„Sind Sie nach ISO 42001 zertifiziert? – Ehrlich antworten, wenn Sie es nicht sind
Dies ist die AI-Frage, die ein Anbieter ohne das Zertifikat nicht mit einem Ja beantworten kann - und die Beantwortung erfordert keine. ISO/IEC 42001 ist der internationale Standard für ein AI-Managementsystem und zeigt sich nun im Unternehmensbeschaffungsbereich als "bevorzugt" oder "erforderlich": Der SIG 2026-Fragebogen bildet seine AI-Risikodomäne ab. Die Falle ist nicht das ehrliche Nein. Die Falle sind die beiden Antworten, die sich sicherer fühlen: das zweideutige Ja ("wir stimmen mit ISO 42001 überein") und das nackte Nein mit nichts danach.
Was die Zertifikatsfrage tatsächlich testet
Das Zertifikat ist ein Proxy. Was der Käufer vor 2. August 2026 tatsächlich braucht - wenn Article 50 des EU AI Act mit Strafen für Verstöße gegen €15,000,000 oder 3% des weltweiten Jahresumsatzes gilt, je nachdem, welcher Wert höher ist (für KMU und Startups gilt Article 99(6) der niedrigere der beiden) - ist ein Beweis dafür, dass Ihre AI-Funktionen von etwas anderem als Begeisterung bestimmt werden. Ein Zertifikat beweist das in einer Zeile. In Ermangelung dessen, was Sie dem Rezensenten vorlegen können, sind die zugrunde liegenden Beweise selbst - von denen ein kleiner Anbieter ohne einen Auditor produzieren kann. Dieses Reframing ist die ganze Antwortstrategie.
Die dreiteilige ehrliche Antwort
- Status, klar gesagt. "Wir sind derzeit nicht ISO/IEC 42001 zertifiziert." Kein Hedging, kein "aligned with". Ein mehrdeutiges Ja ist eine schriftliche Erklärung, um die Sie möglicherweise in der Vertragsphase gebeten werden.
- Äquivalente Kontrollen können Sie heute nachweisen. Hier wird der Deal gespeichert - die Tabelle unten zeigt, was das Zertifikat bestätigen würde, was Sie ohne es zeigen können.
- Die Roadmap, ohne erfundene Daten. "Wir bewerten die Zertifizierung nach Kundennachfrage" ist ehrlich. "Zertifizierung erwartet Q1" ist nur dann ehrlich, wenn Ihr Unternehmen es tatsächlich genehmigt hat.
Was das Zertifikat bestätigen würde vs. was Sie jetzt nachweisen können
| Die Bescheinigung würde bestätigen | Was Sie heute ohne sie beweisen können |
|---|---|
| Ein umfassendes, geprüftes AI Managementsystem | Ein AI-Systeminventar: jedes Modell, sein Anbieter, Version, Zweck, ob es fein abgestimmt ist und wo es verarbeitet wird |
| Dokumentierte Governance und Rechenschaftspflicht | Eine schriftliche AI-Richtlinie mit einem benannten Eigentümer und die Risikoklassifizierung jedes Systems unter Regulation (EU) 2024/1689 |
| Verwaltete Transparenzverpflichtungen | Ihre Article 50 Transparenzmaßnahmen, dokumentiert (Article 50 gilt von 2. August 2026; der Digital Omnibus hat es nicht verschoben) |
| Personalkompetenz rund um AI | Ihr AI-Literacy-Programm unter Article 4 (gilt seit 2. Februar 2025), mit Aufzeichnungen darüber, wer es abgeschlossen hat und wann |
| Betriebseffektivität im Zeitverlauf | Eine dokumentierte Geschichte dieser Kontrollen, die tatsächlich ausgeführt werden - Käufer verlangen normalerweise in der Reihenfolge von 90 Tagen Beweise |
Eine Warnung in dieser zweiten Zeile: Für ein System mit begrenztem Risiko – was die meisten B2B SaaS sind – sind die Verpflichtungen der Verordnung die Article 50-Transparenzpflichten, nicht die Article 14-Anforderungen an die menschliche Aufsicht, die für Hochrisikosysteme auf beiden Routen von Article 6 vorbehalten sind (die Digital Omnibus hat diese Verpflichtungen auf 2. Dezember 2027 für die Annex III-Anwendungsfälle und auf 2. August 2028 für die Annex I regulierte Produktroute verschoben). Wenn Sie Checkpoints mit menschlicher Überprüfung durchführen, stellen Sie diese als freiwillige gute Praxis vor, die das Risikomanagement des Käufers unterstützt, nicht als AI Act-Compliance.
