EN 18286: Reicht ISO/IEC 42001 für die KI-Verordnung?

Stand: 20. Oktober 2026. Dieser Beitrag ist eine allgemeine Information mit Quellen und keine Rechtsberatung im Einzelfall.

Am 14. Oktober 2026 erschien im Amtsblatt der EU die Fundstelle der ersten harmonisierten Norm zur KI-Verordnung (EU AI Act): EN 18286:2026 für das Qualitätsmanagementsystem nach Art. 17. Wer bereits ein Managementsystem nach ISO/IEC 42001 betreibt, fragt sich jetzt, was es unter der KI-Verordnung wert ist. Dieser Beitrag ordnet die Norm ein, mit Belegen aus dem Rechtstext und den Angaben der Kommission.

Das Wichtigste in Kürze

• Die Norm: EN 18286:2026 übersetzt nach Angabe der Kommission die Anforderungen aus Art. 17 KI-Verordnung in ein betriebliches Qualitätsmanagementsystem (QMS) für Anbieter von Hochrisiko-KI-Systemen. Erarbeitet haben sie CEN und CENELEC.
• Seit wann: Die Fundstelle steht seit dem 14. Oktober 2026 im Amtsblatt (Durchführungsbeschluss (EU) 2026/2274). Ab diesem Tag gilt nach Angabe der Kommission eine Konformitätsvermutung für die Anforderungen aus Art. 17, soweit die Norm sie abdeckt.
• Freiwillig: Niemand muss EN 18286 anwenden. Verpflichtend ist für Anbieter von Hochrisiko-KI-Systemen das QMS selbst.
• ISO/IEC 42001: Ein Zertifikat nach ISO/IEC 42001 begründet keine Konformitätsvermutung nach der KI-Verordnung (Stand: 20. Oktober 2026). EN 18286 ist dafür gebaut, auf ein solches Managementsystem aufzusetzen.
• Was fehlt: Für die Anforderungen aus Art. 8 bis 15 hat keine harmonisierte Norm eine Fundstelle im Amtsblatt (Stand: 20. Oktober 2026). Das betrifft die technische Dokumentation und das Konformitätsbewertungsverfahren für biometrische Systeme.

Was EN 18286 ist

Der deutsche Titel im Amtsblatt lautet „Künstliche Intelligenz - Qualitätsmanagementsystem zu Regulierungszwecken im Rahmen der KI-Verordnung der EU“. Erarbeitet haben die Norm die europäischen Normungsorganisationen CEN und CENELEC in ihrem gemeinsamen Technischen Komitee JTC 21. Grundlage ist der Normungsauftrag der Kommission vom 23. Juni 2025 (Durchführungsbeschluss C(2025) 3871), Anhang I Nummer 9: Qualitätsmanagementsysteme für Anbieter von KI-Systemen, einschließlich Verfahren zur Beobachtung nach dem Inverkehrbringen.

Die Kommission beschreibt die Norm in ihrer Mitteilung vom 19. Oktober 2026 so: EN 18286 ist auf Art. 17 abgebildet und um den Lebenszyklus des KI-Systems herum aufgebaut, nicht um die Organisation. Sie soll bestehende Normen wie ISO/IEC 42001, ISO 9001 oder ein sektorales QMS wie ISO 13485 ergänzen statt ersetzen. Anbieter in regulierten Branchen können ihre Managementsysteme zusammenführen, statt getrennte Systeme zu betreiben. Die Kommission nennt EN 18286 die einzige Norm für KI-Qualitätsmanagementsysteme mit Konformitätsvermutung (Stand: 20. Oktober 2026).

Der Normtext ist nicht frei zugänglich, er wird über die nationalen Normungsorganisationen vertrieben. Dieser Beitrag stützt sich deshalb auf den Rechtstext und die Angaben der Kommission, nicht auf den Wortlaut der Norm.

Seit wann die Konformitätsvermutung gilt

Die Kommission hat den Durchführungsbeschluss (EU) 2026/2274 am 12. Oktober 2026 erlassen. Er wurde am 14. Oktober 2026 im Amtsblatt veröffentlicht und trat am selben Tag in Kraft. Sein Anhang führt EN 18286:2026 ohne Einschränkung auf. Nach Erwägungsgrund 6 begründet die Einhaltung einer harmonisierten Norm ab der Veröffentlichung ihrer Fundstelle eine Konformitätsvermutung. Öffentlich angekündigt hat die Kommission die Norm am 19. Oktober 2026.

