Por primera vez, el AI Act tiene una norma armonizada. Quien la implemente obtiene presunción de conformidad con el artículo 17. Y quien la implemente sin poder demostrarlo, no obtiene nada.
El 19 de octubre de 2026, la Comisión Europea anunció la publicación en el Diario Oficial de la Unión Europea de la referencia de EN 18286:2026, Artificial intelligence. Quality management system for EU AI Act regulatory purposes, elaborada por CEN y CENELEC. Es la primera norma armonizada en apoyo del Reglamento (UE) 2024/1689, y la Comisión ya avisa de que seguirán otras.
No cambia ninguna fecha ni añade obligaciones. Lo que cambia es cómo se demuestra una de las obligaciones centrales de los sistemas de alto riesgo: el sistema de gestión de la calidad.
Qué se ha publicado exactamente
Decisión de Ejecución (UE) 2026/2274
De la Comisión, de 12 de octubre de 2026, sobre las normas armonizadas para sistemas de IA de alto riesgo elaboradas en apoyo del AI Act.
EN 18286:2026
Sistema de gestión de la calidad para fines regulatorios del AI Act. Elaborada por CEN y CENELEC a petición de la Comisión.
Presunción de conformidad
Con los requisitos del artículo 17 que la norma cubre. Solo para proveedores de sistemas de IA de alto riesgo. No afecta a los modelos de uso general.
Qué es una norma armonizada y qué da la presunción de conformidad
El AI Act fija requisitos, pero no dice cómo cumplirlos. Esa es la función de las normas armonizadas: la Comisión encarga a los organismos europeos de normalización una norma técnica, publica su referencia en el Diario Oficial y, desde ese momento, el artículo 40 del Reglamento presume que quien cumple la norma cumple los requisitos legales que esa norma cubre.
| Aspecto | Sin norma armonizada | Con EN 18286 |
|---|---|---|
| Interpretación | El proveedor interpreta el artículo 17 por su cuenta y defiende su lectura ante la autoridad o el organismo notificado. | El proveedor implementa la norma y la carga de demostrar que el SGC no cumple pasa a quien lo discute. |
| Auditoría | Cada evaluación parte de cero: qué debía haber, qué hay. | Se compara contra un texto común, cláusula a cláusula. |
| Sistemas | El SGC de IA convive con el de calidad, el sectorial y el de seguridad como sistemas separados. | La norma está pensada para superponerse a los que ya existen e integrarlos. |
La presunción no es automática ni total. Cubre los requisitos del artículo 17 que la norma recoge, y solo si la implementación es real y demostrable. Ahí es donde la mayoría de las organizaciones tiene el problema.
Lo que el sistema de gestión de la calidad tiene que contener
El artículo 17 exige a los proveedores de sistemas de alto riesgo un SGC documentado de forma sistemática y ordenada, en políticas, procedimientos e instrucciones escritas. Entre otros aspectos, debe cubrir:
| Ámbito | Qué pide el artículo 17 | Lo que pregunta un auditor |
|---|---|---|
| Cumplimiento | Una estrategia de cumplimiento normativo, incluidos los procedimientos de evaluación de la conformidad y de gestión de modificaciones. | ¿Qué versión de la política está vigente y quién la aprobó? |
| Diseño y desarrollo | Técnicas, procedimientos y acciones sistemáticas para el diseño, el control y la verificación del sistema. | ¿Qué cambió entre la versión evaluada y la que está en producción? |
| Datos | Sistemas y procedimientos de gestión de datos: recogida, etiquetado, almacenamiento, conservación. | ¿Con qué datos exactos se entrenó el modelo que opera hoy? |
| Riesgos | El sistema de gestión de riesgos del artículo 9. | ¿Cuándo se revisó por última vez y qué decisiones salieron de esa revisión? |
| Poscomercialización | El sistema de vigilancia poscomercialización del artículo 72 y la notificación de incidentes graves del artículo 73. | ¿Cuándo se detectó el incidente, quién lo revisó y cuándo se notificó? |
| Registros | Gestión de la documentación y de la información, y conservación de registros. | ¿Puede demostrar que este registro no se ha modificado desde entonces? |
| Responsabilidad | Un marco de rendición de cuentas con las responsabilidades de la dirección y del resto del personal. | ¿Quién respondía de este sistema el día del incidente? |
EN 18286 traduce esa lista en un sistema operativo. Y, según la propia Comisión, lo hace alrededor del ciclo de vida del sistema de IA y no alrededor de la organización, que es como están construidas las normas de gestión clásicas.
No sustituye a su ISO. Se apoya en ella.
La Comisión la describe como la única norma de SGC de IA con presunción de conformidad, diseñada para superponerse a ISO/IEC 42001, ISO 9001 o un SGC sectorial como ISO 13485, no para reemplazarlos.
Para una organización certificada en ISO/IEC 42001, EN 18286 es la capa que conecta su sistema de gestión de IA con el requisito legal. Para una organización con ISO 9001 y sin 42001, es la vía para ampliar el SGC que ya tiene hasta cubrir el artículo 17. Y para los sectores regulados, la norma permite expresamente integrar los sistemas de gestión en vez de llevar varios en paralelo.
La consecuencia práctica para CIO, CDO y Legal es que el trabajo hecho en ISO no se pierde. Lo que hace falta es poder enseñarlo: qué revisión de cada procedimiento está vigente, quién la aprobó, qué registros existen y que ninguno se ha tocado después.
La presunción vale lo que vale la evidencia
Un SGC vive en documentos: políticas, procedimientos, actas de revisión, informes de auditoría interna, registros de incidentes. Todos cambian con el tiempo, y todos los firman personas. Cuando llega el organismo notificado o la autoridad de vigilancia, la conversación no es sobre si existe el SGC. Es sobre si lo que se enseña es lo que estaba en vigor en la fecha que importa.
Un gestor documental puede responder a eso solo si nadie con permisos ha podido reescribir el historial. Una carpeta compartida no lo responde. Y una declaración del responsable es, otra vez, una declaración.
Un SGC del artículo 17 que un tercero puede comprobar
Cobertura por requisito
- Cada requisito del artículo 17 y cada cláusula de EN 18286 o ISO/IEC 42001 con el documento que lo cubre, su revisión vigente y los hallazgos abiertos.
- Sin IA en el cálculo: es el registro.
Firmas ligadas al archivo
- Nadie firma una revisión distinta de la que tiene delante: la huella se calcula en el navegador de quien firma.
- Acuses de lectura, aprobaciones y cambios quedan con fecha cierta.
Paquete sellado para la evaluación
- V-Seal™ sella cada revisión y el paquete documental completo en blockchain inmutable.
- El organismo notificado lo verifica en el portal público, sin cuenta.
El resultado es un SGC cuya historia no depende de la palabra de nadie: qué estaba vigente, quién lo aprobó y cuándo, verificable por cualquiera.
La decisión sobre la conformidad corresponde al organismo notificado o a la autoridad. Lo que V-PROOF garantiza es que, cuando se invoque la presunción del artículo 40, la implementación de la norma esté respaldada por una prueba y no por una afirmación.
El plazo sigue siendo el 2 de diciembre de 2027. Lo que ya está disponible es la vara de medir.
No tiene que fiarse de nosotros. Cualquier evidencia sellada con V-Seal™ se comprueba en el portal público, sin cuenta y en segundos.
Decisión de Ejecución (UE) 2026/2274 de la Comisión, de 12 de octubre de 2026. Ver en EUR-Lex
Comisión Europea. Standardisation of the AI Act. Ver página
Reglamento (UE) 2024/1689, artículos 17 y 40. Ver texto
