Am 14. Oktober 2026 hat das Amtsblatt der EU die Fundstelle von EN 18286:2026 veröffentlicht, der ersten harmonisierten Norm unter dem EU AI Act. Sie betrifft das Qualitätsmanagementsystem von KI-Anbietern, und der Beschluss der Kommission knüpft ab diesem Tag eine Konformitätsvermutung an sie. Acht Tage zuvor hatte die Europäische Kommission vorgeschlagen, die Verordnung zu ersetzen, nach der solche Normen beauftragt, geprüft und veröffentlicht werden. Zu den geplanten Änderungen gehören ein uneingeschränkter kostenloser Online-Zugang zu harmonisierten Normen und feste Fristen für die Prüfung.
Die Veröffentlichung im Amtsblatt zeigt, mit welchem technischen Dokument die Kommission heute eine Konformitätsvermutung verbindet. Der Vorschlag würde bestimmen, wie schnell die übrigen KI-Normen kommen, ob sie sich ohne Antrag lesen lassen und wo ihr Stand nachzuverfolgen ist. Relevant ist das vor allem für Anbieter von Hochrisiko-KI-Systemen. Harmonisierte Normen unter dem AI Act betreffen die Regeln für Hochrisiko-KI-Systeme und für KI-Modelle mit allgemeinem Verwendungszweck, nicht die Transparenzpflichten aus Artikel 50.
Wie eine Norm unter dem AI Act rechtliche Wirkung erhält
Artikel 40 Absatz 1 verbindet den AI Act mit der europäischen Normung. Für Hochrisiko-KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck, die harmonisierten Normen entsprechen, wird vermutet, dass sie die Anforderungen aus Abschnitt 2 von Kapitel III (Artikel 8 bis 15) und die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck aus Kapitel V, Abschnitte 2 und 3, erfüllen, soweit die Normen diese abdecken. Voraussetzung ist, dass die Fundstelle der Norm gemäß der Verordnung (EU) Nr. 1025/2012 im Amtsblatt veröffentlicht wurde. Eine Norm, die CEN und CENELEC angenommen haben, deren Fundstelle die Kommission aber nicht veröffentlicht hat, begründet keine Vermutung.
Die Anwendung harmonisierter Normen ist freiwillig. Nach Artikel 17 Absatz 1 Buchstabe e muss das Qualitätsmanagementsystem des Anbieters die angewandten technischen Spezifikationen einschließlich Normen benennen. Werden harmonisierte Normen nicht vollständig angewandt oder decken sie nicht alle einschlägigen Anforderungen aus Abschnitt 2 ab, muss das System zusätzlich angeben, mit welchen anderen Mitteln diese Anforderungen erfüllt werden.
Bleiben Normen aus, erlaubt Artikel 41 der Kommission, gemeinsame Spezifikationen per Durchführungsrechtsakt festzulegen. Das ist möglich, wenn keine europäische Normungsorganisation den Auftrag angenommen hat oder die Normen nicht fristgerecht geliefert wurden, dem Auftrag nicht entsprechen oder Bedenken hinsichtlich der Grundrechte nicht ausreichend berücksichtigen, und wenn auch in angemessener Zeit keine Veröffentlichung einer Fundstelle zu erwarten ist. Auch die Konformität mit einer gemeinsamen Spezifikation begründet die Vermutung.
Vom Normungsauftrag bis zur Veröffentlichung dauerte es bisher lange. Laut der Folgenabschätzung zum Kommissionsvorschlag (SWD(2026) 786), die vor der Veröffentlichung von EN 18286 entstand, lagen die für den AI Act beauftragten harmonisierten Normen mindestens zwei Jahre hinter dem Zeitplan und waren noch nicht geliefert. Der ursprüngliche Auftrag hatte eine Frist bis April 2025 gesetzt. Über alle Sektoren hinweg dauert eine harmonisierte Norm nach der Evaluierung der Kommission von 2025 im Schnitt sechs Jahre.
