Ein ISO-42001-Auditor prüft KI-Managementsysteme, entweder als interner Auditor im eigenen Unternehmen oder als externer Auditor einer Zertifizierungsstelle. Gefragt ist eine Dreifach-Qualifikation: Auditmethodik nach ISO 19011, Managementsystem-Erfahrung und KI-Fachwissen inklusive Rechtsrahmen. Lead-Auditor-Lehrgänge dauern typisch fünf Tage; die Programme existieren erst seit 2024, erfahrene Auditoren sind entsprechend rar.
Mit der ISO/IEC 42001 ist ein neues Auditfeld entstanden: KI-Managementsysteme müssen geprüft werden, intern durch eigene Auditoren und extern durch Zertifizierungsstellen. Das Berufsbild ISO-42001-Auditor ist entsprechend gefragt, aber auch entsprechend jung: Die ersten Lehrgänge starteten 2024, die ersten akkreditierten Zertifizierungsprogramme folgten 2025/2026. Wer heute von langjähriger ISO-42001-Auditerfahrung spricht, übertreibt zwangsläufig.
Dieser Artikel beschreibt, was ISO-42001-Auditoren tun, welche Rollen es gibt, welche Qualifikationen tatsächlich erforderlich sind und über welche Wege man sie erwirbt. Er richtet sich an zwei Gruppen: Fachleute, die Auditor werden wollen, und Unternehmen, die für ihr KI-Managementsystem einen internen Auditor aufbauen oder einen externen beurteilen müssen. Stand: September 2026.
Was macht ein ISO-42001-Auditor?
Ein ISO-42001-Auditor prüft, ob das KI-Managementsystem einer Organisation die Anforderungen der Norm erfüllt und in der Praxis gelebt wird. Konkret heißt das: Er bewertet die KI-Politik und den Geltungsbereich, prüft das Inventar der KI-Systeme, die Risiko- und Folgenabschätzungen, die Rollen und Kompetenzen, die Steuerung von KI-Lieferanten und die Wirksamkeit der Kontrollen aus dem Anhang der Norm. Dazu führt er Interviews, sichtet dokumentierte Informationen und stellt Abweichungen fest, aus denen die Organisation Korrekturmaßnahmen ableiten muss.
Der Unterschied zu klassischen Managementsystem-Audits liegt im Prüfgegenstand: KI-Systeme verändern sich durch neue Modellversionen und neue Einsatzfelder laufend, ihre Risiken sind schwerer greifbar als eine Maschine oder ein Serverraum, und der Rechtsrahmen entwickelt sich parallel weiter. Ein Auditor muss deshalb einschätzen können, ob eine Risikobewertung zu einem Sprachmodell-Einsatz plausibel ist, ob menschliche Aufsicht wirklich stattfindet oder nur auf dem Papier steht, und ob das Unternehmen seine Pflichten aus der KI-Verordnung im Blick hat, ohne dabei selbst Rechtsberatung zu leisten.
Interner Auditor oder Zertifizierungsauditor: zwei Rollen, zwei Anforderungsprofile
Hinter dem Begriff Auditor stehen zwei klar getrennte Rollen mit unterschiedlichen Auftraggebern und Anforderungen:
| Kriterium | Interner Auditor | Externer Auditor (Zertifizierungsstelle) |
|---|---|---|
| Auftraggeber | Die eigene Organisation | Zertifizierungsstelle im Kundenauftrag |
| Aufgabe | Interne Audits nach Kapitel 9.2 der Norm: Selbstprüfung vor und zwischen externen Audits | Stufe-1-, Stufe-2-, Überwachungs- und Rezertifizierungsaudits mit Zertifikatsentscheidung im Hintergrund |
| Unabhängigkeit | Muss vom geprüften Bereich unabhängig sein, darf aber Mitarbeitender sein | Strikte Unabhängigkeit: keine Beratung des Kunden, keine Eigeninteressen |
| Formale Vorgaben | Keine vorgeschriebene Ausbildung; Kompetenz muss nachweisbar sein | Anforderungen der Zertifizierungsstelle, bei akkreditierten Stellen nach ISO/IEC 17021 und ISO/IEC 42006 |
| Typische Qualifikation | Interne-Auditor-Schulung (1–3 Tage) plus KI-Grundwissen | Lead-Auditor-Lehrgang (typisch 5 Tage) plus Auditpraxis und Fachnachweise |
| Zeitaufwand | Wenige Tage pro Jahr, neben der Hauptrolle | Hauptberuflich oder als bestellter Auditor mit mehreren Mandaten |
Für Unternehmen, die sich zertifizieren lassen wollen, ist die linke Spalte die dringlichere: Ohne durchgeführtes internes Audit und Managementbewertung ist kein Zertifizierungsaudit bestehbar. Der interne Auditor ist damit die erste Auditorenrolle, die jedes Unternehmen mit KI-Managementsystem besetzen muss.
