Orrick zufolge veröffentlichte die Europäische Kommission am 14. Oktober 2026 EN 18286:2026 als erste harmonisierte Norm zur KI-Verordnung. Die Norm kann eine Konformitätsvermutung nur für Pflichten stützen, die sie tatsächlich abdeckt. Ihre Anwendung ist freiwillig.
Welche Anforderungen EN 18286 laut Orrick betrifft
Orrick ordnet EN 18286 den Anforderungen aus Artikel 11 Absatz 1 zur technischen Dokumentation und Artikel 17 Absatz 1 zum Qualitätsmanagement für Anbieter von Hochrisiko-KI-Systemen zu. Die Veröffentlichung erfolgte laut der Kanzlei durch den Durchführungsbeschluss (EU) 2026/2274.
Eine harmonisierte Norm ist eine technische Norm, deren Fundstelle im Amtsblatt der Europäischen Union veröffentlicht wurde. Nach Artikel 40 der KI-Verordnung begründet die Anwendung einer solchen Norm eine Konformitätsvermutung: Für die davon erfassten rechtlichen Anforderungen wird die Einhaltung vermutet.
Artikel 40 begrenzt die Konformitätsvermutung auf erfasste Pflichten
Artikel 40 nennt Hochrisiko-KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck. Die Vermutung gilt jeweils nur, soweit die zitierte harmonisierte Norm oder ein Teil davon die einschlägigen Anforderungen oder Pflichten abdeckt. Orricks konkrete Zuordnung von EN 18286 betrifft die Pflichten von Anbietern hochriskanter KI-Systeme aus Artikel 11 Absatz 1 und Artikel 17 Absatz 1.
Der EU-KI-Gesetz-Service-Desk der Europäischen Kommission zu Artikel 40 gibt diese allgemeine Regel wieder. Die gesetzlich verbindlichen Pflichten bleiben für Anbieter maßgeblich, auch wenn sie eine harmonisierte Norm anwenden.
Qualitätsmanagement über den Lebenszyklus
Orrick zufolge verlangt EN 18286 von Anbietern, die anwendbaren Anforderungen und den Geltungsbereich ihres Qualitätsmanagementsystems festzulegen und eine dokumentierte Compliance-Strategie zu führen. Dazu zählt die Analyse zufolge auch, Konformitätsbewertungen, Änderungen am System, die Überwachung nach dem Inverkehrbringen und die Meldung schwerwiegender Vorfälle in dieser Strategie zu berücksichtigen.
Für das Qualitätsmanagement nennt Orrick außerdem Zuständigkeiten und Verantwortlichkeit, Fachkompetenz und Ressourcen sowie Abläufe für Entwicklung, Verifizierung und Validierung. Auch Datenmanagement, Kontrollen in der Lieferkette, der Umgang mit Verstößen und Managementbewertungen gehören laut der Kanzlei zu den behandelten Bereichen.
Freiwillige Norm und bestehende Managementsysteme
Anbieter können harmonisierte Normen ganz oder teilweise freiwillig anwenden. EN 18286 ersetzt dabei weder die verbindlichen Anforderungen der KI-Verordnung noch die Verantwortung der Anbieter, die für ihre Systeme geltenden Pflichten zu erfüllen.
ISO/IEC 42001, ISO 9001 und branchenspezifische Qualitätsmanagementsysteme wie ISO 13485 können laut Orrick mit EN 18286 kombiniert werden. Ihre alleinige Anwendung begründet nach der Analyse jedoch nicht die Konformitätsvermutung nach Artikel 40. Auch der Kauf der Norm ist keine Zertifizierung und kein Nachweis, dass ein Anbieter die gesetzlichen Anforderungen erfüllt.
Artikel 40 nennt ein weitergehendes Ziel für die Normung
Der konsolidierte Wortlaut von Artikel 40, den der Kommissions-Service-Desk mit Stand 27. Juli 2026 wiedergibt, nennt zudem ein Ziel für Normungsdokumente: Sie sollen, gegebenenfalls als harmonisierte Normen, die gemeinsame Erfüllung der KI-Verordnung und einschlägiger EU-Harmonisierungsrechtsvorschriften aus Anhang I erleichtern.
