Fragen und Antworten zu Normen und regulatorischer Compliance (ISO, DIN, Normen)

Technische Normen sind lang, dicht, teuer, versioniert und rechtlich relevant. Ingenieure und Qualitätsmanager verbringen Stunden damit herauszufinden, „welcher Abschnitt in welcher Ausgabe gilt und was er fordert“. Ein Retrieval-Augmented-Assistent (RAG) über die lizenzierten Normen, die relevanten Gesetze und die eigenen Verfahren antwortet in Sekunden mit Quellenangaben bis auf Abschnittsebene. Die schwierigen Teile sind nicht das Sprachmodell, sondern die Lizenzierung des Normentexts, die Ausgabenkontrolle und die Regel, nie eine unbelegte oder veraltete Anforderung auszugeben.

Problem & Nutzen

• Wer: Qualitäts- und Compliance-Beauftragte, Produktentwickler, Zertifizierungs- und Auditteams, Einkauf (Lieferantenanforderungen), Bau- und Anlagenplaner, Behörden des öffentlichen Sektors und benannte Stellen. KMU haben oft nur einige Dutzend Normen; Großunternehmen Hunderte bis Tausende.
• Heute: Volltextsuche in einzelnen PDFs, kostenpflichtige Datenbankabfragen, Erfahrungswissen einzelner Personen. Normen verweisen aufeinander (normative Verweisungen), liegen in mehreren Ausgaben und nationalen Fassungen vor (ISO 9001 → DIN EN ISO 9001) und wirken mit Gesetzen zusammen (z. B. begründen harmonisierte Normen die Vermutung der Konformität nach dem EU-Produktrecht).
• KI-Nutzen: schnelleres Auffinden von Anforderungen, Checklisten und Lückenanalysen für Audits (z. B. ISO 9001, ISO/IEC 27001, ISO 13485, IEC 62443), Einarbeitung neuer Mitarbeitender, einheitliche Antworten.
• Ehrlicher Vorbehalt: In Primärquellen wurden für diesen konkreten Anwendungsfall keine gemessenen Nutzenzahlen gefunden; ROI-Versprechen von Anbietern sollten in einem Pilotprojekt mit Ihren eigenen Fragen überprüft werden.
• Zentrale Einschränkung: Normen sind urheberrechtlich geschützte Produkte der Normungsorganisationen. Sie in ein KI-System zu laden, ist eine Lizenzfrage und nicht nur eine technische. DIN Media (der Verlagsbereich von DIN) führt in seinem Angebot eigene „KI-Lizenzen für Normen“ [1]; ISO und IEC haben eigene Bedingungen. Klären Sie die Rechte, bevor Sie indexieren.

Varianten

• Compliance von Managementsystemen: Fragen und Antworten zu Abschnitten von ISO 9001/14001/45001/27001, Vorbereitung interner Audits, Lückenanalyse gegenüber dem QM-Handbuch.
• Produkt-Compliance (CE): Welche harmonisierten Normen gelten für eine Maschine, ein Funkgerät oder ein Medizinprodukt und welche Anforderungen folgen daraus (Maschinenverordnung, MDR, RED, Cyber Resilience Act) — verweist auf HLTH-017 für die MDR-Dokumentation.
• Bau und Anlagenbau: DIN/EN-Bemessungsnormen, VDE-Regeln, Brandschutz und Baurecht; hoher Bedarf an exakten Abschnittsverweisen und Ausgabedaten.
• Funktionale Sicherheit und Cybersicherheit: Rückverfolgung von Anforderungen nach IEC 61508/ISO 26262/IEC 62443/ISO 21434 (Compliance-Matrizen).
• Öffentlicher Sektor / Zertifizierungsstellen: Beantwortung von Anfragen und Prüfung von Anträgen anhand von Normen und Vorschriften.
• Reine Rechtstexte: Besteht der Bestand nur aus frei verfügbarem Recht (EUR-Lex, Gesetze-im-Internet), gibt es keine Lizenzhürden; zum regulatorischen Horizont-Scanning siehe LANG-020.
• Privat / Verbraucher: selten relevant (z. B. Heimwerker- und Bauvorschriften); hier nicht behandelt.

