Die meisten Unternehmensteams betreiben bereits ISO 9001, ISO/IEC 42001 oder ein branchenspezifisches Qualitätsmanagementsystem. EN 18286:2026 ergänzt einen QMS-Rahmen, der für die Regulierungszwecke der KI-Verordnung geschrieben wurde. CEN und CENELEC haben den europäischen Text am 22. Juli 2026 bereitgestellt, BSI hat BS EN 18286:2026 am 24. Juli veröffentlicht, und der Durchführungsbeschluss (EU) 2026/2274 der Kommission hat die Norm am 14. Oktober 2026 im Amtsblatt zitiert. Weder ISO 9001 noch ISO/IEC 42001 ist nach der KI-Verordnung zitiert. Dieser Vergleich zeigt, welche ISO-Strukturen sich übertragen lassen und welche Kontrollen nach Artikel 17 eine eigene Zuordnung brauchen.
Die gemeinsame Struktur der Managementsysteme
EN 18286 und ISO-Managementsystemnormen teilen Muster für Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Diese Überschneidung reduziert den Migrationsaufwand und ermöglicht es Teams, Governance-Routinen wiederzuverwenden.
EN 18286 orientiert sich an den Regulierungsergebnissen des KI-Gesetzes für Anbieter von Hochrisikosystemen. ISO 9001 deckt das Qualitätsmanagement im Großen und Ganzen ab. ISO/IEC 42001 deckt das organisatorische KI-Management über Anbieter und Benutzer hinweg ab.
Wobei EN 18286 regulatorische Details hinzufügt
Die größte Veränderung ist die explizite regulatorische Zuordnung. Die Teams müssen zeigen, wie jede wesentliche Anforderung umgesetzt wird, welche Standards oder alternativen Maßnahmen verwendet werden und warum der Ansatz ausreichend ist.
Die zweite Verschiebung ist die operative Beweisdichte. Die Überwachung nach dem Inverkehrbringen, die Bereitschaft für schwerwiegende Vorfälle und die Bereitschaft zur Konformitätsbewertung sind Kernfunktionen eines QMS eines Anbieters.
- Compliance-Strategie auf Klauselebene, verknüpft mit Verpflichtungen auf Artikelebene
- Explizite Behandlung wesentlicher Änderungslogik für Change Governance
- Operationalisierte Vorfall- und Post-Market-Pfade in Verbindung mit gesetzlichen Zeitplänen
- Lieferanten- und externe Komponentenkontrollen sind an die Risikostufe des KI-Systems gebunden
So können Sie ISO-Investitionen wiederverwenden, ohne alles neu aufzubauen
Behalten Sie bestehende Qualitäts- und KI-Managementstrukturen bei und überlagern Sie dann KI-Gesetz-spezifische Kontrollzuordnungen, Beweisanforderungen und Release-Gate-Kontrollen.
Wenn Sie bereits ISO/IEC 42001 verwenden, verwenden Sie es als Governance-Chassis und fügen Sie eine EU-spezifische rechtliche Rückverfolgbarkeit hinzu. Wenn Sie nur ISO 9001 verwenden, priorisieren Sie zunächst KI-spezifische Risiko- und Lebenszykluskontrollen.
Benennen Sie den Prüfumfang genau
Ein ISO-Zertifikat deckt das Managementsystem, die Standorte und die in seinem Geltungsbereich deklarierten Aktivitäten ab. Prüfer und Regulierungsbehörden prüfen die Umsetzung des EU-KI-Gesetzes anhand geltender rechtlicher Verpflichtungen und unterstützender Beweise.
Nutzen Sie den ISO-Status als Ausgangsglaubwürdigkeit und weisen Sie dann die Abdeckung auf Artikelebene nach. Für die Grundlagen der Implementierung verknüpfen Sie diesen Beitrag mit dem Leitfaden zur Zuordnung von Artikel 17.
