Was die neue QMS-Norm regelt, was sie nicht regelt und was Fertigungsbetriebe mit ISO 9001 jetzt tun können
Stand: 20. Oktober 2026
Kurz zusammengefasst
- Am 19. Oktober 2026 hat die EU-Kommission die Fundstelle der EN 18286:2026 im Amtsblatt veröffentlicht, über den Durchführungsbeschluss (EU) 2026/2274.
- Die Norm beschreibt ein Qualitätsmanagementsystem (QMS) für Anbieter von Hochrisiko-KI-Systemen nach Artikel 17 der KI-Verordnung (EU) 2024/1689.
- Wer sie umsetzt, profitiert von der Konformitätsvermutung für die abgedeckten Anforderungen aus Artikel 17.
- Sie wird auf ein bestehendes QMS aufgesetzt (ISO 9001, ISO/IEC 42001, ISO 13485 o. ä.), nicht daneben betrieben.
- Die Pflichten für Hochrisiko-KI gelten ab 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I, KI in regulierten Produkten wie Maschinen).
Was ist passiert?
Die EU-Kommission hat die erste harmonisierte Norm zum AI Act im Amtsblatt der EU bekannt gemacht. Der vollständige Titel lautet EN 18286:2026, Artificial intelligence, Quality management system for EU AI Act regulatory purposes. Erarbeitet wurde sie von CEN und CENELEC.
Harmonisierte Normen sind im europäischen Produktrecht das Werkzeug, mit dem abstrakte Gesetzesanforderungen in prüfbare Vorgaben übersetzt werden. Erst mit der Veröffentlichung der Fundstelle im Amtsblatt entsteht die rechtliche Wirkung: Wer die Norm anwendet, für den wird vermutet, dass er die entsprechenden Anforderungen des Gesetzes erfüllt. Laut Kommission ist die EN 18286 aktuell die einzige KI-QMS-Norm mit dieser Vermutungswirkung.
Was regelt die Norm?
Artikel 17 verlangt von Anbietern von Hochrisiko-KI-Systemen ein dokumentiertes Qualitätsmanagementsystem. Die EN 18286 macht daraus ein betriebsfähiges System. Drei Punkte fallen auf:
- Ausrichtung am Lebenszyklus. Die Norm ist entlang des Lebenszyklus des KI-Systems aufgebaut, nicht entlang der Organisation. Das ist ein Unterschied zur klassischen ISO 9001, die vom Unternehmen her denkt.
- Aufsetzen statt ersetzen. Sie ist dafür gemacht, auf bestehende Systeme wie ISO/IEC 42001, ISO 9001 oder ein Branchen-QMS aufgesetzt zu werden. Unternehmen in regulierten Branchen können integrieren, statt ein paralleles Managementsystem zu betreiben.
- Einstieg ohne ISO/IEC 42001 möglich. Wer kein KI-Managementsystem nach ISO/IEC 42001 hat, kann mit der EN 18286 ein vorhandenes QMS erweitern oder ein erstes aufbauen.
Den Normtext selbst gibt es kostenpflichtig über die nationalen Normungsorganisationen, in Deutschland über DIN Media. Die Aussagen in diesem Artikel stützen sich auf die Meldung der Kommission und den Gesetzestext.
Die 13 Elemente aus Artikel 17 und was ISO 9001 davon schon abdeckt
Artikel 17 Absatz 1 zählt 13 Elemente auf (Buchstaben a bis m). Für Betriebe mit ISO 9001 ist die interessante Frage: Was ist schon da, was ist neu?
Die folgende Zuordnung ist meine eigene Einschätzung als Orientierung, keine Aussage aus der Norm und keine Rechtsberatung.
| Art. 17 | Element | In ISO 9001 vorhanden? |
|---|---|---|
| a | Strategie zur Einhaltung der Vorschriften, inkl. Konformitätsbewertung und Änderungsmanagement | teilweise (Änderungsmanagement) |
| b | Entwurf, Entwurfskontrolle, Entwurfsprüfung | weitgehend (Entwicklung, Kap. 8.3) |
| c | Entwicklung, Qualitätskontrolle, Qualitätssicherung | weitgehend |
| d | Untersuchungs-, Test- und Validierungsverfahren vor, während und nach der Entwicklung | teilweise, KI-spezifische Tests fehlen |
| e | Technische Spezifikationen und angewandte Normen | teilweise |
| f | Datenmanagement (Erfassung, Kennzeichnung, Speicherung, Filterung, Auswertung usw.) | neu |
| g | Risikomanagementsystem nach Art. 9 | neu (Risiken und Chancen nach Kap. 6.1 sind etwas anderes) |
| h | Beobachtung nach dem Inverkehrbringen nach Art. 72 | weitgehend neu |
| i | Meldung schwerwiegender Vorfälle nach Art. 73 | neu |
| j | Kommunikation mit Behörden, notifizierten Stellen, Kunden | teilweise |
| k | Aufzeichnung aller relevanten Dokumentation | weitgehend (dokumentierte Information, Kap. 7.5) |
| l | Ressourcenmanagement inkl. Versorgungssicherheit | weitgehend (Kap. 7.1) |
| m | Rechenschaftsrahmen, Verantwortlichkeiten | weitgehend (Rollen, Kap. 5.3) |
Das Bild ist typisch: Die Organisationsseite steht meist. Die Lücke liegt bei den Punkten, die direkt am KI-System hängen, also Daten, Risiken über den Lebenszyklus, Beobachtung im Feld und Vorfallmeldung.