EN 18286: Die erste im Amtsblatt gelistete Norm zum AI Act
Der Durchführungsbeschluss (EU) 2026/2274 der Kommission vom 12. Oktober 2026 veröffentlicht die Fundstelle von EN 18286:2026, Künstliche Intelligenz: Qualitätsmanagementsystem zu Regulierungszwecken im Rahmen der KI-Verordnung der EU. Der Beschluss ist mit seiner Veröffentlichung am 14. Oktober in Kraft getreten, und ab diesem Tag gilt die Vermutung. CEN und CENELEC haben die Norm auf Grundlage des Normungsauftrags C(2025) 3871 vom 23. Juni 2025 erarbeitet, der den ursprünglichen Auftrag von 2023 ersetzt hat. Der Beschluss ordnet sie dem Punkt des Auftrags zu, der Qualitätsmanagementsysteme für Anbieter von KI-Systemen einschließlich der Prozesse zur Beobachtung nach dem Inverkehrbringen betrifft. CEN und CENELEC haben die Norm im Juni 2026 angenommen und bezeichnen sie als erste europäische Norm, die zur Umsetzung des AI Act entwickelt wurde.
Was dieses Qualitätsmanagementsystem enthalten muss, legt Artikel 17 fest. Dazu gehören eine Strategie zur Einhaltung der Vorschriften und zum Umgang mit Änderungen am System, Untersuchungs-, Test- und Validierungsverfahren, Datenmanagement, das Risikomanagementsystem nach Artikel 9, die Beobachtung nach dem Inverkehrbringen gemäß Artikel 72, Verfahren zur Meldung schwerwiegender Vorfälle gemäß Artikel 73, die Aufbewahrung aller einschlägigen Dokumentation und ein Rahmen für die Rechenschaftspflicht von Leitung und Personal.
Artikel 17 steht in Abschnitt 3 von Kapitel III und damit außerhalb der Anforderungen aus Abschnitt 2, die Artikel 40 Absatz 1 nennt. Laut Beschluss der Kommission erfüllt EN 18286 die Anforderungen, die sie abdecken soll, und die Einhaltung einer harmonisierten Norm begründet eine Vermutung für die entsprechenden Anforderungen. Der AI Omnibus hat Artikel 40 Absatz 2 um einen Auftrag für Normungsdokumente ergänzt, die die gemeinsame Einhaltung der Abschnitte 2 und 3 und der Produktvorschriften aus Anhang I sowie die Konformitätsvermutung dafür erleichtern sollen. Absatz 1 blieb unverändert. Wie weit die Vermutung für die Pflicht zum Qualitätsmanagementsystem reicht, sollte die Rechtsberatung klären.
In der Fassung des AI Omnibus gelten die Hochrisiko-Anforderungen nach Artikel 113 einschließlich Artikel 17 ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I. Damit liegt Anbietern schon mehr als ein Jahr vor Geltungsbeginn eine im Amtsblatt gelistete Norm vor, an der sie ihr Qualitätsmanagementsystem ausrichten können.
EN 18286 ist die einzige Norm im Anhang des Beschlusses. Andere Themen des Auftrags waren 2026 noch beim Gemeinsamen Technischen Komitee 21 von CEN-CENELEC in Arbeit. Laut einer Meldung von CEN-CENELEC vom Mai 2026 lief für den Risikomanagement-Entwurf prEN 18228, der Artikel 9 unterstützen soll, die öffentliche Umfrage bis Ende Juli. Ein Arbeitsentwurf von prEN 18283 zum Umgang mit Bias war im März in Umlauf gegangen.
Bring einen Agenten aus einem Hochrisiko-Anwendungsfall mit. Wir gehen gemeinsam durch, zu welchen Aspekten aus Artikel 17 sein Betrieb beiträgt, welche Nachweise unsere Plattform hält und welche bei deinem Team bleiben.
AI-Act-Readiness besprechenWas COM(2026) 780 ändern würde
Am 6. Oktober 2026 hat die Kommission COM(2026) 780 vorgelegt, den Vorschlag für eine Verordnung zur europäischen Normung, der die Verordnung (EU) Nr. 1025/2012 aufheben würde. Laut Pressemitteilung sollen die Maßnahmen die durchschnittliche Entwicklungszeit einer Norm von sechs auf vier Jahre senken. In ihren Fragen und Antworten zum Vorschlag nennt die Kommission KI unter den strategischen Technologien, in denen sich die EU zunehmend nicht auf Normen mit Konformitätsvermutung stützen kann.
