La Commission européenne a publié la première norme harmonisée du règlement sur l’intelligence artificielle (AI Act). Il s’agit de la EN 18286:2026, élaborée par les organismes européens de normalisation CEN et Cenelec, qui porte sur le système de gestion de la qualité que l’article 17 impose aux fournisseurs de systèmes d’IA à haut risque. Sa référence a paru au Journal officiel de l’UE le 14 octobre 2026, avec la décision d’exécution (UE) 2026/2274. Depuis ce jour, le fournisseur qui l’applique bénéficie d’une présomption de conformité avec les exigences de l’article 17 couvertes par la norme. Les obligations relatives au haut risque ne s’appliquent qu’à partir du 2 décembre 2027, mais le système de gestion de la qualité organise la stratégie de conformité, la conception, les essais, les données et la surveillance du système, et il vaut mieux commencer à le mettre en place dès maintenant.
Si vous avez besoin d’un conseil juridique pour mettre votre système d’IA en conformité avec l’AI Act, demandez une évaluation initiale gratuite.
La décision d’exécution (UE) 2026/2274 de la Commission du 12 octobre 2026 publie au Journal officiel de l’UE la référence d’une norme harmonisée pour les systèmes d’IA à haut risque. Elle a paru dans la série L du 14 octobre 2026 et est entrée en vigueur le jour même, comme le prévoit son article 2.
Son annexe ne mentionne qu’une norme, la EN 18286:2026, «Intelligence artificielle — Système de management de la qualité pour le règlement européen sur l’IA». Elle répond à la demande de normalisation adressée par la Commission au CEN et au Cenelec le 23 juin 2025, la décision d’exécution C(2025) 3871. L’un des points de cette demande portait sur les systèmes de gestion de la qualité des fournisseurs de systèmes d’IA, y compris les processus de contrôle après la mise sur le marché.
La Commission l’a annoncé le 19 octobre 2026 dans une note sur la première norme harmonisée de l’AI Act (en anglais). Selon cette note, la norme offre aux fournisseurs de systèmes d’IA à haut risque une voie claire pour respecter les exigences de l’article 17 en matière de système de gestion de la qualité, et d’autres normes harmonisées suivront.
Une norme harmonisée est une norme technique européenne élaborée à la demande de la Commission pour appliquer un règlement, et dont la référence est publiée au Journal officiel. Son effet est fixé par l’article 40, paragraphe 1, de l’AI Act. Les systèmes d’IA à haut risque conformes à des normes harmonisées publiées sont présumés conformes aux exigences du règlement dans la mesure où ces normes les couvrent.
Cette présomption a deux conséquences pratiques. La première touche à la preuve. Le fournisseur qui applique la norme n’a pas à démontrer en partant de zéro que son système de gestion de la qualité respecte l’article 17, puisque la conformité est présumée pour ce que la norme couvre. La seconde est que la norme est volontaire. Un fournisseur peut respecter l’article 17 par d’autres moyens, mais il devra le démontrer sans l’appui de cette présomption. L’article 17, paragraphe 1, point e), le prévoit lui-même en demandant que le système indique les normes appliquées et, lorsque les normes harmonisées ne sont pas appliquées intégralement, les moyens utilisés pour se conformer.
La présomption vaut à partir de la publication de la référence, le 14 octobre 2026, comme le rappelle le considérant 6 de la décision. Et elle ne couvre que ce que la norme couvre. La Commission parle d’une présomption de conformité avec les exigences de l’article 17 couvertes par la norme, et non avec les autres obligations du fournisseur.
L’article 17 impose aux fournisseurs de systèmes d’IA à haut risque de mettre en place un système de gestion de la qualité documenté de manière méthodique et ordonnée, sous la forme de politiques, de procédures et d’instructions écrites. Il doit couvrir au minimum les aspects suivants.
