Op 14 oktober 2026 verscheen in het Publicatieblad van de Europese Unie het Uitvoeringsbesluit (EU) 2026/2274 van de Commissie van 12 oktober 2026. Achter die administratieve titel schuilt een gebeurtenis waarop sinds de goedkeuring van de AI Act werd gewacht: het besluit vermeldt de referentie van de eerste geharmoniseerde norm die ter ondersteuning van de verordening is opgesteld. Het gaat om EN 18286:2026, “Artificial intelligence — Quality management system for EU AI Act regulatory purposes”, uitgewerkt door CEN en CENELEC. De Commissie maakte het op 19 oktober bekend.
Voor een aanbieder van een AI-systeem met een hoog risico is dit geen nieuws uit de normalisatiewereld. Het is een juridisch instrument.
Dit artikel is ook beschikbaar in het Frans en in het Engels.
Wat een geharmoniseerde norm verandert
De AI Act werkt zoals de meeste teksten van het Europese “nieuwe wetgevingskader”: de verordening legt de eisen vast, de geharmoniseerde normen zeggen hoe eraan te voldoen. Artikel 40 trekt daar de conclusie uit: een AI-systeem met een hoog risico dat in overeenstemming is met een geharmoniseerde norm waarvan de referentie in het Publicatieblad is bekendgemaakt, wordt geacht te voldoen aan de eisen die door die norm worden gedekt.
Drie preciseringen die in de praktijk tellen.
- Het vermoeden geldt alleen voor zover de norm de eis dekt. EN 18286 heeft betrekking op artikel 17 — het kwaliteitsbeheersysteem — en op niets anders. Over het risicobeheer, de data of de cyberbeveiliging van het systeem zegt zij niets.
- De norm toepassen blijft vrijwillig. Een aanbieder mag op een andere manier aantonen dat hij artikel 17 naleeft; hij verliest alleen het comfort van het vermoeden en zal punt voor punt moeten overtuigen.
- Het vermoeden is weerlegbaar. Het verschuift de bewijslast naar de autoriteit of de klager; het ontslaat niemand van de verplichting om de norm ook werkelijk toe te passen.
EN 18286 in enkele regels
De norm vertaalt de eisen van artikel 17 naar een operationeel kwaliteitsbeheersysteem. Volgens de voorstelling van de Commissie is zij opgebouwd rond de levenscyclus van het AI-systeem en niet rond de organisatie, en is zij bedoeld om bovenop bestaande systemen te worden gelegd — ISO/IEC 42001 (AI-management), ISO 9001 (kwaliteit) of een sectoraal systeem zoals ISO 13485 voor medische hulpmiddelen — en niet om die te vervangen. Een onderneming in een gereguleerde sector kan haar managementsystemen dus integreren in plaats van er meerdere naast elkaar te laten draaien.
Het is tot nu toe de enige norm voor een AI-kwaliteitsbeheersysteem met een vermoeden van conformiteit. Het ontwerp (prEN 18286) lag sinds 30 oktober 2025 in openbaar onderzoek. Verdere geharmoniseerde normen zijn aangekondigd, voorlopig zonder publiek tijdschema: het normalisatieverzoek aan CEN-CENELEC bestrijkt tien thema’s, van risicobeheer tot conformiteitsbeoordeling.
Artikel 17, kort
Artikel 17 verplicht elke aanbieder van een AI-systeem met een hoog risico tot een gedocumenteerd kwaliteitsbeheersysteem — schriftelijke beleidslijnen, procedures en instructies — dat onder meer omvat: de strategie voor naleving van de regelgeving (conformiteitsbeoordeling, wijzigingsbeheer), het ontwerp en de controle ervan, de ontwikkeling en de kwaliteitsborging, onderzoek, tests en validatie, de toegepaste technische specificaties en normen, het databeheer, het risicobeheersysteem, de monitoring na het in de handel brengen, de melding van ernstige incidenten, de communicatie met autoriteiten en derden, het bijhouden van registers, het beheer van middelen en een intern verantwoordingskader.
