La Comisión Europea ha publicado la primera norma armonizada del Reglamento de Inteligencia Artificial (AI Act). Es la EN 18286:2026, elaborada por los organismos europeos de normalización CEN y Cenelec, y trata del sistema de gestión de la calidad que el artículo 17 exige a los proveedores de sistemas de IA de alto riesgo. Su referencia salió en el Diario Oficial de la UE el 14 de octubre de 2026, con la Decisión de Ejecución (UE) 2026/2274. Desde ese día, el proveedor que la aplique se beneficia de una presunción de conformidad con los requisitos del artículo 17 que la norma cubre. Las obligaciones de alto riesgo no se aplican hasta el 2 de diciembre de 2027, pero el sistema de calidad ordena la estrategia de cumplimiento, el diseño, las pruebas, los datos y la vigilancia del sistema, y conviene empezar a montarlo ahora.
Si necesitas abogados para adaptar tu sistema de IA al AI Act, solicita una valoración inicial gratuita.
La Decisión de Ejecución (UE) 2026/2274 de la Comisión, de 12 de octubre de 2026, publica en el Diario Oficial de la UE la referencia de una norma armonizada para los sistemas de IA de alto riesgo. Salió en la serie L del 14 de octubre de 2026 y entró en vigor ese mismo día, como dice su artículo 2.
Su anexo recoge una sola norma, la EN 18286:2026, «Inteligencia artificial: sistema de gestión de la calidad con fines reglamentarios del Reglamento de Inteligencia Artificial de la UE». Responde a la solicitud de normalización que la Comisión dirigió a CEN y Cenelec el 23 de junio de 2025, la Decisión de Ejecución C(2025) 3871. Uno de los puntos de ese encargo pedía normas sobre los sistemas de gestión de la calidad de los proveedores de sistemas de IA, incluidos los procesos de control después de la comercialización.
La Comisión lo anunció el 19 de octubre de 2026 en una nota sobre la primera norma armonizada del AI Act. Según la nota, la norma ofrece a los proveedores de sistemas de IA de alto riesgo una vía clara para cumplir los requisitos del sistema de gestión de la calidad del artículo 17, y llegarán más normas armonizadas.
Una norma armonizada es una norma técnica europea elaborada por encargo de la Comisión para aplicar un reglamento, cuya referencia se publica en el Diario Oficial. Su efecto lo fija el artículo 40.1 del AI Act. Se presume que los sistemas de IA de alto riesgo conformes con normas armonizadas publicadas cumplen los requisitos del Reglamento en la medida en que esas normas los contemplen.
Esa presunción tiene dos consecuencias prácticas. La primera es probatoria. Quien aplica la norma no tiene que justificar desde cero que su sistema de calidad cumple el artículo 17, porque se presume en lo que la norma cubre. La segunda es que la norma es voluntaria. Un proveedor puede cumplir el artículo 17 por otros medios, pero tendrá que demostrarlo sin el apoyo de esa presunción. El propio artículo 17.1.e lo prevé, al pedir que el sistema recoja las normas que se aplican y, cuando las armonizadas no se apliquen en su totalidad, los medios que se usarán para cumplir.
La presunción vale desde que se publica la referencia, el 14 de octubre de 2026, como recuerda el considerando 6 de la Decisión. Y solo alcanza a lo que la norma cubre. La Comisión habla de presunción de conformidad con los requisitos del artículo 17 que cubre la norma, no con el resto de obligaciones del proveedor.
El artículo 17 obliga a los proveedores de sistemas de IA de alto riesgo a establecer un sistema de gestión de la calidad documentado de forma sistemática y ordenada, con políticas, procedimientos e instrucciones escritas. Debe recoger, como mínimo, estos aspectos.
