EN 18286: Der AI Act hat seine erste harmonisierte Norm. Was sie für den Mittelstand bedeutet#

Lange war der AI Act vor allem Gesetzestext. Viele Unternehmen haben sich gefragt: Wie genau soll man das eigentlich umsetzen, und woran misst eine Behörde später, ob man es richtig gemacht hat? Seit dem 14. Oktober 2026 gibt es auf diese Frage zum ersten Mal eine offizielle Antwort, zumindest für einen Baustein: das Qualitätsmanagement.

Mit dem Durchführungsbeschluss (EU) 2026/2274 vom 12. Oktober 2026 hat die EU-Kommission die Fundstelle der Norm EN 18286:2026 im Amtsblatt veröffentlicht. Damit ist sie die erste harmonisierte Norm zum AI Act. In diesem Beitrag ordnen wir ein, was das rechtlich bedeutet, wen es betrifft und was kleine und mittlere Unternehmen daraus mitnehmen können. Eine Rechtsberatung ersetzt das nicht, es geht um die praktische Einordnung.

Was genau passiert ist#

Die Norm trägt den Titel „Artificial intelligence: Quality management system for EU AI Act regulatory purposes“. Entwickelt wurde sie von CEN und CENELEC, genauer vom gemeinsamen europäischen Normungsgremium für künstliche Intelligenz, JTC 21. Veröffentlicht wurde die Norm selbst bereits im Juli 2026. Bis vor Kurzem war sie damit ein gut gemachtes, aber freiwilliges Dokument.

Der entscheidende Schritt ist die Veröffentlichung der Fundstelle im Amtsblatt der EU. Der Durchführungsbeschluss erschien am 14. Oktober 2026 und trat laut Artikel 2 am Tag seiner Veröffentlichung in Kraft. Erst dadurch bekommt die Norm rechtliche Wirkung nach Artikel 40 des AI Act.

Was „harmonisierte Norm“ bedeutet#

Artikel 40 des AI Act regelt die sogenannte Konformitätsvermutung. Wer sich an eine harmonisierte Norm hält, deren Fundstelle im Amtsblatt veröffentlicht ist, bei dem wird vermutet, dass er die Anforderungen erfüllt, die diese Norm abdeckt.

Bei EN 18286 heißt das konkret: Anbieter von Hochrisiko-KI-Systemen, die ihr Qualitätsmanagementsystem nach dieser Norm aufbauen, profitieren von der Konformitätsvermutung für die Anforderungen an das Qualitätsmanagement nach Artikel 17 des AI Act, soweit die Norm sie abdeckt. Laut Durchführungsbeschluss umfasst der Normungsauftrag Qualitätsmanagementsysteme für Anbieter von KI-Systemen einschließlich der Prozesse zur Beobachtung nach dem Inverkehrbringen, also Post-Market-Monitoring.

Wichtig sind zwei Einschränkungen:

• Nur Qualitätsmanagement. Die Norm deckt nicht den gesamten AI Act ab. Risikomanagement, Datenqualität, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit sind eigene Themen. Laut JTC 21 wird an Normen dafür weiter gearbeitet.
• Freiwillig. Die Norm ist ein anerkannter Weg, nicht der einzige. Wer Artikel 17 anders erfüllt, muss aber selbst nachweisen, wie.

Die EU-Kommission betont außerdem, dass EN 18286 auf bestehende Systeme wie ISO 9001 oder ISO/IEC 42001 aufgesetzt werden kann, statt sie zu ersetzen.

Wer ist betroffen und wer eher nicht#

Hier lohnt sich ein genauer Blick, denn genau an dieser Stelle wird gern übertrieben. Artikel 17 richtet sich an Anbieter von Hochrisiko-KI-Systemen, also an diejenigen, die ein solches System entwickeln und unter eigenem Namen in Verkehr bringen. Hochrisiko sind nach Anhang III zum Beispiel Systeme in den Bereichen Beschäftigung und Personalauswahl, Bildung, Zugang zu wesentlichen Dienstleistungen oder kritische Infrastruktur.

Die meisten kleinen und mittleren Unternehmen, Kanzleien und Handwerksbetriebe sind dagegen Betreiber: Sie nutzen KI-Werkzeuge, die jemand anderes gebaut hat. Für sie ist EN 18286 nicht direkt Pflicht. Wer einen Chat-Assistenten für Texte oder eine KI-Funktion in der Buchhaltungssoftware nutzt, muss deswegen kein Qualitätsmanagementsystem nach EN 18286 aufbauen.