So funktioniert es

1. Quellen (lizenzierte Normen, Gesetze, interne Dokumente)
2. Einlesen: layoutbewusstes Parsing (Abschnitte, Tabellen, Anmerkungen, Anhänge, Formeln) + Metadaten (Herausgeber, Nummer, Ausgabe, Datum, Status, Sprache, Lizenzumfang)
3. Chunking nach Abschnittshierarchie (Abschnittsnummer + Titelpfad in jedem Chunk behalten)
4. hybrider Index: BM25 (exakte Abschnittsnummern, Begriffe wie "shall") + dichte Embeddings + Reranker
5. Anfrage: Absicht klassifizieren (Nachschlagen / Auslegung / Checkliste / Lückenanalyse), nach Ausgabe und Lizenzberechtigung der Nutzerin bzw. des Nutzers filtern
6. Retrieval + Reranking
7. LLM-Antwort auf den abgerufenen Text beschränkt, Quellenangabe je Aussage
8. Verifikation: Zitatprüfung (zitierter Text enthält die Aussage tatsächlich), Prüfung auf Ausgabe/Zurückziehung
9. menschliche Prüfung bei Entscheidungen mit rechtlicher/sicherheitsrelevanter Wirkung; Feedback-Protokoll

• Abschnittsbewusstes Chunking ist der wichtigste Qualitätshebel: Die Bedeutung von „shall/should/may“ und Querverweise („siehe 7.3.2“) gehen bei naivem Chunking mit fester Größe verloren. Querverweise können als Graph modelliert werden (KNOW-013).
• Normativ und informativ: Der Assistent muss Anforderungen („shall“) von Anmerkungen und Empfehlungen („should“) unterscheiden.
• Berechtigungsfilter: Die Retrieval-Schicht durchsucht nur Normen, für die der fragende Nutzer oder das Unternehmen lizenziert ist (Netzwerklizenzen gelten oft pro Nutzer oder pro Standort).
• Mensch-in-der-Schleife (Human-in-the-Loop): Compliance-Aussagen für Zertifizierungen, Konformitätserklärungen oder Sicherheitsnachweise werden von einer qualifizierten Person am Originaltext geprüft.

Datenaufbereitung

Der Assistent benötigt die lizenzierten Normen (PDF oder XML vom Verlag oder einem Normenportal), Gesetze und Leitfäden sowie interne Dokumente wie das QM-Handbuch, Verfahrensanweisungen und Auditberichte. In einem KMU liegen diese typischerweise in einem DMS, auf Dateiservern, in E-Mail-Anhängen und, bei älterem Material, auf Papier. Typische Lücken: gescannte PDFs ohne Textebene, mehrere Ausgaben derselben Norm nebeneinander, unklarer Lizenzumfang (wie viele Nutzer, ob KI-Verarbeitung erlaubt ist), doppelte und veraltete Verfahrensversionen sowie fehlende Metadaten wie Ausgabe, Gültigkeitsdatum und Abschnittsstruktur.

Schritte der Aufbereitung: (1) mit dem Verlag klären, ob die KI-Indexierung von der Lizenz gedeckt ist; (2) Quellen und Verantwortliche erfassen (siehe [PREP-001], [PREP-004]); (3) Scans per OCR erfassen und beim Parsen die Abschnittshierarchie beibehalten ([PREP-006], [DOC-014]); (4) jedes Dokument mit Normnummer, Ausgabe, Status und Gültigkeit verschlagworten ([PREP-010]); (5) überholte Versionen entfernen oder deutlich kennzeichnen ([PREP-013]); (6) mit dem Qualitätsmanager 30 bis 50 Testfragen erstellen ([PREP-018]). Werkzeuge: Docling oder Unstructured zum Parsen, Paperless-ngx für Scans. Die Aufbereitung macht in der Regel etwa 30 bis 40 Prozent des Gesamtaufwands aus; für einen Reifegradcheck siehe [GUIDE-003].

Umsetzungswege

Welcher Weg für wen

• KMU (B): Eigene QM-Dokumente müssen mit lizenzierten Normen kombiniert werden, und kein bezahlbares Produkt deckt beides ab; daher passt ein kleiner RAG-Dienst auf EU-Cloud-APIs am besten.
• Großunternehmen (B): Die Lizenzbedingungen der Normenverlage und interne Verfahren erfordern eine individuelle Integration in DMS und QM-Systeme; Cloud-APIs halten den Aufwand moderat.
• Entwickler (C): Open-Weight-Modelle und ein Open-Source-RAG-Stack geben volle Kontrolle über die Indexierung und einen lizenzkonformen Zugriff.
• Öffentlicher Sektor (C): Behörden profitieren von souveränem Hosting und offenen Komponenten, die Vergabe- und Souveränitätsanforderungen erfüllen.

