EN 18286: Die erste harmonisierte Norm zum AI Act steht im Amtsblatt – was die Konformitätsvermutung abdeckt

Für das Qualitätsmanagement von Hochrisiko-KI gibt es seit Mittwoch, dem 14. Oktober, einen anerkannten Weg, für den Rest des AI Act noch nicht. Genau das ist die Nachricht hinter der Konformitätsvermutung, die an diesem Tag Wirklichkeit geworden ist. Die Europäische Kommission hat am Montag, dem 12. Oktober, einen Durchführungsbeschluss gefasst. Am Mittwoch, dem 14. Oktober, stand die Fundstelle der ersten harmonisierten Norm zum AI Act im Amtsblatt der EU: EN 18286:2026.

Das klingt nach Durchbruch, und in gewisser Weise ist es einer. Eine Norm für das Qualitätsmanagement ist jetzt rechtlich aufgeladen. Aber sie deckt eben nur einen Ausschnitt ab. Wer als Anbieter eines Hochrisiko-KI-Systems nun glaubt, ein Haken sei gesetzt, sollte die Sache zweimal lesen.

Ich finde, hier lohnt Gelassenheit statt Aufregung. Die Norm hilft, sie hilft aber nur an einer bestimmten Stelle, und sie ist freiwillig. Das Gemeinsame Technische Komitee für KI von CEN und CENELEC (JTC 21) hat den Schritt in seinem Beitrag vom 14. Oktober eingeordnet. Darauf stützen wir uns hier, ergänzt um unsere eigene Lesart.

Der Inhalt der Norm selbst ist kostenpflichtig und uns nicht bekannt. Über einzelne Klauseln sagen wir deshalb nichts. Was wir sagen können: was im Amtsblatt steht, was die Vermutung trägt und wo sie endet.

Was im Amtsblatt steht

Der Beschluss trägt den Titel „Durchführungsbeschluss (EU) 2026/2274 der Kommission vom 12. Oktober 2026 über harmonisierte Normen für Hochrisiko-KI-Systeme zur Unterstützung der Verordnung (EU) 2024/1689“. Das ist unsere sinngemäße Übersetzung aus der spanischen Sprachfassung. Veröffentlicht wurde er am 14. Oktober 2026 im Amtsblatt, Reihe L 2026/2274, der ELI lautet http://data.europa.eu/eli/dec_impl/2026/2274/oj. Wer den Text selbst lesen möchte, findet die Amtsblatt-Fassung (spanische Sprachfassung) auf wenigen Seiten.

Der Aufbau ist schlank. Sechs Erwägungsgründe, zwei Artikel, ein Anhang. Das war es.

Erwägungsgrund 1 erinnert an Art. 40 AI Act: Hochrisiko-KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck, die harmonisierten Normen entsprechen, deren Fundstellen im Amtsblatt veröffentlicht sind, gelten als konform mit den Anforderungen, die diese Normen abdecken. Die Betonung liegt auf dem letzten Teil.

Die Erwägungsgründe 2 und 3 schildern die Vorgeschichte. Auf Grundlage des Durchführungsbeschlusses C(2025) 3871 der Kommission vom 23. Juni 2025 haben CEN und CENELEC die Arbeiten an der harmonisierten Norm zu Qualitätsmanagementsystemen für Anbieter von KI-Systemen abgeschlossen, einschließlich der Prozesse der Beobachtung nach dem Inverkehrbringen. Das entspricht Anhang I Nr. 9 des Auftrags. Ergebnis: EN 18286:2026. Laut Fußnote im Beschluss hebt C(2025) 3871 den früheren Durchführungsbeschluss C(2023) 3215 auf.

Zur Zuordnung, weil es leicht durcheinandergerät: Das JTC 21 spricht vom „standardisation request M/613“. Der Beschluss nennt den Auftrag als Durchführungsbeschluss C(2025) 3871. Beide Bezeichnungen meinen den Normungsauftrag, einmal in der Sprache der Normungsorganisationen, einmal in der des Rechtsakts. Nach Angabe des JTC 21 läuft der geänderte Auftrag bis zum 28. Februar 2027.

Die Erwägungsgründe 4 und 5 halten fest, dass die Kommission gemeinsam mit CEN und CENELEC geprüft hat, ob die Norm dem Auftrag entspricht. Laut Beschluss erfüllt EN 18286:2026 die Anforderungen, die sie abdecken soll. Deshalb wird die Fundstelle veröffentlicht. Erwägungsgrund 6 ergänzt: Die Konformitätsvermutung gilt ab der Veröffentlichung der Fundstelle, also tritt der Beschluss am Tag seiner Veröffentlichung in Kraft (Art. 2). Art. 1 regelt, dass die Fundstelle im Anhang veröffentlicht wird.

