenzen, Verantwortlichkeiten und Nachweise übersetzt sind. Genau hier trennt sich ein belastbares AIMS von einer gut formulierten Projektmappe.

Beginnen Sie mit den Controls, die das größte Risiko senken oder die meiste Anschlusswirkung erzeugen. Häufig sind das Melde- und Freigabeprozesse für neue KI-Systeme, Mindestanforderungen an Lieferanten, Regeln für sensible Daten, Anforderungen an menschliche Aufsicht, Incident-Meldewege, Dokumentationspflichten und Monitoring-Vorgaben. Diese Bausteine schaffen Ordnung für spätere Detailkontrollen.

Die Umsetzung sollte entlang des KI-Lifecycle organisiert werden. Betrachten Sie Beschaffung, Entwicklung, Konfiguration, Test, Freigabe, Betrieb, Monitoring, Änderung und Ausphasung jeweils getrennt. Für jeden Abschnitt sollte klar sein, welche Kontrollen gelten, wer entscheidet, welche Nachweise entstehen und wann zusätzliche Prüfungen notwendig sind.

Besonders wichtig ist die Verbindung zur täglichen Arbeit. Wenn Fachbereiche GenAI-Werkzeuge nutzen, müssen Prompting-Grenzen, Datennutzung, Freigabegrenzen und Review-Pflichten verständlich und praktisch definiert sein. Wenn Teams eigene Modelle oder Automatisierungen betreiben, brauchen sie zusätzlich technische Monitoring- und Änderungsmechanismen. Operative Umsetzung ist deshalb immer mehrschichtig: organisatorisch, technisch und vertraglich.

Implementierung gelingt selten im ersten Durchlauf vollständig. Planen Sie bewusst Pilotbereiche, Feedbackschleifen und Korrekturzyklen ein. Ein AIMS wird robuster, wenn Controls iterativ verbessert werden, statt zu früh als abgeschlossen zu gelten.

Schritt 9 — Internes Audit durchführen

Das interne Audit prüft, ob Ihr AIMS nicht nur dokumentiert, sondern tatsächlich wirksam ist. Viele Unternehmen behandeln das Audit zu spät oder zu formal. Dadurch erkennen sie Lücken erst dann, wenn Management, Kunden oder externe Prüfer bereits Ergebnisse erwarten. Ein gutes internes Audit ist deshalb keine reine Pflichtübung, sondern der zentrale Realitätstest Ihrer ISO 42001 Checkliste.

Ein belastbares Auditprogramm definiert Umfang, Kriterien, Frequenz, Auditorenkompetenz, Unabhängigkeit und Berichtsweg. Auditoren sollten die Norm verstehen, aber auch in der Lage sein, Interviews zu führen, Nachweise kritisch zu prüfen und operative Widersprüche zu erkennen. Interne Revision, Qualitätsmanagement oder unabhängige Fachleute können diese Rolle übernehmen, solange ausreichende Objektivität gesichert ist.

Prüfen Sie im Audit nicht nur das Vorhandensein von Dokumenten. Prüfen Sie vielmehr, ob Inventar und Realität übereinstimmen, ob Scope und Ausschlüsse nachvollziehbar sind, ob Risiken mit Controls verknüpft wurden, ob Schulungsnachweise rollenbezogen vorliegen, ob Vorfälle eskalierbar sind und ob Managemententscheidungen tatsächlich im System ankommen. Genau an diesen Stellen entstehen die wertvollsten Findings.

Die Auditdokumentation sollte klar zwischen Abweichungen, Beobachtungen und Verbesserungshinweisen unterscheiden. Halten Sie Ursache, Auswirkung, Verantwortliche, Frist und Korrekturmaßnahme fest. Ein Finding ohne Maßnahme und Fälligkeit ist operativ fast wertlos.

Wenn Sie die Audit-Vorbereitung vertiefen möchten, helfen der ISO-42001-Leitfaden, die Seite ISO 42001 für Unternehmen und die ISO-42001-Schulung. Dort zeigt sich meist schnell, ob Ihr Projekt bereits auditfähig ist oder nur formal weit fortgeschritten wirkt.

Schritt 10 — Managementbewertung und Verbesserung

Die Managementbewertung schließt den Kreis, weil hier aus Einzelaktivitäten ein Steuerungssystem wird. Geschäftsführung und Governance-Verantwortliche prüfen, ob Ziele erreicht wurden, Risiken beherrscht sind, Controls wirken, Ressourcen ausreichen und welche Verbesserungen priorisiert werden. Ohne diesen Schritt fehlt dem AIMS der eigentliche Verbesserungsmechanismus.

Ein wirksames Management-Review betrachtet mehr als Auditfindings. Auf die Agenda gehören Status des Maßnahmenplans, Entwicklung des Inventars, neue oder geänderte KI-Systeme, Risikotrends, Incidents, Lieferantenlage, Schulungsstatus, KPI-Entwicklung, regulatorische Änderungen und Entscheidungen zu Scope oder Prioritäten. Genau daraus entsteht Führung auf Systemebene.

