RGI

    Wissensdatenbank · ISO 42001

    ISO 42001 und der AI Act: Was gilt heute für Ihr Unternehmen?

    Stand 9. November 2026. Der AI Act wurde 2026 durch die Verordnung (EU) 2026/1744, den Digital Omnibus, geändert. Dadurch haben sich Termine verschoben und eine Bestimmung wurde neu gefasst. Hier lesen Sie, was heute für ein KMU gilt, das KI nutzt, was später kommt und was ISO 42001 dabei nachweist und was nicht.

    Zeitplan

    Der AI Act in sechs Terminen, die heute zählen

    Die Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten und ändert die Verordnung (EU) 2024/1689.

    DatumWas anwendbar wirdFür wen
    2. Februar 2025Verbotene Praktiken und KI-KompetenzAlle Anbieter und Betreiber
    2. August 2025Vorschriften für KI-Modelle mit allgemeinem VerwendungszweckAnbieter dieser Modelle
    2. August 2026Die Verordnung gilt allgemein, mit den Transparenzvorschriften des Artikels 50Anbieter und Betreiber, je nach Artikel
    2. Dezember 2026Zwei neue Verbote: KI, die nicht einvernehmliche sexuell explizite Bilder oder Material über sexuellen Missbrauch von Kindern erzeugt. Außerdem die Endfrist für die maschinenlesbare Kennzeichnung (Artikel 50 Absatz 2) bei generativen Systemen, die vor dem 2. August 2026 auf dem Markt warenAlle Parteien bei den Verboten, Anbieter generativer Systeme bei der Kennzeichnung
    2. Dezember 2027Anforderungen an Hochrisiko-Systeme nach Anhang III, einschließlich der Pflichten der BetreiberAnbieter und Betreiber dieser Systeme
    2. August 2028Anforderungen an Hochrisiko-KI, die in regulierte Produkte eingebaut ist (Anhang I)Anbieter und Betreiber dieser Systeme

    Heute

    Ein KMU, das KI-Werkzeuge nur nutzt, hat schon jetzt drei Pflichten

    Verbotene Praktiken

    Gelten seit dem 2. Februar 2025. Prüfen Sie, dass kein Werkzeug und keine Anwendung in Ihrem Unternehmen unter ein Verbot fällt. Am 2. Dezember 2026 kommen zwei Verbote hinzu.

    KI-Kompetenz

    Gilt seit dem 2. Februar 2025, doch der Text wurde 2026 neu gefasst. Anbieter und Betreiber müssen Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz bei ihren Mitarbeitenden unterstützen. Eine kurze Schulung und eine schriftliche Anweisung, mit Nachweis, dass sie erteilt wurden, sind ein vernünftiger Anfang.

    Transparenz

    Gilt seit dem 2. August 2026. Als Betreiber kennzeichnen Sie Deepfakes als künstlich erzeugt, Sie informieren Personen, wenn Sie Emotionserkennung oder biometrische Kategorisierung einsetzen, und Sie machen KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse kenntlich, es sei denn, ein Mensch hat sie redaktionell geprüft. Wer KI nur intern zur Vorbereitung von Texten nutzt, fällt in der Regel nicht darunter. Im Zweifel entscheidet ein Jurist, nicht diese Seite.

    Was nicht für Sie gilt

    Die Vorschriften für Modelle mit allgemeinem Verwendungszweck liegen bei den Anbietern dieser Modelle. Die Pflichten der Betreiber von Hochrisiko-Systemen gelten erst ab den Terminen in der Tabelle.

    Später und verschoben

    Der Aufschub gilt für Hochrisiko, nicht für Transparenz

    Die Hochrisiko-Vorschriften wurden verschoben: auf den 2. Dezember 2027 für die Systeme nach Anhang III und auf den 2. August 2028 für KI in regulierten Produkten nach Anhang I. Für Hochrisiko-Systeme, die Behörden bereits einsetzten, gilt der 2. August 2030. Die Transparenzvorschriften des Artikels 50 wurden nicht aufgeschoben. Lediglich die maschinenlesbare Kennzeichnung synthetischer Ausgaben erhielt eine Frist bis zum 2. Dezember 2026, und zwar nur für generative Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren. Die Höchstgeldbußen nach Artikel 99 bleiben bestehen: bis zu 35.000.000 Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15.000.000 Euro oder 3 Prozent für die meisten anderen Pflichten und bis zu 7.500.000 Euro oder 1 Prozent für unrichtige Angaben gegenüber den Behörden. Jeweils gilt der höhere der beiden Beträge. Für KMU, einschließlich Start-ups, gilt der niedrigere. Für kleine Midcap-Unternehmen ebenfalls, außer bei verbotenen Praktiken.

    Rollen

    Ein KMU wird unbemerkt zum Anbieter, sobald es KI unter eigenem Namen herausbringt

    Der AI Act kennt vier Hauptrollen. Welche Sie haben, bestimmt, was Sie tun müssen.

    Anbieter

    Entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr oder nimmt es in Betrieb.

    Betreiber

    Verwendet ein KI-System in eigener Verantwortung, außer bei persönlicher, nicht beruflicher Verwendung.

    Einführer

    In der EU niedergelassen, bringt ein System in Verkehr, das den Namen oder die Marke einer außerhalb der EU niedergelassenen Partei trägt.

    Händler

    Stellt ein System in der Lieferkette bereit, ohne Anbieter oder Einführer zu sein.

