ISO 9001:2026 KI einordnen: Warum die Norm KI nicht regelt

Viele QM-Verantwortliche lesen die Veröffentlichung der ISO 9001:2026 so: Jetzt kommt endlich das KI-Kapitel, und das bestehende Qualitätsmanagementsystem muss umgebaut werden. Diese Annahme ist verbreitet, und sie ist falsch. KI wird im finalen Text an keiner Stelle als eigene Anforderung genannt.

Damit verschiebt sich die eigentliche Frage: Was bedeutet diese bewusste Zurückhaltung für den Mittelstand praktisch? Der Beitrag zeigt, wo das allgemeine QMS beim Thema ISO 9001:2026 KI genügt, wo es nicht reicht und wie Sie die Umstellung bis 2029 schlank takten.

Was sich mit der ISO 9001:2026 ändert und warum die KI-Frage so oft gestellt wird

Die internationale ISO 9001:2026 wurde am 16. September 2026 veröffentlicht, die deutsche und europäische Fassung DIN EN ISO 9001:2026 ist seit dem 24. September 2026 verfügbar. Es handelt sich um eine gezielte Weiterentwicklung, nicht um einen Bruch mit der bekannten Struktur.

Im Kern stärkt die Revision die Führung, die Qualitätskultur und die Steuerung von Risiken und Chancen. Die Sprache wurde klarer gefasst, Verantwortlichkeiten treten deutlicher hervor, und ein neuer informativer Anhang A liefert zusätzliche Erläuterungen. Für Anwender spürbar sind vor allem vier Punkte: Qualitätskultur und ethisches Verhalten, der Klimawandel im Kontext der Organisation, die getrennte Behandlung von Risiken und Chancen sowie die Qualitätspolitik.

KI steht in den öffentlich zugänglichen Revisionszusammenfassungen nicht als eigener Änderungsschwerpunkt. Die Erwartung eines KI-Kapitels ist trotzdem nachvollziehbar. KI ist im Arbeitsalltag präsent, und wenn eine wichtige Norm neu erscheint, liegt die Verknüpfung nahe. Bei der Normauslegung führt sie allerdings in die Irre.

Nehmen wir Sabrina, QMB in einem Maschinenbaubetrieb, die ISO 9001 und ISO 14001 integriert führt. Sie hört aus der Fachpresse von der Revision und fragt sich zuerst, ob der KI-Textgenerator im Angebotswesen jetzt ein eigenes Normkapitel auslöst. Der typische Stolperstein liegt genau hier: die mediale KI-Debatte auf die ISO 9001 zu übertragen und einen Umbau des QMS zu planen, bevor geklärt ist, was die Norm zu KI wirklich sagt.

Regelt die ISO 9001:2026 KI? Die klauselnahe Antwort

Die kurze Antwort: Nein. Die ISO 9001:2026 erwähnt Künstliche Intelligenz an keiner Stelle als eigene Anforderung. Technologie wird an mehreren Stellen angesprochen, doch daraus leitet sich keine KI-spezifische Pflicht ab.

Diese Technologiebezüge stehen in Anmerkungen und im informativen Anhang A, also in erläuternden Passagen. Technologie wird an diesen Stellen angesprochen, jeweils ohne eine eigene KI-Anforderung zu begründen:

Quelle: interne Normanalyse des //mib sowie öffentliche Zusammenfassungen von DIN Media und ISO/TC 176. Der Normtext ist kostenpflichtig und wird nicht zitiert; alle Angaben sind Paraphrasen.

Der Anhang A ist informativ. Er erklärt, er fordert nicht. Setzt eine Organisation KI ein, gelten dafür die allgemeinen Anforderungen wie für jede andere Technik, etwa zur Infrastruktur nach 7.1.3 oder zu ausgelagerten Prozessen nach 8.4. Ein Beispiel: Nutzt ein Betrieb ein KI-Tool zur Prüfung von Maßzeichnungen, ist das kein Fall für ein KI-Kapitel. Es wird über die Infrastrukturanforderung 7.1.3 abgebildet und, falls das Tool extern bezogen wird, über die Steuerung ausgelagerter Prozesse nach 8.4.

Ein transparenter Hinweis zur Quellenlage: Der vollständige Normtext ist kostenpflichtig. Diese klauselnahe Einordnung stützt sich auf die interne Normanalyse des //mib und auf offizielle Zusammenfassungen, nicht auf einen frei zitierbaren Volltext. Für die Aussage, dass KI keine eigene Anforderung ist, gilt deshalb Vorsicht. Die öffentlichen Übersichten von DIN Media und ISO/TC 176 nennen KI nicht als eigenen Schwerpunkt; das ist ein starkes Indiz, aber kein frei zitierfähiger Volltextbeleg. Der Stolperstein in der Praxis: Anmerkungen oder Anhang-A-Hinweise als verbindliche KI-Anforderungen zu lesen und daraus Nachweispflichten zu konstruieren, die die Norm gar nicht stellt.