Weg A — Kaufen (Standardsoftware)

• Eigene Angebote der Normenverlage: DIN Media (Beuth) führt KI-Lizenzen für Normen [1]; prüfen Sie außerdem ISO, IEC, Vertriebspartner von CEN/CENELEC und Abonnement-Datenbanken (z. B. Dienste vom Typ perinorm, Accuris/IHS Standards Expert, Techstreet, ILI) auf KI-Suche oder Assistenzfunktionen — den aktuellen Produktstatus beim Anbieter prüfen.
• Compliance-/GRC-Plattformen mit KI-Assistenten über Vorschriften und interne Kontrollen (z. B. OneTrust, Vanta, Drata, Scytale; EU-/deutsche Angebote wie Secfix, Proliance360, CERTAIN, ISMS-Werkzeuge vom Typ Compliance Solutions) — stark bei ISO 27001 und regulatorischen Rahmenwerken, schwächer bei technischen Normen.
• Allgemeine Unternehmens-RAG-Produkte (Microsoft 365 Copilot, Glean, Plattformen auf Basis von Aleph Alpha oder Mistral, Assistenten von DocuWare/d.velop), sofern die Lizenzen Normeninhalte erlauben.
• Wählen Sie A, wenn: der Bestand klein ist, überwiegend aus Normen für Managementsysteme besteht und keine individuelle Integration nötig ist. Fragen Sie die Anbieter nach Ausgabenkontrolle, Quellenangaben auf Abschnittsebene und der Lizenzlage der Inhalte.

Weg B — Auf Cloud-KI-Diensten aufbauen (Standard für die meisten)

• Modelle: Spitzen-Sprachmodelle mit großem Kontext und guter Befolgung von Anweisungen (Claude-, Gemini-, GPT- Familien; Mistral-Modelle als EU-Anbieter) über EU-Regionen oder in der EU gehostete Endpunkte; ein Reasoning- Modell für Lückenanalysen und Anforderungen über mehrere Abschnitte, ein günstigeres Modell für einfache Abfragen. Modellnamen ändern sich schnell; prüfen Sie die aktuelle Modellliste des jeweiligen Anbieters.
• Retrieval: verwaltete hybride Suche (Azure AI Search, OpenSearch Service, Elastic) oder eine Vektor- Datenbank; mehrsprachige Embeddings und ein Reranker (z. B. Cohere Rerank, Voyage, Jina; Mistral embed). Gemischte deutsch-englische Bestände brauchen mehrsprachige Embeddings.
• Parsing: Azure Document Intelligence, Google Document AI, Mistral OCR für Scans; Docling für digital erzeugte PDFs [2].
• Lizenzprüfung: Viele Cloud-Endpunkte sind technisch unproblematisch, aber die Lizenz der Norm kann die Übermittlung von Text an KI-Dienste Dritter untersagen. Stellen Sie sicher, dass Bedingungen ohne Training, mit EU-Region und ohne Datenspeicherung vertraglich abgedeckt sind, oder nutzen Sie Weg C.
• Wählen Sie B, wenn: Sie eine individuelle Integration in Oberfläche/ERP/PLM brauchen und die Lizenzen eine Verarbeitung in der Cloud erlauben.

Weg C — Selbst betreiben (Open Source)