Artikel 17 sieht außerdem vor, dass das QMS in einem angemessenen Verhältnis zur Größe der Organisation steht. Anbieter, die bereits einem sektoralen QMS unterliegen, dürfen die Elemente in dieses System integrieren.
Was die Norm nicht abdeckt
Die Konformitätsvermutung gilt für die von der Norm abgedeckten Anforderungen aus Artikel 17. Für die übrigen Anforderungen an Hochrisiko-KI, etwa Risikomanagement (Art. 9), Daten und Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Genauigkeit, Robustheit und Cybersicherheit (Art. 15), sind weitere harmonisierte Normen angekündigt. Die Kommission schreibt ausdrücklich, dass weitere folgen sollen.
Wer jetzt mit der EN 18286 anfängt, baut also das Gerüst. Die inhaltlichen Anforderungen an das KI-System selbst kommen mit den nächsten Normen dazu.
Die Fristen
Mit dem Digital Omnibus zur KI, Verordnung (EU) 2026/1744, wurden die Fristen für Hochrisiko-KI verschoben:
| Kategorie | Beispiele | Gilt ab |
|---|---|---|
| Hochrisiko nach Anhang III (eigenständige Systeme) | Personalauswahl, Kreditwürdigkeit, Bildung, biometrische Identifizierung | 2. Dezember 2027 |
| Hochrisiko nach Anhang I (KI in regulierten Produkten) | Medizinprodukte, Maschinen, Spielzeug, Funkanlagen | 2. August 2028 |
Für Maschinenbauer ist vor allem Anhang I relevant: Ein KI-System, das als Sicherheitsbauteil einer Maschine wirkt, fällt dort hinein. Der Omnibus hat den Begriff des Sicherheitsbauteils allerdings enger gefasst. KI, die Bediener nur unterstützt oder Abläufe optimiert, wird nicht automatisch zum Hochrisikosystem, wenn eine Fehlfunktion keine Gefahr für Gesundheit oder Sicherheit bedeutet. Die Einstufung muss also pro Funktion sauber begründet werden.
Was Sie jetzt tun können
- KI-Systeme erfassen. Welche KI ist im Betrieb oder im eigenen Produkt im Einsatz? Eigenentwicklung oder zugekauft? Mit welcher Funktion?
- Einstufen. Pro System klären: Anhang III, Anhang I oder kein Hochrisiko. Die Begründung dokumentieren.
- Rolle klären. Die Pflichten aus Art. 17 treffen den Anbieter. Wer eine Maschine mit integrierter KI in Verkehr bringt, ist das in der Regel selbst. Wer nur KI einsetzt, hat als Betreiber andere Pflichten.
- Lückenliste gegen das vorhandene QMS. Die Tabelle oben als Startpunkt nehmen und gegen das eigene Handbuch legen.
- Normtext beschaffen, sobald klar ist, dass mindestens ein Hochrisikosystem betroffen ist.
Für Schritt 1 und 2 habe ich das KI-Register als Open-Source-App auf Frappe gebaut (MIT-Lizenz, auf GitHub). Damit lassen sich die KI-Systeme eines Betriebs nach VO (EU) 2024/1689 erfassen und dokumentieren.
Häufige Fragen
Muss ich die EN 18286 anwenden?
Nein. Harmonisierte Normen sind freiwillig. Wer sie anwendet, bekommt aber die Konformitätsvermutung. Wer einen anderen Weg geht, muss selbst nachweisen, dass Art. 17 erfüllt ist.
Brauche ich vorher ISO/IEC 42001?
Nein. Laut Kommission kann die EN 18286 auch ohne ISO/IEC 42001 genutzt werden, um ein bestehendes QMS zu erweitern oder ein erstes aufzubauen.
Reicht mein ISO-9001-Zertifikat?
Nein. ISO 9001 deckt viele organisatorische Punkte ab, aber nicht das Datenmanagement, das Risikomanagement nach Art. 9, die Beobachtung nach dem Inverkehrbringen und die Vorfallmeldung.
Betrifft mich das als Betreiber einer KI-Anwendung?
Artikel 17 richtet sich an Anbieter. Betreiber haben eigene Pflichten nach Art. 26, die ebenfalls ab Dezember 2027 bzw. August 2028 gelten.
Quellen
- EU-Kommission: First harmonised standard supporting the AI Act published in the Official Journal (19.10.2026)
- Durchführungsbeschluss (EU) 2026/2274: EUR-Lex
- AI Act Service Desk: Artikel 17
- EU-Kommission: Standardisierung des AI Act
- Verordnung (EU) 2026/1744 (Digital Omnibus zur KI), Fristen nach Anhang I und III
Dieser Artikel ist keine Rechtsberatung. Die Zuordnung zu ISO 9001 ist eine Orientierungshilfe.