Zum ersten Mal enthält das KI-Gesetz eine harmonisierte Norm. Wer diese umsetzt, genießt gemäß Artikel 17 die Vermutung der Konformität. Wer sie umsetzt, dies aber nicht nachweisen kann, geht leer aus.
Am 19. Oktober 2026 gab die Europäische Kommission die Veröffentlichung der Fundstelle der Norm EN 18286:2026, „Künstliche Intelligenz. „Qualitätsmanagementsystem für die Zwecke des EU-KI-Gesetzes“, die von CEN und CENELEC ausgearbeitet wurde. Es handelt sich um die erste harmonisierte Norm zur Unterstützung der Verordnung (EU) 2024/1689, und die Kommission kündigt bereits an, dass weitere folgen werden.
Es werden weder Termine geändert noch neue Verpflichtungen hinzugefügt. Was sich ändert, ist die Art und Weise, wie eine der zentralen Verpflichtungen bei Hochrisikosystemen nachgewiesen wird: das Qualitätsmanagementsystem.
Was genau wurde veröffentlicht?
Durchführungsbeschluss (EU) 2026/2274
Der Kommission vom 12. Oktober 2026 über harmonisierte Vorschriften für KI-Systeme mit hohem Risiko, die zur Unterstützung des AI Act ausgearbeitet wurden.
EN 18286:2026
Qualitätsmanagementsystem für regulatorische Zwecke im Rahmen des AI Act. Erstellt von CEN und CENELEC auf Ersuchen der Kommission.
Konformitätsvermutung
Mit den Anforderungen gemäß Artikel 17, die die Vorschrift abdeckt. Gilt nur für Anbieter von KI-Systemen mit hohem Risiko. Hat keine Auswirkungen auf Modelle für den allgemeinen Gebrauch.
Was ist eine harmonisierte Norm und was begründet die Konformitätsvermutung?
Der AI Act legt Anforderungen fest, sagt aber nicht, wie diese zu erfüllen sind. Das ist die Aufgabe der harmonisierten Normen: Die Kommission beauftragt die europäischen Normungsgremien mit der Ausarbeitung einer technischen Norm, veröffentlicht deren Fundstelle im Amtsblatt, und ab diesem Zeitpunkt gilt gemäß Artikel 40 der Verordnung die Vermutung, dass derjenige, der die Norm einhält, auch die gesetzlichen Anforderungen erfüllt, die diese Norm abdeckt.
| Aussehen | Keine harmonisierte Norm | Gemäß EN 18286 |
|---|---|---|
| Dolmetschen | Der Lieferant legt Artikel 17 nach eigenem Ermessen aus und verteidigt seine Auslegung gegenüber der Behörde oder der benannten Stelle. | Der Anbieter setzt die Norm um, und die Beweislast dafür, dass das Managementsystem nicht den Anforderungen entspricht, liegt bei demjenigen, der dies bestreitet. |
| Prüfung | Jede Bewertung beginnt bei Null: Was hätte sein sollen, was ist. | Es wird Satz für Satz mit einem Referenztext verglichen. |
| Systeme | Das KI-SGC existiert neben dem Qualitäts-, dem Branchen- und dem Sicherheits-SGC als eigenständiges System. | Die Norm soll die bereits bestehenden Normen ergänzen und in diese integrieren. |
Die Vermutung gilt weder automatisch noch uneingeschränkt. Sie erfüllt die in Artikel 17 der Vorschrift festgelegten Anforderungen, jedoch nur, wenn die Umsetzung tatsächlich erfolgt und nachweisbar ist. Genau hier liegt das Problem für die meisten Organisationen.
Was das Qualitätsmanagementsystem enthalten muss
Artikel 17 verlangt von Anbietern von Hochrisikosystemen ein Managementsystem, das systematisch und übersichtlich in schriftlichen Richtlinien, Verfahren und Anweisungen dokumentiert ist. Es muss unter anderem folgende Aspekte abdecken:
| Geltungsbereich | Was sieht Artikel 17 vor? | Was ein Wirtschaftsprüfer fragt |
|---|---|---|
| Einhaltung | Eine Strategie zur Einhaltung gesetzlicher Vorschriften, einschließlich Verfahren zur Konformitätsbewertung und zum Änderungsmanagement. | Welche Fassung der Richtlinie ist derzeit gültig und wer hat sie verabschiedet? |
| Design und Entwicklung | Techniken, Verfahren und systematische Maßnahmen zur Konzeption, Steuerung und Überprüfung des Systems. | Was hat sich zwischen der getesteten Version und der produktiven Version geändert? |
| Daten | Systeme und Verfahren zur Datenverwaltung: Erfassung, Kennzeichnung, Speicherung, Aufbewahrung. | Mit welchen genauen Daten wurde das Modell trainiert, das heute im Einsatz ist? |
| Risiken | Das Risikomanagementsystem gemäß Artikel 9. | Wann fand die letzte Überprüfung statt und welche Entscheidungen wurden dabei getroffen? |
| Nachvermarktung | Das System zur Überwachung nach dem Inverkehrbringen gemäß § 72 und die Meldung schwerwiegender Zwischenfälle gemäß § 73. | Wann wurde der Vorfall festgestellt, wer hat ihn geprüft und wann wurde er gemeldet? |
| Aufzeichnungen | Dokumenten- und Informationsmanagement sowie Aufbewahrung von Unterlagen. | Können Sie nachweisen, dass dieser Eintrag seitdem nicht geändert wurde? |
| Haftung | Ein Rahmen für die Rechenschaftspflicht, der die Verantwortlichkeiten der Geschäftsleitung und der übrigen Mitarbeiter festlegt. | Wer war am Tag des Vorfalls für dieses System verantwortlich? |
EN 18286 setzt diese Liste in ein Betriebssystem um. Und nach Angaben der Kommission selbst orientiert sie sich dabei am Lebenszyklus des KI-Systems und nicht an der Organisation – so wie es bei klassischen Managementstandards der Fall ist.
