Naz van Norel
KI-Governance für den Mittelstand

Ihr Kunde verlangt Nachweise zu Ihrer KI.
Wir sorgen dafür, dass Sie sie haben.

Im Lieferantenfragebogen steht plötzlich eine Frage zu ISO/IEC 42001. Der Einkauf will wissen, wie Sie KI-Risiken steuern. Das Geschäft liegt auf Eis, bis Sie antworten können. Ich bereite mittelständische Unternehmen darauf vor — belastbar, in vier Wochen statt vier Monaten, und ohne Beraterhonorare aus dem Konzernumfeld.

Leistungen ansehen Erstgespräch vereinbaren

Qualifikation

Naz van Norel

KI-Governance-Beratung · Lead Auditorin

  • Mitglied im DIN NK 42 — dem nationalen Normungsgremium, das an EN 18286 mitgewirkt hat
  • Lead Auditorin DIN EN ISO/IEC 42001 und ISO/IEC 27001
  • IEEE SA CertifAId™ Assessor
  • B.Sc. Elektrotechnik, Dipl. sc. pol.
  • Über 60 Prozess- und Technologie-Audits, davon ein Großteil im industriellen Umfeld

Zwei Gründe, warum Unternehmen jetzt handeln

Der eine kommt vom Kunden, der andere von der Marktaufsicht. Beide betreffen Sie unabhängig davon, ob Sie KI-Systeme entwickeln oder lediglich einsetzen.

Anlass 1 · Der Kunde

Der Lieferantenfragebogen

Großkunden und öffentliche Auftraggeber erweitern ihre Lieferantenprüfung um KI-Fragen: Wie klassifizieren Sie Ihre Systeme? Wer verantwortet KI-Risiken? Liegt eine Zertifizierung nach ISO/IEC 42001 vor oder ist sie geplant?

Wer hier nicht antworten kann, verliert das Geschäft nicht sofort — aber die Ausschreibung verzögert sich, und beim nächsten Mal wird gar nicht erst gefragt. Das ist für die meisten mittelständischen Anbieter der teurere der beiden Anlässe.

Anlass 2 · Die Marktaufsicht

Artikel 50 gilt bereits

Der Digital Omnibus hat die Pflichten für Hochrisiko-KI-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben. Artikel 50 wurde davon ausdrücklich nicht erfasst. Die Transparenzpflichten gelten seit dem 2. August 2026 und sind durch die nationalen Marktaufsichtsbehörden durchsetzbar.

Sie greifen unabhängig von der Risikoklasse: Wenn Ihr System mit Menschen kommuniziert, Inhalte erzeugt oder Emotionen erkennt, sind Sie betroffen. Der Bußgeldrahmen reicht bis 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes.

Leistungen

Festpreis-Pakete mit klarem Umfang

Definierter Umfang, definierte Dauer, definierter Preis. Sie wissen vorher, was Sie erhalten und was es kostet.

Sie sind unsicher, was passt?

„Wir betreiben einen Chatbot oder eine generative Funktion und wissen nicht, was für uns gilt.“ → Paket D „Wir sollen nach ISO/IEC 42001 zertifiziert werden.“ → Paket A „Wir bringen KI auf den EU-Markt und müssen unsere Pflichten kennen.“ → Paket C
Einstieg · Pflichten gelten bereits Paket D

Transparenz-Check nach Artikel 50 KI-VO

Für: Jedes Unternehmen, das einen Chatbot, KI-Assistenten oder eine generative Funktion für Nutzer in der EU bereitstellt — ob selbst entwickelt oder eingekauft.

Die Transparenzpflichten knüpfen an die Funktion Ihres Systems an, nicht an seine Risikoklasse. Sie verteilen sich zudem zwischen Anbieter und Betreiber — und die meisten Unternehmen wissen nicht, auf welcher Seite sie stehen. Genau das klären wir zuerst.

