Die Normenlücke: Worauf zertifizieren Sie, wenn es die Norm noch nicht gibt?

Als die EU-Kommission im Sommer 2026 die Hochrisiko-Pflichten des EU AI Act verschob, war die Begründung ungewöhnlich offen: Die technischen Regeln, an denen sich Unternehmen ausrichten sollten, existierten schlicht noch nicht. Der Normungsauftrag C(2023)3215 an CEN und CENELEC sah eine Lieferung bis zum 30. April 2025 vor. Der Termin verstrich. Der geänderte Auftrag C(2025)3871 setzte den 31. August 2025 an – ebenfalls verstrichen. Im Durchführungsbeschluss vom 23. Juni 2025 hielt die Kommission die „erheblichen Verzögerungen" formal fest.

Für Anbieter und Betreiber von KI-Systemen erzeugt das eine unangenehme Situation: Die Pflichten aus Art. 9 bis Art. 17 stehen unverändert im Gesetz, aber die Landkarte, die zeigt, wie man sie erfüllt, ist erst zu einem Bruchteil gezeichnet. Dieser Beitrag ordnet den tatsächlichen Stand ein – ohne Zertifizierungsversprechen, die derzeit niemand halten kann.

Konformitätsvermutung nach Art. 40 – was sie praktisch wert ist

Art. 40 AI Act ist eine Beweislastregel. Erfüllt ein Hochrisiko-KI-System eine harmonisierte Norm, deren Fundstelle im Amtsblatt der Europäischen Union zitiert wurde, gilt die Vermutung, dass es den entsprechenden gesetzlichen Anforderungen entspricht. Das klingt technisch, ist aber der Unterschied zwischen zwei sehr verschiedenen Gesprächen mit einer Marktüberwachungsbehörde.

Mit zitierter Norm: Sie legen den Nachweis vor, dass Sie normkonform arbeiten. Wer behauptet, das reiche nicht, muss die Lücke konkret darlegen. Die Argumentationslast liegt bei der Behörde.

Ohne zitierte Norm: Sie müssen selbst begründen, warum Ihre Maßnahmen dem Stand der Technik entsprechen und angemessen sind. Es gibt keinen Referenzpunkt, auf den Sie zeigen können. Jede Entscheidung – Chunk-Größe im Retrieval, Schwellenwert einer Evaluation, Aufbewahrungsfrist eines Logs – muss aus Ihrer eigenen Risikoanalyse heraus verteidigt werden.

Deshalb ist die einzig relevante Frage nicht „Gibt es die Norm schon?", sondern „Ist ihre Fundstelle im Amtsblatt zitiert?". Eine veröffentlichte europäische Norm entfaltet für sich genommen keinerlei Rechtswirkung im Sinne des AI Act. Die Vermutungswirkung entsteht ausschließlich durch einen Durchführungsrechtsakt der Kommission, der die Fundstelle im Amtsblatt listet.

Statusübersicht: wo die AI-Act-Normen im Sommer 2026 stehen

Das zuständige Gremium ist CEN/CLC/JTC 21 („Artificial Intelligence"), das unter dem Normungsauftrag M/613 arbeitet. Der Fortschritt ist ungleich verteilt: Ein Entwurf ist durch, mehrere hängen im Umfrageverfahren, einige sind noch nicht einmal dort angekommen.

EN 18286:2026 – die erste fertige AI-Act-Norm

EN 18286:2026 trägt den Titel „Artificial intelligence – Quality management system for EU AI Act regulatory purposes" und adressiert Art. 17 AI Act. Ihr Weg ist gut dokumentiert: Public Enquiry ab Oktober 2025, Annahme im Juni 2026, Ratifizierung durch CEN und CENELEC am 12. Juli 2026, Veröffentlichung als EN 18286:2026. Damit ist sie die erste AI-Act-Norm überhaupt, die Publikationsreife erreicht hat.

Die Norm ist zweistufig aufgebaut. Auf der Organisationsebene regelt sie QMS-Governance, Verantwortung der Leitung, Planung und Ressourcen. Auf der Ebene je KI-System beschreibt sie Lebenszyklus-Prozesse, Risikomanagement, Datenhaltung, Betrieb und Incident Response. Genau diese Zweiteilung ist der Grund, warum sich EN 18286 gut auf bestehende Managementsysteme aufsetzen lässt – und warum sie für Unternehmen mit mehreren KI-Systemen nicht nur einmal, sondern je System durchzudeklinieren ist.

