Illustration zu EU AI Act, Qualitätsmanagement und EN 18286 mit Checkliste, KI-Netzwerk und Prüfsymbol

EU AI Act: Erste harmonisierte Norm EN 18286 veröffentlicht. Was Unternehmen prüfen sollten

VonNiklas Entenmann

Was bedeutet die erste harmonisierte Norm zum EU AI Act für Unternehmen? Die Europäische Union hat die EN 18286:2026 offiziell referenziert. Sie bietet Anbietern von Hochrisiko-KI-Systemen einen strukturierten Weg, ihre Qualitätsmanagementpflichten nach Artikel 17 des EU AI Act nachzuweisen. Das ist ein wichtiger Fortschritt für die Umsetzung. Eine neue Zertifizierungspflicht für jeden ChatGPT-Nutzer entsteht dadurch nicht.

Der Durchführungsbeschluss (EU) 2026/2274 wurde am 14. Oktober 2026 im Amtsblatt veröffentlicht. Am 19. Oktober 2026 hat die Europäische Kommission die Bedeutung erläutert. Entscheidend ist jetzt die Frage, für wen die Norm gilt, welchen Nutzen die sogenannte Konformitätsvermutung hat und welche Anforderungen Unternehmen trotzdem selbst prüfen müssen.

Was wurde mit EN 18286:2026 veröffentlicht?

EN 18286:2026 trägt den Titel „Artificial intelligence – Quality management system for EU AI Act regulatory purposes“. Die von CEN und CENELEC erarbeitete Norm beschreibt einen Rahmen für Qualitätsmanagementsysteme von Anbietern, die dem europäischen KI-Recht unterliegen. Der Beschluss listet diese Norm als erste harmonisierte Norm im Kontext des EU AI Act.

Der konkrete Bezugspunkt ist Artikel 17 des EU AI Act. Er verpflichtet Anbieter von Hochrisiko-KI-Systemen, ein dokumentiertes Qualitätsmanagementsystem einzurichten und aufrechtzuerhalten. Darin müssen unter anderem Entwicklungs- und Prüfprozesse, Datenverwaltung, Verantwortlichkeiten, Risikomanagement und die Überwachung nach dem Inverkehrbringen geregelt sein.

Konformitätsvermutung: Der Vorteil und seine Grenze

Mit Veröffentlichung der Fundstelle im Amtsblatt wird die sogenannte Konformitätsvermutung relevant. Die Kommission erklärt, dass Anbieter bei korrekter Anwendung von EN 18286 von einer Vermutung der Einhaltung derjenigen Qualitätsmanagementanforderungen nach Artikel 17 profitieren, die die Norm abdeckt. Grundlage für harmonisierte Normen ist Artikel 40 des EU AI Act.

Für Unternehmen kann das die Konformitätsnachweise klarer und planbarer machen. Die Norm liefert einen anerkannten Bezugspunkt, an dem sich Prozesse und dokumentierte Kontrollen ausrichten lassen. Es genügt allerdings nicht, einen Normtitel in einer internen Richtlinie zu erwähnen: Entscheidend ist, ob die relevanten Anforderungen im tatsächlichen Betrieb umgesetzt und belegt werden.

Die Konformitätsvermutung ist keine pauschale Freigabe eines KI-Systems. Anforderungen etwa an Datenqualität, Transparenz, menschliche Aufsicht, technische Dokumentation, Robustheit und Cybersicherheit sind gegebenenfalls weiterhin eigenständig zu erfüllen. Ebenso ersetzt die Norm nicht automatisch ein vorgeschriebenes Konformitätsbewertungsverfahren. Die Anwendung harmonisierter Normen ist grundsätzlich freiwillig; die gesetzlichen Pflichten können auch auf anderen geeigneten Wegen erfüllt und nachgewiesen werden.

Welche Unternehmen müssen sich damit beschäftigen?

