EN 18286:2026 — die erste harmonisierte Norm zur KI-Verordnung: Das QM-System nach Art. 17 wird greifbar

Am 12. Oktober 2026 hat die Europäische Kommission den Durchführungsbeschluss (EU) 2026/2274 erlassen und damit erstmals die Fundstelle einer harmonisierten Norm zur KI-Verordnung (EU) 2024/1689 im Amtsblatt veröffentlicht: die EN 18286:2026 „Künstliche Intelligenz — Qualitätsmanagementsystem zu Regulierungszwecken im Rahmen der KI-Verordnung der EU". Für Anbieter von Hochrisiko-KI-Systemen ist das der Moment, in dem aus der abstrakten Pflicht zum Qualitätsmanagementsystem (Art. 17 KI-VO) ein konkreter, auditierbarer Maßstab wird — inklusive des stärksten Instruments des europäischen Produktsrechts: der Konformitätsvermutung nach Art. 40.

Was ist EN 18286:2026 — und warum ist sie ein Wendepunkt?

Seit Inkrafttreten der KI-Verordnung standen Anbieter von Hochrisiko-KI-Systemen vor einem unübersichtlichen Problem: Art. 17 verlangt ein Qualitätsmanagementsystem mit dreizehn Mindestaspekten — sagt aber nicht, wie dieses System konkret auszusehen hat. Genau diese Lücke schließt eine harmonisierte Norm: Sie übersetzt die Rechtsanforderung in ein Anforderungsgerüst, das Entwicklung, Dokumentation, Audits und die Konformitätsbewertung greifbar macht.

Mit dem Durchführungsbeschluss (EU) 2026/2274 vom 12. Oktober 2026 hat die Kommission die Fundstelle der EN 18286:2026 im Amtsblatt der Europäischen Union veröffentlicht; der Beschluss trat am Tag der Veröffentlichung in Kraft (Art. 2 des Beschlusses). Bemerkenswert ist der Anhang: Er listet genau eine Norm. EN 18286 ist damit nicht eine von vielen, sondern die erste und bislang einzige harmonisierte Norm zur KI-Verordnung.

Der Titel der Norm ist Programm: „Qualitätsmanagementsystem zu Regulierungszwecken im Rahmen der KI-Verordnung der EU". EN 18286 ist kein allgemeiner Management-Standard, sondern zielt exakt auf die Anforderungen der Verordnung — sie ist die Brücke zwischen Ihrem Managementsystem und dem Konformitätsnachweis.

Was Art. 17 KI-VO konkret verlangt

Die Pflicht steht in Art. 16 lit. c KI-VO: Anbieter von Hochrisiko-KI-Systemen müssen über ein Qualitätsmanagementsystem verfügen. Art. 17 Abs. 1 präzisiert sie: Das System muss die Einhaltung der Verordnung gewährleisten und ist systematisch und ordnungsgemäß in Form schriftlicher Regeln, Verfahren und Anweisungen zu dokumentieren. Die Verordnung nennt dreizehn Mindestaspekte (Buchstaben a bis m) — die wichtigsten im Überblick:

• Konzept zur Einhaltung der Regulierungsvorschriften — einschließlich der Konformitätsbewertungsverfahren und des Managements von Änderungen am Hochrisiko-KI-System (lit. a)
• Festlegung der anzuwendenden technischen Spezifikationen und Normen — und, falls harmonisierte Normen nicht vollständig angewandt werden oder nicht alle Anforderungen abdecken, der eigenen Mittel zum Nachweis der Anforderungserfüllung (lit. e)
• Systeme und Verfahren für das Datenmanagement über den gesamten Datenlebensweg: Gewinnung, Erhebung, Analyse, Kennzeichnung, Speicherung, Filterung, Auswertung, Aggregation und Vorratsdatenspeicherung (lit. f)
• Einbeziehung des Risikomanagementsystems nach Art. 9 (lit. g)
• Systeme und Verfahren für die Aufzeichnung sämtlicher einschlägiger Dokumentation und Informationen (lit. k)

Hinzu kommen unter anderem Verfahren für Entwicklung, Qualitätskontrolle und Prüfung, die Überwachung nach dem Inverkehrbringen, die Meldung schwerwiegender Vorfälle, ein Rechenschaftsrahmen mit Verantwortlichkeiten der Leitung und die Kommunikation mit Behörden und notifizierten Stellen.

Drei Erleichterungen kennt die Verordnung ausdrücklich: Die Umsetzung erfolgt in angemessenem Verhältnis zur Größe der Organisation — KMU, Start-ups und kleine Midcap-Unternehmen sind ausdrücklich genannt (Art. 17 Abs. 2). Die Aspekte dürfen in ein bestehendes sektorales Qualitätsmanagementsystem einbezogen werden (Art. 17 Abs. 3). Und für Finanzinstitute gilt die Pflicht bereits als erfüllt, wenn sie die Vorschriften über die interne Unternehmensführung des Finanzsektors einhalten (Art. 17 Abs. 4).

