AI Act : la Commission publie la première norme harmonisée, EN 18286 sur le système qualité des fournisseurs d'IA à haut risque
La Commission européenne a publié le 14 octobre 2026 au Journal officiel la décision d'exécution (UE) 2026/2274, adoptée le 12 octobre. Elle cite la norme EN 18286:2026, consacrée au système de management de la qualité des fournisseurs de systèmes d'IA à haut risque. C'est la première référence de norme harmonisée publiée au titre de l'AI Act : pour les organisations qui conçoivent ou intègrent de l'IA, le cadre de conformité commence à se concrétiser.
Ce que publie la Commission
La décision est courte : deux articles et une annexe. L'article premier publie au Journal officiel la référence de la norme listée en annexe, « EN 18286:2026, Intelligence artificielle : Système de management de la qualité pour le règlement européen sur l'IA ». L'article 2 fixe l'entrée en vigueur au jour de la publication, soit le 14 octobre 2026.
La norme est issue de la demande de normalisation adressée au CEN et au Cenelec par la décision d'exécution C(2025) 3871 du 23 juin 2025. Elle répond au point 9 de son annexe I : les systèmes de gestion de la qualité mis en place par les fournisseurs de systèmes d'IA, « y compris les processus de surveillance après commercialisation ». Après évaluation menée avec les deux organismes, la Commission conclut que la norme « satisfait aux exigences qu'elle vise à couvrir » dans le règlement (UE) 2024/1689.
Pourquoi c'est important
L'enjeu tient à l'article 40 de l'AI Act. Un système d'IA à haut risque conforme à une norme harmonisée dont la référence est publiée au Journal officiel est présumé conforme aux exigences du règlement, dans la mesure où ces exigences sont couvertes par la norme. La présomption joue à partir de la date de publication, rappelle le considérant 6 de la décision. Elle ne couvre donc que le périmètre de la norme : EN 18286 traite du système qualité, pas de la classification du système ni de ses autres exigences techniques.
Le système qualité relève de l'article 17. Il s'impose aux fournisseurs de systèmes d'IA à haut risque et doit être documenté « sous la forme de politiques, de procédures et d'instructions écrites ». Il comprend au moins treize volets, parmi lesquels la stratégie de respect de la réglementation, la gestion des données, le système de gestion des risques de l'article 9, la surveillance après commercialisation de l'article 72, le signalement des incidents graves de l'article 73 et un cadre de responsabilisation de l'encadrement. Sa mise en œuvre est proportionnée à la taille du fournisseur (article 17, paragraphe 2). Pour situer vos systèmes, notre guide de conformité AI Act et l'actualité sur les lignes directrices de classification de l'annexe III reprennent les critères.
Point d'attention pour la banque et l'assurance : selon l'article 17, paragraphe 4, un établissement financier fournisseur qui respecte ses règles de gouvernance sectorielles satisfait à l'obligation de système qualité, sauf pour la gestion des risques, la surveillance après commercialisation et le signalement des incidents graves (points g, h et i). Le même paragraphe fait prendre en considération toute norme harmonisée de l'article 40, donc EN 18286.
Le calendrier, enfin, a bougé : le compromis du 11 mai 2026 sur l'omnibus numérique repousse à fin 2027 l'application des dispositions sur les systèmes à haut risque, comme nous l'avions détaillé dans notre actualité sur l'omnibus. La norme arrive avant l'échéance, ce qui laisse le temps de s'y aligner.
Ce que ça change pour les organisations
- Qualifier son rôle système par système : fournisseur ou déployeur. L'article 17 vise le fournisseur, ce qui inclut l'organisation qui développe ou fait développer un système et le met en service sous son propre nom (article 3, point 3).
- Pour les fournisseurs, comparer le système qualité existant aux treize volets de l'article 17 et à EN 18286, et décider si la norme sera appliquée intégralement. À défaut, l'article 17, paragraphe 1, point e) impose de documenter les moyens alternatifs retenus.
- Pour les déployeurs, demander aux éditeurs d'IA s'ils se réfèrent à EN 18286 et l'intégrer aux questionnaires d'évaluation, comme le propose notre méthode d'audit IA des sous-traitants.
- Articuler la norme avec les référentiels déjà en place : une organisation engagée dans ISO 42001 vérifiera les écarts entre son système de management de l'IA et EN 18286, qui est la seule des deux à porter une présomption de conformité.
- Suivre les prochaines publications au Journal officiel : la demande de normalisation couvre d'autres livrables, et chaque nouvelle référence élargira le champ de la présomption.
Ce que Leto en pense
La présomption de conformité vaut surtout par ce qu'elle oblige à écrire : des procédures, des responsables, des traces. C'est exactement ce que le RGPD demande déjà au titre de la responsabilité, et les DPO qui tiennent leur registre et leurs analyses d'impact ont une longueur d'avance pour documenter les volets données et risques. Reste à ne pas lire la décision plus largement qu'elle ne le dit : une seule norme, sur un seul sujet, et une présomption limitée à ce qu'elle couvre. Pour cartographier vos systèmes d'IA à côté de votre registre RGPD, vous pouvez demander une démo de Leto.
Sources