KPIs sollten sparsam, aber aussagekräftig sein. Geeignet sind etwa Anteil inventarisierter Systeme, offene Risiken nach Kritikalität, fristgerechte Maßnahmen, Schulungsquote je Rolle, Zahl nicht genehmigter Tools, Zeit bis zur Risikoentscheidung, Lieferanten mit unvollständigen Nachweisen und Anzahl wesentlicher Auditabweichungen. Wenn diese Kennzahlen regelmäßig ausgewertet werden, kann das Management Verbesserung priorisieren statt nur rückwirkend reagieren.

Kontinuierliche Verbesserung bedeutet nicht permanente Bürokratie. Gemeint ist vielmehr ein fester Mechanismus, mit dem das Unternehmen aus Vorfällen, Änderungen, Audits und neuen Anforderungen lernt. Gerade bei KI ist diese Schleife entscheidend, weil Tools, Modelle, regulatorische Erwartungen und Einsatzszenarien sich schneller verändern als in vielen klassischen Managementsystemen.

Wenn Sie an diesem Punkt sind, sollte die nächste Frage nicht lauten, ob Ihr AIMS fertig ist, sondern wie Sie Reife systematisch erhöhen. Genau dafür lohnt sich der Rückgriff auf den ISO-42001-Leitfaden, die Vertiefung zu ISO 42001 für Unternehmen und eine strukturierte ISO-42001-Schulung, damit Management und operative Rollen dieselbe Verbesserungslogik anwenden.

FAQ

Muss ich alle 10 Schritte in dieser Reihenfolge durchführen?

Die Reihenfolge ist für die meisten Unternehmen sinnvoll, weil jedes spätere Arbeitspaket auf früheren Entscheidungen aufbaut. Parallelisierung ist möglich, etwa bei Dokumentation und Schulungsvorbereitung, aber ohne Inventar, Scope und Leadership werden Risikoanalyse, SoA und Audit fast immer unsauber.

Welche Dokumente sind Pflicht?

Pflicht sind vor allem die dokumentierten Informationen, die Ihr AIMS nachvollziehbar machen. Dazu gehören typischerweise Scope, Policy, Rollen, Inventar, Risiko- und Maßnahmenregister, SoA, Freigabe- und Eskalationsprozesse, Schulungsnachweise, Auditunterlagen und Managementreview-Protokolle.

Kann ich die Checkliste als PDF herunterladen?

Der Beitrag stellt die ISO 42001 Checkliste aktuell als frei nutzbaren Webartikel bereit. Sie können die Tabelle und die 10 Schritte direkt in Ihr internes Projekttool, Ihr Wiki oder Ihre Maßnahmenliste übernehmen und für Ihr Unternehmen anpassen.

Wie viel Zeit brauche ich pro Schritt?

Die ersten drei Schritte lassen sich in vielen Organisationen innerhalb weniger Wochen strukturieren. Risikoanalyse, Dokumentation, Control-Umsetzung, Audit und Managementbewertung benötigen meist mehrere Iterationen, sodass der Gesamtzeitraum in der Praxis häufig bei 6 bis 12 Monaten liegt.

Was ist wenn mein Unternehmen noch kein KI einsetzt?

Dann sollten Sie mit einem sehr kleinen Scope starten. Definieren Sie, welche Pilotprojekte erlaubt sind, wie neue KI-Tools gemeldet werden, wer Freigaben erteilt und welche Mindestanforderungen an Risiko, Daten und Schulung gelten, bevor produktiver Einsatz beginnt.

Was verlangt ISO 42001 bei internen Audits?

ISO 42001 verlangt, dass Ihr Managementsystem regelmäßig intern bewertet wird. Relevant sind Auditprogramm, Kriterien, Unabhängigkeit, dokumentierte Findings, Korrekturmaßnahmen und die Rückkopplung ins Management-Review.

Was ist der schnellste nächste Schritt nach dieser Checkliste?

Der schnellste nächste Schritt ist meist ein belastbares Inventar mit benannten Verantwortlichen und ein Managementtermin zur Scope-Entscheidung. Wenn Sie dafür ein gemeinsames Begriffs- und Methodenverständnis brauchen, ist die ISO-42001-Schulung die sinnvollste Ergänzung zu dieser Checkliste.

Die praktische Schlussfolgerung ist klar: ISO 42001 wird beherrschbar, wenn Sie die 10 Schritte als Steuerungslogik verstehen und nicht als lose To-do-Liste. Wer Inventar, Scope, Risiko, Controls, Dokumentation, Schulung, Audit und Managementbewertung sauber verzahnt, verkürzt nicht nur den Weg zu einem tragfähigen AIMS, sondern reduziert auch Reibung mit Fachbereichen, Lieferanten, internen Prüfern und regulatorischen Erwartungen.