Ab dem 2. August 2026 gelten für Hochrisiko-KI-Systeme verbindliche Anforderungen aus dem EU AI Act, auf die sich Fertigungsunternehmen bereits jetzt mit der ISO 42001 vorbereiten können. Für mittelständische Fertigungsbetriebe wird KI-Governance zur Pflichtaufgabe: Der AI Act stellt strenge Anforderungen an Hochrisiko-KI-Systeme, deren genaue Merkmale die EU-Kommission bis Februar 2026 konkretisieren soll. Die ISO 42001 bietet Unternehmen einen strukturierten Rahmen, um Compliance-Lücken frühzeitig zu schließen. Zusätzlich zu den AI-Act-Pflichten müssen Datenschutz- und Urheberrechtsvorgaben berücksichtigt werden. Wer jetzt mit Audit-Vorbereitungen beginnt, reduziert das Risiko, ab dem gesetzlichen Stichtag unvorbereitet zu sein.

ISO 42001 als Brücke zum AI Act: Was Fertigungsunternehmen im Mittelstand jetzt konkret tun müssen

Die Hochrisiko-Vorschriften des EU AI Act gelten für viele KI-Systeme in der Produktion ab dem 2. August 2026. Fertigungsunternehmen im Mittelstand, die KI bereits einsetzen oder planen einzusetzen, stehen damit unter konkretem Handlungsdruck. Die ISO 42001, ein internationaler Standard für KI-Managementsysteme, kann dabei als strukturierter Rahmen für die Vorbereitung dienen, ersetzt aber weder eine vollständige Rechtsanalyse noch die Beachtung von Datenschutz- und Urheberrechtsvorgaben.

Was der AI Act für die Fertigung bedeutet

Laut einer Analyse auf heise.de (Yousef, Krepki, Helbig, Dezember 2024) bilden die Vorschriften zu Hochrisiko-KI-Systemen den Großteil der Regularien im EU AI Act. Bis Februar 2026 hat die EU-Kommission Zeit, eine Liste mit konkreten Merkmalen für die Einordnung als Hochrisiko-System vorzulegen. Diese Liste soll die Betroffenheitsprüfung durch Beispiele erleichtern, die bislang noch unscharf ist.

Für mittelständische Fertigungsunternehmen bedeutet das: Wer heute KI-Systeme in der Qualitätskontrolle, Produktionssteuerung oder Personalplanung einsetzt, kann noch nicht mit Sicherheit sagen, ob diese als Hochrisiko eingestuft werden. Die Zeit bis Februar 2026 sollte genutzt werden, um interne Dokumentationsprozesse und Governance-Strukturen aufzubauen, unabhängig vom endgültigen Klassifizierungsergebnis.

Die Compliance-Kosten für KMU im Kontext des EU AI Act sowie die Risikoklassifizierung und Audit-Anforderungen sind dabei zentrale Planungsgrößen.

ISO 42001: Strukturhilfe, kein Freifahrtschein

Die ISO 42001 definiert Anforderungen an ein Managementsystem für Künstliche Intelligenz. Sie adressiert unter anderem Risikobewertung, Verantwortlichkeiten, Überwachung und kontinuierliche Verbesserung von KI-Systemen. Damit deckt sie inhaltlich mehrere Bereiche ab, die auch der AI Act für Hochrisiko-Anwendungen fordert, etwa Dokumentations- und Transparenzpflichten sowie interne Kontrollmechanismen.

Wichtig zu verstehen: Eine ISO-42001-Zertifizierung ersetzt keine formale Konformitätsbewertung nach dem AI Act. Sie ist kein Äquivalent zur CE-Kennzeichnung für Hochrisiko-KI-Systeme. Sie kann jedoch als Grundlage dienen, um Prozesse und Dokumentation so aufzubauen, dass eine spätere Konformitätsbewertung effizienter verläuft.

Für Fertigungsunternehmen empfiehlt sich folgende Herangehensweise:

1. Bestandsaufnahme aller KI-Systeme im Betrieb, inklusive zugekaufter Softwarelösungen mit KI-Komponenten
2. Vorläufige Risikoklassifizierung anhand der bisher verfügbaren Leitlinien der EU-Kommission
3. Aufbau eines KI-Managementsystems nach ISO 42001, mit klar definierten Verantwortlichkeiten und Eskalationspfaden
4. Dokumentation von Trainingsdaten, Modellversionen und Änderungshistorien, soweit diese vom Systemanbieter bereitgestellt werden

Datenschutz und Urheberrecht nicht vergessen

Die heise.de-Analyse weist ausdrücklich darauf hin, dass neben dem AI Act auch Datenschutz- und Urheberrechtsvorgaben zu beachten sind. In der Praxis bedeutet das für Fertigungsunternehmen:

Wer KI-Systeme mit internen Produktionsdaten, Mitarbeiterdaten oder Kundendaten betreibt, muss die Anforderungen der DSGVO parallel erfüllen. Das betrifft sowohl die Datenverarbeitung durch Drittanbieter als auch den möglichen Einsatz von Daten für das Training oder Fine-Tuning von Modellen. Urheberrechtliche Fragen entstehen insbesondere dann, wenn KI-generierte Outputs in Produktbeschreibungen, technische Dokumentationen oder Marketingmaterialien einfließen.

Weiterführende Einordnungen zu Datenschutzpflichten im LLM-Kontext bieten die EDPB-Leitlinien 2025 zur Transparenz bei LLM-Training sowie die BSI-Richtlinien zur sicheren KI-Evaluierung im Mittelstand.

