ISO 42001 zertifizierte Unternehmen: Wer hat es schon?

ISO 42001 zertifizierte Unternehmen sind bisher überschaubar — zu den Early Adoptern gehören globale Tech-Konzerne wie Microsoft, aber auch Mittelständler in DACH. Wer nach einer belastbaren Marktübersicht sucht, sollte zwischen öffentlich belegbaren Zertifikaten und bloßen Marktschätzungen unterscheiden: Stand März 2026 ist die Liste noch kurz, gerade deshalb aber strategisch interessant.

Letzte Aktualisierung: 23. März 2026

Unternehmen suchen nach ISO 42001 meist aus zwei Gründen: Sie wollen Governance für KI systematisch nachweisen und sie wollen sich auf künftige Prüfanforderungen vorbereiten. Der Standard selbst ist freiwillig, kann aber im Zusammenspiel mit Art. 4 EU-VO 2024/1689, internen Freigabeprozessen und Kundenanforderungen ein starkes Signal sein. Wenn Sie zuerst den Rahmen verstehen möchten, finden Sie den Einstieg im ISO-42001-Leitfaden und im Überblick zu ISO 42001.

Wer hat bereits ein ISO 42001 Zertifikat?

Wer bereits ein ISO 42001 Zertifikat hat, sind vor allem Unternehmen mit hoher KI-Sichtbarkeit, hohem Vertrauensbedarf oder starker Regulierung. Seit der Veröffentlichung von ISO/IEC 42001:2023 im Dezember 2023 wächst der Markt zwar sichtbar, aber noch von sehr niedrigem Niveau aus. Öffentlich sauber belegbar sind im März 2026 grob 50 bis 70 Organisationen; höhere Schätzungen bis in den niedrigen dreistelligen Bereich beruhen oft auf nicht vollständig veröffentlichten Kundenlisten von Auditstellen.

Der Wachstumstrend ist dennoch klar. 2024 dominierte die erste Welle aus Pilotfällen, Vorzeigeprojekten und globalen Cloud- oder AI-Anbietern. 2025 wurde daraus ein echter Early-Adopter-Markt: Beratungen, Softwarehäuser, spezialisierte AI-Start-ups und erste regulierte Branchen zogen nach. 2026 verschiebt sich der Fokus erkennbar von PR-tauglichen Einzelfällen hin zu operativer Lieferantenprüfung, Ausschreibungen und Governance-Nachweisen.

Für die Einordnung ist ein Punkt entscheidend: ISO 42001 bewertet kein einzelnes Marketingversprechen, sondern ein dokumentiertes KI-Managementsystem mit Scope, Rollen, Nachweisen, Audits und kontinuierlicher Verbesserung. Deshalb ist die Frage nicht nur, wer ein Zertifikat hat, sondern auch, wofür genau. Manche Organisationen decken nur einzelne Produkte oder AI-Services ab, andere einen breiteren Managementrahmen. Genau diese Scope-Frage sollten Sie immer mitprüfen, wenn Sie die Relevanz eines Lieferanten oder Wettbewerbers bewerten.

Auch regulatorisch passt das Bild. Der EU AI Act schafft mit harmonisierten Normen und Konformitätslogik zusätzliche Anreize, Governance nachweisbar zu strukturieren. Zwar ist ISO 42001 nicht mit einer gesetzlichen Pflicht gleichzusetzen, doch Unternehmen nutzen den Standard bereits als Brücke zwischen freiwilliger Selbstorganisation und künftig strengerer KI-Aufsicht. Das erklärt, warum die Zahl der Fälle klein, aber die Signalwirkung groß ist.

Zertifizierte Unternehmen weltweit

Zertifizierte Unternehmen weltweit stammen überproportional aus Tech, Cloud, Beratung und AI-nativen Geschäftsmodellen. Das ist plausibel: Dort ist KI nicht nur internes Hilfsmittel, sondern Teil des Kernprodukts, der Plattform oder des Vertrauensversprechens an Kunden. Wer dort ein ISO-42001-Zertifikat vorweisen kann, signalisiert Reife in Governance, Risikomanagement und menschlicher Aufsicht.