Nach Angabe der Kommission gilt für Anbieter, die EN 18286 umsetzen, eine Vermutung der Konformität mit den Anforderungen aus Art. 17, soweit die Norm sie abdeckt. Das ist die Position der Kommission. Der Wortlaut von Art. 40 Abs. 1 nennt ausdrücklich die Anforderungen aus Kapitel III Abschnitt 2 und die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck. Art. 17 steht in Abschnitt 3. Erwägungsgrund 1 des Durchführungsbeschlusses gibt Art. 40 allgemeiner wieder, ohne Beschränkung auf Abschnitt 2. Zudem soll die Kommission nach Art. 40 Abs. 2 in der Fassung der Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744) Normungsprodukte in Auftrag geben, die die Konformitätsvermutung auch für Abschnitt 3 erleichtern. Wer sich auf die Vermutung für Art. 17 beruft, nennt sie deshalb am besten als Position der Kommission, mit dem Durchführungsbeschluss und der Mitteilung als Quelle.

Die Vermutung reicht nur so weit, wie die Norm eine Anforderung abdeckt. Sie ersetzt die Konformitätsbewertung nach Art. 43 nicht.

Ab wann Art. 17 gilt

Für Hochrisiko-KI-Systeme nach Anhang III gelten die Pflichten aus Kapitel III Abschnitte 1 bis 3, darunter Art. 17, ab dem 2. Dezember 2027. Für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 und Anhang I gelten sie ab dem 2. August 2028 (Art. 113 Buchst. c in der Fassung der Digital-Omnibus-Verordnung). Zwischen der Veröffentlichung der Norm und dem Stichtag für Anhang III liegen damit gut 13 Monate.

Freiwillige Norm, verpflichtendes QMS

Harmonisierte Normen sind freiwillig. Die Kommission schreibt auf ihrer Seite zur Normung, dass Anbieter auch einen anderen Rahmen wählen können, um die Einhaltung der KI-Verordnung nachzuweisen. Verpflichtend ist für Anbieter von Hochrisiko-KI-Systemen das QMS selbst: schriftlich dokumentiert in Regeln, Verfahren und Anweisungen und mit mindestens den Aspekten aus Art. 17 Abs. 1 Buchst. a bis m. Die Liste reicht vom Konzept zur Einhaltung der Regulierungsvorschriften über Datenmanagement, Risikomanagement und Beobachtung nach dem Inverkehrbringen bis zum Rechenschaftsrahmen für Leitung und Personal.

Ohne harmonisierte Norm fehlt die Vermutung. Der Anbieter muss dann auf anderem Weg zeigen, dass sein QMS Art. 17 erfüllt. Harmonisierte Normen spielen dabei an vier Stellen eine Rolle:

• Im QMS: Nach Art. 17 Abs. 1 Buchst. e nennt das QMS die anzuwendenden technischen Spezifikationen und Normen. Werden die einschlägigen harmonisierten Normen nicht vollständig angewandt oder decken sie nicht alle Anforderungen aus Abschnitt 2 ab, nennt es die Mittel, mit denen das System diese Anforderungen erfüllt.
• In der technischen Dokumentation: Anhang IV Nummer 7 verlangt eine Aufstellung der angewandten harmonisierten Normen, deren Fundstellen im Amtsblatt veröffentlicht wurden.
• In der EU-Konformitätserklärung: Sie verweist auf die verwendeten harmonisierten Normen (Anhang V Nummer 6).
• In der Konformitätsbewertung: Bei der internen Kontrolle prüft der Anbieter selbst, ob sein QMS Art. 17 entspricht (Anhang VI Nummer 2). Im Verfahren nach Anhang VII bewertet eine notifizierte Stelle das QMS.

ISO/IEC 42001, ISO 9001 und ISO 13485 unter der KI-Verordnung

ISO/IEC 42001 ist die internationale Norm für KI-Managementsysteme. Eine Norm begründet nach Art. 40 Abs. 1 aber nur dann eine Konformitätsvermutung, wenn sie eine harmonisierte Norm ist, deren Fundstelle nach der Verordnung (EU) Nr. 1025/2012 im Amtsblatt veröffentlicht wurde. Auf ISO/IEC 42001 trifft das nicht zu (Stand: 20. Oktober 2026). Ein Zertifikat nach ISO/IEC 42001 begründet deshalb keine Konformitätsvermutung nach der KI-Verordnung. Dasselbe gilt für ISO 9001 (Stand: 20. Oktober 2026).

