ISO/IEC 42001 und EN 18286 sind keine Konkurrenten: Die eine ist ein weltweit zertifizierbares KI-Managementsystem, die andere ein Qualitätsmanagementsystem, das gezielt die Pflichten des EU AI Act für Anbieter von Hochrisiko-KI umsetzt. Wer das verwechselt, baut im schlimmsten Fall das falsche System auf.
Seit Juli 2026 ist EN 18286:2026 als erste europäische Norm zur Umsetzung des AI Act veröffentlicht. Damit stellen sich viele Unternehmen die Frage: Reicht unser ISO-42001-System, brauchen wir zusätzlich EN 18286 – oder sogar nur diese? Dieser Beitrag ordnet beide Normen ein, zeigt die Unterschiede und gibt eine klare Empfehlung.
ISO/IEC 42001: das KI-Managementsystem für jede Organisation
ISO/IEC 42001 beschreibt ein KI-Managementsystem (AIMS), mit dem eine Organisation den verantwortungsvollen Umgang mit KI steuert – egal ob sie KI entwickelt, anbietet oder nur nutzt. Die Norm folgt der bekannten Harmonized Structure und lässt sich deshalb gut mit ISO 9001 oder ISO/IEC 27001 kombinieren.
Kern der Norm sind KI-Risikobeurteilung, KI-Folgenabschätzung und ein Katalog von Controls in Anhang A. Sie ist international anerkannt und regulierungsneutral: Sie verweist nicht auf ein bestimmtes Gesetz, sondern auf die Ziele und den Kontext der Organisation.
Für die Zertifizierung gibt es seit Juli 2025 mit IEC/IEC 42006 eine eigene Norm für Zertifizierungsstellen. Sie ergänzt ISO/IEC 17021-1 um KI-spezifische Anforderungen und ist die Grundlage für akkreditierte ISO-42001-Zertifikate.
EN 18286: das Qualitätsmanagementsystem für den EU AI Act
EN 18286:2026 („Künstliche Intelligenz – Qualitätsmanagementsystem für EU-AI-Act-Regulierungszwecke“) setzt Artikel 17 des AI Act um, also die Pflicht von Anbietern von Hochrisiko-KI-Systemen, ein dokumentiertes Qualitätsmanagementsystem zu betreiben; die deutsche Fassung ist als DIN EN 18286:2026-09 erschienen.
Die Norm richtet sich an Anbieter, nicht an reine Betreiber (Nutzer) von KI. Sie fordert unter anderem: Ermittlung aller anwendbaren AI-Act-Anforderungen je KI-System, Risikomanagement über den gesamten Lebenszyklus, technische Dokumentation, Datenmanagement, Lieferantensteuerung, Änderungsmanagement, Marktbeobachtung nach dem Inverkehrbringen und die Meldung schwerwiegender Vorfälle.
Wichtig zum Status: Stand Oktober 2026 ist die Norm noch nicht im Amtsblatt der EU gelistet. Erst mit dieser Listung entsteht die Konformitätsvermutung nach Artikel 40 AI Act – laut Anhang ZA dann für Artikel 17 Absatz 1 und Teile von Artikel 11. Zugleich hat der Digital Omnibus die Pflichten für eigenständige Hochrisiko-KI nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 verschoben.
ISO/IEC 42001 vs. EN 18286: die Unterschiede auf einen Blick
Der entscheidende Unterschied:
ISO/IEC 42001 fragt „Steuern wir KI verantwortungsvoll?“,
EN 18286 fragt „Erfüllt unser Hochrisiko-KI-System nachweisbar den AI Act?“.
