Pour la première fois, la loi sur l'IA prévoit une norme harmonisée. Quiconque la met en œuvre bénéficie d'une présomption de conformité au titre de l'article 17. Et quiconque la met en œuvre sans pouvoir le prouver n'obtient rien.
Le 19 octobre 2026, la Commission européenne a annoncé la publication au Journal officiel de l’Union européenne de la référence de la norme EN 18286:2026, « Intelligence artificielle. Système de gestion de la qualité aux fins réglementaires de la loi européenne sur l’IA, élaborée par le CEN et le CENELEC. Il s’agit de la première norme harmonisée venant en appui au règlement (UE) 2024/1689, et la Commission annonce d’ores et déjà que d’autres suivront.
Cela ne modifie aucune date et n'ajoute aucune obligation. Ce qui change, c'est la manière dont est démontrée l'une des obligations fondamentales des systèmes à haut risque : le système de gestion de la qualité.
Qu'est-ce qui a été publié exactement ?
Décision d'exécution (UE) 2026/2274
De la Commission, du 12 octobre 2026, relative aux normes harmonisées applicables aux systèmes d'IA à haut risque, élaborées à l'appui de la loi sur l'IA.
EN 18286:2026
Système de gestion de la qualité à des fins réglementaires dans le cadre de la loi sur l'IA (AI Act). Élaboré par le CEN et le CENELEC à la demande de la Commission.
Présomption de conformité
Conformément aux exigences de l'article 17 auxquelles s'applique la norme. Uniquement pour les fournisseurs de systèmes d'IA à haut risque. Cela ne concerne pas les modèles à usage général.
Qu'est-ce qu'une norme harmonisée et qu'est-ce qui confère la présomption de conformité ?
La loi sur l’IA fixe des exigences, mais ne précise pas comment y satisfaire. C’est là le rôle des normes harmonisées : la Commission confie à des organismes européens de normalisation l’élaboration d’une norme technique, publie sa référence au Journal officiel et, dès lors, l’article 40 du règlement présume que quiconque se conforme à cette norme satisfait aux exigences légales que celle-ci couvre.
| Aspect | En l'absence de norme harmonisée | Conforme à la norme EN 18286 |
|---|---|---|
| Interprétation | Le fournisseur interprète l'article 17 de son propre chef et défend son interprétation devant l'autorité ou l'organisme notifié. | Le fournisseur met en œuvre la norme et la charge de la preuve quant à la non-conformité du SGC incombe à celui qui la conteste. |
| Audit | Chaque évaluation part de zéro : ce qui aurait dû exister, ce qui existe. | Il est comparé à un texte de référence, clause par clause. |
| Systèmes | Le SGC dédié à l'IA coexiste avec ceux dédiés à la qualité, au secteur et à la sécurité, en tant que systèmes distincts. | Cette norme est conçue pour s'ajouter à celles qui existent déjà et les intégrer. |
Cette présomption n'est ni automatique ni totale. Elle répond aux exigences de l'article 17 que la norme prévoit, et ce uniquement si la mise en œuvre est effective et démontrable. C'est là que réside le problème pour la plupart des organisations.
Ce que doit comporter le système de gestion de la qualité
L'article 17 impose aux fournisseurs de systèmes à haut risque de disposer d'un système de gestion de la qualité (SGQ) documenté de manière systématique et structurée, sous forme de politiques, de procédures et d'instructions écrites. Il doit notamment couvrir les aspects suivants :
| Champ d'application | Que prévoit l'article 17 ? | Ce qu'un auditeur demande |
|---|---|---|
| Conformité | Une stratégie de conformité réglementaire, comprenant notamment les procédures d'évaluation de la conformité et de gestion des modifications. | Quelle version de cette politique est en vigueur et qui l'a approuvée ? |
| Conception et développement | Techniques, procédures et mesures systématiques pour la conception, le contrôle et la vérification du système. | Quels sont les changements entre la version testée et celle qui est actuellement en production ? |
| Données | Systèmes et procédures de gestion des données : collecte, étiquetage, stockage, conservation. | Sur quelles données précises le modèle actuellement utilisé a-t-il été entraîné ? |
| Risques | Le système de gestion des risques visé à l'article 9. | Quand a-t-elle été réexaminée pour la dernière fois et quelles décisions ont été prises à l'issue de cet examen ? |
| Après-vente | Le système de surveillance post-commercialisation prévu à l'article 72 et la notification des incidents graves prévue à l'article 73. | Quand cet incident a-t-il été détecté, qui l'a examiné et quand a-t-il été signalé ? |
| Registres | Gestion de la documentation et de l'information, et conservation des archives. | Pouvez-vous prouver que cet enregistrement n'a pas été modifié depuis lors ? |
| Responsabilité | Un cadre de responsabilité définissant les obligations de la direction et du reste du personnel. | Qui était responsable de ce système le jour de l'incident ? |
La norme EN 18286 transpose cette liste en un système opérationnel. Et, selon la Commission elle-même, elle le fait en s'articulant autour du cycle de vie du système d'IA et non autour de l'organisation, contrairement à la manière dont sont conçues les normes de gestion classiques.