Bemerkenswert konkret ist die Norm bei Meldefristen für schwerwiegende Vorfälle, sobald ein kausaler Zusammenhang zum KI-System plausibel ist:

Vorfallart	Meldefrist	Konsequenz für den Betrieb
Störung kritischer Infrastruktur	2 Tage	Alarmierungskette und Rufbereitschaft müssen am Wochenende tragen
Todesfall	10 Tage	Forensik-Zugriff auf Logs und Modellversion muss sofort möglich sein
Sonstiger schwerwiegender Vorfall	15 Tage	Bewertungsprozess „meldepflichtig ja/nein" muss dokumentiert sein

Die Systematik ist deckungsgleich mit Art. 73 AI Act. Wer die Meldeprozesse jetzt aufsetzt, arbeitet also nicht auf Verdacht, sondern auf eine Struktur hin, die in Gesetz und Norm identisch angelegt ist.

Wichtig: EN 18286 deckt nicht alles ab

Auch nach der Zitierung im Amtsblatt wird EN 18286 nur einen Ausschnitt der Pflichten abdecken. Vermutungswirkung entsteht für Art. 17(1) – die QMS-Pflicht – und für den ersten Satz von Art. 11(1), also den Grundsatz der technischen Dokumentation. Nicht abgedeckt sind Art. 17(2) bis (4) sowie die Post-Market-Monitoring-Pflichten nach Art. 72. Diese Lücken bleiben in der Verantwortung des Anbieters und müssen mit eigenem Nachweis geschlossen werden.

Wer die Norm also als Rundum-Freispruch verkauft bekommt, sollte nachfragen. Sie ist ein tragfähiges Fundament, kein Dach.

Die übrigen Entwürfe

Im Enquiry-Stadium – also in der öffentlichen Umfrage oder kurz danach – stecken unter anderem prEN 18228, prEN 18229-1 und prEN 18282. Sie decken Themen wie Risikomanagement, Trustworthiness-Framework und Konformitätsbewertung ab. Ein realistischer Maßstab für die verbleibende Dauer lässt sich aus EN 18286 ableiten: Von der Public Enquiry im Oktober 2025 bis zur Publikation im Juli 2026 vergingen rund neun Monate. Entwürfe, die im Sommer 2026 im Enquiry stehen, sind damit frühestens im Verlauf des Jahres 2027 publikationsreif – und die Zitierung im Amtsblatt kommt danach.

ISO/IEC 42001: nützlich, aber keine Konformitätsvermutung

In fast jedem Compliance-Gespräch fällt der Satz: „Wir machen ISO 42001, dann sind wir ja durch." Das ist ein Missverständnis mit realen Kosten.

ISO/IEC 42001 ist ein KI-Managementsystem-Standard: organisationsweite Governance, Rollen, Risikoprozesse, kontinuierliche Verbesserung. Er ist gut gemacht und für Unternehmen, die KI systematisch betreiben wollen, eine sinnvolle Investition. Aber er ist keine harmonisierte Norm nach dem AI Act und begründet für sich genommen keine Konformitätsvermutung nach Art. 40.

Eine Stolperfalle ist die Bezeichnung: Es existiert eine europäische Übernahme als EN ISO/IEC 42001. Das „EN" im Titel bedeutet hier lediglich, dass die Norm als europäische Norm übernommen wurde – es bedeutet nicht harmonisiert und schon gar nicht im Amtsblatt zitiert. Wer diesen Unterschied im Audit nicht sauber erklären kann, verliert Glaubwürdigkeit an einer Stelle, an der es teuer wird.

Kriterium	ISO/IEC 42001	EN 18286:2026
Zweck	KI-Managementsystem, organisationsweite Governance	Regulatorisches QMS für Art. 17 AI Act
Harmonisiert nach AI Act	Nein	Vorgesehen – Zitierung offen
Vermutungswirkung Art. 40	Keine	Erst nach OJ-Zitierung, dann Art. 17(1) + Art. 11(1) Satz 1
Zertifizierbar heute	Ja, akkreditierte Stellen verfügbar	Anwendbar, aber ohne Rechtsfolge
Verhältnis zueinander	Komplementär, nicht substituierbar. Annex C von EN 18286 mappt lediglich Klauseln – ausdrücklich „not requirements or concepts".