Die folgende Übersicht zeigt öffentlich benannte Beispiele, die im Markt regelmäßig als Referenzfälle auftauchen:

Auffällig ist die regionale Verteilung. Nordamerika und Westeuropa dominieren die öffentlich sichtbaren Fälle, während Asien zwar ebenfalls aktiv ist, im deutschsprachigen Diskurs aber seltener systematisch erfasst wird. Für B2B-Einkäufer in Europa ist das relevant, weil öffentlich dokumentierte Zertifikate vor allem dort sichtbar werden, wo Trust Center, Pressemitteilungen und Enterprise-Sales-Strukturen bereits etabliert sind.

Ebenso auffällig ist die Branchenlogik. Microsoft, Google Cloud und AWS nutzen ISO 42001 als Vertrauenssignal für Plattformkunden. Frontier-AI-Anbieter wie Anthropic setzen damit einen Governance-Marker in einem Markt, in dem Sicherheits- und Missbrauchsfragen besonders stark diskutiert werden. Beratungen wie KPMG brauchen vergleichbare Nachweise, um glaubwürdig selbst AI-Assurance, Risk oder Governance-Projekte begleiten zu können. In allen Fällen ist das Zertifikat damit weniger Selbstzweck als Marktsignal.

Wenn Sie diese Liste als Benchmark nutzen, sollten Sie jedoch zwei methodische Grenzen kennen. Erstens veröffentlichen nicht alle Unternehmen ihre Auditunterlagen in gleicher Tiefe. Zweitens können Scope und Reifegrad stark variieren. Ein Zertifikat für einen klar umrissenen Produktbereich ist nicht automatisch mit einem unternehmensweiten AIMS gleichzusetzen. Für Beschaffung und Due Diligence reicht es daher nicht, nur nach dem Logo oder der Schlagzeile zu fragen.

Zertifizierte Unternehmen in DACH

Zertifizierte Unternehmen in DACH sind noch deutlich seltener als weltweit, was den Markt für deutsche Entscheider gleichzeitig unübersichtlich und chancenreich macht. Öffentlich besonders gut belegt ist Deutschland, während Österreich und die Schweiz eher einzelne Pionierfälle als einen breiten Markt zeigen. Für die Region gilt deshalb: weniger Masse, dafür hoher Signalwert je Einzelfall.

Der bekannteste deutsche Fall ist Xayn, heute unter der Produktmarke Noxtua sichtbar. SGS benannte das Berliner Unternehmen im Dezember 2024 als erstes deutsches Unternehmen mit ISO/IEC 42001. Für den DACH-Markt ist das mehr als eine Randnotiz: Legal AI gehört zu den Bereichen, in denen Nachvollziehbarkeit, Datenschutz und menschliche Aufsicht besonders sensibel sind. Ein frühes Zertifikat in diesem Umfeld zeigt, dass ISO 42001 nicht nur für Big Tech relevant ist, sondern auch für spezialisierte europäische Anbieter.

In der Schweiz ist Unique der öffentlich am häufigsten genannte Vorreiter. Das Unternehmen positioniert sich im Finanzdienstleistungsumfeld und passt damit genau in jene Branche, in der Risiko- und Governance-Themen ohnehin stark institutionalisiert sind. Für Schweizer Unternehmen ist das ein wichtiges Signal: ISO 42001 ist nicht nur ein Thema für Hyperscaler, sondern auch für europäische B2B-AI-Anbieter mit enger regulatorischer Anbindung.

Für Österreich ist die Lage zurückhaltender. Öffentlich breit kommunizierte Endkundenfälle sind Stand März 2026 selten, obwohl Auditstellen wie TÜV AUSTRIA oder CIS in der Region sichtbar sind. Das deutet weniger auf fehlende Nachfrage als auf einen noch diskreten Markt hin, in dem Projekte laufen, ohne dass jeder Fall aktiv vermarktet wird. Für Wettbewerbsbeobachtung ist das wichtig: Das Fehlen öffentlicher Namen bedeutet nicht automatisch das Fehlen realer Zertifikate.

