Die Europäische Kommission hat am 19. Oktober die Veröffentlichung der Norm EN 18286:2026 bekannt gegeben, die dem durch die europäische KI-Verordnung vorgesehenen Qualitätsmanagementsystem gewidmet ist. Ihr Verweis findet sich in einer am 14. Oktober, dem Tag des Inkrafttretens dieses Textes, im Amtsblatt der Europäischen Union veröffentlichten Durchführungsentscheidung.
Die Durchführungsentscheidung (EU) 2026/2274 vom 12. Oktober 2026 veröffentlicht nur den Verweis auf eine einzige Norm: „Künstliche Intelligenz – Qualitätsmanagementsystem für die europäische KI-Verordnung », erarbeitet von CEN und Cenelec. Laut der Kommission profitieren Anbieter, die sie umsetzen, von einer Konformitätsvermutung für die in der Norm abgedeckten Anforderungen von Artikel 17. Die Entscheidung selbst spricht von den entsprechenden grundlegenden Anforderungen, ohne einen Artikel zu zitieren.
Zum Stand 22. Oktober vertreibt der Shop von AFNOR Éditions die französische Fassung NF EN 18286. Das auf Juli 2026 datierte Dokument umfasst 52 Seiten und trägt den Status „in Kraft ». Seine zweite Auflage stammt vom September 2026.
Dreizehn zu dokumentierende Bereiche
Artikel 17 der Verordnung (EU) 2024/1689 schreibt dem Anbieter ein schriftliches Qualitätsmanagementsystem vor, das in Form von Richtlinien, Verfahren und Anweisungen vorliegt. Er listet dreizehn Mindestaspekte auf, von der Strategie zur Einhaltung der Vorschriften über den Verantwortungsrahmen des Managements bis hin zu Test- und Validierungsverfahren, Datenmanagement, dem Risikomanagementsystem aus Artikel 9, der Marktüberwachung nach dem Inverkehrbringen und der Meldung schwerwiegender Vorfälle.
Die Kommission beschreibt die Norm als eine operative Umsetzung dieser Anforderungen, die sich eher um den Lebenszyklus des KI-Systems als um die Organisation herum aufbaut. Sie hatte das Projekt bereits als einen produktzentrierten Rahmen für die Governance dieses Lebenszyklus vorgestellt. Artikel 17 zielt auf den Anbieter ab. Das Unternehmen, das ein Hochrisiko-System einsetzt, fällt unter Artikel 26 und wird zum Anbieter, wenn es das System wesentlich verändert oder unter eigenem Namen vermarktet (Artikel 25).
Eine Norm, die sich anderen überlagert
Laut der Kommission überlagert EN 18286 bestehende internationale Normen wie ISO/IEC 42001, ISO 9001 oder ein sektorales Qualitätsmanagementsystem wie ISO 13485 für Medizinprodukte. Sie ersetzt diese nicht, ermöglicht es aber Anbietern in regulierten Sektoren, ihre Managementsysteme zu integrieren, anstatt mehrere parallel zu betreiben. Eine Organisation ohne ISO/IEC 42001-Zertifizierung kann sie nutzen, um ein bestehendes Qualitätsmanagementsystem zu erweitern oder eines aufzubauen.
Die Anwendung der Norm bleibt freiwillig. Ein Anbieter kann seine Konformität auch mit jedem anderen Rahmen seiner Wahl nachweisen, muss dann aber selbst darlegen, dass sein Qualitätsmanagementsystem Artikel 17 entspricht. Der Zeitplan lastet auch auf diesen Arbeiten. Die Verordnung (EU) 2026/1744, der sogenannte digitale AI-Omnibus, trat am 27. Juli in Kraft und verschob das Anwendungsdatum der Abschnitte 1 bis 3 von Kapitel III, die Hochrisiko-Systeme betreffen. Sie gelten ab dem 2. Dezember 2027 für Systeme aus Anhang III und ab dem 2. August 2028 für solche, die in Produkte nach Anhang I, Abschnitt A integriert sind.
Neun Bereiche noch ohne harmonisierte Norm
EN 18286 entspricht Punkt 9 von Anhang I des Normungsauftrags C(2025) 3871, der am 23. Juni 2025 an CEN und Cenelec gerichtet wurde. Der Entwurf dieser Norm war als erster am 30. Oktober 2025 in die öffentliche Umfrage gegangen. Die Kommission hatte Normen in zehn Bereichen angefordert: Risikomanagement, Governance und Qualität von Datensätzen, Protokollierung, Transparenz, menschliche Kontrolle, Genauigkeit, Robustheit, Cybersicherheit, Qualitätsmanagement und Konformitätsbewertung. Zum Stand 22. Oktober verfügt nur das Qualitätsmanagement über eine veröffentlichte harmonisierte Norm.
In ihrer Ankündigung vom 19. Oktober teilt die Kommission mit, dass weitere harmonisierte Normen folgen sollen, ohne jedoch ein Datum zu nennen.
