La Commissione europea ha annunciato il 19 ottobre la pubblicazione della norma EN 18286:2026, dedicata al sistema di gestione della qualità previsto dal regolamento europeo sull’IA. Il suo riferimento figura in una decisione di esecuzione pubblicata sulla Gazzetta ufficiale dell’Unione europea il 14 ottobre, giorno in cui il testo è entrato in vigore.
La decisione di esecuzione (UE) 2026/2274, datata 12 ottobre 2026, pubblica il riferimento di una sola norma, «Intelligenza artificiale – Sistema di gestione della qualità per il regolamento europeo sull’IA», elaborata dal CEN e dal Cenelec. Secondo la Commissione, i fornitori che la implementano beneficiano di una presunzione di conformità ai requisiti dell’articolo 17 coperti dalla norma. La decisione, dal canto suo, parla dei requisiti essenziali corrispondenti, senza citare alcun articolo.
Al 22 ottobre, lo shop di AFNOR Éditions diffonde la versione francese, NF EN 18286. Il documento, datato luglio 2026, conta 52 pagine e ha lo status «in vigore». La sua seconda tiratura risale a settembre 2026.
Tredici aspetti da documentare
L’articolo 17 del regolamento (UE) 2024/1689 impone al fornitore un sistema di gestione della qualità scritto, che assume la forma di politiche, procedure e istruzioni. Elenca tredici aspetti minimi, dalla strategia di rispetto della normativa al quadro di responsabilità del management, passando per le procedure di test e validazione, la gestione dei dati, il sistema di gestione del rischio di cui all’articolo 9, il monitoraggio post-immissione sul mercato e la segnalazione di incidenti gravi.
La Commissione descrive la norma come una traduzione operativa di questi requisiti, costruita attorno al ciclo di vita del sistema di IA piuttosto che all’organizzazione. Aveva già presentato il progetto come un quadro incentrato sul prodotto per la governance di questo ciclo di vita. L’articolo 17 riguarda il fornitore. L’impresa che distribuisce un sistema ad alto rischio rientra, invece, nell’articolo 26, e diventa fornitore se lo modifica sostanzialmente o lo commercializza con il proprio nome (articolo 25).
Una norma che si sovrappone alle altre
Secondo la Commissione, EN 18286 si sovrappone alle norme internazionali esistenti, come ISO/IEC 42001, ISO 9001 o un sistema qualità settoriale come ISO 13485 per i dispositivi medici. Non le sostituisce, ma permette ai fornitori dei settori regolamentati di integrare i propri sistemi di gestione invece di farne funzionare diversi in parallelo. Un’organizzazione senza certificazione ISO/IEC 42001 può utilizzarla per estendere un sistema qualità esistente o per costruirne uno.
Applicare la norma rimane facoltativo. Un fornitore può dimostrare la propria conformità con qualsiasi altro quadro di sua scelta, ma dovrà allora stabilire autonomamente che il proprio sistema qualità risponde all’articolo 17. Il calendario pesa anche su questi lavori. Il regolamento (UE) 2026/1744, detto omnibus digitale sull’IA, è entrato in vigore il 27 luglio e ha rinviato l’entrata in applicazione delle sezioni da 1 a 3 del capitolo III, che riguardano i sistemi ad alto rischio. Si applicheranno il 2 dicembre 2027 per i sistemi dell’allegato III, e il 2 agosto 2028 per quelli integrati in prodotti rientranti nell’allegato I, sezione A.
Nove ambiti ancora senza norma armonizzata
EN 18286 risponde al punto 9 dell’allegato I della richiesta di normazione C(2025) 3871, indirizzata al CEN e al Cenelec il 23 giugno 2025. Il progetto di questa norma era stato il primo a entrare in inchiesta pubblica, il 30 ottobre 2025. La Commissione aveva richiesto norme in dieci ambiti: gestione del rischio, governance e qualità dei dataset, registrazione (logging), trasparenza, controllo umano, accuratezza, robustezza, cybersecurity, gestione della qualità e valutazione della conformità. Al 22 ottobre, solo la gestione della qualità dispone di una norma armonizzata pubblicata.
Nel suo annuncio del 19 ottobre, la Commissione indica che altre norme armonizzate devono seguire, senza avanzare alcuna data.