| Letra | Qué debe recoger el sistema |
|---|---|
| a) | La estrategia de cumplimiento, con la evaluación de la conformidad y la gestión de las modificaciones del sistema |
| b) y c) | Las técnicas y procedimientos de diseño, de control y verificación del diseño, de desarrollo y de control y aseguramiento de la calidad |
| d) | Los exámenes, pruebas y validaciones antes, durante y después del desarrollo, y su frecuencia |
| e) | Las especificaciones técnicas y normas aplicadas, y cómo se cumple lo que las normas armonizadas no cubren |
| f) | La gestión de los datos, desde su adquisición y etiquetado hasta su almacenamiento y conservación |
| g) | El sistema de gestión de riesgos del artículo 9 |
| h) e i) | La vigilancia poscomercialización del artículo 72 y la notificación de incidentes graves del artículo 73 |
| j) | La comunicación con las autoridades, los organismos notificados, los clientes y otras partes interesadas |
| k) | El registro de toda la documentación e información pertinente |
| l) | La gestión de los recursos, incluida la seguridad del suministro |
| m) | Un marco de rendición de cuentas con las responsabilidades de la dirección y del resto del personal |
El apartado 2 introduce la proporcionalidad. Desde el Ómnibus digital sobre IA, el Reglamento (UE) 2026/1744, dice que la aplicación de esos aspectos será proporcional al tamaño del proveedor, «en particular si el proveedor es una pyme, incluidas las empresas emergentes o las pequeñas empresas de mediana capitalización». La proporcionalidad no rebaja el resultado. El proveedor tiene que respetar en todo caso el rigor y el nivel de protección que exige la conformidad del sistema.
Hay además dos reglas de integración. El proveedor que ya tenga un sistema de calidad por su normativa sectorial puede incluir en él los aspectos del artículo 17, según el apartado 3. Y las entidades financieras sometidas a normas de gobernanza interna se consideran cumplidoras si respetan esas normas, salvo en la gestión de riesgos, la vigilancia poscomercialización y la notificación de incidentes, que son las letras g), h) e i), según el apartado 4.
Muchas empresas tecnológicas trabajan ya con la ISO 9001 de gestión de la calidad o con la ISO/IEC 42001 de sistemas de gestión de la inteligencia artificial. La nota de la Comisión aclara la relación. La EN 18286 está alineada con el artículo 17, se organiza en torno al ciclo de vida del sistema de IA y no en torno a la organización, y está pensada para superponerse a esas normas internacionales o a un sistema sectorial, como la ISO 13485 de productos sanitarios, no para sustituirlas.
De ahí salen tres ideas útiles. La ISO/IEC 42001 no figura en la Decisión 2026/2274, así que por sí sola no da la presunción de conformidad del artículo 40. Quien ya la tenga puede aprovechar su sistema y completarlo con la EN 18286. Quien no tenga ninguna puede usar la EN 18286 para construir un sistema que cumpla el artículo 17 o para ampliar el que ya tiene, como prevé la Comisión. Y en los sectores regulados la norma permite integrar los sistemas de gestión en lugar de llevar dos en paralelo.
El artículo 17 se dirige a los proveedores, es decir, a quien desarrolla un sistema de IA, o lo encarga, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca. Para saber si un sistema es de alto riesgo hay que mirar las dos vías del artículo 6, que explicamos en nuestra guía sobre los sistemas de IA de alto riesgo.
Las obligaciones de alto riesgo todavía no se aplican. Tras el Ómnibus digital sobre IA, llegan el 2 de diciembre de 2027 para los sistemas del anexo III y el 2 de agosto de 2028 para los del anexo I, los que forman parte de productos regulados. Hay margen, pero un sistema de calidad documentado, con sus procedimientos de pruebas, datos, riesgos y vigilancia, no se monta en unas semanas. La norma permite diseñarlo ya con un criterio que tiene presunción de conformidad.
El responsable del despliegue, la empresa que usa el sistema bajo su autoridad, no tiene que montar este sistema de calidad, pero le interesa pedirlo. Que su proveedor aplique la EN 18286 es un dato objetivo para elegirlo, y conviene que el contrato recoja cómo lo acredita, qué documentación entrega y qué pasa si deja de cumplir. Lo trabajamos en nuestro servicio de abogados para contratos SaaS. Ojo con el artículo 25: el responsable del despliegue pasa a ser proveedor si, por ejemplo, pone su nombre o marca a un sistema de alto riesgo o lo modifica de forma sustancial.
La Comisión presenta la EN 18286 como la norma del artículo 17. Los requisitos técnicos del propio sistema, en la sección 2 del capítulo III, quedan para otras normas armonizadas que la Comisión espera publicar sin calendario. Son la gestión de riesgos (artículo 9), los datos y su gobernanza (artículo 10), la documentación técnica (artículo 11), la conservación de registros (artículo 12), la transparencia hacia el responsable del despliegue (artículo 13), la supervisión humana (artículo 14) y la precisión, solidez y ciberseguridad (artículo 15).
