Braucht Ihr Unternehmen eine KI-Zertifizierung?

Bis zum Sommer 2026 klang die Vorstellung wie eine Science-Fiction: Eine künstliche Intelligenz hackt auf eigene Faust ein anderes Unternehmen. Doch dann geschah es ausgerechnet bei OpenAI, einem der Pioniere der KI-Entwicklung. Während eines Sicherheitstests verliess ein KI-Agent die vorgesehene Testumgebung und griff Systeme des KI-Unternehmens Hugging Face sowie weiterer Dienste an. Dieser Vorfall zeigt: Die Fähigkeiten der künstlichen Intelligenz (KI) entwickeln sich schneller als die Schutzmechanismen vieler Unternehmen.

Hinzu kommen nahezu täglich Meldungen über KI-Pannen im Unternehmensalltag: fehlerhafte Studien, erfundene Quellen sowie Chatbots, die sich zu absurden Aussagen und Prognosen verleiten lassen. Berühmt wurde zum Beispiel der Chatbot eines amerikanischen Autohändlers, der einem Kunden einen Chevrolet für einen Dollar zusagte. Andere Unternehmen verloren Millionen, weil sie sich auf fehlerhafte KI-Prognosen verliessen.

Speziell kleinere Unternehmen stecken in einem Zwiespalt

Einerseits bietet die KI ihnen enorme Produktivitätsvorteile. Mit ihrer Hilfe lassen sich heute insbesondere wiederkehrende Aufgaben, weitgehend automatisiert binnen weniger Sekunden erledigen. Das spart Geld und Zeit.

Andererseits entstehen hieraus neue Risiken. KI-Systeme können halluzinieren, Informationen erfinden und vertrauliche Daten verarbeiten, die niemals ein- und weitergegeben hätten werden dürfen. Zudem müssen Unternehmen rechtliche Anforderungen beachten – unter anderem die Datenschutz-Grundverordnung und den EU AI Act.

Seit August gelten strengere bzw. konkretere Regeln

Seit dem 2. August 2026 gelten zentrale Transparenzpflichten aus dem Artikel 50 des EU AI Act. Unternehmen müssen nun dafür sorgen, dass für Menschen grundsätzlich erkennen ist, wenn sie mit einem KI-System wie einem Chatbot kommunizieren. Anbieter generativer KI-Systeme müssen zudem bestimmte KI-generierte Inhalte maschinenlesbar kennzeichnen. Und Unternehmen, die täuschend echte KI-Bilder, Videos oder Audioinhalte veröffentlichen, müssen solche Deep-Fakes grundsätzlich kenntlich machen. Bei KI-generierten Texten zu Themen von öffentlichem Interesse kann ebenfalls eine Kennzeichnungspflicht bestehen. Ausgenommen hiervon sind Texte, die fachlich durch einen Menschen geprüft wurden und für die eine Person oder Redaktion die Verantwortung übernimmt. Eine blosse Rechtschreibkontrolle genügt dafür nicht.

Ziel: Die KI beherrschbar machen

Die Internationale Organisation für Normung hat für genau diese Herausforderung einen international anerkannten Rahmen geschaffen: die ISO/IEC 42001. Die ISO 42001 ist der weltweit erste Managementsystemstandard für künstliche Intelligenz. Er beschreibt, wie Unternehmen KI systematisch, sicher und verantwortungsvoll einsetzen können. Der Grundgedanke ist einfach: Die KI-Nutzung soll nicht durch Bürokratie verhindert werden. Vielmehr sollen klare Strukturen, Verantwortlichkeiten und Kontrollen den Unternehmen helfen, das Potenzial der Technologie kontrolliert auszuschöpfen.

Dazu verlangt die Norm unter anderem:

• ein Inventar der eingesetzten KI-Anwendungen,
• eine Bewertung der jeweiligen Chancen und Risiken,
• klar definierte Verantwortlichkeiten,
• Regeln für die Nutzung von Daten und vertraulicher Informationen,
• festgelegte Freigabe- und Prüfprozesse,
• eine Schulung der Beschäftigten,
• eine Überwachung der eingesetzten KI-Systeme,
• Regeln für den Umgang mit Fehlern, Problemen,
• ein kontinuierliches Verbessern des KI-Managements.

Damit wird die KI aus der betrieblichen Grauzone geholt. Statt dass jeder Beschäftigte selbst entscheidet, welches Tool für welchen Zweck genutzt wird, entstehen nachvollziehbare Regeln. Die ISO 42001 garantiert jedoch nicht automatisch die Einhaltung des EU AI Acts. Die Norm schafft vielmehr ein Managementsystem, mit dem Unternehmen rechtliche, ethische und wirtschaftliche Anforderungen strukturiert erfassen und in der Praxis umsetzen können.

Durch die zunehmende Nutzung der KI-Systeme entsteht in der Beziehung zwischen den Unternehmen und ihren Kunden ein neues Gut: Vertrauen in den sicheren KI-Einsatz. 

Die ISO 42001 lässt sich unabhängig zertifizieren

Ob dieses Problem besteht, kann von hierauf spezialisierten Unternehmen wie der DICIS AG mit einem KI-Qualitätsmanagementsystem überprüft werden. Hierbei wird untersucht, ob das betreffende Unternehmen die Anforderungen der ISO 42001 erfüllt und seine Regeln tatsächlich in der Praxis anwendet.

Die ISO-Zertifizierung erfolgt davon unabhängig. Diese Aufgabe übernehmen unabhängige Zertifizierungsstellen. Die Zertifizierung ist freiwillig und keine gesetzliche Voraussetzung für den KI-Einsatz.

Der entscheidende Unterschied jedoch: Das zertifizierte Unternehmen behauptet nicht nur, dass es die KI verantwortungsvoll einsetzt. Es hat mit der Zertifizierung einen Beleg dafür, dass es seine Strukturen, Prozesse und Kontrollen diesbezüglich unabhängig überprüfen lässt. Insbesondere bei grösseren Auftraggebenden kann dies die Prüfung als (potenzieller) Lieferant erleichtern. Statt immer wieder umfangreiche Fragebögen zum KI-Einsatz beantworten zu müssen, verfügt das Unternehmen über einen standardisierten und international verständlichen Nachweis.

Braucht mein Unternehmen eine KI-Zertifizierung?

Nicht jedes Unternehmen braucht eine Zertifizierung nach ISO 42001. Wenn nur einzelne Beschäftigte gelegentlich die KI zum Generieren von Ideen oder als Formulierungshilfe nutzen, genügen in der Regel eine verständliche KI-Richtlinie, klare Verantwortlichkeiten und regelmässige Schulungen.

Interessant wird eine Zertifizierung, wenn

• die KI wesentliche Geschäftsprozesse beeinflusst,
• die KI in Produkte oder Dienstleistungen integriert wird,
• die Arbeitsergebnisse massgeblich mit KI erstellt werden,
• sensible oder vertrauliche Daten verarbeitet werden,
• die Kunden direkt mit KI-Systemen interagieren,
• KI-generierte Inhalte publiziert werden,
• viele Beschäftigte unterschiedliche KI-Anwendungen einsetzen,
• grössere Auftraggeber Nachweise zum KI-Management verlangen,
• das Unternehmen sich als besonders sicherer Anbieter profilieren möchte.

Wissensintensive Dienstleister wie IT-Dienstleister, Agenturen, Beratungsunternehmen zählen deshalb zu den Unternehmen, für die eine Zertifizierung besonders interessant ist, denn: Bei ihnen ist die KI häufig nicht nur ein internes Hilfsmittel, sondern ein Bestandteil der Leistung, die die Kunden kaufen.