| Point | Ce que le système doit couvrir |
|---|---|
| a) | La stratégie de respect de la réglementation, y compris l’évaluation de la conformité et la gestion des modifications du système |
| b) et c) | Les techniques et procédures de conception, de contrôle et de vérification de la conception, de développement et de contrôle et d’assurance de la qualité |
| d) | Les procédures d’examen, d’essai et de validation avant, pendant et après le développement, et leur fréquence |
| e) | Les spécifications techniques et normes appliquées, et la manière de respecter ce que les normes harmonisées ne couvrent pas |
| f) | La gestion des données, de leur acquisition et de leur étiquetage jusqu’à leur stockage et leur conservation |
| g) | Le système de gestion des risques visé à l’article 9 |
| h) et i) | La surveillance après commercialisation de l’article 72 et la notification des incidents graves de l’article 73 |
| j) | La communication avec les autorités, les organismes notifiés, les clients et les autres parties intéressées |
| k) | L’archivage de toute la documentation et de toutes les informations pertinentes |
| l) | La gestion des ressources, y compris la sécurité de l’approvisionnement |
| m) | Un cadre de responsabilisation qui fixe les responsabilités de la direction et du reste du personnel |
Le paragraphe 2 introduit la proportionnalité. Depuis l’Omnibus numérique sur l’IA, le règlement (UE) 2026/1744, il prévoit que la mise en œuvre de ces aspects est proportionnée à la taille de l’organisation du fournisseur, en particulier lorsqu’il s’agit d’une PME, y compris une jeune pousse, ou d’une petite entreprise à moyenne capitalisation. La proportionnalité n’abaisse pas le résultat. Le fournisseur doit dans tous les cas respecter le degré de rigueur et le niveau de protection nécessaires à la conformité du système.
Il existe aussi deux règles d’intégration. Le fournisseur qui dispose déjà d’un système de gestion de la qualité au titre de sa réglementation sectorielle peut y inclure les aspects de l’article 17, selon le paragraphe 3. Et les établissements financiers soumis à des règles de gouvernance interne sont réputés conformes s’ils respectent ces règles, sauf pour la gestion des risques, la surveillance après commercialisation et la notification des incidents, soit les points g), h) et i), selon le paragraphe 4.
De nombreuses entreprises technologiques travaillent déjà avec l’ISO 9001 de management de la qualité ou avec l’ISO/IEC 42001 de systèmes de management de l’intelligence artificielle. La note de la Commission précise le lien. La EN 18286 est alignée sur l’article 17, organisée autour du cycle de vie du système d’IA et non autour de l’organisation, et conçue pour se superposer à ces normes internationales ou à un système sectoriel, comme l’ISO 13485 pour les dispositifs médicaux, et non pour les remplacer.
Trois idées utiles en découlent. L’ISO/IEC 42001 ne figure pas dans la décision 2026/2274 et ne donne donc pas, à elle seule, la présomption de conformité de l’article 40. L’entreprise qui en dispose peut s’appuyer sur son système et le compléter avec la EN 18286. Celle qui n’a ni l’une ni l’autre peut utiliser la EN 18286 pour construire un système conforme à l’article 17 ou pour étendre celui qu’elle a déjà, comme l’envisage la Commission. Et dans les secteurs réglementés, la norme permet d’intégrer les systèmes de management au lieu d’en gérer deux en parallèle.
L’article 17 vise les fournisseurs, c’est-à-dire ceux qui développent un système d’IA, ou le font développer, et le mettent sur le marché ou en service sous leur propre nom ou leur propre marque. Pour savoir si un système est à haut risque, il faut examiner les deux voies de l’article 6, que nous expliquons dans notre guide sur les systèmes d’IA à haut risque.
Les obligations relatives au haut risque ne s’appliquent pas encore. Après l’Omnibus numérique sur l’IA, elles s’appliquent à partir du 2 décembre 2027 pour les systèmes de l’annexe III et du 2 août 2028 pour ceux de l’annexe I, qui font partie de produits réglementés. Il reste du temps, mais un système de gestion de la qualité documenté, avec ses procédures d’essais, de données, de risques et de surveillance, ne se construit pas en quelques semaines. La norme permet déjà de le concevoir selon un référentiel qui bénéficie d’une présomption de conformité.
Le déployeur, l’entreprise qui utilise le système sous sa propre autorité, n’a pas à mettre en place ce système de gestion de la qualité, mais il a tout intérêt à l’exiger. Le fait que son fournisseur applique la EN 18286 est un critère objectif de choix, et le contrat doit préciser comment le fournisseur le justifie, quelle documentation il remet et ce qui se passe s’il cesse de s’y conformer. Nous traitons ce point dans notre service de conseil juridique en contrats SaaS. Attention à l’article 25 : le déployeur devient fournisseur si, par exemple, il appose son nom ou sa marque sur un système à haut risque ou le modifie de manière substantielle.
La Commission présente la EN 18286 comme la norme de l’article 17. Les exigences techniques applicables au système lui-même, à la section 2 du chapitre III, relèvent d’autres normes harmonisées que la Commission prévoit de publier, sans calendrier. Il s’agit de la gestion des risques (article 9), des données et de leur gouvernance (article 10), de la documentation technique (article 11), de l’enregistrement (article 12), de la transparence envers les déployeurs (article 13), du contrôle humain (article 14) et de l’exactitude, de la robustesse et de la cybersécurité (article 15).