    Die Falle

    Bauen Sie eine KI-Funktion in Ihr eigenes Produkt oder Ihre eigene Dienstleistung ein und bieten Sie diese unter Ihrem Namen an, können Sie Anbieter sein, auch wenn jemand anderes die Technik gebaut hat. Bei Hochrisiko-Systemen werden Sie auch dann Anbieter, wenn Sie ein bestehendes System wesentlich verändern, Ihren eigenen Namen oder Ihre eigene Marke darauf setzen oder den Zweck so ändern, dass es zum Hochrisiko-System wird (Artikel 25).

    Belgien

    Stand November 2026

    Die belgische Aufsichtsstruktur steht im November 2026 noch nicht

    Stand November 2026: Soweit wir feststellen konnten, hat Belgien seine Marktüberwachungsbehörden für den AI Act noch nicht förmlich benannt, und es wurde noch kein nationales Durchführungsgesetz mit Sanktionsregeln verabschiedet. Das BIPT wird als wichtigste Aufsichtsbehörde genannt, und beim FÖD Wirtschaft liegt ein Vorentwurf. Die Datenschutzbehörde bleibt zuständig, sobald personenbezogene Daten im Spiel sind. Die Pflichten aus der Verordnung gelten in der Zwischenzeit unmittelbar, auch ohne belgisches Gesetz. Warten Sie also nicht auf die Aufsichtsbehörde, um Ihre Nutzung zu erfassen, und prüfen Sie den aktuellen Stand, bevor Sie eine Entscheidung darauf stützen.

    ISO 42001

    ISO 42001 unterstützt Ihre AI-Act-Arbeit, weist aber keine Konformität nach

    ISO/IEC 42001:2023 stellt Anforderungen an ein Managementsystem für KI und erschien am 18. Dezember 2023. Die Norm folgt denselben Kapiteln 4 bis 10 wie ISO 27001 und fügt unter anderem eine Folgenabschätzung für KI-Systeme hinzu, mit 38 Maßnahmen in Anhang A. Sie ist keine harmonisierte Norm im Sinne des AI Act und begründet daher keine Konformitätsvermutung. Die erste harmonisierte Norm, EN 18286:2026, wurde am 14. Oktober 2026 im Amtsblatt bekannt gemacht und betrifft das Qualitätsmanagementsystem von Anbietern von Hochrisiko-Systemen. Ein ISO-42001-Zertifikat zeigt, dass Ihr Managementsystem besteht und funktioniert. Es zeigt nicht, dass Sie den AI Act einhalten. Zertifizierungsstellen arbeiten nach ISO/IEC 42006:2025. Welche Stellen in Belgien hierfür akkreditiert sind, fragen Sie am besten bei BELAC nach.

    Entscheidungshilfe

    Für die meisten KMU genügt zunächst ein leichterer Ansatz

    Leichter genügt

    Sie nutzen vor allem Standardwerkzeuge. Dann genügen ein KI-Register, eine kurze Richtlinie und nachweisbare Schulungen.

    ISO 42001 lohnt sich

    Sie entwickeln oder liefern KI-Funktionen, Kunden oder Ausschreibungen verlangen ein Zertifikat, oder Sie haben bereits ein ISO-27001-System, auf dem Sie aufbauen können.

    Überschneidung mit ISO 27001

    Beide Normen teilen dieselbe Struktur. Risikoregister, Auditprogramm und Managementbewertung können für beide dienen. Neu in ISO 42001 sind die Folgenabschätzung und die Maßnahmen, die speziell KI betreffen.

    Diesen Monat

    Beginnen Sie diesen Monat mit einem KI-Register

    1. 1Listen Sie alle KI-Werkzeuge auf, die in Ihrem Unternehmen genutzt werden, auch die Werkzeuge, die Mitarbeitende selbst gewählt haben, und die KI-Funktionen in Software, die Sie bereits haben.
    2. 2Notieren Sie pro Werkzeug den Verantwortlichen, den Zweck, die eingegebenen Daten und den Lieferanten.
    3. 3Prüfen Sie, ob eine Nutzung in die Nähe eines Verbots kommt und ob Sie KI-Text oder KI-Bilder ohne menschliche Kontrolle veröffentlichen.
    4. 4Bestimmen Sie pro Werkzeug Ihre Rolle: nur Betreiber oder auch Anbieter, weil Sie etwas unter eigenem Namen anbieten.
    5. 5Geben Sie den Mitarbeitenden eine kurze Anweisung und halten Sie fest, was Sie getan haben, damit Sie die Maßnahmen zur KI-Kompetenz nachweisen können.
    6. 6Entscheiden Sie danach, ob dieses Register genügt oder ob ein Managementsystem nötig ist.

    Häufig gestellte Fragen

    Kurz beantwortet

    Weiterlesen

    Verwandte Themen

    ISO 42001Das KI-Managementsystem und wie RGI Sie begleitet.Internes Audit nach ISO 42001Wie Sie das System intern prüfen.ISO 27001: die SchritteDas Managementsystem, an das 42001 anknüpfen kann.

    Möchten Sie Ihre KI-Nutzung in Ordnung bringen?

    In einem ersten, kostenlosen Gespräch prüfen wir, ob ein Register genügt oder ob sich ein Managementsystem lohnt. Möchten Sie selbst loslegen? Dann gibt es das Vorlagen-Kit auf 42001.app.

    Gespräch vereinbarenISO 42001 ansehen