Für DACH lässt sich daraus ein pragmatisches Bild ableiten:

Unternehmen in DACH sollten diese Knappheit nicht als Nachteil lesen. Gerade weil öffentlich belegbare Referenzen noch unter 20 Fällen für die Region liegen dürften, entsteht ein First-Mover-Effekt. Wer früh ein belastbares AIMS aufbaut, hebt sich in Ausschreibungen, Partnerprüfungen und Investorenfragen deutlich leichter ab als in gesättigten ISO-Märkten. Wenn Sie den deutschen Markt vertiefen möchten, ergänzen dazu unsere Beiträge über ISO 42001 in Deutschland und die Kosten einer ISO-42001-Schulung.

Case Studies — Erfahrungsberichte

Case Studies zeigen am besten, warum Unternehmen ISO 42001 nicht nur aus formalen Gründen verfolgen. Hinter fast jedem frühen Zertifikat stehen dieselben vier Fragen: Wie stark ist KI im Kerngeschäft verankert, wie hoch ist der Vertrauensbedarf, wie viele bestehende Managementsysteme lassen sich nutzen und wie diszipliniert ist die interne Dokumentation bereits vor dem Audit?

1. Unique aus der Schweiz: Governance als Türöffner im Finanzsektor. Unique wird in der Research-Basis als einer der ersten europäischen Fälle mit TÜV-SÜD-Bezug beschrieben. Die Motivation lag klar auf der Hand: Finanzdienstleister brauchen nicht nur leistungsfähige KI, sondern auch Vertrauen in Modellsteuerung, Rollen und Nachweise. Der dokumentierte Aufwand lag im Bereich mehrerer Monate, profitierte aber stark davon, dass bereits strukturierte Prozesse und vorhandene Sicherheitsarbeit genutzt werden konnten. Als Ergebnis stand ein schnellerer, kosteneffizienterer Weg zum Audit und ein klarer Vertrauensgewinn im regulierten B2B-Vertrieb. Die wichtigste Lehre: Wer schon ISO-nahe Denkweisen lebt, reduziert den Zusatzaufwand erheblich.

2. Xayn beziehungsweise Noxtua: Früher Nachweis für souveräne Legal AI aus Deutschland. Beim Berliner Anbieter war die Motivation doppelt strategisch. Einerseits musste eine Rechts-KI besonders glaubwürdig mit Vertraulichkeit, Nachvollziehbarkeit und Governance umgehen. Andererseits war der deutsche Markt 2024 noch nahezu leer, sodass ein frühes Zertifikat einen massiven Positionierungsvorteil brachte. Öffentlich hervorgehoben wurden die gute Dokumentation und die aktive Beteiligung der Geschäftsleitung am Auditprozess. Das Ergebnis war nicht nur ein formaler Nachweis, sondern ein klares Signal an Kanzleien, Rechtsabteilungen und Partner: Governance ist Teil des Produkts, nicht nur Teil der Compliance-Folie. Die zentrale Lehre lautet hier, dass Führungsnähe und sauber dokumentierte Verantwortlichkeiten den Unterschied machen.

3. KPMG International: Beratung braucht eigene Glaubwürdigkeit. Für KPMG ist ISO 42001 nicht nur internes Governance-Tool, sondern auch Marktlegitimation. Wer Unternehmen zu AI Assurance, AI Risk und Governance berät, muss zeigen können, dass die eigenen Prozesse denselben Maßstäben standhalten. Die Motivation war daher weniger technischer Natur als strategisch: Vertrauen, Differenzierung und Anschlussfähigkeit für internationale Mandate. Das Ergebnis ist ein starkes Marktzeichen, gerade im Vergleichsumfeld der Big Four. Die wichtigste Lehre: In beratungsintensiven Märkten wirkt ISO 42001 nicht nur nach innen, sondern unmittelbar auf Positionierung und Angebotsglaubwürdigkeit.