Die unmittelbare Zielgruppe sind Anbieter von Hochrisiko-KI-Systemen. Ob ein System tatsächlich in diese Klasse fällt, ergibt sich aus Artikel 6 und den zugehörigen Anhängen. Ein mögliches Beispiel ist eine KI-Anwendung, die Bewerber für Personalentscheidungen bewertet und entsprechend den gesetzlichen Kriterien als Hochrisiko eingestuft wird. Die Einstufung hängt vom vorgesehenen Zweck und gegebenenfalls von Ausnahmen ab, nicht allein vom Einsatz eines Sprachmodells.

Ein mittelständisches Unternehmen, das eine Standard-KI ausschließlich für interne Textentwürfe oder zur Wissensrecherche verwendet, wird durch diese Nutzung nicht automatisch zum Anbieter eines Hochrisiko-KI-Systems. Es kann jedoch andere Pflichten aus dem EU AI Act geben. Zudem ist zu prüfen, ob ein zunächst reiner Betreiber durch wesentliche Änderungen am System oder am Verwendungszweck rechtlich in die Rolle eines Anbieters gelangt.

Für die Praxis empfiehlt sich daher zuerst ein übersichtliches KI-Inventar: Welche Systeme werden eingesetzt, welchem Zweck dienen sie, wer stellt sie bereit und wer trägt die Verantwortung? Erst danach lässt sich seriös entscheiden, ob EN 18286 relevant ist. Ein allgemeiner Unternehmensworkshop zur sicheren KI-Nutzung und ein Qualitätsmanagementsystem für Anbieter von Hochrisiko-KI sind unterschiedliche Aufgaben.

Was verlangt Artikel 17 beim Qualitätsmanagement?

Artikel 17 beschreibt ein System aus schriftlichen Verfahren, Kontrollen und Zuständigkeiten. Die Anforderungen reichen von der Entwicklungsplanung über Test- und Validierungsschritte bis zur laufenden Beobachtung nach dem Inverkehrbringen. Unternehmen müssen außerdem den Umgang mit Änderungen, schwerwiegenden Vorfällen und relevanter Dokumentation organisieren.

  • Verantwortlichkeiten: Wer genehmigt einen Einsatz, eine Modelländerung oder einen neuen Datenbestand?
  • Entwicklung und Validierung: Welche Tests und Qualitätskriterien gelten vor und nach einer Änderung?
  • Daten und Risiken: Wie werden Datenherkunft, bekannte Grenzen und Risiken beurteilt?
  • Überwachung: Wie erkennt, analysiert und korrigiert das Unternehmen Fehler im Betrieb?
  • Nachweise: Wo werden Prüfungen, Entscheidungen und technische Informationen nachvollziehbar dokumentiert?

Die Umsetzung muss zur Unternehmensgröße passen. Artikel 17 berücksichtigt ausdrücklich KMU, Start-ups und kleine Midcap-Unternehmen. Verhältnismäßigkeit erlaubt schlanke Prozesse, senkt aber nicht das erforderliche Schutz- und Konformitätsniveau. Wer bereits ein geeignetes Qualitätsmanagement hat, sollte deshalb zunächst vorhandene Regelungen zuordnen, bevor neue Parallelstrukturen entstehen.

Wie verhält sich EN 18286 zu ISO/IEC 42001?

ISO/IEC 42001 befasst sich allgemein mit Managementsystemen für künstliche Intelligenz. EN 18286 setzt einen speziellen Schwerpunkt auf das Qualitätsmanagement für regulatorische Zwecke unter dem EU AI Act. Vorhandene Strukturen, beispielsweise aus ISO 9001 oder ISO/IEC 42001, können bei der Umsetzung hilfreich sein. Sie sind aber nicht automatisch ein vollständiger Nachweis der Anforderungen nach Artikel 17.

Wirtschaftlich sinnvoll ist eine dokumentierte Gegenüberstellung: Welche vorhandenen Prozesse erfüllen welche Anforderungen? Wo fehlen Verantwortlichkeiten, Prüfschritte oder Nachweise? Erst aus einer solchen Lückenprüfung folgt, ob eine Erweiterung vorhandener Prozesse ausreicht. Die Veröffentlichung von EN 18286 macht eine zusätzliche ISO-Zertifizierung nicht pauschal zur Pflicht.

