Wer ein Hochrisiko-KI-System anbietet, kann sein Qualitätsmanagement jetzt an einer Norm ausrichten, deren Fundstelle im Amtsblatt der EU steht.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Ein Beschluss, drei Daten

Veröffentlicht wurde die Fundstelle über den Durchführungsbeschluss (EU) 2026/2274 der Kommission. Datiert ist der Beschluss laut dem Zertifizierungsunternehmen CSQA auf den 12. Oktober 2026. Im Amtsblatt erschienen ist er laut CSQA und dem Prüfunternehmen Nemko am 14. Oktober 2026, mit diesem Tag trat er in Kraft. CEN-CENELEC weist darauf hin, dass die Veröffentlichung auf den Weltnormentag fiel. Die Mitteilung der Kommission folgte am 19. Oktober.

Für Verweise in eigenen Unterlagen würden wir das Datum der Veröffentlichung im Amtsblatt nehmen, weil der Beschluss an diesem Tag in Kraft trat.

Die Vorgeschichte reicht laut Kommission ins Vorjahr. Am 30. Oktober 2025 ging der Entwurf prEN 18286 als erste harmonisierte KI-Norm in die öffentliche Umfrage. Ausgearbeitet haben die Norm die europäischen Normungsorganisationen CEN und CENELEC. Ihr englischer Titel lautet, sinngemäß übersetzt, Qualitätsmanagementsystem für regulatorische Zwecke der KI-Verordnung.

Konformitätsvermutung mit Einschränkung

Der rechtliche Hebel steht in Artikel 40 Absatz 1 der KI-Verordnung. Bei Übereinstimmung mit harmonisierten Normen, deren Fundstellen im Amtsblatt veröffentlicht sind, wird die Konformität mit den Anforderungen vermutet, soweit die Normen diese abdecken. Für EN 18286 heißt das nach Angaben der Kommission: Wer die Norm anwendet, profitiert von einer Konformitätsvermutung für die Anforderungen aus Artikel 17, soweit die Norm sie abdeckt. Welche Absätze von Artikel 17 das im Einzelnen sind, legt ein Anhang der Norm fest. Diesen Anhang haben wir nicht gelesen, zur genauen Abdeckung machen wir deshalb keine Angabe. CSQA betont, dass die Vermutung nicht automatisch belegt, dass das gesamte KI-System die KI-Verordnung erfüllt, und dass sie dem Anbieter die übrigen Pflichten nicht abnimmt. Nemko formuliert es ähnlich: Die Vermutung sei auf die von der Norm abgedeckten Anforderungen begrenzt und keine Pauschalfreigabe eines KI-Systems.

Die Anwendung der Norm bleibt laut Kommission freiwillig. Anbieter können die Einhaltung auch auf anderem Weg nachweisen.

Was eine solche Vermutung allgemein bedeutet und wo sie endet, beschreibt unser Beitrag Harmonisierte Normen: Was die Konformitätsvermutung praktisch heißt.

Gebaut um den Lebenszyklus des Systems

Nach Darstellung der Kommission übersetzt EN 18286 die Anforderungen der Verordnung in ein Qualitätsmanagementsystem, das sich im Betrieb tatsächlich führen lässt. Aufgebaut ist sie um den Lebenszyklus des KI-Systems herum und nicht um die Organisation. Die Norm soll auf vorhandene Systeme aufsetzen, genannt werden ISO/IEC 42001, ISO 9001 oder ein branchenspezifisches Qualitätsmanagement; ersetzen soll sie diese nicht. Organisationen ohne ISO/IEC 42001, die Hochrisiko-KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen wollen, können damit laut Kommission ein vorhandenes System erweitern oder ein neues aufbauen.

Laut Kommission ist EN 18286 die einzige Norm für KI-Qualitätsmanagement, die eine Konformitätsvermutung auslöst. Weitere harmonisierte Normen sollen folgen. Beauftragt hat die Kommission CEN und CENELEC mit Normen in zehn Bereichen.

Nemko ergänzt die Einordnung. Die Norm betreffe das Managementsystem des Anbieters, die technische Bewertung eines einzelnen Modells sei damit nicht gemeint. Ein bestehendes Managementsystem erfülle EN 18286 nicht automatisch, und nicht jede KI-Nutzung sei automatisch hochriskant.

Wen die Norm meint und welche Fristen gelten

Gemeint sind Anbieter von Hochrisiko-KI-Systemen. Nach Artikel 17 Absatz 1 der KI-Verordnung richten sie ein Qualitätsmanagementsystem ein, das systematisch und ordnungsgemäß in schriftlicher Form dokumentiert wird. Wer KI nur einsetzt, ist von der Norm nicht angesprochen. Ob ein Betrieb Anbieter ist, hängt von seiner Rolle ab; laut Nemko richten sich die Pflichten nach der Einstufung des Systems und nach der Rolle in der Wertschöpfungskette.

Auf die Größe des Anbieters stellt die KI-Verordnung in der Fassung nach dem Digital-Omnibus, Verordnung (EU) 2026/1744, an zwei Stellen ab. Artikel 17 Absatz 2 verlangt eine Umsetzung im angemessenen Verhältnis zur Größe des Anbieters, insbesondere bei KMU und Start-ups; kleine Midcap-Unternehmen nennt die Vorschrift ebenfalls. Nach Artikel 63 Absatz 1 können KMU ohne Partnerunternehmen oder verbundene Unternehmen bestimmte Elemente des Qualitätsmanagementsystems vereinfacht einhalten. Leitlinien dazu erarbeitet die Kommission, ein Termin ist nicht bekannt.

Die Hochrisiko-Anforderungen gelten nach dem Digital-Omnibus ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I.

Unsere Einschätzung

Aus unserer Sicht kommt zuerst die Rolle und dann die Norm. Für einen Betrieb, der KI-Werkzeuge einkauft und einsetzt, ist EN 18286 kein Pflichtprogramm. Brauchbar ist sie trotzdem, und zwar als Prüfstein beim Einkauf. Wer ein KI-System beschafft, das als Hochrisiko-System eingestuft sein könnte, kann den Anbieter fragen, ob dessen Qualitätsmanagement nach EN 18286 aufgebaut ist und wie er Artikel 17 andernfalls belegt. Eine schriftliche Antwort darauf sagt über einen Anbieter mehr als ein Prospekt.

Anders liegt der Fall bei Betrieben, die selbst ein KI-System als Produkt anbieten, etwa als Softwarehaus oder Maschinenbauer. Sie sollten aus unserer Sicht zuerst prüfen, ob das System unter die Hochrisiko-Liste fällt, und erst danach ein Qualitätsmanagement nach Norm aufsetzen. Für Systeme nach Anhang III bleibt dafür Zeit bis Dezember 2027. Wer bereits nach ISO 9001 arbeitet, hat laut Kommission einen Ausgangspunkt, auf dem die Norm aufsetzen kann. Dass dieses System EN 18286 schon erfüllt, folgt daraus nach Nemko nicht.

Wer die Rollenfrage überspringt, baut im ungünstigsten Fall ein Qualitätsmanagement für Pflichten, die ihn gar nicht treffen.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 21. Oktober 2026):

Häufige Fragen

Was ist EN 18286?

EN 18286:2026 ist eine von CEN und CENELEC erarbeitete Norm für das Qualitätsmanagementsystem von Anbietern von Hochrisiko-KI-Systemen nach Artikel 17 der KI-Verordnung. Laut Europäischer Kommission ist sie die erste harmonisierte Norm zur Umsetzung der KI-Verordnung. Ihre Fundstelle wurde über den Durchführungsbeschluss (EU) 2026/2274 im Amtsblatt der EU veröffentlicht, laut CSQA und Nemko am 14. Oktober 2026.

Was bedeutet die Konformitätsvermutung bei EN 18286?

Wer die Norm anwendet, profitiert laut Kommission von einer Konformitätsvermutung für die Anforderungen aus Artikel 17 der KI-Verordnung, soweit die Norm sie abdeckt. Rechtsgrundlage ist Artikel 40 Absatz 1. Laut CSQA belegt die Vermutung nicht automatisch, dass das gesamte KI-System die Verordnung erfüllt, und laut Nemko ist sie keine Pauschalfreigabe eines KI-Systems.

Ist die Anwendung von EN 18286 Pflicht?

Laut Kommission bleibt die Anwendung von Normen freiwillig. Anbieter können die Einhaltung auch auf anderem Weg nachweisen. Die Norm soll auf bestehende Systeme wie ISO/IEC 42001 oder ISO 9001 aufsetzen und diese nicht ersetzen.

Was sollte ein Betrieb jetzt klären?

Aus unserer Sicht zuerst die eigene Rolle: Die Norm richtet sich an Anbieter von Hochrisiko-KI-Systemen, wer KI nur einsetzt, ist damit nicht gemeint. Wer selbst ein KI-System als Produkt anbietet, sollte zuerst prüfen, ob es unter die Hochrisiko-Liste fällt. Nach dem Digital-Omnibus gelten die Hochrisiko-Anforderungen ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I.

Ist im Betrieb geklärt, ob er bei seinen KI-Systemen Anbieter oder Betreiber ist?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 21. Oktober 2026. Stand der Recherche: 21. Oktober 2026.