Harmonisierte Normen zum EU AI Act

Wo stehen CEN/CENELEC und was bedeutet die Lücke?

Harmonisierte Normen sind das zentrale Instrument, mit dem die EU Konformität messbar und nachweisbar macht. Wer eine solche Norm einhält, darf davon ausgehen, dass die entsprechenden gesetzlichen Anforderungen erfüllt sind, die sogenannte Konformitätsvermutung. Für den EU AI Act sollte dieses System bis zum Stichtag 2. August 2026 stehen. Es steht nicht. Von rund 40 beauftragten Normen sind die meisten noch in Arbeit, die zentrale QMS-Norm hat die Enquiry-Phase nicht bestanden, und eine Referenzierung im EU-Amtsblatt wird realistisch erst im Laufe des Jahres 2027 erwartet, frühestens im ersten Quartal. Dieser Beitrag ordnet den aktuellen Stand ein und zeigt, wie Unternehmen mit der Normenlücke umgehen können.

Was harmonisierte Normen im EU AI Act bewirken

Art. 40 der KI-Verordnung regelt die Wirkung harmonisierter Normen: Hochrisiko-KI-Systeme, die mit harmonisierten Normen oder Teilen davon übereinstimmen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, genießen eine Konformitätsvermutung in Bezug auf die von diesen Normen abgedeckten Anforderungen. Das Prinzip ist aus der Produktregulierung bekannt: Die Norm übersetzt die abstrakte Verordnungsanforderung in konkrete, prüfbare Kriterien.

Die Konformitätsvermutung ist kein Automatismus. Sie setzt voraus, dass die Norm im EU-Amtsblatt referenziert wird und dass das Unternehmen die Norm tatsächlich anwendet. Sie entbindet nicht von der Pflicht zur Konformitätsbewertung, erleichtert aber deren Durchführung erheblich: Eine Konformitätsbewertungsstelle, die ein System gegen eine harmonisierte Norm prüft, kann auf die normative Spezifikation zurückgreifen, statt die Verordnungsanforderungen selbst interpretieren zu müssen.

Fehlt eine harmonisierte Norm, bleibt die Verordnungsanforderung bestehen, aber der Nachweis wird aufwändiger. Unternehmen müssen dann auf Basis des Verordnungstextes selbst, verfügbarer Leitlinien und allgemeiner Spezifikationen ihre Konformität belegen.

Der Standardisierungsauftrag: JTC 21 und seine Struktur

Die Europäische Kommission hat im Mai 2023 den europäischen Normungsorganisationen CEN und CENELEC einen Standardisierungsauftrag erteilt. Das Joint Technical Committee 21 (JTC 21) wurde mit der Erarbeitung der Normen beauftragt. JTC 21 vereint über 300 Experten aus mehr als 20 Ländern in fünf Arbeitsgruppen und deckt zehn Regelungsbereiche ab: Risikomanagement, Datenqualität, technische Dokumentation, Transparenz und Informationspflichten, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit, Qualitätsmanagementsystem und Konformitätsbewertungsverfahren.

Die ursprüngliche Frist für die Lieferung der Normen war April 2025. Sie wurde mehrfach angepasst, formal zuletzt von der Kommission auf den 31. August 2025. Im Oktober 2025 haben die CEN- und CENELEC-Boards ein Beschleunigungspaket beschlossen, das die Verfügbarkeit der Schlüsselnormen bis Q4 2026 sicherstellen soll. Stand April 2026 ist die Mehrheit der Normen noch in der Entwicklung oder in der Kommentierungsphase, nur ein kleiner Teil hat fortgeschrittene Reifestadien erreicht.

