EU AI Act: Harmonisierte Normen veröffentlicht – Umsetzung von EN ISO/IEC 42001 und EN 18286

Die Veröffentlichung der ersten harmonisierten Normen im Amtsblatt durch die Europäische Kommission markiert einen Wendepunkt bei der Durchsetzung des EU AI Act. Für Chief AI Officers (CAIOs), Leiter der KI-Governance und Compliance-Verantwortliche ist der Übergang von abstrakten Gesetzestexten zu technischer Konformität nun offiziell eingeleitet.

Harmonisierte Normen, die unter Artikel 40 des EU AI Act verabschiedet wurden, bieten Betreibern und Anbietern einen entscheidenden rechtlichen Mechanismus: die Konformitätsvermutung. Die Einhaltung dieser europäischen Normen verschafft Organisationen eine direkte, rechtlich belastbare Grundlage, um die Einhaltung der entsprechenden verbindlichen gesetzlichen Verpflichtungen der Verordnung nachzuweisen.

Dieser Leitfaden erläutert, was diese Normen abdecken, für wen sie gelten, welche operativen Risiken bei Untätigkeit drohen und wie RiskOnyx eine kontinuierliche, automatisierte Einhaltung ermöglicht.

Was sind die harmonisierten Normen?

Im Rahmen des Normungsauftrags der Europäischen Kommission an CEN und CENELEC (JTC 21) standardisiert Europa technische Grundlagen in den Bereichen Qualitätsmanagement, Daten-Governance, Cybersicherheit und Risikomanagement. Zwei grundlegende Säulen stehen im Mittelpunkt dieser Veröffentlichung:

1. EN ISO/IEC 42001:2025 (Managementsystem für künstliche Intelligenz - AIMS)

   • Die Grundlage: Veröffentlicht und zitiert, um die Rechenschaftspflicht auf Führungsebene, Governance-Strukturen, betriebliche Richtlinien und systemische Kontrollen über den gesamten KI-Lebenszyklus hinweg zu unterstützen.
   • Geltungsbereich: Etabliert organisatorische Prozesse für KI-Risikobewertung, Systemverfolgung, Kompetenzmanagement und operative Kontrollen.

2. EN 18286 (KI-Konformitätsbewertung und betriebliche Anforderungen)

   • Die technische Brücke: Von CEN-CENELEC entwickelt, um technische Bewertungen, Testmethoden und Verifizierungsprotokolle zu operationalisieren, die speziell auf die europäischen regulatorischen Erwartungen zugeschnitten sind.
   • Geltungsbereich: Verbindet übergeordnete Managementverpflichtungen mit konkreten Kontrollpunkten der Konformitätsbewertung, Formaten für die technische Dokumentation und messbaren Kontrollnachweisen.

Zusammen überführen EN ISO/IEC 42001 und EN 18286 die Hochrisikoverpflichtungen nach Anhang III und allgemeine Governance-Erwartungen in einen strukturierten technischen Leitfaden.

Für wen gelten diese Normen?

Diese harmonisierten Normen betreffen unmittelbar jede Organisation, die im Markt der Europäischen Union für KI tätig ist:

• Anbieter von Hochrisiko-KI-Systemen (Anhang III & Anhang I): Organisationen, die Modelle entwickeln oder anpassen, die in kritischen Infrastrukturen, im Beschäftigungswesen, bei der Bonitätsprüfung, bei den Strafverfolgungsbehörden oder in der Biometrie eingesetzt werden. Der Nachweis der Konformität über harmonisierte Normen ist der schnellste Weg zur CE-Kennzeichnung und zum Bestehen von Konformitätsbewertungen.
• Nachgelagerte Betreiber (Unternehmen & Finanzinstitute): Organisationen, die kommerzielle oder angepasste KI-Systeme intern einsetzen. Nach Artikel 26 müssen Betreiber den Systembetrieb überwachen, Herstelleranweisungen befolgen, Protokolle führen und die Transparenz am Arbeitsplatz sicherstellen.
• Anbieter von Modellen mit allgemeinem Verwendungszweck (GPAI): Teams, die Basismodelle entwickeln oder hosten, müssen ihre systemischen Risikokontrollen und technischen Bewertungen anhand überprüfbarer Prüfmethoden belegen.
• Chief AI Officers und Governance-Ausschüsse: Verantwortliche Führungskräfte, die gegenüber Vorständen und externen Prüfern bestätigen müssen, dass organisatorische KI-Systeme innerhalb prüfbarer Parameter arbeiten.