Nach Artikel 42 des Vorschlags gelten Verweise auf die Verordnung (EU) Nr. 1025/2012 als Verweise auf die neue Verordnung. Artikel 40 des AI Act liefe damit über das neue Verfahren, ohne selbst geändert zu werden.
| Bereich | Verordnung 1025/2012 heute | Vorschlag COM(2026) 780 |
|---|---|---|
| Zugang zu harmonisierten Normen | Keine allgemeine Regel für kostenlosen Zugang. Artikel 6 verlangt von nationalen Normungsorganisationen, KMU den Zugang zu erleichtern, etwa durch kostenlose Entwürfe, kostenlose Zusammenfassungen und ermäßigte Preise. Seit dem Urteil des Gerichtshofs von 2024 in der Rechtssache C-588/21 P lassen sich harmonisierte Normen nach einem Einzelantrag kostenlos und schreibgeschützt lesen. | Artikel 5: uneingeschränkter kostenloser Online-Zugang in jeder verbindlichen Sprachfassung, lesbar, durchsuchbar und druckbar, auch nach Rücknahme der Fundstelle. |
| Nachverfolgung | Fundstellen erscheinen im Amtsblatt. | Artikel 7: eine EU Standards Platform, die harmonisierte Normen und gemeinsame Spezifikationen auflistet, den Zugang erklärt und jeden Normungsauftrag mit seinem Umsetzungsstand zeigt. Nach Artikel 23 Absatz 4 stehen Entwürfe von Aufträgen dort einen Monat zur Kommentierung. |
| Prüfung durch die Kommission | Artikel 10 Absatz 5 sieht eine Prüfung ohne Frist vor. Nach Artikel 10 Absatz 6 wird die Fundstelle „unverzüglich“ veröffentlicht, sobald eine Norm die Anforderungen erfüllt. | Artikel 25: Prüfung innerhalb von sechs Monaten nach Lieferung, Veröffentlichung möglichst innerhalb von drei Monaten nach positivem Ergebnis, Veröffentlichung mit Einschränkungen möglich, Mitteilung bei Nichterfüllung innerhalb von sechs Monaten. |
| Verpasste Fristen | Für den AI Act gemeinsame Spezifikationen nach Artikel 41. | Artikel 25 Absatz 8: Die Kommission kann den Auftrag ändern, ihn an eine benannte Normungsorganisation weitergeben oder gemeinsame Spezifikationen erlassen. |
| Vorläufige Vermutung | Keine. | Ein harmonisiertes Normungsdokument kann als Zwischenschritt zur harmonisierten Norm eine Vermutung begründen und wird zurückgenommen, sobald die Norm veröffentlicht ist. |
Der kostenlose Zugang würde auch EN 18286 erfassen
Laut Folgenabschätzung lassen sich harmonisierte Normen schon heute kostenlos einsehen, allerdings nur schreibgeschützt und nach einem Einzelantrag über sogenannte Leseplattformen. Artikel 5 würde das durch einen uneingeschränkten Online-Zugang ersetzen, und nach Erwägungsgrund 12 soll derselbe Zugang auch für Normen gelten, deren Fundstellen unter der bisherigen Verordnung veröffentlicht wurden. Sobald die neuen Regeln gelten, beträfe das auch EN 18286.
Der Zugang soll ohne verpflichtende Vorab-Identifizierung oder Abonnement funktionieren. Bei Normen, die nach den neuen Regeln beauftragt werden, darf er auf eigenständige Teile beschränkt werden, die alle für die Einhaltung nötigen Informationen enthalten. Wirtschaftsakteure aus Drittstaaten mit berechtigtem Interesse erhielten Zugang über ihren Bevollmächtigten. Laut den Fragen und Antworten der Kommission betrifft das rund 3.650 der 27.000 Normen in den europäischen Katalogen.
Derselbe Erwägungsgrund begrenzt, was dieser Zugang umfasst. Er lässt etwaige Urheberrechte der Normungsorganisationen unberührt und erlaubt ihnen Rechteverwaltungsmaßnahmen gegen massenhafte Extraktion oder Weiterverwendung, ausdrücklich mit Blick auf Entwicklungen in der KI. Ob sich der Volltext harmonisierter Normen in einen Retrieval-Index laden lässt, hinge weiterhin von den Bedingungen der Rechteinhaber ab.
Vorläufige Normungsdokumente: für den AI Act eine offene Frage
Der Vorschlag führt das harmonisierte Normungsdokument ein: ein Dokument, das nicht denselben Grad an Konsens wie eine vollständige Norm erreichen muss, aber bis zu deren Fertigstellung bereits eine Konformitätsvermutung begründen kann. Erwägungsgrund 30 nennt digitale Produkte und Dienste mit kurzen Lebenszyklen als Beispiel. Artikel 40 des AI Act knüpft die Vermutung jedoch an harmonisierte Normen. Der Vorschlag ändert den AI Act nicht, und laut seinem Finanzbogen könnten gezielte Änderungen am sektoralen Recht folgen. Ob ein vorläufiges Dokument für Anforderungen des AI Act eine Vermutung begründen würde, regelt der Text daher nicht.