L’Omnibus numérique sur l’IA a également ajouté une demande à l’article 40, paragraphe 2. La Commission demandera des livrables de normalisation qui facilitent le respect simultané des sections 2 et 3 du chapitre III de l’AI Act et de la législation sur les produits de l’annexe I, comme celle sur les machines ou sur les dispositifs médicaux. Cela concerne les fabricants de produits réglementés intégrant de l’IA.
Une entreprise fictive de Valence, Criba Analytics, vend aux services des ressources humaines un logiciel d’IA qui classe les candidatures. C’est un système à haut risque de l’annexe III, dans le domaine de l’emploi, comme nous l’expliquons dans notre guide de l’AI Act pour les entreprises, et Criba en est le fournisseur. Elle est certifiée ISO 9001 depuis des années et comptait obtenir l’ISO/IEC 42001 pour se conformer au règlement.
En prenant connaissance de la décision 2026/2274, elle change d’ordre. Elle garde l’ISO 9001 comme socle et construit par-dessus le système de la EN 18286, qui est celui qui bénéficie de la présomption de conformité avec l’article 17. Elle documente la gestion des données d’entraînement, le plan d’essais de chaque version, la surveillance après commercialisation et le canal de notification des incidents graves, et elle fixe qui répond de chaque point. Ses clients commencent à l’exiger dans leurs contrats, et Criba prépare une annexe décrivant son système de gestion de la qualité et la documentation qu’elle remettra avant le 2 décembre 2027.
Rien de tout cela n’est exigible aujourd’hui, mais ce travail sert avec ou sans la norme.
Les amendes prévues par le règlement en cas de manquement aux obligations relatives au haut risque sont détaillées dans notre article sur les sanctions de l’AI Act.
Non. Les normes harmonisées sont volontaires. Ce qui est obligatoire, c’est l’article 17, pour les fournisseurs de systèmes d’IA à haut risque, lorsque leurs obligations s’appliquent. Appliquer la EN 18286 donne une présomption de conformité avec les exigences de l’article 17 qu’elle couvre. Le fournisseur qui ne l’applique pas peut se conformer par d’autres moyens, mais devra le démontrer sans cette présomption.
Depuis le 14 octobre 2026, date de publication de sa référence au Journal officiel de l’UE par la décision d’exécution (UE) 2026/2274, entrée en vigueur le même jour. L’obligation de disposer d’un système de gestion de la qualité arrive avec les autres obligations relatives au haut risque, le 2 décembre 2027 pour l’annexe III et le 2 août 2028 pour l’annexe I.
À elle seule, elle ne donne pas la présomption de conformité, car ce n’est pas une norme harmonisée publiée au Journal officiel. Selon la Commission, la EN 18286 est conçue pour se superposer à l’ISO/IEC 42001, à l’ISO 9001 ou à un système sectoriel, et non pour les remplacer. Un système ISO/IEC 42001 est une bonne base, mais il faut le compléter avec ce qu’exige la EN 18286.
Non. L’article 17 vise les fournisseurs. Le déployeur a ses propres obligations et devient fournisseur dans les cas prévus à l’article 25, par exemple s’il appose son nom ou sa marque sur le système ou le modifie de manière substantielle. Il a néanmoins intérêt à demander au fournisseur de justifier son système de gestion de la qualité et à le prévoir par écrit dans le contrat.
Oui, selon la Commission, qui annonce d’autres normes sans donner de calendrier. La demande de normalisation C(2025) 3871 a confié au CEN et au Cenelec plusieurs normes pour les systèmes à haut risque, et la EN 18286 répond au point consacré aux systèmes de gestion de la qualité. L’Omnibus numérique sur l’IA prévoit en outre des livrables de normalisation pour respecter à la fois l’AI Act et la législation sur les produits de l’annexe I.
La EN 18286 est le premier référentiel technique officiel pour respecter une obligation de l’AI Act, et elle arrive plus d’un an avant les échéances du haut risque. Le plus sensé est de mettre ce délai à profit pour organiser le système de gestion de la qualité à partir de l’existant, plutôt que d’attendre les normes qui manquent encore. Chez Innovatech, nous accompagnons les entreprises qui développent et celles qui achètent des systèmes d’IA dans leur mise en conformité avec le règlement, dans le cadre de notre service de conseil juridique AI Act. Présentez-nous votre situation et nous vous proposerons une évaluation initiale gratuite.
Marta Suárez-Mansilla est associée gérante d'Innovatech Legal et abogada inscrite à l'ICAM (Ilustre Colegio de la Abogacía de Madrid), active en droit des technologies. Elle a suivi le cours Copyright de la Harvard Law School et le programme Blockchain de BerkeleyX, et conseille des entreprises technologiques depuis plus de huit ans.