Erste harmonisierte Norm zur KI-VO veröffentlicht: rechtlicher De-facto-Standard für das KI-spezifische Qualitätsmanagement

Durch Veröffentlichung der Fundstelle der europäischen Norm EN 18286:2026 hat die Europäische Kommission die erste harmonisierte Norm im Sinne der KI-Verordnung geschaffen. Sie konkretisiert – deutlich detaillierter als die KI-VO – wie Anbieter von Hochrisiko-KI-Systemen (oder KI-Modellen) ein Qualitätsmanagementsystem nach Art. 17 KI-VO ausgestalten können. Die Anwendung der Norm ist rechtlich nicht verpflichtend. Wenn sie eingehalten wird, spricht aber eine Konformitätsvermutung für die Anbieter, was die Norm auch rechtlich zum De-facto-Standard für das QMS von Hochrisiko-KI-Systemen macht.

Rückblick: Wie ist der Standard entstanden?

Nach dreijähriger Arbeit haben die europäischen Normungsorganisationen, nämlich das Europäische Komitee für Normung (CEN) und das Europäische Komitee für elektrotechnische Normung (Cenelec), die europäische Norm EN 18286:2026 „Künstliche Intelligenz – Qualitätsmanagementsystem zu Regulierungszwecken im Rahmen der KI-Verordnung der EU“ im Auftrag der Europäischen Kommission erarbeitet und im Juli 2026 angenommen. Die Europäische Kommission hat die Norm danach geprüft und ist zum Ergebnis gekommen, dass die Norm die Anforderungen der KI-VO an Qualitätsmanagementsysteme abbildet. Mit dem Durchführungsbeschluss (EU) 2026/2274 vom 12.10.2026 hat sie nun die Fundstelle zur Norm veröffentlicht. Dies hat nach Art. 40 KI-VO zur Folge, dass die europäische Norm EN 18286:2026 damit die erste sogenannte harmonisierte Norm im Sinne der KI-VO ist.

Was ist der Inhalt der Norm?

Die Norm konkretisiert – deutlich detaillierter als die KI-VO – wie Anbieter von Hochrisiko-KI-Systemen (oder KI-Modellen) ein Qualitätsmanagementsystem nach Art. 17 KI-VO ausgestalten können. Sie enthält Maßgaben, wie Konzeption, Entwicklung, Verifizierung und Validierung, Betrieb und Änderungen bis hin zur Ausmusterung eines KI-Systems über den gesamten Lebenszyklus hinweg rechtskonform und nachvollziehbar ausgestaltet werden können. Das umfasst auch unterstützende Prozesse wie das Datenmanagement und die Kennzeichnung. Die Norm regelt damit, wie ein Anbieter die Einhaltung der KI-VO organisiert, nicht aber, welche Eigenschaften das KI-System aufweisen muss.   

Die KI-VO sieht auch die Entwicklung harmonisierter Normen für andere Anforderungen der KI-VO vor, nämlich zur Ausgestaltung des Risikomanagements, der Daten-Governance, Transparenz, menschlichen Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Diese harmonisierten Normen stehen aber noch aus.

Verhältnis zu anderen Qualitätsmanagementsystem-Normen und bestehenden Systemen

Viele Unternehmen arbeiten bereits mit etablierten Managementsystemen, etwa nach ISO 9001 oder ISO/IEC 42001. Die EN 18286:2026 ersetzt diese Normen nicht, sondern ergänzt sie speziell für die Anforderungen der KI-VO. Ein gesondertes Qualitätsmanagementsystem für die KI-VO ist nicht erforderlich.  Die Anhänge der EN 18286:2026 ordnen die Inhalte der Norm den entsprechenden Anforderungen der ISO 9001 und ISO/IEC 42001 zu und dienen damit als praktische Arbeitshilfe für bestehende Managementsysteme.

Warum sich die Anwendung lohnt?

Die Anwendung der EN 18286 ist rechtlich nicht verpflichtend, sondern freiwillig. Für Anbieter von Hochrisiko-KI-Systemen und von KI-Modellen mit allgemeinem Verwendungszweck sprechen dennoch zwei gewichtige Gründe für die Anwendung:  Sie bietet einen strukturierten Orientierungsrahmen für die Ausgestaltung des Qualitätsmanagementsystems und begründet die Konformitätsvermutung.

• Orientierungsrahmen. Art. 17 KI-VO nennt 13 Mindestinhalte eines Qualitätsmanagementsystems, regelt aber kaum, wie sie umzusetzen sind. Anbieter standen deshalb bislang vor der Frage, wie ein System aussehen muss, das der KI-VO gerecht wird. Die EN 18286:2026 beantwortet diese Frage. Sie übersetzt die abstrakten Vorgaben in eine geordnete Struktur aus Prozessen, Rollen und Dokumentationsanforderungen, an der sich der Lebenszyklus des Systems ausrichten lässt. Anbieter müssen ihr Qualitätsmanagement also nicht selbst konzipieren. Das spart Zeit und Geld. Zugleich entsteht ein gemeinsamer Maßstab für Prüfstellen, Kunden und Geschäftspartner. Anbieter, die die Einhaltung der Norm belegen können, verschaffen sich damit auch einen Vorteil, etwa bei Ausschreibungen oder Vertragsverhandlungen.
• Konformitätsvermutung. Wer die Norm anwendet, profitiert zudem in rechtlicher Hinsicht: Entspricht das Qualitätsmanagementsystem eines Anbieters der EN 18286:2026, wird vermutet, dass es die Anforderungen des Art. 17 KI-VO erfüllt (sog. Konformitätsvermutung). Ein Dritter müsste erst widerlegen, dass Art. 17 KI-VO nicht erfüllt ist. Das erhöht die Rechtssicherheit für KI-Anbieter erheblich.

Besonders deutlich zeigt sich der Nutzen bei Unternehmen, die bereits ein Qualitätsmanagementsystem betreiben. Eine Zertifizierung nach ISO 9001, ISO/IEC 42001 oder ISO 13485 allein begründet keine Konformitätsvermutung. Die vorhandenen Prozesse lassen sich aber weiter nutzen. Anbieter ergänzen sie um die KI-spezifischen Anforderungen der EN 18286 und erreichen so die Konformitätsvermutung, ohne ein zweites System aufzubauen. Dem überschaubaren Anpassungsaufwand steht damit ein erheblicher rechtlicher Vorteil gegenüber. 

Wer einen eigenen Ansatz wählt, verzichtet auf diese Vorteile. Er muss nach Art. 17 Abs. 1 lit. e KI-VO darlegen, mit welchen anderen Mitteln er die Anforderungen erfüllt und selbst begründen, dass seine Lösung mit den Maßgaben der EN 18286:2026 gleichwertig ist. Risiko, Kosten und Aufwand stehen dabei wohl nicht in einem angemessenen Verhältnis zum möglichen Nutzen. Das wird in der Praxis dazu führen, dass die Norm EN 18286:2026 auch rechtlich zum De-facto-Standard für das Qualitätsmanagementsystem wird.

Fazit

Art. 17 KI-VO gilt ab dem 2. Dezember 2027 für Hochrisiko-KI-Systeme nach Anhang III und ab dem 2. August 2028 für solche nach Anhang I. Ein Qualitätsmanagementsystem aufzubauen benötigt Zeit. Anbieter von Hochrisiko-KI-Systemen sollten daher zeitnah beginnen, ihr Qualitätsmanagement an der EN 18286:2026 ausrichten.