Gemeinsame Spezifikationen nach Artikel 41
Artikel 32 des Vorschlags schafft einen allgemeinen Rahmen für gemeinsame Spezifikationen. Nach Erwägungsgrund 8 lässt die Verordnung sektorale Regeln zu gemeinsamen Spezifikationen unberührt. Das spricht dafür, dass die eigenen Bedingungen aus Artikel 41 des AI Act bestehen blieben, solange der AI Act selbst nicht geändert wird. Zu diesen Bedingungen gehört ein Auslöser für Normen, die Grundrechtsbedenken nicht ausreichend berücksichtigen. Diesen Auslöser enthält der allgemeine Rahmen nicht.
Sichtbar würde, wer an den Normen mitschreibt
Nach Artikel 4 des Vorschlags müssten die Normungsorganisationen für jede beauftragte Norm veröffentlichen, welche Organisationen in den zuständigen technischen Gremien mitarbeiten und welche Interessen sie vertreten. Die Folgenabschätzung erwähnt, dass die Europäische Bürgerbeauftragte 2025 eine Untersuchung dazu eingeleitet hat, wie die Kommission Transparenz, Inklusivität und Rechenschaft bei der Annahme harmonisierter Normen zum AI Act sicherstellt.
Stand und Zeitplan
COM(2026) 780 ist ein Vorschlag im ordentlichen Gesetzgebungsverfahren (2026/0307(COD)). Europäisches Parlament und Rat müssen sich auf einen Text einigen. Im Entwurf sieht Artikel 43 vor, dass die Verordnung sechs Monate nach ihrem Inkrafttreten gilt, und der Finanzbogen der Kommission plant mit einem Inkrafttreten im Jahr 2028. Die endgültige Übergangsfrist soll laut Kommission im verabschiedeten Rechtsakt festgelegt werden. Bis dahin gilt für jede KI-Norm, deren Fundstelle die Kommission veröffentlicht, weiter die Verordnung (EU) Nr. 1025/2012, so wie bei EN 18286.
Betriebsnachweise einer im Amtsblatt gelisteten Norm zuordnen
Eine Norm beschreibt, was ein Qualitätsmanagementsystem enthalten muss. Den Nachweis, dass es funktioniert, liefert der Betrieb des KI-Systems: Monitoring-Ergebnisse, Entscheidungen zu Incidents, aufbewahrte Aufzeichnungen. Bei einem Agenten in einem Hochrisiko-Anwendungsfall hängen mehrere Aspekte aus Artikel 17 davon ab, was im Betrieb aufgezeichnet wird. Connic AI Governance ist im Enterprise-Plan enthalten und erzeugt aus einer genehmigten Bewertung Controls, eines für jede anwendbare Pflicht und jeweils dem zugehörigen Artikel des AI Act zugeordnet. Für Anbieter eines Hochrisiko-Systems entsprechen die folgenden Controls Artikel 17 und den Vorschriften, auf die er verweist:
Was jetzt zu tun ist
Klären, welche Agenten unter Anhang III oder Anhang I fallen und ob die Organisation dafür Anbieter ist. Nur dann spielen Artikel 17 und damit EN 18286 eine Rolle.
EN 18286:2026 bei einer nationalen Normungsorganisation beziehen oder kostenlosen, schreibgeschützten Zugang beantragen und den Aufbau mit einem bestehenden Qualitätsmanagementsystem abgleichen.
Angewandte Norm und Ausgabe festhalten, ebenso die damit abgedeckten Anforderungen und die Mittel für alles, was die Norm nicht abdeckt.
Prüfen, ob Beobachtung nach dem Inverkehrbringen, Umgang mit Incidents und Aufbewahrungsdauer der Logs tatsächlich die Aufzeichnungen liefern, die das Qualitätsmanagementsystem vorsieht.
Weitere Veröffentlichungen von Fundstellen unter dem AI Act und die Positionen von Parlament und Rat zu COM(2026) 780 verfolgen und die Dokumentation anpassen, sobald sich etwas ändert.
Nichts davon ist Rechtsberatung. Ob ein System als Hochrisiko-System gilt, welche Rolle die Organisation hat und ob eine Norm korrekt angewandt wurde, entscheiden die Organisation und ihre Rechtsberatung.
Weiterführende Beiträge: Durchsetzung des EU AI Act und Nachweise, Offenlegungspflichten nach Artikel 50, wer für die AI-Act-Readiness zuständig ist.