| Kriterium | ISO/IEC 42001 | EN 18286 |
|---|---|---|
| Art der Norm | KI-Managementsystem (AIMS) | Qualitätsmanagementsystem (QMS) für den AI Act |
| Herausgeber | ISO/IEC (international) | CEN-CENELEC (europäisch) |
| Regulierung | regulierungsneutral | direkt auf Artikel 17 AI Act zugeschnitten |
| Zielgruppe | alle Organisationen, die KI entwickeln, anbieten oder nutzen | Anbieter von KI-Systemen, vor allem Hochrisiko-KI |
| Blickwinkel | Organisation und Governance | einzelnes KI-System und sein Lebenszyklus |
| Schutzziele | von der Organisation festgelegt | Gesundheit, Sicherheit, Grundrechte |
| Typische Inhalte | Risikobeurteilung, Folgenabschätzung, Controls (Anhang A) | technische Dokumentation, Marktbeobachtung, Vorfallmeldung, Lieferanten, Änderungen |
| Rechtswirkung | keine Konformitätsvermutung | Konformitätsvermutung nach Listung im Amtsblatt |
| Geltungsbereich | weltweit | EU-Markt |
| Struktur | Harmonized Structure, Kapitel 4–10 | Kapitel 4–10, Zuordnung zu ISO 9001 (Anhang B) und ISO/IEC 42001 (Anhang C) |
Anhang C von EN 18286 ordnet die Kapitel beider Normen einander zu, begründet aber ausdrücklich keine Gleichwertigkeit.
Ein ISO-42001-System deckt viel ab, aber nicht automatisch die AI-Act-Pflichten.
Zertifizierung: ISO/IEC 42001 vs. EN 18286?
Für eine klassische, akkreditierte Managementsystem-Zertifizierung eignet sich heute ISO/IEC 42001 deutlich besser. Mit ISO/IEC 17021-1 und ISO/IEC 42006 gibt es ein vollständiges Regelwerk für Zertifizierungsstellen, und akkreditierte Zertifikate werden international anerkannt.
Bei EN 18286 ist die Lage anders. Der rechtlich relevante Nachweis entsteht nicht über ein freiwilliges Zertifikat, sondern über das Konformitätsbewertungsverfahren des AI Act – je nach System als interne Kontrolle (Anhang VI) oder mit Bewertung des QMS durch eine benannte Stelle (Anhang VII). Ein eigenes Akkreditierungsprogramm für freiwillige EN-18286-Zertifikate, vergleichbar mit ISO/IEC 42006, gibt es bislang nicht.
Das heißt für die Praxis:
- ISO/IEC 42001 ist das Zertifikat für Marktvertrauen, Ausschreibungen und Kundenanforderungen – heute verfügbar und international anerkannt.
- EN 18286 ist der Weg zur Rechtskonformität für Hochrisiko-KI. Sein Wert zeigt sich im Konformitätsbewertungsverfahren und bei der Marktaufsicht.
- Ein Audit gegen EN 18286 (als Vorbereitung auf eine benannte Stelle) ist trotzdem sinnvoll, ersetzt aber nicht die gesetzliche Konformitätsbewertung.
Empfehlung: Wann ist ISO 42001, wann EN 18286 sinnvoll?
Die Wahl hängt vor allem an einer Frage: Sind Sie Anbieter eines Hochrisiko-KI-Systems im Sinne des AI Act?
| Ihre Situation | Empfehlung |
|---|---|
| Sie nutzen KI nur intern (Betreiber), z. B. Chatbots oder Assistenzsysteme | ISO/IEC 42001 |
| Sie entwickeln oder vertreiben KI ohne Hochrisiko-Einstufung | ISO/IEC 42001 |
| Kunden oder Ausschreibungen verlangen einen Nachweis zur KI-Governance | ISO/IEC 42001 (zertifiziert) |
| Sie sind international tätig, auch außerhalb der EU | ISO/IEC 42001 als Basis |
| Sie bringen ein Hochrisiko-KI-System in der EU in Verkehr | EN 18286 – Pflicht nach Artikel 17, idealerweise auf ISO/IEC 42001 aufgebaut |
| Sie haben bereits ISO 9001, ISO 13485 o. ä. | EN 18286 in das bestehende QMS integrieren |
Für Hochrisiko-Anbieter ist die Kombination der beste Weg: ISO/IEC 42001 als organisationsweites Governance-Fundament und Zertifikat, EN 18286 als Erweiterung um die AI-Act-spezifischen Prozesse. Beide nutzen dieselbe Grundstruktur, sodass ein integriertes System mit gemeinsamen Audits, Managementbewertungen und Dokumenten möglich ist.
Zeitlich gilt: Die Hochrisiko-Pflichten nach Anhang III greifen ab dem 2. Dezember 2027.
Wer jetzt mit ISO/IEC 42001 startet, verkürzt den Weg zu EN 18286 erheblich.
Häufige Fragen zu ISO/IEC 42001 und EN 18286
Ersetzt EN 18286 die ISO 42001? Nein. EN 18286 ergänzt ein KI-Managementsystem nach ISO/IEC 42001 um die Qualitätsmanagement-Pflichten des EU AI Act. Anhang C der Norm ordnet beide Normen einander zu, ohne sie gleichzusetzen.
Brauche ich EN 18286, wenn ich KI nur nutze? In der Regel nicht. EN 18286 richtet sich an Anbieter von KI-Systemen, vor allem von Hochrisiko-KI. Für Betreiber ist ISO/IEC 42001 meist der passende Rahmen.
Kann man sich nach EN 18286 zertifizieren lassen? Ein etabliertes, akkreditiertes Zertifizierungsprogramm wie bei ISO/IEC 42001 gibt es derzeit nicht. Der rechtliche Nachweis erfolgt über die Konformitätsbewertung nach dem AI Act.
Ab wann gilt der AI Act für Hochrisiko-KI? Für eigenständige Hochrisiko-KI-Systeme nach Anhang III gelten die Pflichten nach dem Digital Omnibus ab dem 2. Dezember 2027.
Bietet ISO 42001 eine Konformitätsvermutung nach dem AI Act? Nein. Eine Konformitätsvermutung kann nur eine im EU-Amtsblatt gelistete harmonisierte Norm wie künftig EN 18286 auslösen.
Fazit: ISO 42001 als Fundament, EN 18286 für Hochrisiko-KI
ISO/IEC 42001 ist die richtige Wahl für fast jede Organisation, die KI einsetzt, und die einzige der beiden Normen mit einem etablierten, akkreditierten Zertifizierungsweg. EN 18286 ist kein Ersatz, sondern die Pflichtergänzung für Anbieter von Hochrisiko-KI im EU-Markt. Wer beides braucht, baut ein integriertes System – mit ISO/IEC 42001 als Fundament.
Ihr nächster Schritt
Sie möchten wissen, welche Norm für Ihr Unternehmen die richtige ist – oder wie Sie beide sinnvoll verbinden? Wir unterstützen Sie auf dem gesamten Weg:
- KI-Seminare: Kompaktes Wissen zu ISO/IEC 42001, EN 18286 und dem EU AI Act für Führungskräfte, Beauftragte und Auditoren. Zu unseren Seminaren
- Managementsysteme aufbauen und weiterentwickeln: Vom Einstieg in ein KI-Managementsystem bis zur Integration in Ihr bestehendes ISO-9001- oder ISO-27001-System. Mehr zu Managementsystemen
- Zertifizierung: Unabhängige Audits und Zertifizierung Ihres Managementsystems. Zu unseren Zertifizierungsangeboten
Sprechen Sie uns an – wir finden gemeinsam den passenden Weg für Ihre KI-Governance. Jetzt Kontakt aufnehmen
Hinweis: Dieser Beitrag gibt den Stand vom Oktober 2026 wieder. Die Listung von EN 18286 im EU-Amtsblatt steht noch aus.
#ISO42001 #EN18286 #EUAIAct #KIVerordnung #KünstlicheIntelligenz #KIGovernance #Managementsystem #Qualitätsmanagement #Zertifizierung #HochrisikoKI #Compliance #AIMS
Hinweis:
Blogpost und Grafik wurde mit KI-Unterstützung erstellt.