Die praktische Konsequenz: Wer ISO/IEC 42001 bereits betreibt, sollte das System erweitern statt parallel aufbauen. Rollen, Dokumentenlenkung, interne Audits und Managementbewertung sind bereits vorhanden – ergänzt werden müssen die AI-Act-spezifischen Artefakte je System.

Was Sie stattdessen als Nachweis aufbauen

Die gute Nachricht: Die zentralen Pflichten sind normunabhängig formuliert. Sie lassen sich heute so aufbauen, dass sie bei Zitierung von EN 18286 ohne Strukturbruch zertifizierbar sind.

Art. 9 – Risikomanagement als lebendes Dokument

Der häufigste Fehler ist die Einmal-Risikoanalyse als PDF im Projektordner. Art. 9 verlangt einen kontinuierlichen, iterativen Prozess über den gesamten Lebenszyklus. Praktisch heißt das: ein versioniertes Register mit identifizierten Risiken, bewerteter Eintrittswahrscheinlichkeit und Schwere, getroffener Maßnahme und Restrisiko – mit Datum und verantwortlicher Person je Eintrag. Jede Modellaktualisierung, jede Änderung am Retrieval-Korpus und jeder gemeldete Vorfall erzeugt einen neuen Eintrag.

Art. 11 – technische Dokumentation versioniert führen

Anhang IV listet auf, was hineingehört: Systembeschreibung, Zweckbestimmung, Architektur, Trainings- und Testdaten, Leistungsmetriken, bekannte Limitationen. Wer eine Model Card je eingesetztem Modell führt und diese im selben Repository versioniert wie die Systemkonfiguration, hat den Großteil dieser Anforderung bereits abgedeckt. Entscheidend ist die Nachvollziehbarkeit über die Zeit: Zu jedem Betriebstag muss rekonstruierbar sein, welche Modellversion mit welcher Konfiguration lief.

Art. 12 – Logging revisionssicher und exportierbar

Protokolle müssen automatisch entstehen, über die Lebensdauer des Systems aufbewahrt werden und die Rückverfolgung von Ereignissen ermöglichen. Drei Anforderungen werden regelmäßig unterschätzt: Die Logs müssen manipulationssicher sein (append-only, idealerweise mit Hash-Verkettung), sie müssen exportierbar sein (eine Behörde will kein Screenshot-Dashboard, sondern eine Datei), und sie müssen korrelierbar sein – die Verknüpfung von Anfrage, Modellversion, Retrieval-Quellen und Ausgabe muss über eine gemeinsame ID herstellbar sein.

Art. 15 – Genauigkeit, Robustheit, Validierung

Ein Testlauf vor dem Go-Live reicht nicht. Erforderlich ist eine wiederholbare Validierung mit dokumentierten Metriken und definierten Schwellenwerten. Diese Disziplin gehört ohnehin zu einer belastbaren LLMOps-Praxis: Wenn jeder Modellwechsel automatisch gegen ein festes Evaluationsset läuft und das Ergebnis versioniert abgelegt wird, entsteht der Compliance-Nachweis als Nebenprodukt des normalen Betriebs.

Der doppelte Nachweisdruck bei On-Premise-Betrieb

Eine Klarstellung vorweg, weil sie oft falsch dargestellt wird: On-Premise-Betrieb erzeugt rechtlich keine zusätzlichen Pflichten. Der AI Act verteilt Pflichten rollenbasiert, nicht nach Betriebsmodell.

Der belastbare Aufhänger ist Art. 25. Ein Betreiber wird selbst zum Anbieter – mit voller Anbieterpflicht inklusive Art. 17 QMS und Art. 11 Dokumentation –, wenn er ein System unter eigenem Namen oder eigener Marke in Verkehr bringt, dessen Zweckbestimmung ändert oder es wesentlich verändert. Genau das passiert im Regelbetrieb häufiger als gedacht: Wer ein Open-Weight-Modell im eigenen Rechenzentrum fine-tuned, es unter eigenem Produktnamen an Kollegen oder Kunden ausrollt oder es für einen anderen Zweck einsetzt als vom Hersteller vorgesehen, ist genau in diesem Fall. Es gibt dann keinen Hersteller, an den sich der Nachweis delegieren ließe.