Sie erhalten  (7)
  • Rollenbestimmung je System — Anbieter, Betreiber oder beides. Alles Weitere hängt an dieser Antwort, und sie fällt häufig anders aus als erwartet.
  • Prüfung gegen die verbotenen Praktiken nach Art. 5 und die Hochrisiko-Einstufung nach Anhang III — auch Chatbots können hochriskant sein, etwa im Bewerbungsverfahren
  • Prüfung der Kennzeichnung nach Art. 50 Abs. 1: erfolgt der Hinweis auf die KI-Interaktion, ist er verständlich, und steht er an der richtigen Stelle im Nutzerdialog
  • Status der maschinenlesbaren Markierung generativer Ausgaben nach Art. 50 Abs. 2 — mit Blick auf die Frist zum 2. Dezember 2026 für bereits in Verkehr befindliche Systeme
  • Betreiberpflichten nach Art. 50 Abs. 4 bei KI-erzeugten Texten von öffentlichem Interesse und bei Deepfakes
  • Prüfung Ihrer Lieferantenverträge, wenn Sie ein fremdes System einsetzen — die Nutzung eines Drittanbieters überträgt die Pflicht nicht, und Verträge aus der Zeit vor August schweigen dazu meist
  • Prüfung der KI-Kompetenzpflicht nach Art. 4, die Anbieter und Betreiber gleichermaßen trifft

Was wir von Ihnen benötigen: Eine Liste Ihrer KI-gestützten Funktionen, Zugang zu den nutzerseitigen Abläufen oder Screenshots davon, sowie Lieferantenverträge, sofern Sie fremde Systeme einsetzen.

Dauer 1 Woche
Aufwand bei Ihnen ca. 3 Stunden
Festpreis 1.900 €
Umsatzsteuerbefreiter Kleinunternehmer nach § 19 UStG — es wird keine Umsatzsteuer berechnet. Der genannte Betrag ist der Endbetrag.

Ergebnis: Sie wissen, welche Pflichten bei Ihnen liegen, welche bei Ihrem Lieferanten, und was bis zum 2. Dezember zu ändern ist — in der Reihenfolge, in der es zählt.

Paket D anfragen

Weiterführende Pakete

AIMS & ISMS Paket A

Readiness-Bewertung DIN EN ISO/IEC 42001

Wo Sie gegenüber DIN EN ISO/IEC 42001 stehen — Kapitel 4 bis 10 und Anhang A — und was zuerst zu schließen ist.

Für wen & Umfang

Für: Unternehmen, die eine Zertifizierung nach ISO/IEC 42001 anstreben oder erstmals ein KI-Managementsystem aufbauen — insbesondere solche, die bereits nach ISO/IEC 27001 zertifiziert sind.

Strukturierte Bewertung Ihres KI-Managementsystems gegen die Anforderungen der Norm, abgeglichen mit Ihren bestehenden ISO/IEC 27001-Maßnahmen, damit Sie ausbauen statt doppelt zu arbeiten.

Sie erhalten  (5)
  • Ein Lückenregister zu sämtlichen Anforderungen der Kapitel 4 bis 10, Feststellung für Feststellung gegen die geprüften Nachweise
  • Bewertung der Anwendbarkeit von Anhang A und ein Entwurf der Erklärung zur Anwendbarkeit — das Dokument, nach dem die Zertifizierungsstelle zuerst fragt
  • Bewertung Ihrer Methodik zur KI-Risikobeurteilung und zur Folgenabschätzung von KI-Systemen
  • Eine Überschneidungsmatrix zu ISO/IEC 27001: welche Maßnahmen die 42001-Anforderungen bereits erfüllen
  • Ein Maßnahmenplan für 30 Tage, priorisiert nach dem, was die Zertifizierung tatsächlich blockiert
Dauer2 – 3 Wochen
Aufwand bei Ihnenca. 8 Stunden
Paket A anfragen
KI-VO & EN 18286 Paket C

KI-Verordnung & EN 18286

Bewertet durch ein Mitglied des DIN NK 42, des Gremiums hinter EN 18286.

Welche Pflichten die KI-Verordnung Ihnen auferlegt, für welche Systeme, bis wann — und wo Sie gegenüber EN 18286:2026 stehen.

Für wen & Umfang

Für: Anbieter und Betreiber, die KI-Systeme auf dem EU-Markt bereitstellen und ihre Pflichten nach der Verordnung (EU) 2024/1689 belastbar bestimmen müssen.

Stand der Normung EN 18286:2026 wurde im Juli 2026 von CEN-CENELEC angenommen und veröffentlicht. Eine Fundstellenveröffentlichung im Amtsblatt der EU liegt noch nicht vor; bis dahin entsteht keine Konformitätsvermutung nach Art. 40. Wir bewerten gegen den veröffentlichten Text, damit Sie vorbereitet sind, wenn die Fundstelle kommt.
Sie erhalten  (5)
  • Rollenbestimmung — Anbieter, Betreiber, Einführer, Händler oder Bevollmächtigter — und Risikoeinstufung je System nach Art. 5 und 6, einschließlich einer etwaigen Ausnahme nach Art. 6 Abs. 3
  • Zuordnung der Pflichten aus Art. 9 bis 15 für als hochriskant eingestufte Systeme
  • Prüfung der technischen Dokumentation nach Anhang IV gegen Art. 11
  • Abgrenzung und Prüfung der Grundrechte-Folgenabschätzung nach Art. 27
  • Lückenabgleich Ihres Qualitätsmanagementsystems gegen EN 18286:2026 und Art. 17

Zum Zeitplan: Der Digital Omnibus hat die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben. Das verlängert die Vorbereitungszeit; es hebt die Pflichten nicht auf.

Dauer3 – 4 Wochen
Aufwand bei Ihnenca. 14 Stunden
Paket C anfragen
Systemethik Paket B

IEEE SA CertifAId™ Ethical Value Impact Assessment

Durchgeführt durch eine akkreditierte IEEE SA CertifAId Lead Assessorin.

Eine formale Bewertung, keine Readiness-Vorbereitung. Anders als die Pakete A, C und D führt dieses Paket zu einem offiziellen IEEE SA CertifAId Assessor Evaluation Report.

Sie erhalten  (4)
  • Prüfung auf algorithmische Verzerrung und Diskriminierung, mit den angewandten statistischen Fairness-Maßen und deren Ergebnissen
  • Bewertung Ihrer Erklärbarkeitsmethodik gegen Zielgruppe und Einsatzkontext
  • Bewertung von Datenschutz und Data Governance
  • Offizieller IEEE SA CertifAId Assessor Evaluation Report — vorlagefähig gegenüber Kunden, Einkauf und Aufsicht
Dauer3 Wochen
Aufwand bei Ihnenca. 12 Stunden
Paket B anfragen
Vertraulichkeit

Wie mit Ihren Unterlagen umgegangen wird

Ihre KI-Richtlinien, Risikobeurteilungen und technischen Unterlagen gehören zu Ihrem sensibelsten Material. Der Umgang damit wird vor der Übergabe schriftlich vereinbart — nicht vorausgesetzt.

Sie bestimmen die Verarbeitung

Die Verarbeitungsmodalitäten werden bei der Auftragsklärung schriftlich festgelegt. Möglich ist eine Prüfung vollständig ohne KI-Unterstützung oder eine KI-gestützte Prüfung innerhalb Ihrer eigenen kontrollierten Umgebung. Nichts wird eingesetzt, dem Sie nicht zugestimmt haben.

Jede Feststellung wird persönlich geprüft

Unabhängig von der Methode gelangt keine Feststellung in Ihren Bericht ohne Prüfung am Quelldokument. Jede Feststellung trägt eine Fundstelle — Dokument, Abschnitt, Seite — damit Sie sie selbst nachvollziehen können.

Begrenzter Zugriff, festgelegte Aufbewahrung

Vertraulichkeitsvereinbarungen werden vor der Übergabe geschlossen. Der Zugriff ist auf die benannte Person beschränkt. Aufbewahrungsfristen und Löschung werden zu Beginn festgelegt; Ihre Unterlagen werden auf Wunsch gelöscht.

Betreiben Sie bereits eine kontrollierte KI-Umgebung, kann die Bewertung darin durchgeführt werden, sodass Ihr Material Ihren eigenen Bereich nicht verlässt. Soll gar keine KI-Unterstützung zum Einsatz kommen, ist auch das ein Standardweg — ohne Änderung von Umfang oder Preis.

Leistungsabgrenzung Die Pakete A, C und D sind Readiness-Leistungen. Sie bereiten Ihr Unternehmen auf ein Zertifizierungsaudit vor; sie sind nicht dieses Audit, und es wird kein Zertifikat erteilt. Eine Zertifizierung nach ISO/IEC 42001 erteilen ausschließlich akkreditierte Zertifizierungsstellen. Die Beauftragung einer unabhängigen Readiness-Beratung schränkt die Wahl der Zertifizierungsstelle nicht ein. Paket B ist eine formale Bewertung im Rahmen des IEEE SA CertifAId-Programms und wird unter Assessor-Akkreditierung durchgeführt.
Normungsarbeit

Ich arbeite an der Norm mit, gegen die ich Sie bewerte.