Und der Anhang? Genau eine Norm, Nr. 1: EN 18286:2026. Der englische Titel lautet laut JTC 21 „Artificial intelligence — Quality management system for EU AI Act regulatory purposes“. Sinngemäß übersetzt: „Künstliche Intelligenz – Qualitätsmanagementsystem für regulatorische Zwecke des EU-AI-Act“. Ein amtlicher deutscher Titel liegt uns nicht vor, bitte behandeln Sie unsere Übersetzung entsprechend.

Eine Beobachtung noch, die mir wichtig ist: Der Beschluss nennt Art. 17 AI Act nicht ausdrücklich. Die Verbindung zum Qualitätsmanagement der Anbieter ergibt sich aus dem Gegenstand der Norm. Die ausdrückliche Zuordnung zu Art. 17 stammt vom JTC 21. Das ist kein Mangel, aber man sollte es wissen, wenn man Aussagen weiterträgt.

Veröffentlicht ist nicht harmonisiert

Das JTC 21 formuliert den Unterschied selbst sehr deutlich: „A published European standard and a harmonised standard are not the same thing. CEN and CENELEC publish the standard; the European Commission then assesses it and, if it meets the standardisation request, cites its reference in the OJEU. Only that citation gives the standard legal effect under Article 40 of the AI Act.“ Sinngemäß: Eine veröffentlichte europäische Norm ist nicht dasselbe wie eine harmonisierte. CEN und CENELEC veröffentlichen die Norm, die Kommission bewertet sie und zitiert, wenn sie dem Normungsauftrag genügt, ihre Fundstelle im Amtsblatt. Erst diese Zitierung gibt der Norm die Rechtswirkung nach Art. 40 AI Act.

Drei Schritte also. Veröffentlichung durch die Normungsorganisationen, Prüfung durch die Kommission, Zitierung im Amtsblatt.

Zeitlich lässt sich das ablesen. Laut JTC 21 erschien EN 18286 im Juli 2026, ein Tagesdatum nennt das Komitee nicht. Bis zur Fundstelle am 14. Oktober vergingen damit rechnerisch rund drei Monate, auf Monatsbasis gerechnet. Das ist unsere Rechnung, keine amtliche Angabe. Das JTC 21 beschreibt die Zwischenzeit so: „Until now it was a well-built voluntary document. With the OJEU citation, following it becomes a recognised route to show compliance with Article 17.“ Auf Deutsch: Bis dahin war es ein gut gebautes freiwilliges Dokument, mit der Zitierung wird die Befolgung zu einem anerkannten Weg, die Einhaltung von Art. 17 zu zeigen.

Wir bei digital-magazin.de lesen diesen Satz als nüchterne Beschreibung, nicht als Werbung. Inhaltlich hat sich an der Norm zwischen Juli und Oktober nichts geändert, rechtlich dagegen viel. Das ist unsere Einordnung: Dieselben Seiten, aber eine andere Wirkung.

Für Verantwortliche in Unternehmen heißt das praktisch: Wer sein Qualitätsmanagement schon im Sommer an der Norm ausgerichtet hat, hat nichts umsonst getan. Wer abgewartet hat, hat nichts verpasst, was sich nicht aufholen ließe. Und wer jemandem begegnet, der „die Norm gibt es doch längst“ sagt, hat zwar recht, aber nicht in der Frage, auf die es rechtlich ankommt.

Was die Konformitätsvermutung abdeckt – und was nicht

Art. 40 Abs. 1 AI Act sagt in der amtlichen deutschen Fassung, es werde „eine Konformität mit den Anforderungen gemäß Abschnitt 2 dieses Kapitels oder gegebenenfalls mit den Pflichten gemäß Kapitel V Abschnitte 2 und 3 vermutet, soweit diese Anforderungen oder Verpflichtungen von den Normen abgedeckt sind.“ Das Wort „soweit“ ist der Knackpunkt. Es begrenzt die Vermutung auf das, was die Norm tatsächlich trägt.

Das JTC 21 ordnet die Reichweite so ein: „Providers of high-risk AI systems that build their quality management system on EN 18286 now benefit from a presumption of conformity with the quality management requirements in Article 17 of the AI Act.“ Anbieter von Hochrisiko-KI-Systemen, die ihr Qualitätsmanagementsystem auf EN 18286 aufbauen, profitieren also von einer Konformitätsvermutung, bezogen auf die Qualitätsmanagement-Anforderungen aus Art. 17. Nicht mehr.