Risiken bei Nichtumsetzung harmonisierter Normen

Der Betrieb ohne ein abgestimmtes KI-Managementsystem und ohne technische Konformitätsstruktur birgt erhebliche betriebliche Schwachstellen:

• Keine Konformitätsvermutung: Ohne Anwendung harmonisierter Normen trägt Ihre Organisation die Beweislast dafür, dass alternative technische Spezifikationen jede Klausel des EU AI Act erfüllen. Dies erhöht die Auditkomplexität, Kosten und zeitliche Verzögerungen erheblich.
• Hindernisse bei der Unternehmensbeschaffung: Unternehmenskunden und europäische Geschäftspartner integrieren Zertifizierungsanforderungen nach EN ISO/IEC 42001 bereits in Ausschreibungsverfahren und Risikoprüfungen von Anbietern.
• Sanktionen bei Nichteinhaltung: Das Versäumnis, zwingende Anbieter- und Betreiberpflichten zu erfüllen, setzt Organisationen Strafen nach Artikel 99 von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes aus.
• Fragmentierte Nachweissilos: Statische Richtliniendokumente und Tabellenkalkulationen genügen den Anforderungen an die Marktüberwachung und die Konformitätsprüfung nicht. Aufsichtsbehörden verlangen lückenlose, prüfbare Betriebsprotokolle.

Was Sie jetzt tun sollten: Ein 4-Stufen-Plan

Falls Ihre Organisation EN ISO/IEC 42001 und EN 18286 noch nicht operationalisiert hat, setzen Sie folgende Schritte um:

1. Ein automatisiertes Systeminventar aufbauen

Nur was überprüfbar ist, lässt sich steuern. Erfassen Sie jedes KI-Modell, jede externe API-Integration, RAG-Pipeline und jedes individuell trainierte Modell im gesamten Unternehmen. Dokumentieren Sie Datenherkunft, Verwendungszweck, Risikoklasse und die zugewiesenen internen Verantwortlichen.

2. Bestehende Rahmenwerke mit Normklauseln abgleichen

Gleichen Sie vorhandene Unternehmenszertifizierungen (wie ISO/IEC 27001, SOC 2 oder NIST CSF) mit den Klauseln der EN ISO/IEC 42001 und den Prüfkontrollen der EN 18286 ab. Ermitteln Sie, wo bestehende Sicherheits- und Datenkontrollen ausreichen und wo KI-spezifische Lücken bestehen – insbesondere bei Prompt-Bewertung, kontinuierlicher Drift-Überwachung und Fairness-Tests.

3. Von statischen Richtlinien zu Laufzeitkontrollen übergehen

Übertragen Sie regulatorische Vorgaben in maschinell durchsetzbare Leitplanken. Richten Sie die automatisierte Protokollierung von Ein- und Ausgaben ein, aktivieren Sie Filter gegen Prompt-Injections und etablieren Sie formelle Human-in-the-Loop-Eingriffsprotokolle.

4. Kontinuierliche Nachweiserfassung für Audits etablieren

Konformitätsbewertungen unter dem EU AI Act sind kontinuierliche Prozesse. Ersetzen Sie punktuelle Quartalsprüfungen durch automatisierte Nachweiserfassung, die Logs, Bewertungsmetriken und Genehmigungsprotokolle in einem prüfbaren Nachweisregister konsolidiert.

Harmonisierte Normen mit RiskOnyx operationalisieren

RiskOnyx wurde entwickelt, um den manuellen Aufwand bei der Einhaltung des EU AI Act zu eliminieren. Anstatt statische PDFs oder unübersichtliche Tabellen zu verwalten, bietet RiskOnyx ein KI-natives Compliance-Betriebssystem:

• Automatisierte Zuordnung von Normen zu Pflichten: RiskOnyx zerlegt EN ISO/IEC 42001, EN 18286 und den EU AI Act in maschinenlesbare Pflichten und ordnet diese Ihren eingesetzten KI-Systemen unmittelbar zu.
• Echtzeit-Systeminventar und Verantwortlichkeiten: Führen Sie ein zentrales, auditbereites KI-Register mit Modellherkunft, Betriebsstatus, Risikoklassifizierung und zugewiesenen Verantwortlichen.
• Kontinuierliche Kontrollüberprüfung: Verbinden Sie technische Pipelines direkt mit RiskOnyx-Kontrollen. Automatisieren Sie die Erfassung von Telemetriedaten, Testläufen, Freigaben menschlicher Aufsicht und Risikobewertungen in einer prüfbaren Compliance-Historie.
• Konformitätsberichte auf Knopfdruck: Erstellen Sie strukturierte technische Dokumentationen und Managementberichte gemäß den CEN-CENELEC-Vorgaben, bereit für Benannte Stellen und interne Risikoausschüsse.

Einhaltung bewerten und Frameworks abrufen

Zu wissen, wo Ihr KI-Portfolio im Hinblick auf die neu veröffentlichten harmonisierten Normen steht, ist die Voraussetzung für einen risikofreien Einsatz.

1. Kostenlose Bewertung auf RiskOnyx durchführen, um Ihre genauen Pflichten zu ermitteln und Ihren Compliance-Status zu prüfen.
2. Vorabzugang zu den Standard-Framework-Modulen für EN ISO/IEC 42001 und EN 18286 anfordern, um das automatisierte Kontroll-Mapping direkt in Ihrem RiskOnyx-Workspace zu starten.