Wertlos ist ein solches System damit nicht. Die Kommission beschreibt EN 18286 ausdrücklich als Norm, die auf ISO/IEC 42001, ISO 9001 oder ein sektorales QMS aufgesetzt wird. Wer ein solches Managementsystem betreibt, kann es um EN 18286 erweitern, statt ein zweites aufzubauen. Auch ohne ISO/IEC 42001 lässt sich nach Angabe der Kommission mit EN 18286 ein vorhandenes QMS ausbauen oder ein neues aufbauen, das Art. 17 erfüllt.

ISO 13485 und Medizinprodukte

Bei Medizinprodukten ist die Lage anders. EN ISO 13485:2016/A11:2021 ist als harmonisierte Norm zur Medizinprodukteverordnung (EU) 2017/745 im Amtsblatt veröffentlicht (Durchführungsbeschluss (EU) 2022/6). Diese Vermutung gilt unter der Medizinprodukteverordnung weiter. Unter der KI-Verordnung begründet die Norm keine Konformitätsvermutung (Stand: 20. Oktober 2026).

Art. 17 Abs. 3 erlaubt Anbietern, die nach sektoralem Unionsrecht ein QMS führen müssen, die Aspekte aus Art. 17 Abs. 1 in dieses System einzubeziehen. Fällt ein Hochrisiko-KI-System unter die Harmonisierungsrechtsvorschriften in Anhang I Abschnitt A, zu denen die Medizinprodukteverordnung gehört, wird das QMS nach Art. 17 im sektoralen Konformitätsbewertungsverfahren mitbewertet (Art. 43 Abs. 3). Laut Kommission ist EN 18286 auch als Ergänzung eines solchen sektoralen QMS gedacht.

Was noch fehlt (Stand: 20. Oktober 2026)

Die Kommission hat bei CEN und CENELEC Normen in zehn Bereichen in Auftrag gegeben: Risikomanagement, Governance und Qualität von Datensätzen, Aufzeichnung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit, Qualitätsmanagement und Konformitätsbewertung. Stand: 20. Oktober 2026 ist nur für das Qualitätsmanagement eine Fundstelle im Amtsblatt veröffentlicht, für die Anforderungen aus Kapitel III Abschnitt 2 (Art. 8 bis 15) dagegen keine. Die Kommission erwartet weitere Normen. Bis dahin hat die Lücke zwei praktische Folgen.

Technische Dokumentation: Lösungen im Detail beschreiben

Anhang IV Nummer 7 verlangt eine Aufstellung der angewandten harmonisierten Normen. Wurden keine solchen Normen angewandt, verlangt er eine detaillierte Beschreibung der Lösungen, mit denen die Anforderungen aus Kapitel III Abschnitt 2 erfüllt werden sollen, mit einer Aufstellung anderer angewandter Normen und technischer Spezifikationen. Solange für Abschnitt 2 keine Fundstelle veröffentlicht ist, gilt das für Risikomanagement, Daten, Aufzeichnung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. EN 18286 ändert daran nichts, denn sie deckt Art. 17 ab. Für einzelne Anforderungen sieht Art. 42 eigene Vermutungen vor, etwa für die Cybersicherheit.

Biometrische Systeme: der Weg über die notifizierte Stelle

Für Hochrisiko-KI-Systeme nach Anhang III Nummer 1 (Biometrie) knüpft Art. 43 Abs. 1 die Wahl des Verfahrens an harmonisierte Normen. Die interne Kontrolle nach Anhang VI steht nur offen, wenn der Anbieter für die Anforderungen aus Abschnitt 2 harmonisierte Normen oder gemeinsame Spezifikationen nach Art. 41 angewandt hat. Gibt es keine harmonisierten Normen und liegen keine gemeinsamen Spezifikationen vor, gilt das Verfahren nach Anhang VII mit einer notifizierten Stelle. EN 18286 deckt Art. 17 ab, nicht Abschnitt 2. Sie öffnet den Weg über Anhang VI deshalb nicht. Stand: 20. Oktober 2026 bleibt Anbietern biometrischer Systeme ohne angewandte gemeinsame Spezifikationen nur Anhang VII.