Was verlangt Art. 17 Abs. 1? Ein schriftlich dokumentiertes System aus Strategien, Verfahren und Anweisungen, „mindestens“ mit den Aspekten der Buchstaben a bis m. Nach unserer Zählung sind das 13 Aspekte:

• a) ein Konzept zur Einhaltung der Regulierungsvorschriften, einschließlich Konformitätsbewertung und Änderungsmanagement,
• b) Entwurf, Entwurfskontrolle und Entwurfsprüfung,
• c) Entwicklung, Qualitätskontrolle und Qualitätssicherung,
• d) Untersuchungs-, Test- und Validierungsverfahren,
• e) technische Spezifikationen einschließlich Normen, und für den Fall, dass harmonisierte Normen nicht vollständig angewandt werden oder nicht alle Anforderungen abdecken, die Mittel, mit denen die Anforderungen erfüllt werden sollen,
• f) Datenmanagement,
• g) das Risikomanagementsystem nach Art. 9,
• h) die Beobachtung nach dem Inverkehrbringen nach Art. 72,
• i) die Meldung schwerwiegender Vorfälle nach Art. 73,
• j) die Kommunikation mit Behörden, benannten Stellen, Kunden und weiteren Beteiligten,
• k) die Aufzeichnung aller relevanten Unterlagen,
• l) das Ressourcenmanagement einschließlich Versorgungssicherheit,
• m) ein Rechenschaftsrahmen mit den Zuständigkeiten der Leitung und des Personals.

Wie viele davon EN 18286 im Detail abdeckt, wissen wir nicht, und wir behaupten es auch nicht. Das JTC 21 verweist auf einen Anhang ZA, der zeigt, welche Anforderungen des AI Act jede Klausel stützt, und rät, diesen Anhang und den Durchführungsbeschluss für den genauen Umfang der Vermutung zu prüfen. Welche Klausel welchen Buchstaben stützt, zeigt laut JTC 21 Anhang ZA. Der Anhang ist kostenpflichtig. Wer mit der Vermutung arbeiten will, kommt an ihm vermutlich nicht vorbei.

Dazu ein Hinweis, den ich als reine Beobachtung verstanden wissen möchte, nicht als Rechtsbehauptung: Art. 17 steht in Kapitel III Abschnitt 3, Art. 40 Abs. 1 spricht dagegen von den Anforderungen aus Abschnitt 2. Der Beschluss nennt Art. 17 nicht, die Zuordnung kommt vom JTC 21. Ob und wie sich das in der Praxis auswirkt, können wir nicht beurteilen, wir sehen es als Grund, die Quellen selbst nachzulesen und im Zweifel fachlichen Rat einzuholen.

Dann gibt es Art. 17 Abs. 2: Die Umsetzung erfolgt in einem angemessenen Verhältnis zur Größe der Organisation des Anbieters, das nötige Maß an Strenge und das erforderliche Schutzniveau bleiben aber bestehen. Kleine Anbietende dürfen also schlanker arbeiten, nicht laxer. Und Art. 17 Abs. 3 erlaubt Anbietenden, die nach sektoralem Unionsrecht bereits Qualitätsmanagement-Pflichten haben, die Aspekte in jenes System einzubeziehen.

Entscheidend bleibt: Die Vermutung ist freiwillig. Das JTC 21 sagt es selbst: „The presumption is voluntary. Providers can still meet Article 17 in other ways, but then they must show on their own how they comply.“ Anbietende können Art. 17 auch anders erfüllen, müssen dann aber selbst nachweisen, wie. Der Eigenbeweis ist also kein Verbot, sondern ein Aufwand.

Was die Vermutung ausdrücklich nicht ist: eine Gesamtbescheinigung. Für Risikomanagement, Daten, Logging, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit und Konformitätsbewertung gibt es nach Angaben des JTC 21 noch keine harmonisierte Norm, die Arbeiten laufen. Wer EN 18286 anwendet, hat damit einen Teil des Weges abgesichert, aber nicht den AI Act insgesamt erfüllt.