4. Google Cloud und Microsoft: Plattformvertrauen im Enterprise-Maßstab. Bei Hyperscalern ist der Aufwand naturgemäß höher, weil Produkte, Datenflüsse, Entwicklungsprozesse und Kundenerwartungen komplexer sind. Dennoch ist die Logik ähnlich: Kunden verlangen nachvollziehbare Governance für Modelle, APIs und AI-Funktionen, gerade wenn diese in kritische Geschäftsprozesse eingebettet werden. Das Ergebnis ist eine Art Vertrauensinfrastruktur für Enterprise-Kunden. Die Lehre daraus ist für kleinere Anbieter besonders relevant: Nicht jede Organisation braucht denselben Umfang wie ein Hyperscaler, aber jede braucht einen klar abgegrenzten Scope, belastbare Nachweise und ein Managementsystem, das nicht nur auf dem Papier existiert.

Über alle Fallbeispiele hinweg wiederholen sich drei Muster. Erstens beschleunigen vorhandene ISO- oder Security-Strukturen das Projekt deutlich. Zweitens entscheidet die Qualität der Dokumentation stärker über den Aufwand als die reine Unternehmensgröße. Drittens ist das Zertifikat am wertvollsten, wenn es eng mit Vertrieb, Due Diligence, Partneranforderungen oder regulatorischer Erwartung verknüpft ist. Wer nur das Audit besteht, aber keine interne Governance verankert, schöpft den Marktwert nicht aus.

Branchen mit der höchsten Adoptionsrate

Branchen mit der höchsten Adoptionsrate sind jene, in denen KI unmittelbare Geschäftsrelevanz mit hohem Risiko- oder Vertrauensdruck verbindet. Die Research-Basis zeigt dabei ein klares Muster: Je regulierter die Branche und je näher KI am Kernprodukt sitzt, desto plausibler wird ein ISO-42001-Zertifikat als nächster Governance-Schritt.

Tech und Cloud führen die Liste an. Dort ist KI nicht nur Hilfsmittel, sondern Produkt, Plattform oder API. Ein Ausfall, eine Intransparenz oder ein Governance-Problem wirkt sich direkt auf Tausende Unternehmenskunden aus. Deshalb sehen wir hier die größte Dichte öffentlich sichtbarer Zertifikate.

Finanzsektor folgt unmittelbar dahinter. Banken, FinTechs und AI-Anbieter für Finanzprozesse arbeiten ohnehin mit strengen Kontrolllogiken, Modellrisiken und Drittparteienmanagement. ISO 42001 fügt sich hier gut in bestehende Governance-Landschaften ein. Gerade für Kreditentscheidungen, Betrugserkennung, AML oder Advisory-Use-Cases entsteht damit ein nachvollziehbarer Zusatznutzen.

Automotive und Industrie gehören zu den nächsten Kandidaten, vor allem wenn KI in sicherheitsnahen oder qualitätskritischen Prozessen eingesetzt wird. Research-seitig wird deutlich: Nicht jedes Predictive-Maintenance-Projekt braucht sofort ein vollständiges AIMS, aber bei autonomer Qualitätsprüfung, Fahrerassistenz oder lernenden Produktionssystemen wächst der Governance-Druck deutlich.

Pharma und Healthcare haben ebenfalls hohe Anreize, weil KI dort oft in hochsensiblen Entscheidungs- oder Unterstützungsprozessen eingesetzt wird. ISO 42001 ersetzt keine Fachregulierung, ergänzt sie aber um eine KI-spezifische Managementlogik. Besonders relevant sind dabei Nachvollziehbarkeit, Monitoring, menschliche Aufsicht und sauber definierte Verantwortlichkeiten.

Consulting und Professional Services profitieren aus einem anderen Grund: Vertrauen ist hier Teil des Produkts. Wer Mandanten Governance-, Audit- oder Responsible-AI-Leistungen verkauft, profitiert stark davon, wenn das eigene Haus denselben Standard nachweisbar lebt. Das erklärt, warum Beratungen im Early-Adopter-Feld deutlich sichtbarer sind, als es ihre absolute Anzahl vermuten ließe.

