Op 14 oktober 2026 verscheen in het Publicatieblad van de Europese Unie het Uitvoeringsbesluit (EU) 2026/2274 van de Commissie van 12 oktober 2026. Achter die administratieve titel schuilt een gebeurtenis waarop sinds de goedkeuring van de AI Act werd gewacht: het besluit vermeldt de referentie van de eerste geharmoniseerde norm die ter ondersteuning van de verordening is opgesteld. Het gaat om EN 18286:2026, “Artificial intelligence — Quality management system for EU AI Act regulatory purposes”, uitgewerkt door CEN en CENELEC. De Commissie maakte het op 19 oktober bekend.
Voor een aanbieder van een AI-systeem met een hoog risico is dit geen nieuws uit de normalisatiewereld. Het is een juridisch instrument.
Dit artikel is ook beschikbaar in het Frans en in het Engels.
Wat een geharmoniseerde norm verandert
De AI Act werkt zoals de meeste teksten van het Europese “nieuwe wetgevingskader”: de verordening legt de eisen vast, de geharmoniseerde normen zeggen hoe eraan te voldoen. Artikel 40 trekt daar de conclusie uit: een AI-systeem met een hoog risico dat in overeenstemming is met een geharmoniseerde norm waarvan de referentie in het Publicatieblad is bekendgemaakt, wordt geacht te voldoen aan de eisen die door die norm worden gedekt.
Drie preciseringen die in de praktijk tellen.
- Het vermoeden geldt alleen voor zover de norm de eis dekt. EN 18286 heeft betrekking op het kwaliteitsbeheersysteem van artikel 17. De toepassing ervan leidt op zichzelf niet tot een vermoeden van naleving van alle eisen voor het AI-systeem, onder meer inzake data, risicobeheer of cyberbeveiliging. Het kwaliteitsbeheersysteem moet wel organiseren hoe deze onderwerpen worden aangepakt.
- De toepassing van de norm blijft vrijwillig. Een aanbieder mag de naleving van artikel 17 op een andere manier aantonen; hij moet dan documenteren hoe de gekozen aanpak aan de toepasselijke eisen voldoet, zonder het aan de norm verbonden vermoeden te genieten.
- Het vermoeden kan worden weerlegd. Het vergemakkelijkt het aantonen van de naleving van de gedekte eisen, op voorwaarde dat de aanbieder kan aantonen dat de norm daadwerkelijk en correct is toegepast.
EN 18286 in enkele regels
De norm vertaalt de eisen van artikel 17 naar een operationeel kwaliteitsbeheersysteem. Volgens de voorstelling van de Commissie is zij opgebouwd rond de levenscyclus van het AI-systeem en niet rond de organisatie, en is zij bedoeld om bovenop bestaande systemen te worden gelegd — ISO/IEC 42001 (AI-management), ISO 9001 (kwaliteit) of een sectoraal systeem zoals ISO 13485 voor medische hulpmiddelen — en niet om die te vervangen. Een onderneming in een gereguleerde sector kan haar managementsystemen dus integreren in plaats van er meerdere naast elkaar te laten draaien.
Op 22 oktober 2026 is dit de enige norm voor een AI-kwaliteitsbeheersysteem waaraan een vermoeden van conformiteit is verbonden. Het ontwerp (prEN 18286) ging op 30 oktober 2025 in openbaar onderzoek. Verdere geharmoniseerde normen worden verwacht voor de andere onderwerpen van het normalisatieverzoek aan CEN-CENELEC: dat verzoek bestrijkt tien thema’s, van risicobeheer tot conformiteitsbeoordeling.
Artikel 17, kort
Artikel 17 verplicht elke aanbieder van een AI-systeem met een hoog risico tot een gedocumenteerd kwaliteitsbeheersysteem — schriftelijke beleidslijnen, procedures en instructies — dat onder meer omvat: de strategie voor naleving van de regelgeving (conformiteitsbeoordeling, wijzigingsbeheer), het ontwerp en de controle ervan, de ontwikkeling en de kwaliteitsborging, onderzoek, tests en validatie, de toegepaste technische specificaties en normen, het databeheer, het risicobeheersysteem, de monitoring na het in de handel brengen, de melding van ernstige incidenten, de communicatie met autoriteiten en derden, het bijhouden van registers, het beheer van middelen en een intern verantwoordingskader.