Und die Konformitätsbewertung selbst? Auch dort ist die Norm kein Ersatz. Wer verstehen will, wie dieses Feld sonst organisiert ist, findet Hintergrund in unserem Beitrag dazu, wer Konformitätsbewertungen eigentlich kontrolliert. Meiner Einschätzung nach ist das die Frage, die sich viele Verantwortliche als Nächstes stellen sollten: Welcher Teil meiner Pflichten ist jetzt abgesichert, und welcher liegt weiter allein bei mir?

ISO 9001 und ISO/IEC 42001: Aufbauen statt neu anfangen

Viele Unternehmen haben bereits ein Managementsystem. Das ist die Ausgangslage, und sie ist besser, als man zunächst denkt.

Laut JTC 21 enthält EN 18286 informative Anhänge, die auf EN ISO 9001 und EN ISO/IEC 42001 abbilden, damit „organisations already certified to either can build on what they have“. Wer eines dieser Systeme betreibt, kann es demnach erweitern, statt von vorn zu beginnen: „can extend their existing system rather than start over“. Sinngemäß also: Bestehendes weiterverwenden, Lücken schließen.

Jetzt der Punkt, der leicht verrutscht. Ein Zertifikat nach ISO 9001 oder ISO/IEC 42001 verschafft für sich genommen keine Konformitätsvermutung. Die Vermutung hängt an der harmonisierten Norm, deren Fundstelle im Amtsblatt steht, nicht an anderen Zertifikaten. Die Mappings sind eine Brücke und kein Freifahrtschein. Sie zeigen, wo Ihr vorhandenes System schon trägt und wo etwas dazukommen muss.

Der Zusatz „informativ“ verdient Beachtung. Informative Anhänge erläutern, sie legen keine Anforderungen fest. Was im Einzelnen übertragbar ist und was nicht, steht in der Norm, und die kennen wir nicht. Deshalb spekulieren wir nicht über Deckungsgrade.

Dazu kommt Art. 17 Abs. 3. Anbieter, die nach sektoralem Unionsrecht bereits Pflichten zu einem Qualitätsmanagementsystem haben, können die Aspekte aus Art. 17 Abs. 1 in jenes System einbeziehen. Wer etwa in einem regulierten Produktumfeld arbeitet, muss also nicht zwingend ein zweites, paralleles System aufbauen. Ob und wie das im Einzelfall zusammenpasst, bleibt eine Frage für Fachleute, die Ihr Umfeld kennen.

Ich finde, die Botschaft ist ermutigend, aber sie verlangt Disziplin. Aus meiner Sicht ist die Versuchung groß, ein bestehendes Zertifikat als Beleg zu behandeln, weil es sich gut anfühlt und im Management gut ankommt. Das trägt nicht weit. Ein Zertifikat sagt, dass ein System nach einer bestimmten Norm geprüft wurde. Es sagt nicht, dass die Qualitätsmanagement-Anforderungen des AI Act im Sinne der Vermutung abgedeckt sind. Wer das sauber trennt, spart sich später unangenehme Diskussionen.

Praktisch heißt das: Vorhandenes Wissen, vorhandene Prozesse und vorhandene Dokumentation sind ein echter Vorsprung. Nur ist er ein Startvorteil und keine Zielmarke.

Wer mit dem Eigenbeweis allein bleibt

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptClose-up of a stack of official printed regulatory documents with a fountain pen and a round blank seal stamp on a desk, a blurred classical government building in the background, formal mood. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Die Vermutung ist freiwillig, wie oben zitiert. Anbietende können Art. 17 also auch anders erfüllen, müssen dann aber selbst zeigen, wie.

Das ist unsere Einordnung: Mit dem Eigenbeweis bleibt allein, wer ein anderes Qualitätsmanagement-Konzept verfolgt oder EN 18286 schlicht nicht anwendet. Das kann gute Gründe haben, etwa ein gewachsenes, anders aufgebautes System. Es bedeutet nur, dass die Beweislast anders verteilt ist.

Art. 17 Abs. 1 e) kennt diesen Fall ausdrücklich. Zu den Aspekten gehören technische Spezifikationen einschließlich Normen, und für den Fall, dass harmonisierte Normen nicht vollständig angewandt werden oder nicht alle Anforderungen abdecken, die Mittel, mit denen die Anforderungen erfüllt werden sollen. Wer anders vorgeht, muss diese Mittel also beschreiben. Das ist keine Hürde aus Willkür, sondern die logische Kehrseite: Wo die Norm nicht trägt, trägt die eigene Erklärung.