Für den deutschen Mittelstand ist daraus keine Pflicht, wohl aber eine Priorisierung abzuleiten. Wenn Sie in Tech, Finance, Automotive, Pharma oder Consulting tätig sind und KI bereits in operative oder kundennahe Prozesse einbinden, ist ISO 42001 strategisch deutlich relevanter als in einer Organisation, die KI nur punktuell für interne Effizienz nutzt. Genau deshalb lohnt parallel auch der Blick auf Anbieter- und Betreiberrollen: Die Relevanz des Standards steigt, sobald Ihr Unternehmen nicht nur Anwender, sondern faktisch Mitgestalter des KI-Risikos wird.

Warum sich Unternehmen für ISO 42001 entscheiden

Unternehmen entscheiden sich für ISO 42001 vor allem dann, wenn KI nicht mehr nur Experiment, sondern Steuerungsgegenstand wird. Das Zertifikat ist in der Praxis selten der Ausgangspunkt, sondern eher die Folge eines wachsenden Governance-Bedarfs. Vier Motive dominieren fast alle öffentlich sichtbaren Fälle.

Erstens: Kundenanforderungen und Beschaffung. Je mehr KI in Produkte, Plattformen oder Dienstleistungen einfließt, desto häufiger stellen Enterprise-Kunden Fragen zu Rollen, Kontrollen, Lieferanten, Monitoring und Eskalationen. Ein ISO-42001-Zertifikat ersetzt keinen Security-Fragebogen, verkürzt aber oft die Vertrauensdiskussion.

Zweitens: regulatorischer Druck. Der EU AI Act macht Unternehmen sensibler für dokumentierte Verantwortlichkeiten, Kompetenzen und Prozesse. Relevant ist dabei nicht nur Hochrisiko-KI. Schon die allgemeine Pflicht zur KI-Kompetenz seit dem 2. Februar 2025 nach Art. 4 EU-VO 2024/1689 zwingt Organisationen dazu, Zuständigkeiten und Nachweise sauberer zu denken. ISO 42001 ist dafür kein gesetzlicher Ersatz, aber ein praktikabler Organisationsrahmen.

Drittens: Wettbewerbsvorteil. In jungen Märkten wirkt ein frühes Zertifikat stärker als in etablierten ISO-Landschaften. Wer heute glaubhaft zeigen kann, dass KI-Governance mehr ist als ein PDF mit Grundsätzen, grenzt sich sichtbar von Wettbewerbern ab. Das gilt besonders in DACH, wo die öffentliche Referenzbasis noch klein ist.

Viertens: interne Governance und Skalierung. Sobald mehrere Fachbereiche KI nutzen, entstehen typische Reibungsverluste: uneinheitliche Freigaben, unklare Lieferantenprüfungen, fehlende Trainingsnachweise, schwache Incident-Pfade oder unklare Managementverantwortung. ISO 42001 zwingt dazu, diese Themen in ein konsistentes System zu überführen. Genau darin liegt oft der größte praktische Nutzen, selbst wenn das Unternehmen das Zertifikat zunächst nur als mittel- bis langfristiges Ziel betrachtet.

Ein wichtiger Nebeneffekt ist die interne Sprache. Unternehmen, die ISO 42001 ernsthaft vorbereiten, sprechen nicht mehr nur über Tools, sondern über Scope, Rollen, Kontrollen, Evidenz und Verbesserungszyklen. Diese Verschiebung ist operativ wertvoll, weil sie Projekte aus dem Experimentiermodus in ein steuerbares Managementsystem überführt.

Prognose — Wie viele Zertifikate bis 2028?

Bis 2028 dürfte sich die Zahl der ISO-42001-Zertifikate deutlich vervielfachen, aber nicht explosionsartig in die Tausende springen. Realistisch ist ein Markt, der von heute grob 50 bis 70 öffentlich belegbaren Fällen auf einige Hundert sichtbare Zertifikate anwächst, getragen von regulierten Branchen, Plattformanbietern, Beratungen und europäischen Mittelständlern mit hohem B2B-Vertrauensbedarf.

