Was ist eigentlich ein “harmonisierter Standard”? Der EU AI Act legt fest, was KI-Systeme mit hohem Risiko erfüllen müssen (z. B. Qualitätsmanagement, Risikomanagement, Datenqualität). Aber das Gesetz sagt nicht im Detail, wie Unternehmen das konkret umsetzen sollen. Genau diese Lücke füllen harmonisierte Standards: technische Spezifikationen, die von den europäischen Normungsorganisationen CEN, CENELEC und ETSI entwickelt werden. Wird ein solcher Standard offiziell im EU-Amtsblatt zitiert, gilt für Unternehmen, die ihn anwenden, eine “Konformitätsvermutung”. Sie müssen dann nicht mehr im Detail beweisen, dass sie das Gesetz einhalten, sondern können sich auf den Standard berufen.
Zuständig dafür ist JTC 21, gemeinsam eingerichtet von CEN und CENELEC, mit Dr. Sebastian Hallensleben als Chair, Patrick Bezombes als Vice Chair und Kim Skov Hilding als Secretary. (jtc21.eu)
Und jetzt die eigentliche News: Nach vorliegenden Informationen aus JTC-21-Kreisen hat prEN 18286, der Standard zum Qualitätsmanagementsystem für Hochrisiko-KI-Systeme (Art. 17 AI Act), soeben die Enquiry-Stufe erreicht. Nationale Normungsgremien haben jetzt zwölf Wochen Zeit, über den Entwurf abzustimmen und Kommentare einzureichen. Damit ist er der erste Standard im gesamten JTC-21-Arbeitsprogramm, der so weit gekommen ist. (Substack)
Was steckt inhaltlich drin? Der Standard ist kein loses Rahmenwerk, sondern er übersetzt Artikel 17 in konkrete Governance, Dokumentations, Lebenszyklus und Nachweisanforderungen, die Organisationen umsetzen und auditieren können. Er umfasst zehn normative Abschnitte sowie fünf informative Anhänge und ist bewusst kompatibel mit bestehenden Managementsystemen wie ISO 9001, ISO 13485 und ISO/IEC 42001 gestaltet.
Konkret deckt er unter anderem ab:
-
- Regulatorische Compliance Strategie für Konformitätsbewertung und Systemänderungen
-
- Design und Entwicklungskontrollen inklusive Designverifikation und Qualitätssicherung
-
- Test und Validierungsverfahren vor, während und nach der Entwicklung
-
- Datenmanagement und Data Governance
-
- Marktüberwachung nach Inverkehrbringen und Meldung schwerwiegender Vorfälle
-
- Technische Dokumentation und Gebrauchsanweisungen
-
- Lieferketten und Ressourcenkontrolle sowie klare Rollen und Verantwortlichkeiten
Damit weicht prEN 18286 bewusst von klassischen Qualitätsmanagementnormen ab: Während ISO 9001 und ISO/IEC 42001 organisationszentriert aufgebaut sind, folgt prEN 18286 einer produktzentrierten Logik, die sich direkt an den Anforderungen von Artikel 17 orientiert. Er fungiert dabei als eine Art Dach über weiteren, spezifischeren JTC-21-Standards, etwa zu Risikomanagement, Bias, Cybersicherheit und Logging, auf die im Standard verwiesen wird.
Interessant ist auch die Abgrenzung zur internationalen Norm ISO/IEC 42001: Die EU-KI-Stelle hatte 2024 festgestellt, dass diese nicht vollständig mit dem finalen AI-Act-Text übereinstimmt. Deshalb wurde prEN 18286 als eigenständiger, EU-spezifischer Standard entwickelt statt ISO/IEC 42001 einfach zu übernehmen, wenngleich Anhänge Organisationen helfen sollen, die ISO/IEC 42001 bereits umgesetzt haben.
Warum das Tempo gerade jetzt wichtig ist: Der AI Act ist für Hochrisikosysteme stark auf solche harmonisierten Standards angewiesen, doch die Entwicklung hatte sich verzögert, auch mit Blick auf das Inkrafttreten weiterer Pflichten im August 2026. Um das aufzuholen, haben CEN und CENELEC im Oktober 2025 ein Paket beschleunigender Maßnahmen beschlossen, um zentrale Standards aus JTC 21 schneller fertigzustellen. Der jetzige Fortschritt bei prEN 18286 zeigt, dass dieser beschleunigte Prozess tatsächlich Wirkung zeigt. (CMS / CEN-CENELEC)
Was noch fehlt, bevor Unternehmen sich wirklich darauf verlassen können: Die Enquiry-Phase ist ein wichtiger Meilenstein, aber noch nicht die finale Veröffentlichung. Erst nach positivem Votum und ggf. weiteren Verfahrensschritten kann der Standard final verabschiedet und im EU-Amtsblatt zitiert werden. Erst dann entsteht die volle Rechtswirkung.
Der Ausblick: In den kommenden Monaten sollen die öffentlichen Konsultationen zu den übrigen Standards für die Hochrisikoanforderungen abgeschlossen werden. Die Veröffentlichung der gesamten Normenreihe wird derzeit für Ende 2026 / Anfang 2027 erwartet.
Für alle im Bereich KI-Governance, Compliance oder Produktentwicklung: Das ist der Punkt, ab dem abstrakte Gesetzestexte zu konkreten, anwendbaren Prozessvorgaben werden. Wer sich jetzt schon mit dem Entwurf beschäftigt, hat einen echten Vorsprung, wenn der Standard final wird.