Was trägt im Streitfall? Aus Verteidigungssicht ist das eine nüchterne Frage nach Spuren. Nach Art. 17 Abs. 1 muss das System schriftlich dokumentiert sein, als Strategien, Verfahren und Anweisungen. Dokumentation ist deshalb das Rückgrat. Hilfreich sind aus meiner Sicht vor allem diese Dinge:

• eine nachvollziehbare Beschreibung, wie das eigene System die Aspekte a bis m abbildet,
• eine klare Begründung, warum ein Weg gewählt wurde, der nicht über die harmonisierte Norm läuft,
• eindeutige Zuständigkeiten, damit der Rechenschaftsrahmen nach Buchstabe m mehr ist als eine Überschrift,
• aktuelle Aufzeichnungen, die belegen, dass die beschriebenen Verfahren tatsächlich gelebt werden.

Das ist keine Rechtsberatung, sondern eine Denkhilfe. Ob eine Dokumentation im Einzelfall ausreicht, entscheiden andere, und wir können es nicht vorhersagen.

Auch die Größe spielt hinein. Art. 17 Abs. 2 verlangt eine Umsetzung im angemessenen Verhältnis zur Organisation, ohne dass Strenge und Schutzniveau leiden. Kleinere Anbietende können sich ein schlankes System leisten, aber nicht ein ungeschriebenes.

Und die Gegenseite? Das JTC 21 betont, dass Benannte Stellen und Marktüberwachungsbehörden mit der Norm einen gemeinsamen Bezugspunkt für die Bewertung von Qualitätsmanagement bekommen, der „supports consistent decisions across Member States“. Das ist die Einschätzung des Komitees, keine Garantie. Aber sie zeigt, warum der Normweg attraktiv ist: Wer ihn geht, spricht dieselbe Sprache wie die Prüfenden. Wer ihn nicht geht, muss die Übersetzung selbst liefern.

Hand aufs Herz: Das ist kein Argument für Zwang, sondern für ehrliche Abwägung. Der Eigenbeweis ist machbar. Er kostet nur mehr Erklärung.

Was jetzt noch fehlt

Die erste harmonisierte Norm ist ein Anfang. Das JTC 21 formuliert es selbst so: „EN 18286 is the first deliverable under standardisation request M/613, not the last.“ Weitere Normen sind laut JTC 21 in Arbeit, und zwar zu diesen Themen:

• Risikomanagement,
• Datengovernance und Datenqualität,
• Logging,
• Transparenz,
• menschliche Aufsicht,
• Genauigkeit,
• Robustheit,
• Cybersicherheit,
• Konformitätsbewertung.

Für all diese Felder gibt es bislang keine harmonisierte Norm. Dort bleibt der Eigenbeweis der Normalfall.

Zur Einordnung des Zeitrahmens: Nach Angabe des JTC 21 läuft der geänderte Normungsauftrag bis zum 28. Februar 2027. Mehrere Kernentwürfe werden nach öffentlichen Umfragen überarbeitet. Jede weitere Norm folgt demselben Weg wie EN 18286: Annahme durch CEN und CENELEC, Bewertung durch die Kommission, Zitierung im Amtsblatt. Das sind drei Stationen, und an jeder kann es dauern. Wir bei digital-magazin.de behandeln deshalb jede Aussage über künftige Fundstellen als offen, bis sie im Amtsblatt steht.

Interessant ist ein weiterer Satz des JTC 21: „The application dates for the high-risk rules now depend on support measures such as harmonised standards being available.“ Das ist die Aussage des Komitees, und wir geben sie ohne eigene Datumsangaben wieder. Für die Praxis heißt das: Wann welche Regeln gelten, hängt mit der Verfügbarkeit solcher Unterstützungsmaßnahmen zusammen. Wer sich dafür interessiert, wie solche Verschiebungen in einem anderen Bereich ausgesehen haben, kann nachlesen, wie sich Fristen für Medizin-KI verschoben haben. Konkrete Fristen für Ihr Vorhaben sollten Sie in den aktuellen Rechtstexten prüfen.

Ich finde diesen Zusammenhang wichtig, weil er eine bequeme Annahme dämpft. Man könnte meinen, eine fertige Norm beschleunigt alles. Tatsächlich ist sie ein Baustein unter mehreren, und die übrigen fehlen noch. Das ist kein Grund zur Sorge, aber ein Grund, Planungen nicht auf eine einzige Norm zu stützen.

Was heißt das für Sie?

Das hängt davon ab, wo Sie stehen. Drei Konstellationen lassen sich unterscheiden.