Das Kompetenzprofil: drei Bausteine, die zusammenkommen müssen
Unabhängig von der Rolle braucht ein ISO-42001-Auditor drei Kompetenzbausteine:
- Auditmethodik: Die ISO 19011 als Leitfaden für Managementsystem-Audits ist das Handwerkszeug: Auditprogramm und Auditplan erstellen, Interviews führen, Stichproben ziehen, Feststellungen sauber belegen und klassifizieren. Wer schon 9001- oder 27001-Audits durchführt, bringt diesen Baustein mit.
- Managementsystem-Verständnis: Die ISO 42001 folgt der Harmonized Structure. Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung: Wer diese Logik aus anderen Normen kennt, findet sich schnell zurecht und kann sich auf die KI-Besonderheiten konzentrieren.
- KI-Fachwissen und Rechtsrahmen: der neue und knappste Baustein. Dazu gehören die Funktionsweise und typische Schwächen von KI-Systemen (Datenqualität, Verzerrungen, fehlende Nachvollziehbarkeit), die KI-spezifischen Instrumente der Norm wie Folgenabschätzungen sowie Grundzüge der KI-Verordnung mit ihren Risikoklassen und Pflichten.
In der Praxis kommen Auditoren meist von einer von zwei Seiten: erfahrene Managementsystem-Auditoren, die sich KI-Wissen aufbauen, oder KI- und IT-Fachleute, die das Audithandwerk lernen. Der erste Weg ist derzeit der häufigere, denn Auditerfahrung lässt sich schwerer im Schnellkurs erwerben als Normwissen. Ideal ist ohnehin das Tandem: ein Auditprofi und eine KI-Fachperson, die gemeinsam auditieren und voneinander lernen.
Qualifikationswege: vom internen Auditor bis zum Lead Auditor
Die Ausbildungslandschaft für ISO 42001 hat sich seit 2024 rasch entwickelt. Die üblichen Stufen:
- Foundation- und Einführungskurse: ein bis zwei Tage Normüberblick, als Einstieg für alle Rollen. Häufig 300 bis 1.000 €.
- Interner-Auditor-Kurs: zwei bis drei Tage, kombiniert Normkenntnis mit Auditgrundlagen nach ISO 19011. Für die interne Auditrolle im Unternehmen in der Regel ausreichend. Häufig 1.000 bis 2.000 €.
- Lead-Auditor-Lehrgang: typisch fünf Tage mit Prüfung, angeboten von Personenzertifizierern und Akademien, etwa nach den Schemata von PECB oder Exemplar Global, teils mit Kurszertifizierung über CQI/IRCA. Kosten häufig 2.000 bis 4.000 €. Das Personenzertifikat verlangt neben der Prüfung meist nachgewiesene Berufs- und Auditerfahrung und ist einige Jahre gültig.
- Auditpraxis: Der eigentliche Engpass. Zertifizierungsstellen fordern von ihren Auditoren begleitete Einsätze, etwa als Co-Auditor unter Beobachtung, bevor sie eigenverantwortlich auditieren dürfen. Bei akkreditierten Stellen konkretisiert die ISO/IEC 42006 die Kompetenzanforderungen.
Dazu gehört eine ehrliche Einordnung: Alle diese Programme sind jung. Die Norm erschien Ende 2023, die ersten Lehrgänge folgten 2024, die ersten Akkreditierungen für Zertifizierungsstellen 2025/2026. Es gibt daher noch keinen etablierten Marktstandard, welcher Abschluss was wert ist, und niemanden mit zehn Jahren ISO-42001-Praxis. Ein fünftägiger Lehrgang vermittelt Normwissen und Methodik, er macht aber niemanden zum erfahrenen KI-Auditor. Misstrauen ist angebracht bei Anbietern, die mit Wochenend-Zertifikaten volle Auditkompetenz versprechen, und bei Auditoren, die ihre tatsächliche Einsatzhistorie nicht offenlegen wollen.
Der pragmatische Weg für KMU: den internen Auditor selbst aufbauen
Wer ein KI-Managementsystem einführt, braucht keinen externen Lead Auditor auf der eigenen Seite, sondern zunächst eine Person, die das interne Audit nach Kapitel 9.2 kompetent durchführen kann. Der wirtschaftlichste Weg führt meist über vorhandenes Personal:
- Gibt es bereits einen internen Auditor für ISO 9001 oder 27001, genügt eine Ergänzungsschulung zur ISO 42001 plus KI-Grundwissen; die Auditmethodik ist identisch.
- Gibt es keinen, ist ein Interner-Auditor-Kurs von zwei bis drei Tagen der Einstieg, kombiniert mit einer KI-Schulung, wie sie ohnehin für Art. 4 der KI-Verordnung sinnvoll ist.
- Die Unabhängigkeit bleibt wichtig: Wer das KI-Managementsystem aufgebaut hat, sollte es nicht selbst auditieren. In kleinen Unternehmen lösen das viele über Überkreuz-Audits mit einem befreundeten Betrieb oder einen extern beauftragten internen Audit-Tag, häufig zu Tagessätzen zwischen 800 und 1.500 €.
