Le 14 octobre 2026, la Commission européenne a publié au Journal officiel la référence de la norme EN 18286:2026, élaborée par le CEN et le CENELEC. C’est la première norme harmonisée citée au titre du règlement (UE) 2024/1689, AI Act. Elle porte sur le système de management de la qualité (QMS) que l’article 17 impose aux fournisseurs de systèmes d’IA à haut risque. Cet article en présente le contenu, le calendrier, les autres normes en préparation et les implications pratiques pour les fournisseurs
1. Une norme harmonisée citée au Journal officiel
Une norme harmonisée est une norme européenne élaborée à la demande de la Commission. Selon l’article 40 de l’AI Act, un système d’IA à haut risque conforme à une telle norme, dont la référence est publiée au Journal officiel, est présumé conforme aux exigences qu’elle couvre. L’EN 18286:2026, préparée par le comité CEN/CLC/JTC 21 et publiée en juillet 2026, a été citée par la décision d’exécution (UE) 2026/2274 le 14 octobre 2026.
Son application reste volontaire, un fournisseur pouvant démontrer sa conformité par d’autres moyens.
Impact en matière de conformité : La présomption ne vaut que pour l’article 17 et dans les limites de la norme. Elle ne porte ni sur la qualification des systèmes d’IA, ni sur les autres exigences applicables aux systèmes à haut risque, pour lesquelles aucune norme harmonisée n’a encore été citée.
2. Ce que couvre la norme
L’article 17 exige un QMS documenté sous forme de politiques, procédures et instructions écrites. Il couvre au moins treize aspects, que l’on peut regrouper en quatre blocs.
- La conformité et le cycle de vie du système : stratégie de conformité, normes appliquées, conception, développement, essais et validation.
- Les données et les risques : gestion des données et système de gestion des risques.
- La vie du système sur le marché : surveillance après commercialisation, signalement des incidents graves et communication avec les autorités.
- L’organisation : conservation des documents, gestion des ressources et responsabilités de la direction.
La norme transpose ces aspects en exigences auditables, selon la structure d’un système de management.
- Clause 4 : contexte, périmètre et stratégie de conformité réglementaire.
- Clauses 5 à 7 : leadership, planification et support (ressources, compétences, communication).
- Clause 8 : réalisation du système d’IA, de la conception à la documentation.
- Clause 9 : exploitation et contrôle, dont la chaîne d’approvisionnement et la surveillance après commercialisation.
- Clause 10 : évaluation de la performance.
Des annexes informatives donnent les correspondances avec l’EN ISO 9001:2015 et l’EN ISO/IEC 42001:2026. La norme définit la qualité comme la conformité à l’ensemble des exigences de l’AI Act et peut être intégrée à un QMS sectoriel existant, tel que celui des dispositifs médicaux. Elle s’adresse aux fournisseurs quels que soient leur taille ou leur lieu d’établissement, y compris hors de l’Union lorsqu’ils sont actifs sur le marché européen.
3. Calendrier
L’omnibus numérique sur l’IA, règlement (UE) 2026/1744 du 8 juillet, a reporté l’application des obligations relatives aux systèmes à haut risque. L’article 17 s’applique donc aux fournisseurs à partir des dates suivantes.
| Date | Événement |
| 12 octobre 2026 | Adoption de la décision d’exécution (UE) 2026/2274 |
| 14 octobre 2026 | Publication de la décision au Journal officiel et début de la présomption de conformité |
| 2 décembre 2027 | Application aux systèmes à haut risque de l’annexe III |
| 2 août 2028 | Application aux systèmes à haut risque de l’annexe I |
4. Ce que cela implique en pratique
Les fournisseurs de systèmes d’IA à haut risque disposent d’une voie claire pour satisfaire l’article 17, un QMS conforme à l’EN 18286 bénéficiant d’une présomption de conformité pour les exigences couvertes. Les organisations appliquant déjà l’ISO 9001 ou l’ISO/IEC 42001 peuvent étendre leur système grâce aux correspondances des annexes B et C. La démarche suit six étapes opérationnelles.
- Qualifier les systèmes d’IA et confirmer le rôle de fournisseur de systèmes à haut risque.
- Définir le périmètre du QMS, identifier les exigences réglementaires applicables et formaliser la stratégie de conformité (clause 4).
- Comparer les systèmes de management existants aux clauses 4 à 10 et traiter les écarts.
- Attribuer les rôles, adopter une politique qualité et prévoir ressources et compétences (clauses 5 à 7).
- Documenter les processus du cycle de vie : conception, vérification et validation, données, modifications, chaîne d’approvisionnement (clauses 8 et 9).
- Mettre en place la surveillance après commercialisation, le signalement des incidents graves, le traitement des non-conformités et la revue de direction (clauses 9 et 10).
5. D’autres normes harmonisées en préparation
L’EN 18286:2026 est le premier livrable de la demande de normalisation M/613. Les travaux se poursuivent sur les autres normes nécessaires à l’AI Act, et la demande, telle que modifiée, court jusqu’au 28 février 2027.
| Articles de l’AI Act concernés | Norme correspondante |
| Article 17.1 ; Article 11.1 ; Article 72 | prEN 18286 Système de management de la qualité pour le règlement européen sur l’IA |
| Article 9 | prEN 18228 Gestion des risques liés à l’IA |
| Article 10 | prEN 18284Qualité et gouvernance des ensembles de données dans l’IA |
| Article 10.2(f-g) | prEN 18283 Concepts, mesures et exigences pour la gestion des biais dans les systèmes d’IA |
| Article 12-14 | prEN 18229-1 Cadre de fiabilité de l’IA – Partie 1 : Journalisation, transparence et contrôle humaine |
| Article 15 | prEN 18229-2 Cadre de fiabilité de l’IA – Partie 2 : Exactitude et robustesse |
| Article 15 | prEN 18282 Spécifications de cybersécurité pour les systèmes d’IA |
| Article 43 | prEN 18285 Cadre d’évaluation de la conformité de l’IA |
Conclusion
L’EN 18286:2026 donne aux fournisseurs de systèmes d’IA à haut risque une référence reconnue pour structurer leur QMS avant les échéances de décembre 2027 et d’août 2028. Son effet juridique reste limité, car la présomption ne porte que sur l’article. L’enjeu de gouvernance est de relier ce QMS aux autres exigences du règlement, qui devront être démontrées par d’autres moyens tant que les normes correspondantes ne sont pas citées.
Passez de la cartographie au pilotage avec Naaia
Un QMS conforme suppose de savoir quels systèmes d’IA sont concernés et quelles preuves documenter. La plateforme Naaia de management de l’IA permet de cartographier les systèmes d’IA, de qualifier les obligations applicables, de suivre les plans d’actions et de conserver la traçabilité des décisions et des preuves.