Erstens: Sie sind Anbieter eines Hochrisiko-KI-Systems. Dann betrifft Art. 17 Sie unmittelbar. EN 18286 ist ein anerkannter, freiwilliger Weg, um das Qualitätsmanagement zu strukturieren, und die Vermutung greift nur im Rahmen dessen, was die Norm abdeckt. Alles andere, etwa Risikomanagement oder Logging, bleibt vorerst Ihre eigene Beweisaufgabe.

Zweitens: Sie haben ein System nach ISO 9001 oder ISO/IEC 42001. Dann ist das ein guter Ausgangspunkt, aber kein Ersatz. Die Mappings der Norm helfen beim Erweitern, die Vermutung entsteht dadurch nicht automatisch.

Drittens: Sie setzen KI nur ein. Art. 17 richtet sich an Anbieter, nicht an Betreibende. Für Sie ist EN 18286 deshalb vor allem als Orientierung interessant, etwa wenn Sie bewerten, wie Lieferanten ihre Qualität organisieren.

Als Gedächtnisstütze:

• Prüfen Sie den Durchführungsbeschluss und, wenn Sie die Vermutung nutzen wollen, den kostenpflichtigen Anhang ZA. Genau das rät das JTC 21 für den genauen Umfang.
• Halten Sie fest, welche Aspekte Ihres Systems auf der Norm beruhen und welche nicht.
• Dokumentieren Sie Abweichungen und die Mittel, mit denen Sie Anforderungen anders erfüllen.
• Behandeln Sie Bestandszertifikate als Grundlage, nicht als Nachweis der Vermutung.

Wer erst einmal Überblick über die eigenen Systeme braucht, findet einen Einstieg darin, wie ein KI-Register im Unternehmen pragmatisch startet. Das ersetzt keine Prüfung, schafft aber die Ordnung, auf der jede Prüfung aufbaut. Und noch einmal, damit kein Missverständnis bleibt: Dieser Beitrag ist keine Rechtsberatung. Für Ihren konkreten Fall holen Sie bitte fachlichen Rat ein.

Häufige Fragen

Ist EN 18286 Pflicht?

Nein. Das JTC 21 sagt ausdrücklich, die Vermutung sei freiwillig. Anbietende können Art. 17 auch auf anderen Wegen erfüllen, müssen dann aber selbst nachweisen, wie.

Macht die Norm ein System AI-Act-konform?

Nein. Die Vermutung bezieht sich laut JTC 21 auf die Qualitätsmanagement-Anforderungen aus Art. 17, und nach Art. 40 Abs. 1 nur, soweit die Norm sie abdeckt. Für Risikomanagement, Daten, Logging, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit und Konformitätsbewertung gibt es noch keine harmonisierte Norm.

Reicht ein ISO/IEC-42001-Zertifikat?

Es verschafft für sich keine Konformitätsvermutung. Laut JTC 21 können Organisationen mit einem solchen Zertifikat über die Mappings in den informativen Anhängen auf ihrem System aufbauen und es erweitern, statt neu anzufangen.

Was ist der Unterschied zwischen veröffentlicht und harmonisiert?

CEN und CENELEC veröffentlichen eine Norm. Die Kommission bewertet sie und zitiert, wenn sie dem Normungsauftrag genügt, ihre Fundstelle im Amtsblatt. Erst diese Zitierung gibt der Norm laut JTC 21 Rechtswirkung nach Art. 40 AI Act.

Und jetzt?

Ich mag an dieser Nachricht, dass sie so unaufgeregt ist. Eine Norm, ein Amtsblatt, eine klar umrissene Wirkung. Kein Jubel nötig, kein Schreck. Aber auch kein Anlass, die Sache abzuhaken, denn das meiste Gelände liegt noch vor uns.

Meiner Einschätzung nach werden die nächsten Monate davon geprägt sein, wie Anbietende mit dem Teilschutz umgehen. Nutzen sie ihn als Struktur, ohne ihn zu überschätzen? Dokumentieren sie ehrlich, was die Norm trägt und was nicht? Das ist am Ende eine Frage der Haltung, nicht der Technik.

Wer weiterlesen möchte, findet es in unserem Beitrag dazu, wie die Kommission den AI Act inzwischen durchsetzt. Und wir bei digital-magazin.de bleiben an den weiteren Normen dran, sobald deren Fundstellen im Amtsblatt stehen.

Bleibt eine Frage, die ich Ihnen mitgeben möchte: Wenn jemand fragt, wie Ihr Qualitätsmanagement Art. 17 erfüllt, könnten Sie den Weg dorthin in wenigen Sätzen zeigen?