• Warum hier oft attraktiv: Lizenzbedingungen und Vertraulichkeit interner Verfahren.
• Stack: Docling [2] (MIT) zum Parsen; Embeddings wie BGE-M3 oder Qwen3-Embedding mit einem mehrsprachigen Reranker; Qdrant [3] (Apache-2.0, hybride Suche mit RRF-Fusion) oder OpenSearch; ein Open-Weight-Sprachmodell (Qwen3, Mistral/Mixtral-Familie, Llama, gpt-oss — aktuelle Veröffentlichungen und Lizenzen prüfen), betrieben mit vLLM [4] (Apache-2.0, OpenAI-kompatible API, strukturierte Ausgaben); RAG- Frameworks LlamaIndex, LangChain, Haystack oder fertige Oberflächen wie Open WebUI/RAGFlow.
• Hardware: HW2 (eine GPU mit 24–32 GB) für ein quantisiertes Modell mit ca. 30B Parametern und einige hundert Normen; HW3 für größere Modelle, mehr gleichzeitige Nutzer und ein Reasoning-Modell. Embedding und Reranking können bei kleinen Beständen auf der CPU laufen.
• Betriebsaufwand: mäßig; Ausgabenaktualisierungen und Neuindexierung brauchen einen festgelegten Prozess.

Weg D — Eigenes Training

Lohnt sich meist nicht: Der Bestand ist klein und ändert sich mit den Ausgaben, daher schlägt Retrieval das Feintuning. Erwägen Sie ein Feintuning eines Embedding-Modells/Rerankers auf Fachpaare (Frage → Abschnitt), wenn die Trefferquote bei Fachvokabular schlecht ist (einige tausend beschriftete Paare aus Expertenfragen), oder ein kleines Modell zur Extraktion von Anforderungen („shall“-Aussagen → Compliance-Matrix). Trainieren Sie generative Modelle nicht ohne ausdrückliche Erlaubnis auf lizenziertem Normentext.

Stand der Technik (2026)

• Hybrides Retrieval + Reranking + Modelle mit langem Kontext ist das Standardmuster. Reasoning-Modelle bewältigen Logik über mehrere Abschnitte (Anwendbarkeit, Ausnahmen, Verweise) besser als Chat-Modelle aus der Zeit um 2023.
• Strukturiertes/agentisches RAG: Agenten folgen Querverweisen zwischen Abschnitten und Normen, prüfen den Ausgabestatus und erstellen Rückverfolgbarkeitsmatrizen; MCP-Server stellen die Normensuche anderen Werkzeugen zur Verfügung.
• Layoutbewusstes Parsen von Tabellen, Gleichungen und Anhängen (Docling, Vision-Language-Modelle) hat sich verbessert, aber Formeln, komplexe Tabellen, Abbildungen und die Abschnittsnummerierung in gescannten älteren Normen bleiben Fehlerquellen.
• Zitatprüfung (Kontrolle, ob der zitierte Text in der Quelle vorkommt) ist inzwischen eine verbreitete Sicherheits- schicht; sie verhindert erfundene Abschnittsnummern.
• Grenzen und Fehlerbilder: falsche Ausgabe oder zurückgezogene Norm; Vermischung von „shall“ und „should“; fehlende nationale Abweichungen oder Änderungen (A1/A2, Berichtigungen); Übersetzungsunterschiede zwischen dem englischen ISO-Text und deutschen DIN-Fassungen; erfundene Abschnittsnummern; Antworten, die autoritativ klingen, obwohl der Bestand unvollständig ist. Normen enthalten nur technische Regeln; ob ein Produkt rechtskonform ist, hängt außerdem vom Recht und der Praxis der benannten Stellen ab.
• Rechtlicher Hintergrund (mit Rechtsberatung klären): Der EuGH hat 2024 entschieden (C-588/21 P), dass harmonisierte Normen Teil des EU-Rechts sind und zugänglich sein müssen; das betrifft den Zugang zum Text, nicht ein allgemeines Recht, kommerzielle Normen in KI-Systemen weiterzuverwenden. Die Lizenzlage von Normen für die KI-Nutzung entwickelt sich noch; nutzen Sie KI-Lizenzen der Verlage, wo verfügbar.

