Per primer cop, l'AI Act té una norma harmonitzada. Qui la implementi obté presumpció de conformitat amb l'article 17. I qui la implementi sense poder demostrar-ho, no obté res.
El 19 d'octubre de 2026, la Comissió Europea va anunciar la publicació al Diari Oficial de la Unió Europea de la referència d' EN 18286:2026 , Artificial intelligence. Quality management system for EU AI Act regulatory purposes , elaborada per CEN i CENELEC. És la primera norma harmonitzada en suport del Reglament (UE) 2024/1689, i la Comissió ja avisa que en seguiran d'altres.
No canvia cap data ni afegeix obligacions. El que canvia és com demostra una de les obligacions centrals dels sistemes d'alt risc: el sistema de gestió de la qualitat.
Què s'ha publicat exactament
Decisió d'Execució (UE) 2026/2274
De la Comissió, de 12 d'octubre del 2026, sobre les normes harmonitzades per a sistemes d'IA d'alt risc elaborades en suport de l'AI Act.
EN 18286:2026
Sistema de gestió de la qualitat per a fins regulatoris de l'AI Act. Elaborada per CEN i CENELEC a petició de la Comissió.
Presumpció de conformitat
Amb els requisits de larticle 17 que la norma cobreix. Només per a proveïdors de sistemes d'IA d'alt risc. No afecta els models dús general.
Què és una norma harmonitzada i què dóna la presumpció de conformitat
L'AI Act fixa requisits, però no diu com complir-los. Aquesta és la funció de les normes harmonitzades: la Comissió encarrega als organismes europeus de normalització una norma tècnica, publica la seva referència al Diari Oficial i, des d'aquell moment, l'article 40 del Reglament presumeix que qui compleix la norma compleix els requisits legals que aquesta norma cobreix.
| Aspecte | Sense norma harmonitzada | Amb EN 18286 |
|---|---|---|
| Interpretació | El proveïdor interpreta l'article 17 pel seu compte i en defensa la lectura davant l'autoritat o l'organisme notificat. | El proveïdor implementa la norma i la càrrega de demostrar que el SGC no compleix passa qui ho discuteix. |
| Auditoria | Cada avaluació parteix de zero: què hi devia haver, què hi ha. | Es compara contra un text comú, clàusula a clàusula. |
| Sistemes | L'SGC d'IA conviu amb el de qualitat, el sectorial i el de seguretat com a sistemes separats. | La norma està pensada per superposar-se als que ja existeixen i integrar-los. |
La presumpció no és ni automàtica ni total. Cobreix els requisits de l'article 17 que la norma recull, i només si la implementació és real i demostrable . Aquí és on la majoria de les organitzacions tenen el problema.
El que el sistema de gestió de la qualitat ha de contenir
L'article 17 exigeix als proveïdors de sistemes d'alt risc un SGC documentat de manera sistemàtica i ordenada, en polítiques, procediments i instruccions escrites. Entre altres aspectes, ha de cobrir:
| Àmbit | Què demana l'article 17 | El que pregunta un auditor |
|---|---|---|
| Compliment | Una estratègia de compliment normatiu, inclosos els procediments davaluació de la conformitat i de gestió de modificacions. | Quina versió de la política és vigent i qui la va aprovar? |
| Disseny i desenvolupament | Tècniques, procediments i accions sistemàtiques per al disseny, control i verificació del sistema. | Què va canviar entre la versió avaluada i la que està en producció? |
| Dades | Sistemes i procediments de gestió de dades: recollida, etiquetatge, emmagatzematge, conservació. | Amb quines dades exactes es va entrenar el model que opera avui? |
| Riscos | El sistema de gestió de riscos de larticle 9. | Quan es va revisar per darrera vegada i quines decisions van sortir d'aquesta revisió? |
| Postcomercialització | El sistema de vigilància postcomercialització de larticle 72 i la notificació dincidents greus de larticle 73. | Quan es va detectar l'incident, qui el va revisar i quan es va notificar? |
| Registres | Gestió de la documentació i de la informació, i conservació de registres. | Podeu demostrar que aquest registre no s'ha modificat des de llavors? |
| Responsabilitat | Un marc de rendició de comptes amb les responsabilitats de la direcció i de la resta del personal. | Qui responia aquest sistema el dia de l'incident? |
EN 18286 tradueix aquesta llista en un sistema operatiu. I, segons la mateixa Comissió, ho fa al voltant del cicle de vida del sistema d'IA i no al voltant de l'organització, que és com estan construïdes les normes de gestió clàssiques.
No substituïu la vostra ISO. S'hi recolza.
La Comissió la descriu com a única norma de SGC d'IA amb presumpció de conformitat, dissenyada per superposar-se a ISO/IEC 42001, ISO 9001 o un SGC sectorial com a ISO 13485, no per reemplaçar-los.
Per a una organització certificada en ISO/IEC 42001, EN 18286 és la capa que connecta el sistema de gestió d'IA amb el requisit legal. Per a una organització amb ISO 9001 i sense 42001, és la via per ampliar l'SGC que ja té fins a cobrir l'article 17. I per als sectors regulats, la norma permet expressament integrar els sistemes de gestió en comptes de portar-ne diversos en paral·lel.
La conseqüència pràctica per a CIO, CDO i Legal és que la feina feta en ISO no es perd. El que cal és poder ensenyar-ho: quina revisió de cada procediment és vigent, qui la va aprovar, quins registres existeixen i quin cap no s'ha tocat després.
La presumpció val allò que val l'evidència
Un SGC viu a documents: polítiques, procediments, actes de revisió, informes d'auditoria interna, registres d'incidents. Tots canvien amb el temps, i tots els signen persones. Quan arriba l'organisme notificat o l'autoritat de vigilància, la conversa no és sobre si hi ha l'SGC. És sobre si el que s'ensenya és el que estava en vigor a la data que importa.
Un gestor documental hi pot respondre només si ningú amb permisos ha pogut reescriure l'historial. Una carpeta compartida no respon. I una declaració del responsable és, una altra vegada, una declaració.
Un SGC de larticle 17 que un tercer pot comprovar
Cobertura per requisit
- Cada requisit de l'article 17 i cada clàusula d'EN 18286 o ISO/IEC 42001 amb el document que el cobreix, la revisió vigent i les troballes obertes.
- Sense IA al càlcul: és el registre.
Firmes lligades a l'arxiu
- Ningú signa una revisió diferent de la que té davant: l'empremta es calcula al navegador de qui signa.
- Acusos de lectura, aprovacions i canvis queden amb data certa.
Paquet segellat per a l'avaluació
- V-Seal™ segella cada revisió i el paquet documental complet a blockchain immutable.
- L'organisme notificat ho verifica al portal públic, sense compte.
El resultat és un SGC la història del qual no depèn de la paraula de ningú: què estava vigent, qui ho va aprovar i quan, verificable per qualsevol.
La decisió sobre la conformitat correspon a lorganisme notificat oa lautoritat. El que garanteix V-PROOF és que, quan s'invoqui la presumpció de l'article 40, la implementació de la norma estigui recolzada per una prova i no per una afirmació.
El termini continua sent el 2 de desembre del 2027. El que ja està disponible és la vara de mesurar.
No ens ha de refiar de nosaltres. Qualsevol evidència segellada amb V-Seal™ es comprova al portal públic, sense compte i en segons.
Decisió d'Execució (UE) 2026/2274 de la Comissió, de 12 d'octubre del 2026. Veure a EUR-Lex
Comissió Europea. Standardisation of the AI Act. Veure pàgina
Reglament (UE) 2024/1689, articles 17 i 40. Veure text