Welche Fristen gelten nach dem Digital Omnibus?

Die Referenz der Norm wurde im Oktober 2026 veröffentlicht. Das bedeutet nicht, dass sämtliche Anforderungen für Hochrisiko-KI sofort für alle Unternehmen gelten. Nach dem aktuell konsolidierten Artikel 113 des EU AI Act sind für die einschlägigen Hochrisiko-Vorschriften folgende Termine maßgeblich:

  • 2. Dezember 2027: einschlägige Hochrisiko-Anforderungen für Systeme nach Anhang III.
  • 2. August 2028: einschlägige Hochrisiko-Anforderungen für Systeme nach Anhang I, die unter regulierte Produkte fallen.

Andere Vorschriften gelten bereits. Für bestimmte bestehende Systeme und Konstellationen können zudem besondere Übergangsbestimmungen maßgeblich sein. Auch die EU-Kommission erläutert den aktualisierten Umsetzungszeitplan. Anbieter sollten frühzeitig planen, aber keine Frist aus einer Schlagzeile auf sämtliche KI-Anwendungen übertragen.

Fünf konkrete Schritte für Unternehmen

  1. KI-Anwendungen erfassen: Zweck, Anbieter, verantwortliche Stelle und Nutzung im Unternehmen dokumentieren.
  2. Rolle und Risikoklasse bewerten: Anbieter- und Betreiberrolle sowie mögliche Hochrisiko-Einstufung für jeden relevanten Einsatzfall prüfen.
  3. Bestehende Abläufe vergleichen: Entwicklung, Freigabe, Test, Dokumentation und Überwachung an den einschlägigen Pflichten messen.
  4. EN 18286 gezielt prüfen: Für betroffene Anbieter die tatsächlichen Normanforderungen anhand des Normtextes mit bestehenden Managementprozessen abgleichen.
  5. Maßnahmen priorisieren: Fehlende Kontrollen, Zuständigkeiten und Nachweise mit Verantwortlichen und realistischen Terminen versehen.

Bei der ersten Bestandsaufnahme können die Angebote zur KI-Beratung in Nordrhein-Westfalen, zur KI-Schulung für Unternehmen und zur KI-Automatisierung eine Orientierung bieten. Die allgemeinen Anforderungen an Kompetenzen und sichere Nutzung werden außerdem in unserem Beitrag zur KI-Kompetenz nach Artikel 4 erklärt. Diese Themen sind von den besonderen Anbieterpflichten für Hochrisiko-KI zu unterscheiden.

Fazit: Ein wichtiger Standard, aber kein allgemeines KI-Zertifikat

Mit EN 18286:2026 liegt die erste offiziell referenzierte harmonisierte Norm zum EU AI Act vor. Für betroffene Anbieter von Hochrisiko-KI wird die Nachweisführung beim Qualitätsmanagement klarer. Der wichtigste Nutzen liegt in einer anerkannten Struktur und der begrenzten Konformitätsvermutung für die abgedeckten Anforderungen.

Für Unternehmen ist jetzt keine pauschale Normeneinführung sinnvoll. Zuerst sollten Rolle, Einsatzfall und Risikoklasse feststehen. Danach lässt sich feststellen, ob EN 18286 einen konkreten Nutzen bietet und welche organisatorischen und technischen Pflichten weiterhin offen sind.

Amtliche Quellen und Rechtsstand

Recherche- und Rechtsstand: 19. Oktober 2026. Die Veröffentlichung der Fundstelle ersetzt nicht die inhaltliche Prüfung des vollständigen Normtextes. Dieser Artikel bietet eine allgemeine Einordnung und keine rechtliche Bewertung eines individuellen KI-Systems.

KI-generiertes Symbolbild. Keine Aufnahme eines realen Ereignisses.

Autor: Niklas Entenmann

Ähnliche Beiträge