Die Struktur von JTC 21 spiegelt die Architektur der KI-Verordnung: Jede Arbeitsgruppe adressiert ein oder mehrere Kapitel der Verordnung. Das Deutsche Institut für Normung (DIN) betreibt ein nationales Spiegelgremium, das die deutsche Beteiligung koordiniert. Deutsche Unternehmen können über dieses Gremium Einfluss auf die Normgestaltung nehmen, eine Möglichkeit, die insbesondere für Unternehmen relevant ist, die eigene KI-Systeme entwickeln und frühzeitig normkonforme Prozesse aufbauen möchten.

Aktueller Stand: was existiert und was fehlt

Die folgende Übersicht gibt den Stand der wichtigsten Normenvorhaben wieder, soweit er im April 2026 öffentlich dokumentiert ist.

Die zentrale QMS-Norm prEN 18286, die das Qualitätsmanagementsystem nach Art. 17 spezifizieren soll, hat die Enquiry-Phase nicht bestanden. Die öffentliche Enquiry lief vom 30. Oktober 2025 bis 22. Januar 2026. Der Entwurf erreichte weder die erforderliche Mehrheit der zustimmenden nationalen Mitglieder noch das gewichtete Bevölkerungskriterium. 1.288 Kommentare wurden eingereicht und werden im März 2026 in Lösungsvorschlägen aufbereitet, gefolgt von einer finalen Abstimmungsrunde. Der Entwurf umfasst zehn normative Klauseln und fünf informative Anhänge und wurde für Kompatibilität mit ISO 9001, ISO 13485 und ISO 42001 konzipiert. Bei erfolgreicher Publikation und Referenzierung im EU-Amtsblatt würde sie eine Konformitätsvermutung für Art. 17 begründen.

Für die Bereiche Risikomanagement (prEN 18228), Datenqualität und Datasets (prEN 18284), Cybersicherheit (prEN 18282) sowie das AI Trustworthiness Framework (prEN 18229-1/-2) befinden sich Normentwürfe in verschiedenen Stadien der Entwicklung. Einige haben die Enquiry-Phase begonnen, andere sind noch in der Erarbeitungsphase. Keine dieser Normen ist zum Stand April 2026 im EU-Amtsblatt referenziert. Die Normen prEN 18281 (Evaluierung von Computer-Vision-Systemen) und prEN 18288 (Taxonomie der KI-Aufgaben in Computer Vision) adressieren spezifische technische Bereiche, die für Hochrisiko-KI in Biometrie und kritischer Infrastruktur relevant sind.

Das Gesamtbild ergibt eine erhebliche Diskrepanz zwischen dem Regulierungsanspruch und der normativen Unterfütterung. Von den rund 40 geplanten technischen Normen sind nur wenige in einem fortgeschrittenen Stadium. Ein erheblicher Teil wird voraussichtlich erst nach dem Stichtag 2. August 2026 fertiggestellt. Die realistische Einschätzung: Die ersten harmonisierten Normen werden frühestens im ersten Quartal 2027 im EU-Amtsblatt referenziert.

Für Unternehmen bedeutet das einen Zeitraum von mehreren Monaten nach dem Stichtag, in dem sie Konformität ohne formale Normunterstützung nachweisen müssen. Die Marktüberwachungsbehörden werden in diesem Zeitraum ebenfalls ohne normativen Prüfmaßstab arbeiten, was die Frage aufwirft, an welchen Kriterien sie die Konformität messen werden. Die wahrscheinliche Antwort: am Verordnungstext selbst, an verfügbaren Leitlinien der Kommission und an den Erwägungsgründen der Verordnung, die die Absicht des Gesetzgebers dokumentieren.

Warum prEN 18286 gescheitert ist und was das signalisiert

Das Scheitern der QMS-Norm prEN 18286 in der Enquiry-Abstimmung Anfang 2026 ist kein isolierter Vorfall, sondern symptomatisch für die Herausforderungen des Normungsprozesses. Drei Faktoren spielen eine Rolle.

