EN 18286: Was bedeutet die erste Norm zum AI Act für Unternehmen?
- EN 18286:2026-09 ist die erste europäische Norm für das Qualitätsmanagementsystem nach dem AI Act.
- Die Norm richtet sich an Anbieter von Hochrisiko-KI und ihre Anwendung ist freiwillig.
- Die QMS-Pflicht gilt ab dem 2. Dezember 2027 für eigenständige Hochrisiko-Systeme und ab dem 2. August 2028 für KI in regulierten Produkten.
- Die Norm beschreibt das Managementsystem, nicht die technischen Pflichten des KI-Systems selbst.
- Wer bereits nach ISO 9001, ISO 13485 oder ISO/IEC 42001 arbeitet, kann diese Systeme erweitern, statt ein neues aufzubauen.
Was ist EN 18286?
EN 18286 übersetzt die Anforderungen aus Artikel 17 der KI-Verordnung in praktische Anforderungen an ein auf Hochrisiko-KI zugeschnittenes QMS. Die Anwendung der Norm ermöglicht es Unternehmen, Prozesse, Zuständigkeiten, Dokumentation und Kontrollen zu strukturieren und für Konformitätsnachweis im europäischen Binnenmarkt zu nutzen.
Für wen gilt die KI-Norm?
Die Norm gilt für Anbieter von Hochrisiko-KI. Der Begriff „Qualität“ meint in diesem Fall nicht Produktqualität im Sinne der ISO 9001, sondern die Erfüllung der regulatorischen Anforderungen des AI Act, insbesondere den Schutz von Gesundheit, Sicherheit und Grundrechten.
Muss mein Unternehmen die EN 18286 anwenden?
Auch wenn Ihr Unternehmen Hochrisiko-KI-Anbieter ist, bleibt die Anwendung der Norm freiwillig. Wer sie nutzt, profitiert jedoch: Für alle Anforderungen, die die Norm abdeckt, gilt die Vermutung, dass das QMS des Anwenders die Vorgaben der KI-Verordnung erfüllt. Für Punkte, die die Norm nicht abdeckt, gilt diese Vermutung nicht.
Entscheiden Sie sich gegen die Anwendung der EN 18286 muss Ihr Unternehmen selbst belegen, dass es die Anforderungen erfüllt. Maßgeblich bleibt immer der Verordnungstext. Vor dem Inverkehrbringen sind außerdem eine Konformitätsbewertung, eine EU-Konformitätserklärung und eine CE-Kennzeichnung nötig, in der Regel auch die Registrierung in der EU-Datenbank.
Bin ich Anbieter oder Betreiber?
Unternehmen gelten als Anbieter, wenn sie ein KI-System inhouse entwickeln oder von Dritten entwickeln lassen, um es unter eigenem Namen in Verkehr zu bringen. Anbieter haben umfassende Pflichten, etwa den Aufbau des QMS.
Betreiber sind Unternehmen, die das System eines Dritten unter eigener Verantwortung einsetzen. Sie müssen deutlich weniger Pflichten erfüllen. Dazu gehört zum Beispiel, das System nach Anleitung zu nutzen, menschliche Aufsicht sicherzustellen und Protokolle sowie Information von Beschäftigten und betroffenen Personen aufzubewahren.
Achtung: Wer ein zugekauftes System unter eigenem Namen vertreibt oder wesentlich verändert, wird nach Artikel 25 der KI-Verordnung selbst zum Anbieter. Ob eine Anwendung als Hochrisiko-System gilt, lässt sich nur im Einzelfall prüfen.
Sie sind unsicher, ob sich die Anwendung der EN 18268 für Sie lohnt und ob Ihr Unternehmen überhaupt Adressat ist? Das Expertenteam von Proliance hilft, Klarheit zu schaffen.
Was regelt die EN 18286 beim Qualitätsmanagement?
EN 18286 beschreibt, wie Anbieter von Hochrisiko-KI das nach Artikel 17 der KI-Verordnung vorgeschriebene QMS aufbauen und nachweisen können. Das QMS legt fest, wer wofür verantwortlich ist, wie entwickelt und getestet wird, wie Änderungen geprüft werden und wie mit Problemen nach der Auslieferung umgegangen wird.
Die Norm betrifft das Managementsystem, nicht die technischen Pflichten des KI-Systems selbst, etwa zu Daten oder Transparenz.
Wie hängen EN 18286 zu ISO 9001, ISO 13485 und ISO/IEC 42001 zusammen?
Die neue KI-Norm EN 18286 ergänzt die Normen ISO 9001, ISO 13485 und ISO/IEC 42001 um die Anforderungen der KI-Verordnung. Die Norm enthält Anhänge, die ihre Abschnitte den Inhalten der jeweiligen Normen zuordnen.
Unternehmen, die bereits nach ISO 9001 zertifiziert sind, können vorhandene Prozesse daran anknüpfen. Wer ein KI-Managementsystem nach ISO/IEC 42001 betreibt, kann mit Hilfe der Zuordnung die Punkte ergänzen, die die KI-Verordnung zusätzlich verlangt. Die KI-Verordnung lässt außerdem zu, Anforderungen in ein bestehendes QMS aus anderem EU-Recht zu integrieren. Für Medizinprodukte ist das typischerweise ein QMS nach ISO 13485, ein Parallelsystem ist also nicht nötig.
Wichtig: Eine Zertifizierung nach ISO/IEC 42001 begründet keine Konformitätsvermutung nach der KI-Verordnung. Diese entsteht nur für die Anforderungen, die EN 18286 abdeckt.
Wie gehen Unternehmen vor, die EN 18286 anwenden möchten?