Aus Sicht der Zertifizierung zählt nicht, welches Zertifikat der interne Auditor besitzt, sondern ob das Audit methodisch sauber war: mit Auditplan, nachvollziehbaren Feststellungen, Bericht und abgearbeiteten Maßnahmen. Genau das prüft der externe Auditor im Stufe-2-Audit nach.
Woran Sie einen guten externen Auditor erkennen
Ob eine Zertifizierungsstelle akkreditiert ist oder wie KCERT transparent im nicht akkreditierten Bereich arbeitet: Die Qualität des Audits steht und fällt mit der Person, die es durchführt. Prüfenswert sind fünf Punkte:
- Audithintergrund: nachweisbare Erfahrung mit Managementsystem-Audits, idealerweise ISO 27001 oder anderen Harmonized-Structure-Normen, ergänzt um dokumentierte ISO-42001-Qualifikation.
- KI-Verständnis: Der Auditor sollte Ihre konkreten KI-Anwendungen fachlich einordnen können, nicht nur Checklisten abfragen.
- Unabhängigkeit: Wer Sie beim Aufbau des Systems beraten hat, darf es nicht zertifizieren. Seriöse Stellen trennen Beratung und Audit strikt; bei KCERT gilt dieser Grundsatz ausnahmslos, und auch Schulungen gehören bewusst nicht zum Angebot.
- Transparenz über das Verfahren: klarer Auditplan, benannte Kriterien, nachvollziehbare Feststellungen statt Pauschalurteilen, und offene Auskunft über den Status der Stelle, akkreditiert oder nicht.
- Ehrlichkeit über Grenzen: Ein Auditor, der zugibt, dass das Feld jung ist und bestimmte Fragen noch keine gefestigte Auditpraxis haben, ist vertrauenswürdiger als einer, der auf alles eine fertige Antwort behauptet.
Häufige Fragen
Gesetzlich vorgeschrieben ist keine. Üblich ist die Kombination aus einem Lehrgang, vom Interne-Auditor-Kurs mit zwei bis drei Tagen bis zum fünftägigen Lead-Auditor-Lehrgang mit Prüfung, plus Auditpraxis und KI-Fachwissen. Externe Auditoren müssen zusätzlich die Kompetenzanforderungen ihrer Zertifizierungsstelle erfüllen; bei akkreditierten Stellen konkretisiert die ISO/IEC 42006 diese Anforderungen.
Einführungskurse liegen häufig bei 300 bis 1.000 €, Interne-Auditor-Kurse bei 1.000 bis 2.000 €, fünftägige Lead-Auditor-Lehrgänge mit Prüfung bei 2.000 bis 4.000 € pro Person. Hinzu kommen bei Personenzertifikaten Prüfungs- und Zertifikatsgebühren sowie später Rezertifizierungskosten. Die Preise sind Marktspannen; je nach Anbieter, Format und Region gibt es Abweichungen nach oben und unten.
Die Voraussetzungen sind gut: Beide Normen folgen der Harmonized Structure, die Auditmethodik nach ISO 19011 ist identisch, und viele Themen wie Risikoprozesse und Lieferantensteuerung ähneln sich. Fehlen dürfen aber nicht die KI-Spezifika: Folgenabschätzungen, KI-Inventar, Umgang mit Modellrisiken und Grundzüge der KI-Verordnung. Eine Ergänzungsqualifikation zur ISO 42001 ist deshalb der übliche und sinnvolle Weg.
Vom Grundsatz her problematisch: Wer das KI-Managementsystem aufgebaut hat, prüft mit dem internen Audit seine eigene Arbeit, und die Norm verlangt Objektivität und Unparteilichkeit des Auditprozesses. Sauber ist die Trennung: Der Aufbau-Berater berät, das interne Audit übernimmt eine andere qualifizierte Person, intern oder extern beauftragt. Die Zertifizierung wiederum darf nie durch den Berater erfolgen; Beratung und Zertifizierung gehören in getrennte Hände.
Wenige, und das lässt sich seriös nicht wegdiskutieren. Die Norm erschien Ende 2023, die ersten Lehrgänge starteten 2024, die ersten Akkreditierungen für Zertifizierungsstellen folgten 2025/2026. Praxiserfahrung kann also höchstens aus wenigen Jahren stammen, meist übertragen aus ISO-27001- oder ISO-9001-Audits. Fragen Sie Auditoren konkret nach durchgeführten KI-Audits statt nach Jahresangaben (Stand: September 2026).
Eine interne Auditfunktion ja, eine Vollzeitstelle nein. Kapitel 9.2 der Norm verlangt interne Audits in geplanten Abständen; in kleinen Unternehmen ist das eine Nebenrolle mit wenigen Tagen Aufwand pro Jahr. Die Person muss vom geprüften Bereich unabhängig und nachweisbar kompetent sein. Alternativ lässt sich das interne Audit an externe Fachleute vergeben, was die Unabhängigkeit oft sogar erleichtert.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT