KI-Flash: Erste harmonisierte Norm zur KI-Verordnung veröffentlicht

Mit dem Durchführungsbeschluss (EU) 2026/2274 vom 12. Oktober 2026 hat die Europäische Kommission am 14. Oktober 2026 erstmals die Fundstelle einer harmonisierten Norm zur KI-VO im Amtsblatt der Europäischen Union veröffentlicht. Es handelt sich um die EN 18286:2026 „Artificial intelligence – Quality management system for EU AI Act regulatory purposes“. Erarbeitet hat sie das gemeinsame europäische Normungsgremium für KI (CEN-CENELEC JTC 21), veröffentlicht wurde sie Ende Juli 2026. Die Norm konkretisiert, wie Anbieter von Hochrisiko-KI-Systemen das nach Art. 17 KI-VO vorgeschriebene Qualitätsmanagementsystem ausgestalten können.

Warum die Zitierung im Amtsblatt entscheidend ist

Die KI-VO formuliert ihre Anforderungen an Hochrisiko-KI-Systeme bewusst technikoffen und abstrakt. Harmonisierte Normen übersetzen diese Vorgaben in konkrete, prüfbare Anforderungen. Ihr rechtlicher Mehrwert ergibt sich aus Art. 40 Abs. 1 KI-VO: Wer eine harmonisierte Norm einhält, deren Fundstelle im Amtsblatt veröffentlicht ist, für den wird die Konformität mit den Anforderungen der KI-VO vermutet, soweit die Norm sie abdeckt. Die bloße Veröffentlichung einer Norm durch CEN-CENELEC genügt dafür nicht, erst die Zitierung im Amtsblatt löst diese Wirkung aus. Die Vermutung ist widerlegbar, erleichtert aber den Nachweis gegenüber Marktüberwachungsbehörden und notifizierten Stellen erheblich.

Bemerkenswert ist, dass Art. 40 Abs. 1 KI-VO die Vermutungswirkung dem Wortlaut nach auf die Anforderungen in Kapitel III Abschnitt 2 bezieht, während Art. 17 KI-VO in Abschnitt 3 steht. Mit der Zitierung von EN 18286 hat die Kommission jedoch klargestellt, dass sie die Norm als Grundlage für die Erfüllung der Pflichten aus Art. 17 KI-VO versteht.

Was die Norm abdeckt und was nicht

Welche Vorschriften eine harmonisierte Norm abdeckt, ergibt sich aus ihrem Anhang ZA. Danach erfasst EN 18286 die Elemente des Qualitätsmanagementsystems nach Art. 17 Abs. 1 lit. a) bis m) KI-VO sowie den ersten Satz von Art. 11 Abs. 1 KI-VO zur technischen Dokumentation. Dazu gehören unter anderem ein Konzept zur Einhaltung der Regulierungsvorschriften einschließlich des Änderungsmanagements, Verfahren für Entwurf, Entwicklung, Test und Validierung, das Datenmanagement, die Einbindung des Risikomanagementsystems nach Art. 9 KI-VO, die Meldung schwerwiegender Vorfälle, die Dokumentation sowie ein Rahmen für Verantwortlichkeiten.

Nicht von der Vermutungswirkung erfasst sind dagegen die eigenständigen Pflichten zur Beobachtung nach dem Inverkehrbringen nach Art. 72 KI-VO. Im Normentwurf war eine entsprechende Zuordnung noch vorgesehen, in der finalen Fassung ist sie entfallen. Insoweit müssen Unternehmen die Einhaltung weiterhin unmittelbar an der Verordnung messen. Art. 17 Abs. 2 bis 4 KI-VO enthalten dagegen keine zusätzlichen Anforderungen an das Qualitätsmanagementsystem, sondern Erleichterungen und Sonderregeln, etwa zur Verhältnismäßigkeit, zur Einbindung in bestehende sektorale Systeme und für Finanzinstitute. Sie werden deshalb von Anhang ZA nicht erfasst, bleiben aber neben der Norm anwendbar.

Verhältnis zu ISO/IEC 42001 und bestehenden Managementsystemen

Viele Unternehmen orientieren sich bereits an ISO/IEC 42001, der internationalen und zertifizierbaren Norm für KI-Managementsysteme. Diese ist selbst keine harmonisierte Norm zur KI-VO und begründet keine Konformitätsvermutung. EN 18286 ersetzt sie nicht, sondern ergänzt sie um die spezifischen Anforderungen der KI-VO. Die Norm enthält Zuordnungstabellen zu ISO 9001 und ISO/IEC 42001. Diese zeigen, wo sich Strukturen entsprechen, belegen aber keine inhaltliche Gleichwertigkeit. Ein bestehendes Zertifikat nach ISO/IEC 42001 ist daher ein guter Ausgangspunkt, aber kein Nachweis für die Erfüllung von Art. 17 KI-VO.

Für regulierte Branchen ist das besonders relevant: Nach Art. 17 Abs. 3 KI-VO können Anbieter, die bereits sektorspezifischen Pflichten zu Qualitätsmanagementsystemen unterliegen, die Anforderungen aus Art. 17 Abs. 1 KI-VO in ihr bestehendes System einbeziehen. EN 18286 ist sektorübergreifend angelegt und so aufgebaut, dass sie sich in solche bestehenden Systeme einfügen lässt. Ein Medizinproduktehersteller mit einem Qualitätsmanagementsystem nach EN ISO 13485 muss also kein separates Parallelsystem für KI aufbauen, sondern kann sein bestehendes System gezielt erweitern.

Zeitliche Einordnung

Durch den Digital Omnibus (Verordnung (EU) 2026/1744) wurden die Pflichten für Hochrisiko-KI-Systeme nach Anhang III KI-VO auf den 2. Dezember 2027 und für KI in Produkten nach Anhang I KI-VO auf den 2. August 2028 verschoben. Zugleich wurde die Möglichkeit eines vereinfachten Qualitätsmanagementsystems nach Art. 63 KI-VO auf alle KMU einschließlich Start-ups erweitert. Die gewonnene Zeit ist allerdings knapp bemessen: Der Aufbau oder die Erweiterung eines Qualitätsmanagementsystems erfordert erfahrungsgemäß erheblichen Vorlauf. Weitere harmonisierte Normen, etwa zu Risikomanagement, Datenqualität, Protokollierung und Cybersicherheit, befinden sich noch in Arbeit.

Unser Praxishinweis

Anbieter von KI-Systemen, die als hochriskant einzustufen sind oder sein könnten, sollten EN 18286 künftig als Maßstab nutzen. Die durch den Digital Omnibus verschobenen Fristen (2. Dezember 2027 für Hochrisiko-KI-Systeme nach Anhang III KI-VO, 2. August 2028 für KI in Produkten nach Anhang I KI-VO) verschaffen zwar Luft, sollten aber nicht dazu verleiten, den Aufbau des Qualitätsmanagementsystems aufzuschieben. Wir empfehlen, zunächst die Einstufung der eigenen KI-Systeme zu überprüfen und anschließend das bestehende Qualitäts- oder Managementsystem (etwa nach ISO 9001, EN ISO 13485 oder ISO/IEC 42001) anhand von Anhang ZA der Norm einer Lückenanalyse zu unterziehen. Wo bereits ein sektorales Qualitätsmanagementsystem besteht, sollte die Einbindung nach Art. 17 Abs. 3 KI-VO einem Parallelsystem vorgezogen werden. Die von der Norm nicht abgedeckten Pflichten, insbesondere die Beobachtung nach dem Inverkehrbringen nach Art. 72 KI-VO, sollten gesondert adressiert werden. Betreiber von Hochrisiko-KI-Systemen sollten bei der Beschaffung von ihren Anbietern Nachweise zur Umsetzung von EN 18286 verlangen und dies in ihren Verträgen absichern.