Drie nuances om te kennen. Lid 2, gewijzigd door de digitale omnibus (zie hieronder), vereist maatregelen die evenredig zijn aan de omvang van de organisatie — met inbegrip van kmo’s, start-ups en kleine midcaps — zonder afbreuk te doen aan het vereiste niveau van zorgvuldigheid. Lid 3 staat aanbieders die op grond van het sectorale Unierecht al aan verplichtingen inzake kwaliteitsbeheer zijn onderworpen toe de eisen van de AI Act in die systemen op te nemen; een vrijwillige ISO-certificering volstaat op zichzelf niet om onder deze bepaling te vallen. Lid 4 betreft financiële instellingen die onder de internegovernancevereisten van het Unierecht inzake financiële diensten vallen: de naleving van die regels voldoet aan de verplichting tot een kwaliteitsbeheersysteem, behalve voor risicobeheer, monitoring na het in de handel brengen en de melding van ernstige incidenten. Daartoe moet rekening worden gehouden met de geharmoniseerde normen bedoeld in artikel 40.
De kalender, na de digitale omnibus
De toepasselijke tekst is niet langer die van 2024. Verordening (EU) 2026/1744 van 8 juli 2026 (de “digitale omnibus inzake AI”) heeft de AI Act gewijzigd, onder meer artikel 113. In de geconsolideerde versie van 27 juli 2026 zijn de afdelingen 1, 2 en 3 van hoofdstuk III, met uitzondering van artikel 6, lid 5, van toepassing vanaf 2 december 2027 op systemen die als hoog risico worden aangemerkt op grond van artikel 6, lid 2, en bijlage III, en vanaf 2 augustus 2028 op systemen bedoeld in artikel 6, lid 1, en bijlage I. De verplichting tot een kwaliteitsbeheersysteem van artikel 17 volgt dit tijdschema, onder voorbehoud van de overgangsbepalingen van artikel 111, met name voor systemen die al in de handel zijn gebracht of in gebruik zijn gesteld.
Dat een geharmoniseerde norm meer dan een jaar vóór de eerste vervaldag wordt bekendgemaakt, is precies wat het uitstel beoogde: aanbieders de tijd geven om hun naleving op stabiele referentiekaders te bouwen in plaats van op interpretaties.
Concreet
- Kwalificeer eerst. Artikel 17 geldt voor aanbieders van AI-systemen met een hoog risico. Een actor die uitsluitend als gebruiksverantwoordelijke optreedt, valt niet onder deze verplichting, tenzij hij aanbieder wordt onder de voorwaarden van artikel 25, met name bij een substantiële wijziging of bepaalde wijzigingen van het beoogde doel. Hij doet er goed aan zijn aanbieders te vragen waarop zij steunen, en dat in het contract vast te leggen.
- Al gecertificeerd volgens ISO 9001, ISO/IEC 42001 of ISO 13485? Begin met een gap-analyse ten opzichte van EN 18286 en bepaal hoe het bestaande systeem kan worden uitgebreid. Die integratie volgt de door de Commissie beschreven aanpak. De mogelijkheid van artikel 17, lid 3, heeft specifiek betrekking op systemen die door het sectorale Unierecht worden vereist.
- Begint u van nul? EN 18286 biedt een referentiekader dat specifiek is ontworpen om de naleving van artikel 17 te structureren en een vermoeden van conformiteit voor de gedekte eisen te verkrijgen, mits de relevante bepalingen daadwerkelijk worden nageleefd.
- Documenteer uw keuzes. Het vermoeden geldt alleen voor de eisen die door de norm worden gedekt. Bewaar bewijs van de daadwerkelijke toepassing ervan en documenteer ook de naleving van de overige toepasselijke eisen: risico’s, data, transparantie, menselijk toezicht en robuustheid.
- Om de norm te verkrijgen: raadpleeg de nationale normalisatie-instellingen, waaronder het NBN in België, en controleer de beschikbaarheid van de editie EN 18286:2026.
Bronnen
- Europese Commissie, “First harmonised standard supporting the AI Act published in the Official Journal”, 19 oktober 2026.
- Uitvoeringsbesluit (EU) 2026/2274 van de Commissie van 12 oktober 2026 betreffende de geharmoniseerde normen voor AI-systemen met een hoog risico, opgesteld ter ondersteuning van Verordening (EU) 2024/1689, PB L, 2026/2274, 14.10.2026.
- Verordening (EU) 2024/1689 (AI Act), artikelen 17, 25, 40, 111 en 113, geconsolideerde versie van 27 juli 2026 (AI Act Service Desk).
- Verordening (EU) 2026/1744 van 8 juli 2026 tot wijziging van de Verordeningen (EU) 2024/1689, 2018/1139 en 2023/1230 (digitale omnibus inzake AI).
- Europese Commissie, “Standardisation of the AI Act”, bijgewerkt op 19 oktober 2026.
Dit artikel behandelt een onderwerp in algemene termen en vormt geen juridisch advies. Elke situatie vraagt een eigen analyse.
Jeoffrey Vigneron
Advocaat aan de balie van Brussel — Lawgitech