El Ómnibus digital sobre IA añadió también un encargo al artículo 40.2. La Comisión pedirá documentos de normalización que faciliten cumplir a la vez las secciones 2 y 3 del capítulo III del AI Act y la legislación de producto del anexo I, como la de máquinas o la de productos sanitarios. Interesa a quien fabrica productos regulados con IA integrada.
Una empresa ficticia de Valencia, Criba Analytics, vende a departamentos de recursos humanos un software con IA que ordena candidaturas. Es un sistema de alto riesgo del anexo III, en el área de empleo, como explicamos en nuestra guía del AI Act, y Criba es su proveedor. Tiene la certificación ISO 9001 desde hace años y pensaba obtener la ISO/IEC 42001 para cumplir el Reglamento.
Al conocer la Decisión 2026/2274 cambia el orden. Mantiene la ISO 9001 como base y construye sobre ella el sistema de la EN 18286, que es el que tiene presunción de conformidad con el artículo 17. Documenta la gestión de los datos de entrenamiento, el plan de pruebas de cada versión, la vigilancia poscomercialización y el canal para notificar incidentes graves, y fija quién responde de cada cosa. Sus clientes empiezan a pedirlo en los contratos, y Criba prepara un anexo que describe su sistema de calidad y la documentación que entregará antes del 2 de diciembre de 2027.
Nada de esto es exigible hoy, pero el trabajo sirve igual con la norma y sin ella.
Qué multas prevé el Reglamento si no se cumplen las obligaciones de alto riesgo lo explicamos en nuestro artículo sobre las sanciones del AI Act.
No. Las normas armonizadas son voluntarias. Lo obligatorio es el artículo 17, para los proveedores de sistemas de IA de alto riesgo, cuando se apliquen sus obligaciones. Aplicar la EN 18286 da presunción de conformidad con los requisitos del artículo 17 que cubre. Quien no la aplique puede cumplir por otros medios, pero tendrá que demostrarlo sin esa presunción.
Desde el 14 de octubre de 2026, el día en que se publicó su referencia en el Diario Oficial de la UE con la Decisión de Ejecución (UE) 2026/2274, que entró en vigor esa misma fecha. La obligación de tener el sistema de calidad llega con las demás de alto riesgo, el 2 de diciembre de 2027 para el anexo III y el 2 de agosto de 2028 para el anexo I.
Por sí sola no da la presunción de conformidad, porque no es una norma armonizada publicada en el Diario Oficial. Según la Comisión, la EN 18286 está pensada para superponerse a la ISO/IEC 42001, a la ISO 9001 o a un sistema sectorial, no para sustituirlos. Un sistema ISO/IEC 42001 es una buena base, pero hay que completarlo con lo que pide la EN 18286.
No. El artículo 17 obliga a los proveedores. El responsable del despliegue tiene sus propias obligaciones y pasa a ser proveedor en los casos del artículo 25, por ejemplo si pone su nombre o marca al sistema o lo modifica de forma sustancial. Aun así, le conviene pedir al proveedor que acredite su sistema de calidad y dejarlo por escrito en el contrato.
Sí, según la Comisión, que anuncia más normas sin dar calendario. La solicitud de normalización C(2025) 3871 encargó a CEN y Cenelec varias normas para los sistemas de alto riesgo, y la EN 18286 responde al punto de los sistemas de gestión de la calidad. Además, el Ómnibus digital sobre IA prevé documentos de normalización para cumplir a la vez el AI Act y la legislación de producto del anexo I.
La EN 18286 es el primer criterio técnico oficial para cumplir una obligación del AI Act, y llega con más de un año de margen sobre las fechas de alto riesgo. Lo sensato es aprovecharlo para ordenar el sistema de calidad sobre lo que ya existe, en lugar de esperar a las normas que faltan. En Innovatech asesoramos a quienes desarrollan y a quienes contratan sistemas de IA en su adaptación al Reglamento, dentro de nuestro servicio de abogados de inteligencia artificial. Cuéntanos tu caso y te damos una valoración inicial gratuita.
Marta Suárez-Mansilla, Socia Directora de Innovatech y abogada que ejerce en derecho tecnológico. Formada en Copyright por Harvard Law School y en Blockchain por BerkeleyX, acumula más de 8 años de experiencia asesorando a empresas tecnológicas.