Erstens die Komplexität der Materie. Art. 17 verlangt ein QMS, das über zehn Komponenten abdeckt und mit sektoralen Anforderungen verzahnt werden muss. Eine einzelne Norm, die dies leisten soll und gleichzeitig branchenübergreifend anwendbar ist, stößt an die Grenzen der traditionellen Normenlogik.

Zweitens die Interessenvielfalt. JTC 21 vereint Vertreter aus Industrie, Wissenschaft, Zivilgesellschaft und Normungsinstituten. Die 1.288 Kommentare zum prEN 18286-Entwurf spiegeln divergierende Erwartungen: Die Industrie wünscht sich praxisnahe, schlanke Anforderungen; Zivilgesellschaft und Wissenschaft fordern substanzielle Prüfpflichten; nationale Normungsinstitute bringen jeweils eigene Traditionen und Systemverständnisse ein.

Drittens die Repräsentationsfrage. Kritiker bemängeln, dass der Prozess strukturell Großunternehmen begünstigt, da Teilnahmekosten und zeitlicher Aufwand als Zugangsbarrieren wirken. JTC 21 hat darauf mit einer Task Group on Inclusiveness reagiert, die KMU, NGOs und weitere Stakeholder gezielt einbinden soll, etwa über dedizierte Newsletter, Workshops und Surveys.

Die Revision von prEN 18286 wird diese Spannungen adressieren müssen. Eine Veröffentlichung bis Q4 2026 ist das erklärte Ziel von CEN/CENELEC, eine Referenzierung im EU-Amtsblatt aber erst danach möglich.

Was passiert ohne harmonisierte Normen?

Die Abwesenheit harmonisierter Normen zum Stichtag 2. August 2026 bedeutet nicht, dass die Verordnung nicht anwendbar ist. Die materiellen Anforderungen gelten unabhängig von der Verfügbarkeit von Normen. Drei Instrumente stehen Unternehmen zur Verfügung.

Erstens die direkte Anwendung des Verordnungstextes. Art. 9 bis 15 und Art. 17 sind hinreichend konkret, um Anforderungen abzuleiten und ein Compliance-System aufzubauen. Die Detailtiefe reicht nicht an eine Norm heran, aber die Pflichten sind bestimmbar.

Zweitens die allgemeinen Spezifikationen nach Art. 41. Die Kommission kann „Common Specifications“ erlassen, wenn keine harmonisierten Normen vorliegen oder wenn bestehende Normen als unzureichend bewertet werden. Diese Spezifikationen haben eine ähnliche Vermutungswirkung wie harmonisierte Normen. Ob und wann die Kommission von dieser Möglichkeit Gebrauch macht, ist Stand April 2026 noch offen.

Drittens die Nutzung internationaler Standards als Orientierung. ISO 42001 (KI-Managementsysteme) und ISO/IEC 23894 (KI-Risikomanagement) bieten strukturelle Orientierung, die den Anforderungen der KI-Verordnung nahekommt. Sie sind nicht harmonisiert und begründen keine formale Konformitätsvermutung. Aber sie bieten eine belastbare Grundlage für den Nachweis, dass ein Unternehmen systematisch und nach anerkannten Methoden vorgeht. Eine Konformitätsbewertungsstelle wird ein Unternehmen, das nach ISO 42001 zertifiziert ist, anders bewerten als eines ohne jede Management-System-Struktur.

ISO 42001 überlappt substanziell mit den Anforderungen des AI Act, deckt aber bewusst nicht alle Aspekte ab. JTC 21 stellt im Rahmen seines Inclusiveness Newsletter klar, dass ISO 42001 nicht den vollständigen Satz an QMS-Anforderungen der Verordnung abbildet. Genau diese Lücke soll prEN 18286 schließen. Was bei ISO 42001 fehlt, sind die EU-spezifischen Detailanforderungen, etwa die konkreten Vorgaben zu Datenqualität nach Art. 10, die Aufzeichnungspflichten nach Art. 12 oder die spezifischen Transparenzanforderungen nach Art. 13. CEN/CENELEC adaptiert die internationalen ISO-Normen gezielt in den EU-regulatorischen Kontext hinein. Die harmonisierten Normen werden also auf ISO-Grundlagen aufbauen, diese aber um EU-spezifische Anforderungen erweitern. Unternehmen, die heute ISO 42001 implementieren, schaffen damit eine Grundlage, die bei Erscheinen der harmonisierten Normen relativ leicht erweitert werden kann.