Es ersetzt Ihr ISO nicht. Es stützt sich darauf.
Die Kommission beschreibt sie als die einzige Norm für ein Qualitätsmanagementsystem im Bereich der künstlichen Intelligenz mit Konformitätsvermutung, die darauf ausgelegt ist, ISO/IEC 42001, ISO 9001 oder ein branchenspezifisches Qualitätsmanagementsystem wie ISO 13485 zu ergänzen, nicht jedoch zu ersetzen.
Für eine nach ISO/IEC 42001 zertifizierte Organisation ist die Norm EN 18286 die Schnittstelle, die ihr KI-Managementsystem mit den gesetzlichen Anforderungen verbindet. Für eine Organisation, die nach ISO 9001 zertifiziert ist, aber nicht nach 42001, ist dies der Weg, ihr bestehendes Managementsystem so zu erweitern, dass es auch Artikel 17 abdeckt. Und für regulierte Branchen ermöglicht die Norm ausdrücklich die Integration der Managementsysteme, anstatt mehrere parallel zu betreiben.
Die praktische Konsequenz für CIO, CDO und die Rechtsabteilung ist, dass die im Rahmen der ISO geleistete Arbeit nicht verloren geht. Es muss lediglich nachweisbar sein: Welche Fassung der einzelnen Verfahren ist aktuell, wer hat sie genehmigt, welche Aufzeichnungen liegen vor und dass diese seitdem nicht mehr geändert wurden.
Eine Vermutung ist nur so viel wert wie die Beweislage.
Ein Managementsystem lebt von Dokumenten: Richtlinien, Verfahren, Überprüfungsprotokolle, interne Auditberichte, Aufzeichnungen über Vorfälle. All diese Dokumente ändern sich im Laufe der Zeit, und alle werden von Personen unterzeichnet. Wenn die benannte Stelle oder die Aufsichtsbehörde kommt, geht es nicht darum, ob das Managementsystem existiert. Es geht darum, ob das, was vorgelegt wird, dem entspricht, was zu dem maßgeblichen Zeitpunkt in Kraft war.
Ein Dokumentenverwaltungssystem kann diese Frage nur beantworten, wenn niemand mit entsprechenden Berechtigungen den Verlauf überschreiben konnte. Ein freigegebener Ordner liefert keine Antwort darauf. Und eine Erklärung des Verantwortlichen ist wiederum nur eine Erklärung.
Ein SGC gemäß Artikel 17, das von einem Dritten überprüft werden kann
Deckung nach Bedarf
- Jede Anforderung gemäß Artikel 17 und jede Klausel der Norm EN 18286 oder ISO/IEC 42001 zusammen mit dem entsprechenden Dokument, der jeweils gültigen Fassung und den noch offenen Feststellungen.
- Ohne KI bei der Berechnung: Das ist der Datensatz.
Mit dem Archiv verbundene Unternehmen
- Niemand unterschreibt eine andere Version als die, die vor ihm liegt: Der Fingerabdruck wird im Browser des Unterzeichners berechnet.
- Lesebestätigungen, Genehmigungen und Änderungen werden mit einem verbindlichen Datum versehen.
Versiegelte Verpackung zur Begutachtung
- V-Seal™ speichert jede Überprüfung und die gesamte Dokumentation in einer unveränderlichen Blockchain.
- Die benannte Stelle überprüft dies auf dem öffentlichen Portal, ohne dass ein Konto erforderlich ist.
Das Ergebnis ist ein SGC, dessen Geschichte nicht vom Wort eines Einzelnen abhängt: Was galt, wer hat es wann genehmigt – all das kann von jedem überprüft werden.
Die Entscheidung über die Konformität obliegt der benannten Stelle oder der Behörde. V-PROOF gewährleistet, dass bei Inanspruchnahme der Konformitätsvermutung gemäß Artikel 40 die Umsetzung der Norm durch einen Nachweis und nicht durch eine bloße Behauptung untermauert wird.
Die Frist läuft weiterhin bis zum 2. Dezember 2027. Was bereits zur Verfügung steht, ist der Maßstab.
Sie müssen uns nicht einfach glauben. Jede mit V-Seal™ versiegelte Urkunde lässt sich auf dem öffentlichen Portal ohne Registrierung und innerhalb von Sekunden überprüfen.
Durchführungsbeschluss (EU) 2026/2274 der Kommission vom 12. Oktober 2026. Siehe EUR-Lex
Europäische Kommission . Standardisierung des KI-Gesetzes. Siehe Seite
Verordnung (EU) 2024/1689, Artikel 17 und 40. Siehe Text