Gut, schlecht oder neutral? Unsere Einordnung aus KMU-Sicht

Vorab eine ehrliche Kennzeichnung: Die folgende Bewertung ist eine begründete Einordnung des //mib aus der Beratungsarbeit mit mittelständischen Unternehmen. Sie ist keine durch den Normtext belegte Tatsache, sondern unsere Lesart dieser Lösung.

Aus dieser Sicht ist die neutrale Haltung überwiegend richtig. Dass mit ISO/IEC 42001:2023 ein eigenständiger Standard für KI-Managementsysteme existiert, spricht gegen die Erwartung, dass die ISO 9001 KI im Detail miterledigt. Für den Mittelstand ist das vorteilhaft, solange KI nur punktuell genutzt wird. Der Aufwand im QMS bleibt begrenzt, und die Norm bleibt technologieoffen. Sie muss nicht bei jeder neuen Technik nachgezogen werden. Bei knappen Ressourcen schafft das Planungssicherheit.

Für einen Betrieb, der KI bislang nur für Textentwürfe im Marketing nutzt, wäre ein verpflichtendes KI-Kapitel unverhältnismäßiger Aufwand. Die technologieoffene Lösung passt hier gut zur Realität. Die Grenze zeigt sich an anderer Stelle: Die ISO 9001 beantwortet nicht, wie Organisationen Risiken, Verantwortlichkeiten, Transparenz und Kompetenz bei produktiven KI-Anwendungen steuern. Wer die neutrale Haltung als generelle Entwarnung für jeden KI-Einsatz liest, übersieht genau diesen Governance-Bedarf.

Wo ISO 9001 allein nicht reicht: die Schnittstelle zu KI-Governance

Sobald KI geschäftskritisch oder risikorelevant wird, reicht das allgemeine QMS nicht mehr aus. Dann treten zwei Rahmen hinzu, die die ISO 9001 bewusst offenlässt: ISO/IEC 42001 und der EU AI Act.

Der EU AI Act ist seit 2025 in zentralen Teilen anwendbar. Verbotene Praktiken sowie Vorgaben zu Definitionen und zur AI Literacy gelten seit dem 2. Februar 2025, die Pflichten für Anbieter von General-Purpose-AI-Modellen seit dem 2. August 2025, konkretisiert durch Leitlinien der EU-Kommission. Wer KI im Managementsystem eigens regeln will, arbeitet also mit diesen beiden Instrumenten, nicht mit zusätzlichen ISO-9001-Interpretationen.

Die Entscheidungslinie ist klar: Punktueller, unkritischer KI-Einsatz lässt sich über die allgemeinen QMS-Anforderungen abbilden. Geschäftskritischer oder risikorelevanter Einsatz verlangt einen eigenen Governance-Rahmen. Setzt ein MedTech-Unternehmen KI in der Prüfung produktbezogener Daten ein, löst das zusätzliche Nachweis- und Governance-Erwartungen aus, die über die ISO 9001 hinausgehen und sinnvoll entlang ISO/IEC 42001 und EU AI Act geregelt werden. Ein integriertes Managementsystem erlaubt, QMS und KI-Governance nach ISO/IEC 42001 ohne Doppelstrukturen zu verzahnen. Der Stolperstein, der teuer wird: KI geschäftskritisch einzusetzen und darauf zu vertrauen, dass die ISO-9001-Konformität die Anforderungen des EU AI Act bereits mit abdeckt.

Alte und neue ISO 9001 im Blick behalten und die Transition schlank planen

Die Umstellung ist eine gezielte Weiterentwicklung ohne QMS-Neubau. Wer früh und schlank taktet, nutzt die Revision als Anlass, auch die KI-Schnittstelle sauber zu ziehen.

Der Rahmen steht fest. Die Übergangsfrist ist offiziell auf drei Jahre gesetzt und endet am 30. September 2029. Zertifikate nach ISO 9001:2015 bleiben bis dahin gültig. Ab dem 31. März 2028 sind neue und initiale akkreditierte Zertifizierungen nur noch nach ISO 9001:2026 möglich. Ein Neuaufbau des Managementsystems ist nicht nötig. Einzelne Stellen sollten vor dem nächsten Audit gezielt geprüft und geplant werden.

