La Commission européenne a annoncé le 19 octobre la publication de la norme EN 18286:2026, consacrée au système de management de la qualité prévu par le règlement européen sur l’IA. Sa référence figure dans une décision d’exécution parue au Journal officiel de l’Union européenne le 14 octobre, jour où ce texte est entré en vigueur.
- La Commission publie la norme EN 18286 :2026 sur le système de management de la qualité prévu par l’AI Act.
- Seul le système qualité de l’article 17 est couvert, les huit autres domaines restent sans norme harmonisée.
- Appliquer la norme reste facultatif, mais elle sert de présomption de conformité.
- Les obligations pour les systèmes à haut risque sont repoussées à décembre 2027 et août 2028.
La décision d’exécution (UE) 2026/2274, datée du 12 octobre 2026, ne publie la référence que d’une seule norme, « Intelligence artificielle – Système de management de la qualité pour le règlement européen sur l’IA », élaborée par le CEN et le Cenelec. Selon la Commission, les fournisseurs qui la mettent en œuvre bénéficient d’une présomption de conformité aux exigences de l’article 17 couvertes par la norme. La décision, de son côté, parle des exigences essentielles correspondantes, sans citer d’article.
Au 22 octobre, la boutique d’AFNOR Éditions diffuse la version française, NF EN 18286. Le document, daté de juillet 2026, compte 52 pages et porte le statut « en vigueur ». Son deuxième tirage date de septembre 2026.
Treize rubriques à documenter
L’article 17 du règlement (UE) 2024/1689 impose au fournisseur un système de gestion de la qualité écrit, qui prend la forme de politiques, de procédures et d’instructions. Il énumère treize aspects minimaux, de la stratégie de respect de la réglementation au cadre de responsabilités de l’encadrement, en passant par les procédures de test et de validation, la gestion des données, le système de gestion des risques de l’article 9, la surveillance après commercialisation et le signalement des incidents graves.
La Commission décrit la norme comme une traduction opérationnelle de ces exigences, construite autour du cycle de vie du système d’IA plutôt que de l’organisation. Elle présentait déjà le projet comme un cadre axé sur le produit pour la gouvernance de ce cycle de vie. L’article 17 vise le fournisseur. L’entreprise qui déploie un système à haut risque relève, elle, de l’article 26, et devient fournisseur si elle le modifie substantiellement ou le commercialise sous son nom (article 25).
Une norme qui se superpose aux autres
Selon la Commission, EN 18286 se superpose aux normes internationales existantes, comme ISO/IEC 42001, ISO 9001 ou un système qualité sectoriel tel qu’ISO 13485 pour les dispositifs médicaux. Elle ne les remplace pas, mais permet aux fournisseurs des secteurs réglementés d’intégrer leurs systèmes de management au lieu d’en faire fonctionner plusieurs en parallèle. Une organisation sans certification ISO/IEC 42001 peut l’utiliser pour étendre un système qualité existant ou en bâtir un.
Appliquer la norme reste facultatif. Un fournisseur peut démontrer sa conformité par tout autre cadre de son choix, mais il devra alors établir lui-même que son système qualité répond à l’article 17. Le calendrier pèse aussi sur ces travaux. Le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, est entré en vigueur le 27 juillet et a repoussé l’entrée en application des sections 1 à 3 du chapitre III, qui portent sur les systèmes à haut risque. Elles s’appliqueront le 2 décembre 2027 pour les systèmes de l’annexe III, et le 2 août 2028 pour ceux intégrés à des produits relevant de l’annexe I, section A.
Neuf domaines toujours sans norme harmonisée
EN 18286 répond au point 9 de l’annexe I de la demande de normalisation C(2025) 3871, adressée au CEN et au Cenelec le 23 juin 2025. Le projet de cette norme avait été le premier à entrer en enquête publique, le 30 octobre 2025. La Commission avait demandé des normes dans dix domaines : gestion des risques, gouvernance et qualité des jeux de données, journalisation, transparence, contrôle humain, exactitude, robustesse, cybersécurité, gestion de la qualité et évaluation de la conformité. Au 22 octobre, seule la gestion de la qualité dispose d’une norme harmonisée publiée.
Dans son annonce du 19 octobre, la Commission indique que d’autres normes harmonisées doivent suivre, sans avancer aucune date.