Als Mitglied des DIN-Normenausschusses NK 42 wirke ich an der deutschen Normungsarbeit zu Künstlicher Intelligenz mit, einschließlich der Arbeiten zu EN 18286 — der ersten europäischen Norm, die die KI-Verordnung unterstützt.

Für Sie bedeutet das: Die Bewertung erfolgt nicht auf Grundlage einer Sekundärinterpretation, sondern aus der Arbeit am Text selbst — einschließlich der Frage, was noch offen ist und wo sich Anforderungen noch bewegen können.

Verordnung (EU) 2024/1689

Die KI-Verordnung legt die rechtlichen Pflichten fest.

EN 18286:2026 · DIN EN ISO/IEC 42001

Normen übersetzen die Pflichten in prüfbare Anforderungen.

Naz van Norel · Readiness-Beratung

Qualifizierter Lead Auditor. Ich bereite Unternehmen auf das Zertifizierungsaudit vor — ich führe es nicht durch.

Naz van Norel

Naz van Norel

KI-Governance-Beratung · Qualifizierte Lead Auditorin

Mutter zweier erwachsener Kinder
Deutsche Staatsbürgerin · seit 27 Jahren in Deutschland
Ansässig im Raum München
Zur Person

Technische Präzision. Menschlicher Maßstab.

Meine Arbeit gründet nicht allein auf internationalen Normen und Software-Audits, sondern auf dem, was Technik im Leben von Menschen bewirkt. Als Mutter zweier erwachsener Kinder und als jemand, der vor 27 Jahren nach Deutschland kam und hier zuhause ist, weiß ich: Technologie entsteht nicht im luftleeren Raum. Sie verändert Gesellschaften, Chancen und die Spielräume kommender Generationen.

Mit 33 Jahren Ingenieurerfahrung bei Siemens, Abschlüssen in Elektrotechnik und Internationaler Politik (LMU München) sowie der Gründung der ersten von Frauen geführten KI-Akademie Deutschlands unterstütze ich Unternehmen dabei, KI-Systeme zu bauen, die nachweisbar sicher, belastbar und am Menschen orientiert sind.

Siemens-Erfahrung

Über 60 Audits zu Softwareprozessen und Technologie in Europa, den USA, Afrika und dem Nahen Osten.

Normungsgremium

Direkte Mitarbeit an den KI-Qualitätsnormen EN 18286 im DIN-Normenausschuss NK 42.

Warum mittelständische Unternehmen mit mir arbeiten

Eine Ansprechpartnerin

Sie sprechen mit der Person, die die Bewertung durchführt. Kein Juniorteam, keine wechselnden Ansprechpartner, keine Weitergabe an Unterauftragnehmer.

Technischer Hintergrund

Elektrotechnik-Ingenieurin mit über 60 Prozess- und Technologie-Audits. Ich verstehe, wie Ihre Systeme gebaut sind, nicht nur, wie die Norm gelesen wird.

Kalkulierbare Kosten

Festpreise mit definiertem Umfang. Keine Tagessätze, die sich während des Projekts vermehren, und keine Struktur, die auf Konzernbudgets ausgelegt ist.

Kostenloser Schnelltest

Welche Pflichten treffen Sie?

Vier Fragen. Sie erhalten eine erste Einordnung Ihrer Rolle nach der KI-Verordnung, der Risikoklasse Ihres Systems und der Frage, ob die Transparenzpflichten nach Artikel 50 bereits für Sie gelten.

Dieser Schnelltest liefert eine erste Orientierung auf Basis Ihrer Angaben. Er ersetzt keine Einstufung im Einzelfall und keine Rechtsberatung. Die verbindliche Bestimmung von Rolle und Risikoklasse erfordert eine Prüfung des konkreten Systems und seines Einsatzkontexts.

Kontakt

Erstgespräch vereinbaren

30 Minuten, unverbindlich. Wir klären, welche Pflichten Sie tatsächlich treffen und welches Paket dazu passt — oder ob im Moment gar keines nötig ist.

Beratungssprache: Deutsch oder Englisch.

Lieber direkt?  +49 160 8424441  ·  naz@aisafsec.com