Braucht mein QM-System eine KI-Regelung? Was seit 2026 gilt – und was wirklich reicht

RECHTSLAGEWas der EU AI Act von kleinen Firmen verlangt

Der AI Act (Verordnung (EU) 2024/1689) gilt gestuft: Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken verboten und jedes Unternehmen, das KI einsetzt, muss für ausreichende KI-Kompetenz seines Personals sorgen (Art. 4). Seit dem 2. August 2026 ist der Großteil der übrigen Pflichten anwendbar – darunter Transparenzpflichten, etwa dass Menschen erkennen können müssen, wenn sie mit einer KI interagieren.

Für den typischen Mittelständler, der ChatGPT, Copilot oder ein Übersetzungstool nutzt, heißt das konkret: Sie sind „Betreiber“ eines KI-Systems mit überschaubaren Pflichten – Kompetenz sicherstellen, verbotene Praktiken vermeiden, Transparenz dort, wo KI nach außen wirkt. Aufpassen müssen Sie an einer Stelle: KI in der Personalauswahl – etwa automatisiertes Bewerber-Screening – zählt zu den Hochrisiko-Anwendungen mit deutlich strengeren Auflagen. Wer das vorhat, sollte es nicht nebenbei einführen.

Meine Einordnung nach zwei Jahren AI-Act-Diskussion: Die Pflichten für normale Anwender sind kleiner, als die Beraterbranche sie verkauft. Eine dokumentierte Unterweisung und eine klare Richtlinie decken das meiste ab – Panik ist ein Geschäftsmodell, kein Rechtsstand.

NORMWas die ISO 9001 zur KI sagt: nichts – und trotzdem alles

In der ISO 9001:2015 kommt das Wort KI nicht vor. Trotzdem greift die Norm an drei Stellen, sobald Sie KI im Tagesgeschäft einsetzen:

• Risiken und Chancen (Kap. 6.1): Wenn ein KI-Tool Angebote, Prüfberichte oder Kundenkommunikation miterstellt, ist ein fehlerhaftes Ergebnis ein Qualitätsrisiko – und gehört in Ihre Risikobetrachtung, genau wie ein neuer Server oder ein neuer Lieferant.
• Kompetenz (Kap. 7.2): Wer mit KI arbeitet, muss wissen, was sie kann und was nicht. Das deckt sich eins zu eins mit der Kompetenz-Pflicht aus dem AI Act – eine Unterweisung erfüllt beides.
• Extern bereitgestellte Prozesse (Kap. 8.4): Ein KI-Dienst ist ein Dienstleister wie jeder andere. Sie entscheiden, welche Anforderungen Sie an ihn stellen – etwa wo Ihre Daten landen.

Mit der Revision der ISO 9001 rücken zudem Qualitätskultur und Ethik in die Norm – der Umgang mit KI wird damit vom freiwilligen Zusatz zum erwartbaren Auditthema.

NORMWann Sie ISO 42001 brauchen – und wann nicht

Die ISO/IEC 42001:2023 ist die zertifizierbare Managementsystem-Norm für Künstliche Intelligenz – aufgebaut wie ISO 9001 und 27001, mit denselben Kapitelstrukturen. Sie regelt, wie ein Unternehmen KI-Systeme verantwortlich entwickelt, einführt und betreibt.

Meine ehrliche Einschätzung: Für die meisten kleinen und mittleren Unternehmen ist sie Overkill. Sinnvoll wird ISO 42001, wenn KI Ihr Produkt ist oder Ihre Kernprozesse steuert – ein Softwarehaus, das KI-Funktionen verkauft, ein Dienstleister, dessen Ergebnisse maßgeblich von KI erzeugt werden, oder wer von Konzernkunden danach gefragt wird. Wer ChatGPT im Büro nutzt, braucht kein zweites Managementsystem – er braucht eine Seite Regelung im bestehenden.

Beobachten lohnt sich trotzdem: Wie bei der ISO 27001 werden große Auftraggeber die 42001 irgendwann in Lieferantenfragebögen abfragen. Dann ist es gut, wenigstens die eigene KI-Richtlinie vorzeigen zu können.

PRAXISDie KI-Richtlinie auf einer Seite: sechs Punkte, die reichen

Keine 30-Seiten-Policy. Eine Seite, sechs Regelungen – als Kapitel im QM-Handbuch oder als eigenes Dokument in Ihrer Dokumentenlenkung:

• Erlaubte Tools und Konten: Welche KI-Dienste sind freigegeben, und zwar über Firmenkonten – keine privaten Accounts mit Firmendaten.
• Was hinein darf: Keine personenbezogenen Daten, keine Kundendaten, keine Betriebsgeheimnisse in Tools, die damit trainieren dürfen. Im Zweifel: anonymisieren.
• Menschliche Prüfung: Kein KI-Ergebnis verlässt ungeprüft das Haus. Wer das Dokument verantwortet, prüft es – die KI ist Werkzeug, nicht Unterzeichner.
• Kennzeichnung: Legen Sie fest, wo KI-Mitwirkung kenntlich gemacht wird. Ich halte es selbst so: Jedes mit KI-Unterstützung erstellte Dokument trägt bei mir einen Hinweis in der Fußzeile – samt dem Satz, dass der Projektleiter die Inhalte prüft.
• Zuständigkeit und Unterweisung: Eine Person verantwortet das Thema, alle Nutzer werden kurz unterwiesen – dokumentiert. Damit ist die Kompetenz-Pflicht aus Art. 4 AI Act gleich mit erledigt.
• Prüfung im internen Audit: Nehmen Sie die KI-Nutzung als Frage ins interne Audit auf. Eine Regelung, die niemand kontrolliert, ist Papier.

AUDITWas ich als Auditor inzwischen zur KI frage

Seit etwa zwei Jahren stelle ich in Audits KI-Fragen – und die Antworten sind aufschlussreicher als manches Kapitel im Handbuch:

• „Wer nutzt hier KI – und weiß die Geschäftsführung das?“ In fast jedem Betrieb arbeitet längst jemand mit ChatGPT. Spannend ist nur, ob es geregelt passiert oder heimlich.
• „Wer prüft die Ergebnisse?“ Die gefährlichste Antwort ist: niemand. Die beste: „Derselbe, der auch ohne KI verantwortlich wäre.“
• „Landen Kundendaten in fremden Tools?“ Hier trennt sich saubere Nutzung von Datenschutzvorfall mit Ansage.

Eine Firma, die auf diese drei Fragen ruhige Antworten hat, hat ihr KI-Thema im Griff – ganz ohne 42001-Zertifikat. Eine Firma, die KI offiziell „verbietet“ und bei der trotzdem alle damit arbeiten, hat das größere Problem: eine Regelung, an die sich niemand hält, ist im Audit schlimmer als gar keine.

WEITERLESENDas passt dazu

• Was Auditoren wirklich denken: 10 Sätze aus über 1.000 Audits
• Risiken & Chancen: die pragmatische Risikobetrachtung
• Das interne Audit: Pflicht, Ablauf, häufige Fehler
• Dokumentation & Tools: was Sie wirklich brauchen
• ISO 9001:2026 – der Norm-Kompass zur Revision

Holger Grosser berät seit 1994 Unternehmen zur ISO 9001 und hat über 1.000 Zertifizierungsaudits begleitet – jedes davon im ersten Anlauf bestanden. Sein Grundsatz: so wenig Dokumentation wie möglich, so viel wie nötig. Mehr über den Autor
★★★★★ 5,0 · 97 Google-Bewertungen, alle von zertifizierten Kunden