Praktische Implikationen für Entscheider in der Fertigung

1. Klassifizierungsunsicherheit aktiv managen: Da die EU-Kommission die Merkmale für Hochrisiko-KI-Systeme erst bis Februar 2026 konkretisiert, sollten Unternehmen intern bereits jetzt dokumentieren, welche KI-Systeme welche Entscheidungen beeinflussen. Diese Dokumentation ist sowohl für die spätere Betroffenheitsprüfung als auch für eine ISO-42001-Zertifizierung notwendig.

2. ISO 42001 als Governance-Investition verstehen: Die Einführung eines KI-Managementsystems nach ISO 42001 ist kein reiner Compliance-Aufwand. Sie schafft interne Transparenz über den tatsächlichen KI-Einsatz im Unternehmen, was für Audit-Prozesse, Versicherbarkeit und die Zusammenarbeit mit Kunden und Lieferanten zunehmend relevant wird. Hintergründe zur KI-Governance im Mittelstand zeigen, wie Unternehmen diese Strukturen aufbauen.

3. Auditbereitschaft frühzeitig herstellen: Hochrisiko-KI-Systeme unterliegen nach dem AI Act Konformitätsbewertungspflichten, die in bestimmten Fällen externe Prüfungen erfordern. Wer seine internen Prozesse nach ISO 42001 strukturiert hat, ist auf solche Audits besser vorbereitet. Details zu den Konformitätsbewertungs- und Auditpflichten geben Orientierung über den Verfahrensrahmen.

4. Lieferkette einbeziehen: In der Fertigung werden KI-Systeme häufig durch Maschinenhersteller, MES-Anbieter oder ERP-Plattformen eingebracht. Der AI Act unterscheidet zwischen Anbietern und Betreibern von KI-Systemen und weist beiden unterschiedliche Pflichten zu. Mittelständische Unternehmen, die als Betreiber handeln, müssen dennoch sicherstellen, dass die genutzten Systeme konform sind und entsprechende Nachweise vorliegen. Einblicke in die KI-Implementierung in Maschinenbau und Produktion im Mittelstand illustrieren typische Konstellationen.

Quellen

• Vorbereitung auf den AI Act: Wie die ISO 42001 helfen kann – heise.de, 19.12.2024
• ISO 42001 Topic auf GitHub (176 öffentliche Repositories)

Häufige Fragen

Was ist die ISO 42001 und warum ist sie für Fertigungsunternehmen relevant?

Die ISO 42001 ist ein internationaler Standard für KI-Managementsysteme. Für Fertigungsunternehmen, die KI-Systeme einsetzen, bietet sie einen strukturierten Rahmen, um sich auf die Anforderungen des EU AI Act vorzubereiten. Gerade im Produktionsumfeld können KI-Anwendungen unter die Kategorie Hochrisiko-KI fallen, was spezifische Compliance-Pflichten nach sich zieht.

Ab wann gelten die Hochrisiko-Vorschriften des EU AI Act für Fertigungsunternehmen konkret?

Die Vorschriften zu Hochrisiko-KI-Systemen gelten zum Teil bereits ab dem 2. August 2026. Die EU-Kommission hat bis Februar 2026 Zeit, eine Liste mit konkreten Merkmalen zur Einordnung von KI-Systemen in die Risikokategorie ‘hoch’ vorzulegen. Diese Liste soll die Betroffenheitsprüfung durch Beispiele erleichtern, die bislang noch uneinheitlich gehandhabt wird.

Wie hilft die ISO 42001 dabei, KI-Systeme korrekt in Risikokategorien einzuordnen?

Die ISO 42001 bietet ein systematisches Rahmenwerk für das interne Risikomanagement von KI-Systemen. Sie unterstützt Unternehmen dabei, Prozesse zur Bewertung und Dokumentation ihrer KI-Anwendungen aufzubauen. Da die genauen Kriterien für Hochrisiko-KI seitens der EU-Kommission erst bis Februar 2026 vorliegen sollen, ermöglicht ein solches Managementsystem eine frühzeitige und anpassungsfähige Vorbereitung.

Müssen Fertigungsunternehmen bei der ISO 42001 Implementierung auch Datenschutz und Urheberrecht berücksichtigen?

Ja. Neben den Anforderungen aus dem EU AI Act müssen Unternehmen bei der Implementierung eines KI-Managementsystems nach ISO 42001 auch datenschutzrechtliche sowie urheberrechtliche Vorgaben beachten. Diese rechtlichen Dimensionen sind eigenständige Anforderungen, die parallel zur KI-Governance-Struktur geprüft und adressiert werden müssen.

Welche praktischen Schritte sollten mittelständische Fertigungsunternehmen jetzt einleiten, um audit-bereit zu sein?

Mittelständische Fertigungsunternehmen sollten zunächst eine interne Bestandsaufnahme ihrer eingesetzten KI-Systeme durchführen und prüfen, welche davon potenziell als Hochrisiko einzustufen sind. Parallel dazu empfiehlt sich der Aufbau eines Managementsystems nach ISO 42001, das strukturierte Prozesse für Dokumentation, Risikobewertung und interne Audits etabliert. Da die EU-Kommission die Hochrisiko-Kriterien erst bis Februar 2026 konkretisieren wird, sollten Unternehmen die Entwicklung dieser Liste aktiv verfolgen und ihre internen Prozesse entsprechend anpassen.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.