Schätzungen aus der Beratungspraxis veranschlagen die laufenden Kosten für ein vollständiges KI-Compliance-System je nach Unternehmensgröße, Anzahl der Hochrisiko-Systeme und Reifegrad bestehender Management-Systeme im sechsstelligen Bereich pro Jahr. Für KMU sind diese Kosten besonders relevant, ein Aspekt, den die Verordnung durch Proportionalitätsklauseln und den bevorzugten Zugang zu Reallaboren adressiert, der aber in der Praxis durch fehlende normative Orientierung verschärft wird.

Digital Omnibus und die Fristendebatte

Die Normenlücke ist einer der Treiber der politischen Debatte um den Digital Omnibus. Der Vorschlag der Kommission vom 19. November 2025 sieht vor, die Anwendung der Hochrisiko-Pflichten an die Verfügbarkeit von Compliance-Support zu koppeln: harmonisierte Normen, allgemeine Spezifikationen oder Leitlinien. Stehen diese nicht rechtzeitig zur Verfügung, verschiebt sich die operative Anwendung, mit harten Backstop-Daten am 2. Dezember 2027 für eigenständige Hochrisiko-Systeme (Annex III) und am 2. August 2028 für KI in regulierten Produkten (Annex I).

Diese Mechanik schafft einen direkten Zusammenhang zwischen dem Normungstempo und der Compliance-Frist. Das Europäische Parlament hat seine Position am 26. März 2026 mit großer Mehrheit angenommen (569:45:23). Der zweite politische Trilog am 28. April 2026 endete jedoch ohne Einigung; ein weiterer Trilog war für Mitte Mai 2026 angesetzt. Sollte der Digital Omnibus nicht vor dem 2. August 2026 verabschiedet werden, gilt der ursprüngliche Stichtag der Verordnung. Unternehmen sollten beide Szenarien planen: den unveränderten Stichtag 2. August 2026 und eine mögliche Verschiebung mit Backstop. Die sicherere Strategie ist, auf den früheren Termin hinzuarbeiten und eine eventuelle Verschiebung als zusätzliche Zeit für Optimierung zu nutzen.

Fazit: die Normenlücke als Managemententscheidung

Die Normenlücke ist real und wird zum Stichtag 2. August 2026 nicht geschlossen sein. Für Unternehmen ist das keine ausweglose Situation, aber es erfordert eine bewusste Managemententscheidung über den Compliance-Ansatz.

Drei Handlungsempfehlungen ergeben sich.

• Erstens: Nicht auf harmonisierte Normen warten. Die Anforderungen der Verordnung sind bestimmbar, ISO 42001 bietet eine belastbare Struktur und die sektoralen Orientierungshilfen geben Richtung.
• Zweitens: Den Normungsprozess beobachten. Sobald prEN 18286 oder andere Normen publiziert werden, sollte das eigene QMS darauf abgeglichen werden, die Norm wird zum Prüfmaßstab der Aufsicht, auch wenn die formale Konformitätsvermutung erst mit der OJEU-Referenzierung greift.
• Drittens: Die Beteiligung am Normungsprozess erwägen. Über die nationalen Spiegelgremien können Unternehmen die Gestaltung der Normen beeinflussen und frühzeitig Einblick in die Entwicklungsrichtung gewinnen.

Die Normenlücke ist ein Umsetzungsrisiko, aber kein Compliance-Hindernis. Sie erhöht den Aufwand für den Konformitätsnachweis, macht ihn aber nicht unmöglich.