Vorlage — nur zur Orientierung. Ersetzen Sie jede Klammer durch Fakten, die Ihr Unternehmen überprüft und genehmigt hat:
"Wir sind derzeit nicht ISO/IEC 42001 zertifiziert. Unser AI-Governance-Programm deckt die Kontrollen der Standardadressen ab: [ein AI-Systeminventar, das Modell, Anbieter, Version, Zweck und Verarbeitungsregion abdeckt], [Transparenzmaßnahmen gemäß Article 50 von Regulation (EU) 2024/1689], [ein AI-Literacy-Programm unter Article 4 mit Abschlussdatensätzen] und [Prüfpunkte für die menschliche Überprüfung, die als freiwillige gute Praxis beibehalten werden]. Diese Kontrollen wurden dokumentiert und funktionieren seit [Datum]. Wir bewerten die Zertifizierung nach Kundennachfrage; [geben Sie nur die Schritte an, die das Unternehmen genehmigt hat, mit ihrem tatsächlichen Status]."
Warum "Nein, mit einem Plan" ein mehrdeutiges Ja schlägt
Die beschaffungsgeprüfte Formel für jede Lücke lautet: aktueller Zustand + kompensierende Kontrolle + was wirklich in Arbeit ist + ein vernünftiges Ziel. Es funktioniert, weil es dem Rezensenten etwas zu überprüfen gibt, anstatt etwas zu bezweifeln. Das zweideutige Ja tut das Gegenteil: "Wir stimmen mit ISO 42001 überein" lädt genau zu einem Follow-up ein - Können Sie das Zertifikat teilen? - und es gibt keine gute Antwort darauf. Die gleiche Logik gilt für den AI-Abschnitt; es ist Schritt 4 von unsere Methode zur Beantwortung von AI-Fragebögen, und der grund, warum ein fragebogen, der seine lücken zugibt, dazu neigt, als glaubwürdiger zu lesen als einer, der keine zugibt.
Mini-FAQ
Benötigt der EU AI Act eine ISO 42001-Zertifizierung?
Nein. ISO/IEC 42001 ist ein freiwilliger Managementsystemstandard, den Beschaffungsteams zunehmend als bevorzugt oder erforderlich auflisten; es ist keine Verpflichtung nach Regulation (EU) 2024/1689. Für die meisten risikoarmen B2B SaaS sind die anwendbaren Aufgaben Article 50 Transparenz (von 2. August 2026) und Article 4 AI Alphabetisierung (seit 2. Februar 2025).
Sollten wir die Antwort "Certification in progress" geben, wenn wir noch nicht begonnen haben?
Nein. Geben Sie nur an, was das Unternehmen genehmigt hat. "In Bearbeitung" für Arbeiten, die noch nicht begonnen haben, ist ein übertriebenes Ja, das ein Verzögerungskostüm trägt, und es bricht zusammen, wenn der Käufer zum ersten Mal nach einer Statusaktualisierung fragt.
Wird die Antwort "Nein" den Deal verlieren?
Ein bloßes "Nein" ist eine verpasste Gelegenheit; "nicht zertifiziert" plus nachgewiesene gleichwertige Kontrollen und eine ehrliche Roadmap ist eine normale Beschaffungsantwort. Was an der Due Diligence scheitert, ist ein Ja, das der Käufer widerlegt - das nimmt die Glaubwürdigkeit des gesamten Dokuments mit sich.
Related: Diese Frage kommt normalerweise innerhalb der SIG 2026 AI, neben "Sind Sie konform mit dem EU AI Act?"Wenn ein Fragebogen gerade gelandet ist, beginnen Sie mit Das erste 24-Stunden-Spielbuch; Wenn Ihr Produkt AI-Funktionen unter seiner eigenen Marke versendet, führen Sie die kostenlose Article 50 Checker und sehen Wer schuldet was unter Article 50Weitere Fragen werden in der Antwortbibliothek.