Gemeinsame Bausteine & Kombinationen

• Derselbe Stack wie KNOW-002 (RAG über Unternehmensdokumente): embedding-text, reranker, vector-db, search-engine, ocr-docparse, guardrails; ein HW2/HW3-Inferenzserver und ein hybrider Index können KNOW-002, KNOW-003 (HR-Richtlinien), KNOW-004 (technische Dokumentation) und diesen Anwendungsfall mit getrennten Sammlungen und Zugriffsrechten bedienen.
• KNOW-013 (GraphRAG) bildet Querverweise zwischen Abschnitten und Normen ab.
• KNOW-010 (Assistent für klinische Leitlinien) ist das medizinische Pendant mit demselben Muster aus Abrufen, Zitieren und Prüfen; HLTH-017 behandelt die technische Dokumentation nach MDR, wofür dieser Assistent die normative Grundlage liefert.
• LANG-020 (regulatorisches Horizont-Scanning) speist neue oder geänderte Gesetze und Normen in den Bestand ein; DOC-014 (Dokumenten-Parsing für RAG) und DOC-023 (Extraktion aus Sicherheitsdatenblättern, REACH/CLP) nutzen dieselbe Parsing-Pipeline.
• Bausteine: Parsing-Pipeline, mehrsprachiges Embedding-Modell, Reranker, Evaluierungsset aus Expertenfragen, Berechtigungs-/ACL-Schicht, Metadatenspeicher für Ausgaben.

Aufwand, Kosten & Kennzahlen

• Weg A: Tage bis Wochen; Abonnement pro Nutzer oder pro Inhaltspaket; KI-Lizenzen für die Normen selbst können zusätzliche Kosten verursachen.
• Weg B: 1–3 Monate für eine produktive Pipeline inkl. Parsing, Evaluierung und Zugriffsrechten; die API-Kosten sind klein im Verhältnis zu den Lizenzkosten der Normen.
• Weg C: 2–4 Monate; ein GPU-Server plus Betrieb; Hauptkosten ist die Arbeit an der Parsing-Qualität.
• Kostentreiber: Normenlizenzen (pro Nutzer/Standort, KI-Nutzungsrechte), Parsing und Abschnitts- strukturierung, Evaluierung durch Experten, Pflege der Ausgaben.
• Kennzahlen: Retrieval-Recall@k auf einem von Experten erstellten Fragenset; Korrektheit der Quellenangaben (der zitierte Abschnitt enthält die Aussage); Anteil der Antworten mit korrekter Ausgabe; Zeit bis zum Finden einer Anforderung; Aufwand für die Auditvorbereitung; Quote der Korrekturen durch Experten; Anteil korrekt gekennzeichneter Antworten „nicht im Bestand“.

Menschen & Veränderung

Beziehen Sie von Beginn an die Geschäftsführung (Budget, Lizenzentscheidung) und die Leitung von Qualität oder Compliance als Prozessverantwortliche ein; sie legen Bestand und Testfragen fest. Die IT kümmert sich um Integration und Zugriff, die Datenverantwortlichen des DMS geben Quellen frei, und Recht oder Compliance prüft die Lizenzbedingungen des Normenverlags. Ingenieure und Auditoren sind die Endnutzer und sollten an einer kleinen Pilotgruppe von 5 bis 10 Personen teilnehmen ([GUIDE-009]).

Betriebsrat: in der Regel nicht erforderlich, weil das System Dokumentenfragen beantwortet und nicht dafür gedacht ist, Beschäftigte zu bewerten. Eine Mitbestimmung nach §87 Abs. 1 Nr. 6 BetrVG kann dennoch entstehen, wenn Nutzungsprotokolle namentlich zugeordnet werden; dann sollte eine anonyme oder aggregierte Protokollierung vereinbart werden. Informieren Sie den Betriebsrat trotzdem nach §90 Abs. 1 Nr. 3 BetrVG, wo KI Arbeitsabläufe verändert. Der Bestand enthält keine personenbezogenen Daten, daher ist eine DSFA normalerweise nicht nötig, beziehen Sie aber den/die Datenschutzbeauftragte(n) für das Nutzerprotokoll und den AVV mit dem API-Anbieter ein ([GUIDE-005]).

KI-Kompetenz: Unterstützen Sie die Mitarbeitenden mit einer kurzen Schulung zur Prüfung von Quellenangaben und zu Halluzinationsrisiken ([GUIDE-006]). Typische Sorge: „Kann ich mich auf die Antwort verlassen?“ Begegnen Sie ihr, indem Sie stets Abschnittsangaben zeigen und klarstellen, dass die Antwort eine Recherchehilfe ist und die verbindliche Auslegung bei qualifizierten Personen bleibt. Kommunizieren Sie offen ([GUIDE-008]).