Der eigentliche Hebel: die Konformitätsvermutung nach Art. 40

Art. 40 KI-VO trägt die Überschrift „Konformitätsvermutung" — und meint genau das: Wenden Sie harmonisierte Normen an, deren Fundstellen im Amtsblatt veröffentlicht sind, gilt Ihr KI-System im Umfang der Abdeckung als konform mit den Anforderungen der Verordnung. Die Beweislast kehrt sich um: Nicht Sie müssen die Erfüllung jeder einzelnen Anforderung belegen, sondern die Marktüberwachung müsste die Abweichung von der Norm dartun.

Der Umkehrschluss ist der unbequeme Teil: Ohne harmonisierte Norm weisen Sie die Erfüllung jeder Anforderung einzeln nach — und müssen nach Art. 17 Abs. 1 lit. e dokumentieren, mit welchen eigenen Mitteln Sie die Anforderungen dennoch erfüllen. Bei Hochrisiko-Systemen nach Anhang III Nr. 1 hängt zusätzlich die Wahl des Konformitätsbewertungsverfahrens an der Norm-Anwendung (Art. 43 Abs. 1): Wer harmonisierte Normen angewandt hat, wählt zwischen der internen Kontrolle (Anhang VI) und der Bewertung durch eine notifizierte Stelle (Anhang VII). Ohne Normen bleibt nur der Weg über die notifizierte Stelle.

Und unabhängig von Ihrer Entscheidung: In der EU-Konformitätserklärung sind die Verweise auf die verwendeten einschlägigen harmonisierten Normen anzugeben, für die die Konformität erklärt wird (Anhang V Nr. 6 KI-VO). Die Frage ist also nicht, ob Normen in Ihrer Konformitätsdokumentation auftauchen — sondern ob Sie deren Vermutungsvorteil mitnehmen.

EN 18286, ISO 9001, ISO/IEC 42001 — was bleibt, was kommt

Die häufigste Frage ist die nach dem Verhältnis zu den bestehenden Managementsystemen. Die kurze Antwort: EN 18286 ersetzt nichts — sie ergänzt. Die lange Antwort in drei Punkten:

• ISO 9001 bleibt das Fundament. Prozesse, dokumentierte Information, interne Audits, Managementbewertung, Korrekturmaßnahmen: Die gesamte Mechanik, die Art. 17 voraussetzt, existiert in einem ISO-9001-System bereits. Wer zertifiziert ist, baut auf — nicht neu.
• ISO/IEC 42001 ist das freiwillige KI-Managementsystem mit großer inhaltlicher Nähe zur KI-VO. Aber: Eine Konformitätsvermutung begründet sie bislang nicht — der Anhang des Beschlusses (EU) 2026/2274 listet ausschließlich EN 18286:2026.
• EN 18286 ist die Norm zu Regulierungszwecken: Sie zielt exakt auf die Anforderungen der KI-Verordnung und ist der einzige Weg, für das QM-System nach Art. 17 die Konformitätsvermutung zu erlangen.

Zeitplan: Was wann gilt

Die Fristen wirken fern — sind sie aber nicht. Wer ein QM-System neu aufsetzt oder wesentlich erweitert, kalkuliert realistisch mit sechs bis zwölf Monaten bis zur auditfesten Dokumentation. Vom 2. Dezember 2027 rückwärts gerechnet heißt das: Die Gap-Analyse gehört auf die Agenda von 2026 — nicht von 2027.

Was Anbieter jetzt tun sollten

1. Einstufung klären.

   Fällt Ihr KI-System unter Anhang III — oder ist es Sicherheitsbauteil eines Produkts aus Anhang I? Die Einstufung entscheidet über Frist und Verfahren. Sie ist der erste Punkt jeder Beratung, weil sie am häufigsten falsch liegt.

2. Gap-Analyse gegen Art. 17.

   Spiegeln Sie Ihr bestehendes QM-System gegen die dreizehn Aspekte. In der Regel fehlen keine Prozesse, sondern die KI-spezifischen Inhalte: Datenmanagement, Änderungsmanagement am Modell, Post-Market-Überwachung.

3. Normen-Strategie dokumentieren.

   Art. 17 Abs. 1 lit. e verlangt die Festlegung der anzuwendenden Normen — inklusive der Begründung, wo Sie von harmonisierten Normen abweichen. Diese Entscheidung gehört in die dokumentierte Information, nicht in die E-Mail.

4. Aufzeichnungen und Aufbewahrung sicherstellen.

   Die Dokumentation ist zehn Jahre ab Inverkehrbringen für die Behörden bereitzuhalten (Art. 18 Abs. 1) — revisionssicher und auffindbar.

5. Konformitätsbewertung planen.

   Interne Kontrolle oder notifizierte Stelle: Die Wahl hängt an der Norm-Anwendung (Art. 43) und an Ihrer Systemklasse. Notifizierte Stellen haben Vorlaufzeiten — die Entscheidung ist kein Quartal vor der Frist zu treffen.

6. Konformitätserklärung vorbereiten.

   Inklusive der Norm-Verweise nach Anhang V Nr. 6 — und der Prozesse dahinter, die die Erklärung tragen.

Häufig gestellte Fragen zu EN 18286:2026

Alle Pflichten der KI-Verordnung kompakt — Rollen, Zeitplan, Fundstellen und Sanktionen: KI-Verordnung (EU) 2024/1689 — Themenseite auf rechtskataster.com.