Aussagen zur Abdeckung brauchen Aufzeichnungen, die eine prüfende Stelle nachvollziehen kann. Als wir im September 2026 die Agentenidentität durch unseren eigenen Nachweispfad verfolgt haben, waren einige Entscheidungsbelege ohne die Identität des handelnden Agenten versiegelt worden, und ein versiegelter Beleg lässt sich nachträglich nicht ändern. Wir haben den Pfad so geändert, dass Belege von Policy-Gates die Agentenidentität enthalten, und ein Bündel mit ungeklärter Agentenidentität wird jetzt als nicht maßgeblich gekennzeichnet. Prüfen Sie Ihre eigenen Aufzeichnungen auf Felder, die sich später nicht mehr ergänzen lassen.
Europäische Veröffentlichung und Zitierung im Amtsblatt sind getrennte Schritte
EN 18286 hat die Schlussabstimmung bestanden und wurde am 12. Juli 2026 ratifiziert. CEN-CENELEC hat den europäischen Text am 22. Juli 2026 bereitgestellt, die nationalen Normungsorganisationen veröffentlichen ihre Fassungen bis 31. Januar 2027, und das Amtsblatt hat EN 18286:2026 am 14. Oktober 2026 zitiert. Die Meldung von CEN-CENELEC bezeichnet sie als erste europäische KI-Norm im Amtsblatt.
Mit der Zitierung begründet EN 18286:2026 nach Artikel 40 eine Konformitätsvermutung für die Anforderungen, die sie abdeckt. Zertifikate nach ISO 9001 und ISO/IEC 42001 begründen keine solche Vermutung. Artikel 40 Absatz 1 nennt die Anforderungen aus Abschnitt 2 in den Artikeln 8–15, und Artikel 17 steht in Kapitel III Abschnitt 3; lassen Sie die Reichweite der Vermutung für Ihr QMS daher rechtlich bestätigen.
Praktische Übergangssequenz
Teams, die am schnellsten vorankommen, führen normalerweise eine abgestufte Sequenz mit klaren Verantwortlichen für Qualität, Produkt, Technik und Compliance durch.
- Schritt 1: Erstellen Sie einen Übergang zwischen Klausel und Verpflichtung für in den Geltungsbereich fallende Hochrisikosysteme
- Schritt 2: Identifizieren Sie Beweislücken für Risiko-, Daten-, Überwachungs- und Vorfallprozesse
- Schritt 3: Governance-Gates in Modellfreigabe- und Änderungsverwaltungsprozessen hinzufügen
- Schritt 4: Führen Sie vor aufsichtsrechtlichen Ereignissen interne Konformitätsüberprüfungen durch
Häufig gestellte Fragen
Brauchen wir trotz ISO/IEC 42001 noch eine Ausrichtung auf EN 18286?
Ja, wenn Sie Anbieter von Hochrisiko-KI-Systemen sind. ISO/IEC 42001 bietet eine solide Grundlage, aber Sie benötigen weiterhin eine explizite Zuordnung zur KI-Verordnung und Nachweise für die Anforderungen auf Artikelebene. Nur EN 18286:2026, am 14. Oktober 2026 im Amtsblatt zitiert, begründet eine Konformitätsvermutung für das QMS nach Artikel 17.
Reicht ISO 9001 für Artikel 17 aus?
ISO 9001 bietet eine QMS-Disziplin. Die Umsetzung von Artikel 17 erfordert auch KI-spezifische Lebenszyklus-, Risikokontrollen und Nachmarktkontrollen in der erforderlichen Tiefe.
Welche praktische Lücke wird von Teams am häufigsten übersehen?
Die Änderungssteuerung in Verbindung mit wesentlichen Änderungen (Substantial Modification) und deren Auswirkungen auf die Konformität. Teams verfügen oft über Änderungsmanagement, aber nicht über die KI-Verordnung-spezifische Logik zur Neubewertung und die zugehörigen Nachweise.
Die wichtigsten Erkenntnisse
Nutzen Sie die Investitionen in das ISO-Verwaltungssystem erneut und fügen Sie eine präzise EN 18286-Klauselkarte für Artikel 17 hinzu. Notieren Sie den Umfang und die Befugnis jeder Kontrolle, damit Zertifikate, rechtliche Pflichten und Beweise eindeutig voneinander unterscheiden werden können.