Das ist die eine Hälfte. Die andere ist der Vorteil, der in der Debatte meist untergeht:

• Kein geerbtes Zertifikat, aber auch keine Blackbox. Wer auf einem Hyperscaler aufsetzt, verweist im Audit auf fremde Zertifikate – und kann bei Rückfragen zu Modellgewichten, Trainingsdaten oder Inferenz-Logs nur weiterleiten.
• Logs, Modellversion und Konfiguration liegen im eigenen Haus. Die Nachweise nach Art. 11 und Art. 12 entstehen dort, wo sie auch aufbewahrt und exportiert werden. Keine API-Limits, keine Retention-Policy eines Dritten, keine Abhängigkeit von einem Log-Export-Feature.
• Der Auditor kann tatsächlich in das System schauen. Modellversion, Systemprompt, Retrieval-Korpus, Schwellenwerte – alles inspizierbar. Das ersetzt keine Norm, macht aber die Eigenbegründung nach Art. 40 überhaupt erst führbar.
• Modell-Einfrieren ist möglich. Ein Cloud-Anbieter kann ein Modell hinter derselben API-Bezeichnung austauschen. Wer selbst betreibt, entscheidet, wann eine Version wechselt – und dokumentiert es.

In der Normenlücke, in der die Eigenbegründung die einzige verfügbare Nachweisform ist, ist genau dieser Zugriff das eigentliche Argument für den Eigenbetrieb. Mehr dazu in unserer Übersicht zu On-Premise-KI und Nachweisfähigkeit.

15 Monate als geordnetes Migrationsfenster nutzen

Die Verschiebung kam per Verordnung (EU) 2026/1744 (Digital Omnibus on AI): finale Zustimmung des Rates am 29. Juni 2026, Veröffentlichung im Amtsblatt am 24. Juli 2026, Inkrafttreten am 27. Juli 2026.

Systemkategorie	Alter Stichtag	Neuer Stichtag	Verschiebung
Eigenständige Hochrisiko-Systeme (Anhang III)	2. August 2026	2. Dezember 2027	ca. 16 Monate
Hochrisiko-KI in regulierten Produkten (Anhang I)	2. August 2027	2. August 2028	12 Monate
Verbote nach Art. 5	2. Februar 2025	unverändert in Kraft	–
GPAI-Pflichten	2. August 2025	unverändert in Kraft	–
Transparenzpflichten Art. 50	2. August 2026	2. August 2026	Kennzeichnung: Schonfrist bis 2.12.2026

Zwei Details werden in der Praxis regelmäßig übersehen. Erstens: Art. 4 (KI-Kompetenz) und die Transparenzpflichten nach Art. 50 wurden nicht verschoben – für bereits existierende generative Systeme gilt lediglich eine Schonfrist für die maschinenlesbare Kennzeichnung bis zum 2. Dezember 2026. Zweitens ergänzt der Omnibus ein neues Verbot für nicht-einvernehmliche intime Bilddarstellungen und CSAM mit Übergangsfrist bis zum 2. Dezember 2026.

Vom Spätsommer 2026 bis zum 2. Dezember 2027 bleiben rund 15 Monate. Das ist genug für einen geordneten Aufbau in Quartalsschritten – und zu wenig für einen Endspurt, der im Herbst 2027 beginnt. Ein bewährter Takt: Q4/2026 Rollen und Scope klären (Anbieter oder Betreiber nach Art. 25?), Q1/2027 Risikoregister und Dokumentationsstruktur, Q2/2027 Logging und Vorfallprozess, Q3/2027 Evaluation und internes Audit, Q4/2027 Lückenschluss und Konformitätserklärung. Wenn EN 18286 in dieser Zeit zitiert wird, mappen Sie das Vorhandene auf die Norm – ein Abgleich, kein Neubau.

Eine strukturierte Ausgangsaufnahme liefert unsere AI-Act-Checkliste; die Einordnung der Fristen und Rollen finden Sie im EU-AI-Act-Überblick 2026.