Drie nuances om te kennen. Lid 2, gewijzigd door de digitale omnibus (zie hieronder), vereist maatregelen die evenredig zijn aan de omvang van de organisatie — kmo’s, start-ups en kleine midcaps inbegrepen — zonder afbreuk te doen aan het verwachte niveau van zorgvuldigheid. Lid 3 laat een aanbieder die al aan sectorale verplichtingen inzake kwaliteitsbeheer is onderworpen, toe de eisen van de AI Act daarin op te nemen. Lid 4 betreft de financiële instellingen: hun interne governanceregels gelden als naleving van artikel 17, behalve voor het risicobeheer, de monitoring na het in de handel brengen en de melding van incidenten.
De kalender, na de digitale omnibus
De toepasselijke tekst is niet langer die van 2024. Verordening (EU) 2026/1744 van 8 juli 2026 (de “digitale omnibus inzake AI”) heeft de AI Act gewijzigd, onder meer artikel 113. In de versie geconsolideerd op 27 juli 2026 zijn de eisen voor AI-systemen met een hoog risico van toepassing vanaf 2 december 2027 voor de systemen van bijlage III, en vanaf 2 augustus 2028 voor die van bijlage I, ingebouwd in producten die al onder de harmonisatiewetgeving van de Unie vallen.
Dat een geharmoniseerde norm meer dan een jaar vóór de eerste vervaldag wordt bekendgemaakt, is precies wat het uitstel beoogde: aanbieders de tijd geven om hun naleving op stabiele referentiekaders te bouwen in plaats van op interpretaties.
Concreet
- Kwalificeer eerst. Artikel 17 geldt alleen voor aanbieders van AI-systemen met een hoog risico. Een gebruiksverantwoordelijke hoeft dit systeem niet op te zetten — maar doet er goed aan zijn aanbieders te vragen waarop zij steunen, en dat in het contract vast te leggen.
- Al gecertificeerd volgens ISO 9001, ISO/IEC 42001 of ISO 13485? Bouw geen tweede systeem. Voer een gap-analyse uit tegenover EN 18286 en breid het bestaande uit: dat is de logica van de norm, en van artikel 17, lid 3.
- Begint u van nul? EN 18286 is voortaan de kortste weg naar het vermoeden van conformiteit op dit punt — en de meest leesbare voor een aangemelde instantie of een markttoezichtautoriteit.
- Documenteer uw keuzes. Het vermoeden dekt alleen wat de norm dekt. Voor de rest — risico’s, data, transparantie, menselijk toezicht, robuustheid — komen de normen nog; de verplichting staat al in de tekst.
- De norm is verkrijgbaar bij de nationale normalisatie-instellingen (het NBN in België).
Bronnen
- Europese Commissie, “First harmonised standard supporting the AI Act published in the Official Journal”, 19 oktober 2026.
- Uitvoeringsbesluit (EU) 2026/2274 van de Commissie van 12 oktober 2026 betreffende de geharmoniseerde normen voor AI-systemen met een hoog risico, opgesteld ter ondersteuning van Verordening (EU) 2024/1689, PB L, 2026/2274, 14.10.2026.
- Verordening (EU) 2024/1689 (AI Act), artikelen 17, 40 en 113, geconsolideerde versie van 27 juli 2026 (AI Act Service Desk).
- Verordening (EU) 2026/1744 van 8 juli 2026 tot wijziging van de Verordeningen (EU) 2024/1689, 2018/1139 en 2023/1230 (digitale omnibus inzake AI).
- Europese Commissie, “Standardisation of the AI Act”, bijgewerkt op 19 oktober 2026.
Dit artikel behandelt een onderwerp in algemene termen en vormt geen juridisch advies. Elke situatie vraagt een eigen analyse.
Jeoffrey Vigneron
Advocaat aan de balie van Brussel — Lawgitech