KMU, Start-ups und kleine Midcap-Unternehmen

Zwei Vorschriften in der Fassung der Digital-Omnibus-Verordnung betreffen kleinere Anbieter:

• Art. 17 Abs. 2: Die Umsetzung der QMS-Aspekte erfolgt in einem angemessenen Verhältnis zur Größe der Organisation des Anbieters, insbesondere bei KMU einschließlich Start-up-Unternehmen und bei kleinen Midcap-Unternehmen. Den Grad der Strenge und das Schutzniveau, die für die Konformität der Hochrisiko-KI-Systeme erforderlich sind, müssen aber alle Anbieter einhalten.
• Art. 63 Abs. 1: KMU einschließlich Start-up-Unternehmen ohne Partnerunternehmen oder verbundene Unternehmen im Sinne der Empfehlung 2003/361/EG können bestimmte Elemente des QMS in vereinfachter Weise einhalten. Welche Elemente das sind, soll die Kommission in Leitlinien festlegen. Von den übrigen Pflichten, etwa aus Art. 9 bis 15, 72 und 73, befreit das nicht (Art. 63 Abs. 2).

Ein kleines Midcap-Unternehmen ist ein kleines Unternehmen mit mittlerer Kapitalisierung im Sinne von Nummer 2 des Anhangs der Empfehlung (EU) 2025/1099. Die Vereinfachung nach Art. 63 Abs. 1 gilt für KMU, nicht für kleine Midcap-Unternehmen. Für beide bleibt EN 18286 eine Option, keine Pflicht.

Finanzinstitute

Für Anbieter, die Finanzinstitute sind und nach dem Unionsrecht über Finanzdienstleistungen Vorgaben zur internen Unternehmensführung unterliegen, gilt die QMS-Pflicht als erfüllt, wenn sie diese Vorgaben einhalten (Art. 17 Abs. 4). Dabei sind die harmonisierten Normen nach Art. 40 zu berücksichtigen. Seit dem 14. Oktober 2026 gehört EN 18286 dazu. Ausgenommen von dieser Erleichterung sind Art. 17 Abs. 1 Buchst. g, h und i: das Risikomanagementsystem, die Beobachtung nach dem Inverkehrbringen und die Meldung schwerwiegender Vorfälle. Diese Aspekte brauchen Finanzinstitute zusätzlich.

Den aktuellen Stand prüfen

Die Kommission erwartet weitere harmonisierte Normen. Den jeweils aktuellen Stand können Sie kostenlos mit dem EU AI Act MCP von Lexbeam prüfen: mcp.lexbeam.com. Der Server stellt KI-Agenten die KI-Verordnung über das Model Context Protocol bereit, ohne Schlüssel und ohne Konto. Er nennt die im Amtsblatt veröffentlichten harmonisierten Normen mit Fundstelle und dem Datum der letzten Prüfung. Wie dieser Beitrag gibt er allgemeine Hinweise und keine Rechtsberatung.

Häufige Fragen

Reicht ISO/IEC 42001 für die KI-Verordnung?

Nicht für eine Konformitätsvermutung. Stand: 20. Oktober 2026 ist ISO/IEC 42001 keine harmonisierte Norm zur KI-Verordnung. EN 18286 ist dafür gebaut, auf ein Managementsystem nach ISO/IEC 42001 aufzusetzen.

Seit wann gilt die Konformitätsvermutung von EN 18286?

Seit dem 14. Oktober 2026, dem Tag der Veröffentlichung der Fundstelle im Amtsblatt (Durchführungsbeschluss (EU) 2026/2274). Nach Angabe der Kommission gilt sie für die Anforderungen aus Art. 17, soweit die Norm sie abdeckt.

Ist EN 18286 Pflicht?

Nein. Harmonisierte Normen sind freiwillig. Anbieter von Hochrisiko-KI-Systemen brauchen aber ein QMS nach Art. 17. Ohne harmonisierte Norm zeigen sie auf anderem Weg, dass es die Anforderungen erfüllt.

Welche harmonisierten Normen fehlen noch?

Stand: 20. Oktober 2026 hat keine harmonisierte Norm für die Anforderungen aus Art. 8 bis 15 eine Fundstelle im Amtsblatt. Die Kommission erwartet weitere Normen.

Quellen

• Durchführungsbeschluss (EU) 2026/2274 der Kommission vom 12. Oktober 2026, ABl. L vom 14.10.2026
• Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27.07.2026. Die konsolidierte Fassung ist eine Dokumentationshilfe. Rechtsverbindlich sind die im Amtsblatt veröffentlichten Rechtsakte.
• Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI)
• Europäische Kommission: Erste harmonisierte Norm zur Unterstützung der KI-Verordnung im Amtsblatt veröffentlicht (19. Oktober 2026)
• Europäische Kommission: Normung zur KI-Verordnung
• Durchführungsbeschluss (EU) 2022/6 der Kommission zu harmonisierten Normen für Medizinprodukte, darunter EN ISO 13485:2016/A11:2021