Quellen & Primärbelege

Alle Zahlen, Fristen und Produktangaben in diesem Beitrag wurden vor der Veröffentlichung gegen die folgenden Primärquellen geprüft.

1. CEN-CENELEC: EN in the Spotlight – AI Quality Management (30.07.2026) Ratifizierung von EN 18286:2026 am 12.07.2026, erwartete OJ-Zitierung „später im Jahr 2026"
2. CEN-CENELEC Newsletter: OTS 75 / ANEC Einordnung des Normungsauftrags M/613 und des JTC-21-Arbeitsprogramms
3. EN 18286:2026 – Katalogeintrag (Titel, Status, Umfang) Vollständiger Normtitel „Quality management system for EU AI Act regulatory purposes"
4. Modulos: EN 18286 im Rahmen der harmonisierten AI-Act-Normen Abdeckung Art. 17(1) und Art. 11(1) Satz 1, Lücken bei Art. 17(2)–(4) und Art. 72
5. Lumenova: EN 18286 – Aufbau und Meldefristen Zweistufige Struktur (Organisation / je KI-System), Fristen 2, 10 und 15 Tage
6. Europäische Kommission: AI Omnibus enters into force Verordnung (EU) 2026/1744, OJ 24.07.2026, Inkrafttreten 27.07.2026
7. Praxikon: Digital Omnibus – High-Risk Postponement to December 2027 Neue Stichtage 02.12.2027 (Anhang III) und 02.08.2028 (Anhang I)
8. Gibson Dunn: EU AI Act Omnibus – Postponed High-Risk Deadlines Feste Kalenderdaten statt Stop-the-Clock; unveränderte Pflichten nach Art. 5, 50 und GPAI
9. AI Act Explorer: Standard-Setting Overview Statusübersicht der JTC-21-Entwürfe, Verzögerungschronologie C(2023)3215 / C(2025)3871
10. AI Act Art. 40 – Harmonisierte Normen und Normungsdokumente Wortlaut der Konformitätsvermutung und Bindung an die Zitierung im Amtsblatt
11. Plesner: AI Act August 2026 – Delayed Standards and Pending Guidance Stand August 2026: keine AI-Act-Norm im Amtsblatt zitiert

Häufig gestellte Fragen zu harmonisierten Normen und EN 18286

Bringt mir eine ISO-42001-Zertifizierung jetzt etwas?

Sie schafft Struktur und Vorarbeit, aber keine Konformitätsvermutung nach Art. 40 AI Act. Die Beweislast bleibt bis zur Zitierung einer harmonisierten Norm im EU-Amtsblatt vollständig beim Anbieter. Wer ISO/IEC 42001 bereits betreibt, sollte das Managementsystem um die regulatorischen Anforderungen von EN 18286 erweitern statt ein zweites System parallel aufzubauen.

Wann kommt EN 18286 voraussichtlich?

EN 18286 ist bereits da: Die Norm wurde im Juni 2026 angenommen, am 12. Juli 2026 von CEN und CENELEC ratifiziert und als EN 18286:2026 veröffentlicht. Offen ist die Rechtswirkung: Die Konformitätsvermutung entsteht erst mit Zitierung der Fundstelle im Amtsblatt der EU per Durchführungsrechtsakt. CEN-CENELEC erwartet diese Zitierung später im Jahr 2026, ein Datum ist nicht gesetzt.

Sollten wir mit dem Nachweisaufbau warten?

Nein. Risikomanagement nach Art. 9, technische Dokumentation nach Art. 11 und Logging nach Art. 12 sind normunabhängig gefordert und lassen sich so aufbauen, dass sie bei Zitierung von EN 18286 ohne Umbau zertifizierbar sind. Warten verkürzt nur das verfügbare Zeitfenster bis zum 2. Dezember 2027.

Welcher Stichtag gilt jetzt für Hochrisiko-Systeme?

Für eigenständige Systeme nach Anhang III gilt der 2. Dezember 2027, für produkteingebettete Systeme nach Anhang I der 2. August 2028. Beide Termine stammen aus der Verordnung (EU) 2026/1744 (Digital Omnibus on AI), die am 27. Juli 2026 in Kraft getreten ist. Es sind feste Kalenderdaten, kein an die Normenverfügbarkeit gekoppelter Stop-the-Clock-Mechanismus.