Die benannte Stelle prüft inzwischen selbst mit KI.

Ein Werkzeug, zwei Seiten

Auf Ihrer Seite steht der Wunsch, Unterlagen schneller zu erstellen und die Spur durch Ihre eigene Dokumentation schneller zu finden. Auf der anderen Seite steht eine Stelle, die dieselbe Technik einsetzt, um Lücken und Widersprüche zu finden — schneller und vollständiger als bisher.

Das verschiebt den Maßstab. Eine Unterlage, die durchgeht, weil sie niemand vollständig gelesen hat, ist kein belastbarer Zustand mehr. Gebraucht wird Nachvollziehbarkeit: welche Aussage stützt sich worauf, in welcher Fassung, seit wann.

Genau an dieser Stelle ist eine KI, die Quellen nennt, nützlich — und eine, die keine nennt, gefährlicher als gar keine.

ISO ist von der KI-Lizenz nicht gedeckt

Normgeber und Verlage sperren ihre Werke zunehmend gegen KI-Nutzung. Untersagt sind Drucken und Scannen, und die maschinelle Verarbeitung für eine KI-Abfrage steht ausdrücklich daneben. Die Verlage begründen das mit dem Halluzinationsrisiko und schreiben die KI-Nutzung dediziert in die Lizenz hinein.

Eine Lizenz, die die KI-Nutzung zulässt, gibt es inzwischen, und uns ist genau eine bekannt: die von DIN Media. Ob es weitere Anbieter gibt, wissen wir nicht — wir haben keinen zweiten gefunden. Entscheidend ist ohnehin der Umfang, und der steht in den Bedingungen: Die Lizenz deckt DIN ab. ISO nicht.

Was das für Sie bedeutet, können nur Sie beantworten, und die Frage ist kurz: Wie viel von Ihrem Regelwerk ist ISO? Wir rechnen sie im Orientierungstag mit Ihnen durch, bevor irgendjemand über Technik spricht. Denn wenn die Antwort „der größere Teil“ lautet, scheitert das Vorhaben „unsere Normen als Wissensbasis“ am Vertrag, lange bevor die Technik überhaupt drankommt.

In derselben Lizenz steht noch eine Bedingung, und sie ist für Ihre Architekturentscheidung wichtiger als alles, was wir Ihnen dazu sagen könnten. Erlaubt ist die Nutzung „ausschließlich in einer betriebsinternen, gekapselten KI-Umgebung, ohne öffentliche oder externe KI-Modelle zu trainieren“. Den Betrieb im eigenen Haus schreibt hier kein Berater vor, sondern der Rechteinhaber. Wer sein Regelwerk in eine fremde Chat-Oberfläche kopiert, erfüllt diese Bedingung nicht.

Drei Angaben, die Sie geprüft haben sollten

Der Regelungsdruck in Ihrer Branche ist echt, und genau deshalb wird damit gerade schlecht verkauft. Drei Angaben, bei denen es sich lohnt, selbst in den Verordnungstext zu sehen:

Erstens, die Hochrisiko-Fristen. Die Hochrisiko-Pflichten des AI Act sind per Digital Omnibus auf Dezember 2027 und August 2028 verschoben worden. Wer Ihnen sagt, seit August 2026 werde es für Hochrisiko-KI ernst, ist nicht auf dem Stand. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 — das ist etwas anderes und deutlich weniger.

Zweitens, das Bußgeld für fehlende KI-Kompetenz. Die Zahl 15 Millionen Euro wird gerade an Artikel 4 gehängt. Artikel 4 steht aber nicht im Bußgeldkatalog des Artikel 99. Die Quellenlage dazu ist nicht einheitlich — wir legen Ihnen beide Artikel nebeneinander und Sie lesen selbst.

Drittens, die deutsche Aufsicht. Das deutsche Durchführungsgesetz ist seit dem 29. Juli 2026 in Kraft; Marktüberwachungsbehörde und Beschwerdestelle ist seither die Bundesnetzagentur. Das ist die Adresse, die in Ihren internen Unterlagen stehen sollte.

Dazu kommt, was ohnehin läuft. NIS 2 gilt in Deutschland seit dem 6. Dezember 2025. Hersteller von Medizinprodukten und In-vitro-Diagnostika stehen in Anlage 2 des BSIG — anders als große Teile des übrigen verarbeitenden Gewerbes sind Sie damit im Anwendungsbereich, sobald Ihr Haus mindestens 50 Mitarbeiter hat oder Jahresumsatz und Bilanzsumme je über 10 Millionen Euro liegen.

Eine Übergangsfrist hat das Gesetz nicht, die Pflichten setzen aber gestaffelt ein. Risikomanagement und Meldewege gelten sofort mit der Betroffenheit, Meldungen in 24 Stunden, 72 Stunden und einem Monat. Die Registrierung beim BSI war binnen drei Monaten fällig; die Nachfrist ist am 31. Juli 2026 abgelaufen. Für die Geschäftsleitung nennt das Gesetz kein Datum: Billigung, Überwachung und Schulung laufen dauerhaft, und die Haftung ist persönlich.

Warum wir uns diese Branche zutrauen

Manfred Deinzer, Dipl.-Ing. Nachrichtentechnik. Seit 1997 Entwicklung in sicherheitskritischen Branchen: zunächst Luftfahrtelektronik, seit 2017 Medizintechnik. Heute Entwicklungsleiter bei einem Medizingerätehersteller mit rund 25 Entwicklern, Schwerpunkte Biomechanik und Elektrotherapie, das Haus ist als kritische Infrastruktur eingestuft.

Uwe Schmidt, Dipl.-Ing. (FH) Maschinenbau, über 25 Jahre Forschung und Entwicklung — von Quantendetektoren über Sondermaschinenbau bis Medizintechnik, zuletzt als Leiter Produkt- und Innovationsmanagement.

Das steht hier als Herkunftsauskunft, nicht als Auszeichnung: Wir kommen aus Häusern, in denen ein Nachweis nicht verhandelbar ist. Deshalb interessiert uns bei einer KI-Antwort zuerst, worauf sie sich stützt, und erst danach, wie schnell sie kam.

Wo wir aufhören

Keine Konformitätsbewertung und keine Rechtsberatung. mindbastion unterstützt und erleichtert die Erfüllung regulatorischer Anforderungen — eine Konformitätsgarantie ist das nicht und kann es nicht sein.

Wir treten nicht gegenüber Ihrer benannten Stelle auf. Wir bereiten vor, wir vertreten nicht.

Keine Normvolltexte ohne geklärte Lizenz. Wir fragen danach, bevor wir etwas einlesen, und sagen Nein, wenn die Antwort fehlt.

Keine Aussage über Ihre Einstufung. Ob Ihr Produkt oder Ihr Haus unter eine bestimmte Pflicht fällt, entscheidet nicht unsere Einschätzung. Wir zeigen Ihnen, welche Frage zu stellen ist und wo sie beantwortet wird.

Wie wir anfangen

Schreiben Sie uns, welche Unterlage am längsten braucht

Nennen Sie die Unterlage und den Schritt, an dem es hängt. „Die Spur von der Anforderung zum Nachweis wiederfinden“ ist eine Frage, die wir beantworten können. „KI-Einsatz prüfen“ ist keine.