Relevant wird die Norm für den Mittelstand trotzdem, und zwar in drei Fällen:

1. Sie entwickeln selbst KI. Softwarehäuser, aber auch Mittelständler, die eigene KI-Lösungen bauen und an Kunden weitergeben, können zum Anbieter werden. Fällt die Lösung in einen Hochrisiko-Bereich, ist EN 18286 der naheliegende Weg zum Qualitätsmanagement.
2. Sie kaufen KI für sensible Bereiche ein. Wer zum Beispiel ein KI-Werkzeug für die Bewerbervorauswahl einsetzen will, kann den Anbieter künftig ganz konkret fragen: Arbeiten Sie nach EN 18286? Das ist eine bessere Frage als ein allgemeines „Sind Sie AI-Act-konform?“.
3. Sie wollen Ordnung in ihre KI-Nutzung bringen. Auch ohne Pflicht ist das Denken hinter einem Qualitätsmanagementsystem nützlich: Wer ist verantwortlich, was ist dokumentiert, wie wird beobachtet, ob ein System im Betrieb noch tut, was es soll?

Der Zeitplan#

Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten nach dem AI-Omnibus ab dem 2. Dezember 2027. Das klingt weit weg, sind aber gut 13 Monate. Ein Qualitätsmanagementsystem entsteht nicht in einer Woche: Prozesse müssen beschrieben, Verantwortlichkeiten geklärt und Nachweise gesammelt werden. Wer als Anbieter betroffen ist, sollte jetzt anfangen und nicht erst im Herbst 2027.

Was KMU jetzt praktisch tun können#

Unabhängig davon, ob Sie Anbieter oder Betreiber sind, helfen diese Schritte:

1. KI-Inventar anlegen. Welche KI-Werkzeuge und KI-Funktionen sind im Einsatz, wer nutzt sie, wofür?
2. Rolle klären. Nutzen Sie nur fremde KI (Betreiber) oder entwickeln oder vertreiben Sie selbst KI-Lösungen (Anbieter)?
3. Hochrisiko prüfen. Berührt einer Ihrer Einsätze einen Bereich aus Anhang III, etwa Personal, Bildung oder Kreditwürdigkeit?
4. Verantwortliche benennen. Pro KI-Einsatz eine Person, die weiß, was das System tut, und eingreifen kann.
5. Dokumentation einführen. Zweck, Datenquellen, Freigaben und bekannte Grenzen pro System festhalten, kurz und aktuell.
6. Beobachtung im Betrieb festlegen. Wie merken Sie, wenn ein System schlechter wird oder Fehler macht, und was passiert dann?
7. Beim Einkauf nachfragen. Bei KI für sensible Bereiche den Anbieter nach seinem Qualitätsmanagement und nach EN 18286 fragen.

Unser Fazit#

EN 18286 ist ein Meilenstein, weil aus Paragraphen zum ersten Mal prüfbare Anforderungen werden. Für Anbieter von Hochrisiko-KI ist die Norm ab sofort der klarste Weg zu Artikel 17. Für die meisten KMU ist sie keine neue Pflicht, aber ein guter Maßstab: Wer seine KI-Nutzung inventarisiert, Verantwortliche benennt und dokumentiert, ist auf den AI Act deutlich besser vorbereitet als mit einem Ordner voller Unsicherheit.

Genau hier setzt unser KI-Readiness-Audit an: Wir klären mit Ihnen, ob Sie Anbieter oder Betreiber sind, ob einer Ihrer KI-Einsätze als Hochrisiko gilt und welche Pflichten wirklich auf Sie zukommen. Das Audit kostet 3.500 Euro. Mehr dazu auf awa-consulting.de.

Quellen#

• Amtsblatt der EU: Durchführungsbeschluss (EU) 2026/2274 der Kommission vom 12. Oktober 2026
• EU-Kommission, 19.10.2026: First harmonised standard supporting the AI Act published in the Official Journal
• CEN-CENELEC JTC 21, 14.10.2026: EN 18286 becomes the first harmonised standard under the EU AI Act
• EU-Kommission: AI Omnibus enters into force