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): in der Regel minimales Risiko — ein Informationsassistent steht nicht in Anhang III. Wenn Nutzer direkt mit dem System chatten, gilt die Transparenzpflicht für Chatbots nach Art. 50 Abs. 1 (Nutzer müssen darüber informiert werden, dass sie mit einem KI-System interagieren; anwendbar ab 2. August 2026) [5], was einen nutzerseitigen Einsatz für diese Pflicht in Richtung „begrenztes Risiko“ rückt. KI-Kompetenz (Art. 4) gilt für die Beschäftigten. Der Kontext kann das ändern: Ist der Assistent Teil einer Sicherheitskomponente oder entscheidet er über die Konformität eines regulierten Produkts (z. B. Software für Medizinprodukte), gelten die Vorschriften des umgebenden Produkts.
• DSGVO: Der Bestand (Normen, Gesetze) enthält keine personenbezogenen Daten; interne Dokumente (Auditberichte, Namen von Auditoren) und Chat-Protokolle können welche enthalten. Wenden Sie Zugriffskontrolle, Aufbewahrungsfristen und einen Auftragsverarbeitungsvertrag für Cloud-APIs an.
• Urheberrecht/Lizenzierung: das wichtigste rechtliche Risiko. Normen sind urheberrechtlich geschützt; die Bedingungen von ISO, IEC, DIN und anderen können Speichern, Kopieren, Einbetten, die Weitergabe an KI-Dienste Dritter oder die Erzeugung abgeleiteter Anforderungslisten einschränken. Holen Sie schriftliche KI-/Netzwerklizenzen ein; protokollieren Sie, welche lizenzierten Inhalte im Index liegen; ermöglichen Sie die Entfernung bei Vertragsende [1].
• Haftung und berufliche Verantwortung: Eine KI-Antwort ist keine beglaubigte Auslegung. Zeigen Sie Ausgabe und Datum an, kennzeichnen Sie Antworten als reine Unterstützung und verlangen Sie die Freigabe durch Experten bei Konformitätserklärungen, Zertifizierungen und Sicherheitsnachweisen.
• Branchenrecht: MDR/IVDR, Maschinenverordnung, CRA, DORA/NIS2, wo Normen die Compliance unterstützen; führen Sie Aufzeichnungen über die Grundlagen von Entscheidungen (Prüfpfad).
• Gegenmaßnahmen: Zitatprüfung, Ausgabenprüfungen, Verhalten „nicht gefunden“, Evaluierungsset bei jeder Änderung von Modell oder Bestand erneut ausführen, regelmäßige Prüfung durch Normenbeauftragte.

Erste Schritte

1. Erfassen Sie die Normen, die Sie tatsächlich nutzen (Nummer, Ausgabe, Format, Lizenzart), und fragen Sie die Verlage ausdrücklich, ob die KI-/RAG-Nutzung abgedeckt ist; beginnen Sie mit freien Quellen (EU-Recht auf EUR-Lex, interne Verfahren), wenn die Lizenzen unklar sind.
2. Sammeln Sie 50–100 echte Fragen mit von Experten geprüften Antworten und Abschnittsverweisen als Evaluierungsset.
3. Bauen Sie einen Prototyp mit einer Normenfamilie (z. B. ISO 9001 + QM-Handbuch): abschnittsbewusstes Parsen, hybride Suche, Reranker, Quellenangaben; messen Sie Recall und Korrektheit der Quellenangaben.
4. Ergänzen Sie Ausgabe-Metadaten, Berechtigungsfilter, das Verhalten „nicht abgedeckt“ und den KI-Hinweis.
5. Rollen Sie den Assistenten an eine Pilotgruppe aus, sammeln Sie Korrekturen der Experten und erweitern Sie dann auf weitere Normen.

Quellen

1. DIN Media — website, product menu "AI licenses for standards" — https://www.dinmedia.de/en
2. Docling project (MIT licence, PDF/layout/table parsing, air-gapped use) — https://github.com/docling-project/docling
3. Qdrant (Apache-2.0, hybrid search with RRF/DBSF fusion) — https://github.com/qdrant/qdrant
4. vLLM (Apache-2.0, OpenAI-compatible server, structured outputs) — https://github.com/vllm-project/vllm
5. AI Act Article 50 transparency obligations (applies from 2 Aug 2026) — https://artificialintelligenceact.eu/article/50/
6. Regulation (EU) 2024/1689 (AI Act) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj