Macht ISO 42001 mich AI-Act-konform? Harmonisierte Normen erklärt

Nachtrag vom 15. Oktober 2026. Geschrieben habe ich diesen Text im Juni, als EN 18286 noch in Entwicklung war. Am 12. Juli 2026 fiel die förmliche Abstimmung, seit dem 1. September liegt die deutsche Fassung als DIN EN 18286:2026-09 vor. Im Nachtrag vom 16. September stand hier noch, die Listung im Amtsblatt stehe aus. Seit dem 14. Oktober 2026 ist sie da: Durchführungsbeschluss (EU) 2026/2274 vom 12. Oktober 2026, in Kraft am Tag der Veröffentlichung. Dabei habe ich zwei Aussagen der ersten Fassung richtiggestellt. EN 18286 ist keine Norm für KI-Managementsysteme, ihr Gegenstand ist das Qualitätsmanagementsystem der Anbieter von Hochrisiko-KI-Systemen. Und sie bildet nicht den vollen Satz der Anforderungen des AI Act ab: Der Beschluss führt sie als Nummer 9 eines Normungsauftrags, der mehrere Normen umfasst. Text, Tabelle und Fragen unten nennen den Stand vom 15. Oktober 2026.

Viele hören „ISO 42001“ und denken: dann bin ich beim EU AI Act auf der sicheren Seite. So einfach ist es nicht. Und um gleich mit einem zweiten Irrtum aufzuräumen: Eine ISO 42001:2026 gibt es nicht, die aktuelle und einzige Ausgabe ist die von 2023.

ISO/IEC 42001:2023, und keine 2026-Version

Die Norm steht bei ISO auf Stage 60.60, das bedeutet schlicht: veröffentlichte Internationale Norm, aktuell gültig. Was Ihnen als „EN ISO/IEC 42001“ begegnet, ist nur die europäische Übernahme desselben Textes in den EN-Katalog. Die Jahreszahl darin steht für das Jahr der europäischen Ratifizierung, nicht für eine neue, inhaltlich geänderte Edition. Wer eine frische Norm-Version verspricht, irrt.

Was Vermutungswirkung (Artikel 40) bedeutet

Der AI Act arbeitet mit der sogenannten Vermutungswirkung: Wer eine harmonisierte Norm erfüllt, deren Fundstelle im Amtsblatt der EU veröffentlicht ist, gilt als konform mit den zugehörigen Anforderungen des Gesetzes. Das ist eine echte Beweislast-Erleichterung. Aber sie hängt an genau diesem Wort: harmonisiert.

Warum ISO 42001 die Wirkung allein nicht hat

ISO/IEC 42001 ist eine internationale Norm außerhalb des EU-Harmonisierungsprozesses und deckt nicht jede Anforderung des AI Act ab. Harmonisierte Normen zum AI Act erarbeiten CEN und CENELEC im Gremium JTC 21, im Auftrag der Kommission. Die erste davon ist seit dem 14. Oktober 2026 gelistet: EN 18286:2026, mit dem Durchführungsbeschluss (EU) 2026/2274. Bis heute ist sie die einzige.

Was EN 18286 regelt, und was nicht

Ihr Gegenstand ist das Qualitätsmanagementsystem der Anbieter von Hochrisiko-KI-Systemen, einschließlich der Beobachtung nach dem Inverkehrbringen. So steht es in Erwägungsgrund 3 des Beschlusses. Das ist die Pflicht aus Artikel 17. Eine Norm für KI-Managementsysteme im Sinn von ISO/IEC 42001 ist sie nicht, und sie richtet sich an Anbieter, nicht an Betreiber.

Wie weit die Vermutung für Artikel 17 trägt, ist eine offene Auslegungsfrage. Artikel 40 Absatz 1 knüpft die Vermutung bei Hochrisiko-KI-Systemen an die Anforderungen in Kapitel III Abschnitt 2, das sind die Artikel 8 bis 15 vom Risikomanagement bis zur Cybersicherheit. Artikel 17 steht in Abschnitt 3. Welche Artikel die Norm abdeckt, sagt der Beschluss nicht. Anwendbar wird Artikel 17 ohnehin erst mit den Hochrisiko-Pflichten: ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I, Artikel 113 Absatz 3 Buchstabe c.

Was das praktisch heißt

Trotzdem ist ISO 42001 jetzt der richtige Schritt. Die Bausteine sind dieselben, die der AI Act verlangt: KI-Risiken kennen und behandeln, Rollen und Kontrollen festlegen, den Betrieb überwachen. Wer das heute aufbaut, hat die Substanz stehen. Wer Hochrisiko-KI-Systeme anbietet, gleicht sein System mit EN 18286 ab, und das ist ein Delta, kein Neustart. Wer auf weitere harmonisierte Normen wartet, baut am Ende doppelt und unter Zeitdruck. Wie Sie sauber starten, klären wir im kostenlosen Erstgespräch.