Für diese Prognose sprechen mehrere Treiber gleichzeitig. Der erste Treiber ist der EU AI Act, insbesondere die wachsende operative Relevanz von Governance, Nachweisen und interner Kompetenz. Der zweite Treiber ist die Beschaffungsseite: Sobald größere Kunden ISO 42001 aktiv in Due-Diligence-Fragen oder Lieferantenbewertungen aufnehmen, steigt die Nachfrage sprunghaft. Der dritte Treiber ist die Anschlussfähigkeit an bestehende Managementsysteme wie ISO 27001, weil Unternehmen dadurch nicht bei null anfangen.

Im Vergleich zur Adoptionskurve von ISO 27001 wird ISO 42001 voraussichtlich langsamer und selektiver wachsen. ISO 27001 adressiert nahezu jede digital arbeitende Organisation, ISO 42001 hingegen vor allem jene, bei denen KI eine governance-relevante Rolle spielt. Dafür könnte die Signalwirkung pro Zertifikat anfangs höher sein als bei ISO 27001, gerade in regulierten oder stark vertrauensgetriebenen Märkten.

Für DACH ist bis 2028 ein Übergang von Pionierfällen zu einem erkennbaren Marktsegment plausibel. Heute sprechen wir noch über einzelne öffentlich sichtbare Vorreiter und wenige Dutzend belastbare Kandidaten im erweiterten Beobachtungsfeld. Bis 2028 dürfte daraus ein Markt mit deutlich mehr Mittelstandsfällen, branchenspezifischen Anforderungen und spezialisierteren Auditpfaden werden. Wer früh vorbereitet, profitiert also nicht nur von aktuellem Vertrauensvorsprung, sondern auch von geringerer Hektik, wenn Kunden und Aufsicht später mehr Nachweise verlangen.

FAQ zu ISO 42001 zertifizierten Unternehmen

Welche Unternehmen haben ISO 42001?

Öffentlich benannte Beispiele sind Microsoft, Google Cloud, AWS, IBM Granite, Anthropic, KPMG International, Cognizant, Workday, Unique sowie in Deutschland Xayn beziehungsweise Noxtua. Wichtig ist immer der konkrete Scope des Zertifikats, nicht nur der Unternehmensname.

Gibt es eine öffentliche Liste zertifizierter Unternehmen?

Eine zentrale offizielle Liste gibt es derzeit nicht. In der Praxis müssen Sie Pressemitteilungen, Trust-Center, Compliance-Seiten und gegebenenfalls das Zertifikatsdokument selbst auswerten.

Wie viele Unternehmen weltweit haben das Zertifikat?

Öffentlich belastbar dokumentiert sind Stand März 2026 grob 50 bis 70 Organisationen. Höhere Zahlen sind möglich, aber ohne vollständige öffentliche Beleglage schwer sauber zu verifizieren.

Welche Branchen sind Vorreiter?

Vorreiter sind Tech, Cloud, Frontier AI, Finanzdienstleistung, Automotive, Pharma und Consulting. Gemeinsamer Nenner ist stets ein hoher Vertrauens-, Risiko- oder Regulierungsdruck.

Lohnt es sich als Erster in der Branche ein Zertifikat zu erwerben?

In vielen B2B-Märkten ja. Ein frühes ISO-42001-Zertifikat kann Beschaffungsgespräche, Partnerprüfungen und Investorenfragen erheblich erleichtern, solange das Managementsystem tatsächlich gelebt wird.

Wie finde ich heraus, ob ein Lieferant ISO 42001 zertifiziert ist?

Lassen Sie sich das Zertifikat, den Scope, das Ausstellungsdatum und die Auditstelle zeigen. Fragen Sie zusätzlich, welche Produkte, Services oder Geschäftsbereiche konkret vom AIMS erfasst werden.

Wenn Sie aus der Marktübersicht einen eigenen Umsetzungsplan ableiten möchten, ist der nächste sinnvolle Schritt keine bloße Namensliste, sondern der Aufbau interner KI-Kompetenz, Rollen und Nachweise. Für diesen Einstieg finden Sie hier die ISO-42001-Schulung sowie den vertiefenden ISO-42001-Leitfaden.