Elle ne remplace pas votre ISO. Elle s'appuie sur celle-ci.
La Commission la décrit comme la seule norme de système de gestion de l'IA bénéficiant d'une présomption de conformité, conçue pour venir en complément de la norme ISO/IEC 42001, de la norme ISO 9001 ou d'un système de gestion sectoriel tel que la norme ISO 13485, et non pour les remplacer.
Pour une organisation certifiée ISO/IEC 42001, la norme EN 18286 constitue le maillon qui relie son système de gestion de l’IA à l’exigence légale. Pour une organisation certifiée ISO 9001 mais non certifiée 42001, il s'agit du moyen d'étendre le système de gestion de la qualité dont elle dispose déjà afin de répondre aux exigences de l'article 17. Quant aux secteurs réglementés, la norme autorise expressément l'intégration des systèmes de gestion plutôt que leur gestion en parallèle.
La conséquence pratique pour les DSI, les CDO et le service juridique est que le travail réalisé dans le cadre de la norme ISO n'est pas perdu. Il s'agit simplement de pouvoir le démontrer : quelle version de chaque procédure est en vigueur, qui l'a approuvée, quels sont les documents existants et qu'aucun d'entre eux n'a été modifié depuis.
Une présomption n'a que la valeur des preuves
Un système de gestion de la qualité (SGQ) repose sur des documents : politiques, procédures, procès-verbaux de révision, rapports d’audit interne, registres d’incidents. Tous évoluent avec le temps, et tous sont signés par des personnes. Lorsque l’organisme notifié ou l’autorité de surveillance se présente, la question n’est pas de savoir si le SGQ existe. Il s’agit de vérifier si ce qui est présenté correspond bien à ce qui était en vigueur à la date qui importe.
Un gestionnaire de documents ne peut répondre à cette question que si aucune personne disposant des autorisations nécessaires n'a pu modifier l'historique. Un dossier partagé ne permet pas d'y répondre. Et une déclaration du responsable n'est, là encore, qu'une déclaration.
Un SGC visé à l'article 17 dont la conformité peut être vérifiée par un tiers
Couverture en fonction des besoins
- Chaque exigence de l'article 17 et chaque clause de la norme EN 18286 ou ISO/IEC 42001, ainsi que le document correspondant, sa version en vigueur et les non-conformités en suspens.
- Sans IA dans le calcul : c'est l'enregistrement.
Signatures liées au dossier
- Personne ne signe une version différente de celle qui se trouve devant lui : l'empreinte est calculée dans le navigateur de la personne qui signe.
- Les accusés de réception, les validations et les modifications sont datés de manière certaine.
Colis scellé destiné à l'évaluation
- V-Seal™ enregistre chaque révision ainsi que l'ensemble du dossier documentaire sur une blockchain immuable.
- L'organisme notifié vérifie ces informations sur le portail public, sans avoir besoin d'un compte.
Il en résulte un SGC dont l'historique ne repose sur la parole de personne : ce qui était en vigueur, qui l'a approuvé et à quelle date, tout cela pouvant être vérifié par n'importe qui.
La décision relative à la conformité relève de l'organisme notifié ou de l'autorité. Ce que V-PROOF garantit, c'est que, lorsque la présomption prévue à l'article 40 est invoquée, la mise en œuvre de la norme s'appuie sur une preuve et non sur une simple affirmation.
La date limite reste fixée au 2 décembre 2027. Ce qui est déjà disponible, c'est le critère d'évaluation.
Vous n'êtes pas obligé de nous faire confiance. Toute preuve scellée avec V-Seal™ peut être vérifiée sur le portail public, sans compte et en quelques secondes.
Décision d’exécution (UE) 2026/2274 de la Commission, du 12 octobre 2026. Consultez-la sur EUR-Lex
Commission européenne. Normalisation de la loi sur l’IA. Consultez la page
Règlement (UE) 2024/1689, articles 17 et 40. Consultez le texte
