Die Europäische Kommission hat mit der Referenz auf EN 18286:2026 den ersten harmonisierten Standard zur Unterstützung der europäischen KI-Verordnung (Regulation (EU) 2024/1689) im Amtsblatt der Europäischen Union veröffentlicht.
Die formelle Rechtswirkung trat am 14.10.2026 durch den zuvor am 12.10.2026 angenommenen Durchführungsbeschluss (EU) 2026/2274 in Kraft. Am 19.10.2026 erläuterte die EU-Kommission die praktischen Folgen dieser Zitierung und bezeichnete das Regelwerk als wichtigen Meilenstein für die Umsetzung der Verordnung.
Vermutungswirkung für Qualitätsmanagementsysteme
Durch die Veröffentlichung erhalten Anwender die sogenannte Vermutungswirkung für die durch den Standard abgedeckten Vorgaben an ein Qualitätsmanagementsystem nach Artikel 17 der KI-Verordnung. Wie die EU-Kommission mitteilte, gilt diese Vermutung zeilenweise gemäß der Tabelle ZA.1 des Standards und bleibt rechtlich widerlegbar.
Erarbeitet wurde die Norm EN 18286:2026 unter dem Titel „Künstliche Intelligenz – Qualitätsmanagementsystem für regulatorische Zwecke des EU AI Acts“ durch das gemeinsame technische Komitee JTC 21 der europäischen Normungsorganisationen CEN und CENELEC.
Die Organisationen hatten den Standard im Juli 2026 herausgegeben, wobei der Text seit dem 22.7.2026 zur Verfügung stand. Zudem hatte das British Standards Institute am 31.7.2026 die identische Fassung als BS EN 18286:2026 publiziert.
Wer sich mit der praktischen Umsetzung der neuen EU-Vorgaben befasst, findet in diesem E-Book einen kompakten Überblick über alle Anforderungen, Pflichten und Fristen. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt
Nach Angaben von CEN und CENELEC handelt es sich um den bislang einzigen Standard für KI-Qualitätsmanagementsysteme, der diese Vermutungswirkung auslöst. Er ist am Lebenszyklus von KI-Systemen ausgerichtet und ergänzt bestehende Normen wie ISO/IEC 42001, ISO 9001 sowie ISO 13485, anstatt diese zu ersetzen.
Abgedeckte Bereiche und Reichweite
Die inhaltliche Reichweite der Norm konzentriert sich auf zentrale Prozesse. Nach Angaben von CEN und CENELEC deckt EN 18286:2026 den Lebenszyklus von KI-Systemen, das Datenmanagement, Lieferketten, die Überwachung nach dem Inverkehrbringen sowie Meldeprozesse für schwerwiegende Vorfälle ab.
Nicht erfasst werden hingegen technische Dokumentationen, das Risikomanagement, formelle Konformitätsbewertungsverfahren, die CE-Kennzeichnung und die Registrierung in der EU-Datenbank.
Die EU-Kommission stellte klar, dass die Nutzung des Standards freiwillig bleibt. Seine Anwendung führe weder zu einer automatischen Zertifizierung des Gesamtsystems noch zu einer unmittelbaren Marktzulassung; nationale Aufsichtsbehörden behalten ihre vollen Prüfrechte.
Die rechtlichen Rahmenbedingungen für künstliche Intelligenz stellen viele Unternehmen vor neue Herausforderungen bei der Risikodokumentation. Dieser kostenlose Report klärt darüber auf, welche Systeme als Hochrisiko eingestuft werden und was jetzt konkret zu tun ist. Welche KI-Systeme gelten als Hochrisiko – und was müssen Unternehmen jetzt konkret tun?
Der Standard entstand auf Basis des Standardisierungsauftrags C(2025) 3871. Organisationen, die nicht über die Norm ISO/IEC 42001 verfügen, können laut Kommission bestehende Managementsysteme anpassen oder neu aufbauen, ohne ein vollständig separates System etablieren zu müssen.
Gesetzliche Fristen bleiben unberührt
Die Veröffentlichung des Standards ändert die regulatorischen Umsetzungsfristen der KI-Verordnung nicht. Wie die EU-Kommission bekräftigte, treten die Verpflichtungen aus Artikel 17 für Systeme nach Artikel 6 Absatz 2 und Anhang III unverändert am 2.12.2027 in Kraft. Für KI-Systeme, die unter Artikel 6 Absatz 1 und Anhang I fallen, gilt der Stichtag 2.8.2028.
Die Anwendung soll insbesondere mit Blick auf kleine und mittlere Unternehmen proportional zur Unternehmensgröße erfolgen. Zugleich betrifft die Verpflichtung auch Anbieter mit Sitz außerhalb der Europäischen Union, sofern sie entsprechende Systeme im EU-Binnenmarkt vertreiben.
Nach Angaben der EU-Kommission werden weitere harmonisierte Standards zu Bereichen wie Risikomanagement, Daten, menschlicher Aufsicht, Robustheit und Cybersicherheit folgen, für die derzeit allerdings noch kein Zeitplan vorliegt.