Praktisch lässt sich die Umstellung in Überwachungs-, Rezertifizierungs- oder separaten Transition-Audits abwickeln und so in den laufenden Zyklus einpassen. Sabrina etwa plant die Transition entlang ihres nächsten Überwachungsaudits 2027. Dabei prüft sie Qualitätskultur und die Risiken-Chancen-Logik und klärt zugleich, ob der wachsende KI-Einsatz einen eigenen Governance-Baustein braucht. Für KMU ist frühe Planung wertvoller als spätes Nacharbeiten. Der klassische Stolperstein: die Umstellung bis kurz vor 2029 aufzuschieben und dann Schulung, interne Audits und Managementbewertung unter Termindruck in einen ohnehin vollen Auditzyklus pressen zu müssen.

Ihre Entscheidungshilfe: Reicht das QMS oder brauchen Sie mehr

Ob das allgemeine QMS genügt oder ein eigener KI-Rahmen nötig wird, hängt an Kritikalität und Risiko des KI-Einsatzes. Drei Leitfragen helfen Ihnen, den eigenen KI-Einsatz einzuordnen, bevor Sie Aufwand investieren:

• Ist der KI-Einsatz punktuell und unkritisch? Dann genügt in der Regel die Abbildung über die allgemeinen QMS-Anforderungen.
• Beeinflusst KI Produkt-, Prozess- oder Entscheidungsqualität spürbar? Dann steigen Nachweis- und Verantwortungsanforderungen über die ISO 9001 hinaus.
• Fällt der KI-Einsatz unter Pflichten des EU AI Act? Dann ist ein eigener Governance-Rahmen entlang ISO/IEC 42001 der tragfähige Weg.

Der Aufwand bleibt beherrschbar, wenn Sie QMS und KI-Governance von Anfang an integriert denken, statt zwei parallele Systeme aufzubauen. Lea, mit dem Auftrag, KI-Governance aufzusetzen, geht die drei Fragen durch und erkennt, dass ihr produktiver KI-Einsatz im Kundenservice jenseits der ISO 9001 einen eigenen Rahmen braucht, den sie an das bestehende QMS andockt. Der Stolperstein liegt an beiden Enden: pauschal gar nichts zu tun oder sofort ein großes KI-Managementsystem aufzusetzen, statt den eigenen Einsatz nach Kritikalität zu bewerten. Genau diese Abgrenzungsfrage behandelt das //mib im Workshop zur ISO 9001:2026 am 8. Oktober als Einordnungsformat für Anwender.

Fazit

Die ISO 9001:2026 regelt KI nicht als eigene Anforderung. Sie ordnet KI über ihre allgemeinen Technologie- und Prozessanforderungen ein. Für KMU mit punktuellem KI-Einsatz ist diese technologieoffene Lösung praxistauglich und ressourcenschonend. Dort, wo KI geschäftskritisch oder risikorelevant wird, entsteht eine Governance-Lücke, die die ISO 9001 bewusst offenlässt und die ISO/IEC 42001 und der EU AI Act schließen. Die Transition bis 2029 ist eine gezielte Weiterentwicklung ohne QMS-Neubau und damit der passende Anlass, diese Schnittstelle sauber zu ziehen, statt KI zu überdramatisieren oder zu unterschätzen.

Die neue ISO 9001 verlangt bei KI keine Hektik. Sie verlangt eine saubere Zuordnung: allgemeine Anforderungen für den Normalfall, ein eigener Rahmen für den kritischen Fall. Wer diese Linie früh zieht, geht ohne Umbaustress und ohne blinde Flecken in die Transition. Was zu Beginn wie eine fehlende Regelung wirkte, ist bei genauem Hinsehen eine klare Aufgabenverteilung zwischen QMS und KI-Governance. Nehmen Sie sich in dieser Woche einmal zwanzig Minuten, gehen Sie Ihren eigenen KI-Einsatz entlang der drei Leitfragen durch und notieren Sie, wo er heute wirklich steht. Dieser ruhige Schritt zeigt meist schneller als jede Normdiskussion, ob Ihr QMS genügt oder ein eigener Baustein ansteht.

Häufige Fragen

Quellen

• DIN Media: Qualitätsmanagement, die neue ISO 9001
• Global ACI: Transition Requirements for ISO 9001:2026
• ISO/TC 176/SC 2: Quality management and quality assurance
• European Commission: Regulatory framework on AI
• European Commission: Guidelines for GPAI providers
• //mib: Workshop ISO 9001:2026
• //mib: Managementsysteme und KI, saubere Datenstruktur

KI unterstützt, Menschen entscheiden – so sichern wir Qualität, Relevanz und Verantwortung.