Unternehmen, die EN 18286 anwenden möchten, sollten früh mit der Planung beginnen. Je nach Anbieter gelten zwei Fristen für die Umsetzung eines QMS: der 2. Dezember 2027 für eigenständige Hochrisiko-KI-Systeme und der 2. August 2028 für KI in regulierten Produkten wie Medizinprodukten. Ein möglicher Fahrplan, der sich am früheren Termin orientiert, sieht so aus:
- Bis Jahresende 2026: KI-Systeme inventarisieren, Rollen klären (Anbieter oder Betreiber), Risikoklassen bestimmen
- Q1-Q2 2027: Gap-Analyse gegen die Anforderungen der Norm und Vorlagen für die technische Dokumentation vorbereiten. Dafür brauchen Sie den Normtext.
- Q3-Q4 2027: Validierung durchführen und die Nachweise dokumentieren.
Wer Validierung und Protokollierung schon früh in die Entwicklung einbaut, muss später nicht mühsam Nachweise nachholen.
EN 18286 in der Praxis: Für welche Anwendungen ist die Norm sinnvoll?
Die Anwendung der Norm ist dort sinnvoll, wo ein Unternehmen KI-Systeme anbietet, die unter die Hochrisiko-Regeln fallen. Ob ein System betroffen ist, hängt vom Einsatzzweck ab, nicht von der Branche.
Die folgenden drei Beispiele zeigen typische Fälle und machen deutlich, wer welche Pflichten hat.
Beispiel 1: KI-Vorauswahl von Bewerbungen im Personalwesen
Recruiting-Software, die Bewerbungen automatisch vorsortiert oder bewertet, fällt nach Anhang III der KI-Verordnung unter Hochrisiko-KI. Die Pflichten zum QMS nach Artikel 17 treffen den Anbieter.
Eine Personalberatung, die solche Tools nutzt, ist in der Regel Betreiber. Die Norm ist für sie trotzdem relevant: Sie gibt der Personalberatung einen Maßstab, um Softwareanbieter zu prüfen: Hat der Anbieter sein QMS nach der Norm aufgebaut?
Beispiel 2: KI in der Netzsteuerung von Energieunternehmen
KI-Systeme, die als Sicherheitskomponente der Strom- oder Wasserversorgung dienen, sind nach Anhang III Nummer 2 Hochrisiko-KI. Anbieter solcher Tools benötigen ein QMS nach Artikel 17, das Änderungen, Vorfälle und Überwachung im Betrieb regelt.
Versorger unterliegen zusätzlich der NIS2-Richtlinie, sodass sich beide Anforderungen in einem gemeinsamen Managementsystem bündeln lassen. Die EN 18286 strukturiert die Steuerung von Änderungen und Vorfällen im Betrieb, und das QMS lässt sich mit den NIS2-Anforderungen verbinden.
Beispiel 3: KI-Software als Medizinprodukt im Gesundheitsbereich
Software in der Gesundheitsbranche, die als Medizinprodukt eine Konformitätsbewertung durch eine benannte Stelle durchläuft, gilt nach Anhang I der KI-Verordnung als Hochrisiko-KI. Der Hersteller benötigt ein QMS nach Artikel 17. Ein bestehendes ISO-13485-System lässt sich um die KI-Anforderungen erweitern, damit Anbieter kein zweites System aufbauen müssen.
Ihre Branche ist nicht dabei? Erfahren Sie mehr über KI-Governance für Ihre Industrie.
Fazit: EN 18286 macht Artikel 17 des AI-Act greifbar
EN 18286 macht die QMS-Pflicht aus Artikel 17 des AI Act erstmals konkret und gibt Unternehmen einen organisatorischen Rahmen für die Umsetzung an die Hand. Entscheidend ist jetzt, die eigene Rolle zu klären, KI-Systeme zu inventarisieren und belastbare Prozesse aufzubauen. Ein bestehendes Managementsystem nach ISO 9001, ISO 13485 oder ISO/IEC 42001 bildet dafür eine gute Basis.
Sie wissen noch nicht, ob Ihre KI-Systeme als Hochrisiko gelten oder wie Sie Ihr QMS erweitern? Unsere zertifizierten Experten unterstützen Sie bei Einstufung, Gap-Analyse und Umsetzung.
Sie haben noch Fragen? Wir haben die Antworten
Nein, die Anwendung ist freiwillig. Wer sie nutzt, kann für die abgedeckten Anforderungen von der Konformitätsvermutung profitieren. Proliance unterstützt Sie bei dieser Entscheidung.
Entscheidend ist der Einsatzzweck und nicht die Branche, die Einstufung richtet sich nach den Anhängen der KI-Verordnung. Proliance ordnet Ihre Systeme im Rahmen der KI-Compliance-Beratung ein und erstellt die Anforderungsanalyse. Der erste Schritt ist ein vollständiges Inventar aller KI-Systeme.
Nach Art. 4 KI-VO müssen Anbieter und Betreiber Maßnahmen ergreifen, die die KI-Kompetenz ihrer Beschäftigten fördern, unabhängig von der Risikoklasse und auch bei Tools wie ChatGPT oder Copilot. Seit der Digitale KI-Omnibus umgesetzt ist, muss kein bestimmtes Kompetenzniveau garantiert werden, abgeschafft ist die Pflicht aber nicht. Unsere KI-Kompetenz-Schulung hilft Ihnen, die Maßnahmen nachweisbar umzusetzen.
Sie haben noch Fragen? Lassen Sie sich jetzt kostenlos von unseren Compliance Expert:innen beraten.
Zu unseren mehr als 3.000 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
