Le 14 octobre 2026, le Journal officiel de l’Union européenne a publié la décision d’exécution (UE) 2026/2274 de la Commission du 12 octobre 2026. Derrière ce titre administratif, un événement attendu depuis l’adoption de l’AI Act : la référence de la première norme harmonisée élaborée à l’appui du règlement y figure. Il s’agit de la norme EN 18286:2026, « Artificial intelligence — Quality management system for EU AI Act regulatory purposes », élaborée par le CEN et le CENELEC. La Commission l’a annoncé le 19 octobre.
Pour un fournisseur de système d’IA à haut risque, ce n’est pas une nouvelle de normalisateur. C’est un outil juridique.
Cet article existe aussi en English et en Nederlands.
Ce qu’une norme harmonisée change
L’AI Act fonctionne comme la plupart des textes du « nouveau cadre législatif » européen : le règlement fixe des exigences, les normes harmonisées disent comment les satisfaire. L’article 40 en tire la conséquence : un système d’IA à haut risque conforme à une norme harmonisée dont la référence a été publiée au Journal officiel est présumé conforme aux exigences que cette norme couvre.
Trois précisions, qui comptent en pratique.
- La présomption ne vaut que dans la mesure où la norme couvre l’exigence. EN 18286 vise le système de gestion de la qualité prévu à l’article 17. Sa mise en œuvre ne suffit pas, à elle seule, à présumer la conformité à toutes les exigences applicables au système d’IA, notamment en matière de données, de gestion des risques ou de cybersécurité. Le système qualité doit néanmoins organiser la prise en compte de ces sujets.
- Appliquer la norme reste volontaire. Un fournisseur peut démontrer autrement qu’il respecte l’article 17 ; il doit alors documenter la manière dont sa solution satisfait aux exigences applicables, sans bénéficier de la présomption attachée à la norme.
- La présomption peut être contestée. Elle facilite la démonstration de la conformité aux exigences couvertes, à condition de pouvoir établir que la norme a été effectivement et correctement appliquée.
EN 18286, en quelques lignes
La norme traduit les exigences de l’article 17 en un système de gestion de la qualité opérationnel. Selon la présentation qu’en fait la Commission, elle est construite autour du cycle de vie du système d’IA plutôt que de l’organisation, et conçue pour se superposer à des systèmes existants — ISO/IEC 42001 (management de l’IA), ISO 9001 (qualité) ou un système sectoriel comme ISO 13485 pour les dispositifs médicaux — plutôt que pour les remplacer. Une entreprise d’un secteur réglementé peut donc intégrer ses systèmes de management au lieu d’en faire tourner plusieurs en parallèle.
C’est, au 22 octobre 2026, la seule norme de système de gestion de la qualité pour l’IA assortie d’une présomption de conformité. Le projet (prEN 18286) était entré en enquête publique le 30 octobre 2025. D’autres normes harmonisées sont attendues sur les autres thèmes couverts par la demande de normalisation adressée au CEN-CENELEC : celle-ci couvre dix thèmes, de la gestion des risques à l’évaluation de la conformité.
L’article 17, en rappel
L’article 17 impose à tout fournisseur de système d’IA à haut risque un système de gestion de la qualité documenté — politiques, procédures et instructions écrites — couvrant notamment : la stratégie de conformité réglementaire (évaluation de la conformité, gestion des modifications), la conception et son contrôle, le développement et l’assurance qualité, les examens, tests et validations, les spécifications techniques et normes appliquées, la gestion des données, le système de gestion des risques, la surveillance après commercialisation, le signalement des incidents graves, la communication avec les autorités et les tiers, la tenue des registres, la gestion des ressources et un cadre de responsabilité interne.
Trois nuances à connaître. Le paragraphe 2, modifié par l’omnibus numérique (voir ci-dessous), exige des mesures proportionnées à la taille de l’organisation — PME, start-ups et petites entreprises à moyenne capitalisation comprises — sans renoncer au niveau de rigueur attendu. Le paragraphe 3 permet au fournisseur déjà soumis à des obligations de gestion de la qualité en vertu du droit sectoriel de l’Union d’y intégrer les exigences de l’AI Act ; une certification ISO volontaire ne suffit pas, à elle seule, à bénéficier de cette disposition. Le paragraphe 4 traite les établissements financiers soumis aux exigences de gouvernance du droit de l’Union relatif aux services financiers : le respect de ces règles vaut satisfaction de l’obligation de système de gestion de la qualité, sauf pour la gestion des risques, la surveillance après commercialisation et le signalement des incidents graves. Les normes harmonisées visées à l’article 40 doivent être prises en compte à cette fin.
Le calendrier, après l’omnibus numérique
Le texte applicable n’est plus celui de 2024. Le règlement (UE) 2026/1744 du 8 juillet 2026 (« omnibus numérique sur l’IA ») a modifié l’AI Act, et notamment son article 113. Dans la version consolidée au 27 juillet 2026, les sections 1, 2 et 3 du chapitre III, à l’exception de l’article 6, paragraphe 5, s’appliquent à partir du 2 décembre 2027 pour les systèmes classés à haut risque au titre de l’article 6, paragraphe 2, et de l’annexe III, et du 2 août 2028 pour ceux relevant de l’article 6, paragraphe 1, et de l’annexe I. L’obligation de système de gestion de la qualité prévue à l’article 17 suit ce calendrier, sous réserve des dispositions transitoires de l’article 111, notamment pour les systèmes déjà mis sur le marché ou mis en service.
La publication d’une norme harmonisée plus d’un an avant la première échéance est précisément ce que le report visait : laisser aux fournisseurs le temps de construire leur conformité sur des référentiels stables plutôt que sur des interprétations.
Concrètement
- Qualifiez d’abord. L’article 17 vise les fournisseurs de systèmes d’IA à haut risque. Un acteur qui intervient uniquement comme déployeur n’est pas soumis à cette obligation, sauf s’il devient fournisseur dans les conditions prévues à l’article 25, notamment en cas de modification substantielle ou de certains changements de destination. Il a intérêt à demander à ses fournisseurs sur quoi ils s’appuient, et à l’écrire dans le contrat.
- Vous êtes certifiés ISO 9001, ISO/IEC 42001 ou ISO 13485 ? Commencez par une analyse d’écart avec EN 18286 et déterminez comment étendre le système existant. Cette intégration correspond à l’approche présentée par la Commission. La faculté prévue à l’article 17, paragraphe 3, concerne spécifiquement les systèmes imposés par le droit sectoriel de l’Union.
- Vous partez de zéro ? EN 18286 fournit un référentiel directement conçu pour structurer la conformité à l’article 17 et bénéficier d’une présomption pour les exigences couvertes, à condition de respecter effectivement les clauses pertinentes.
- Documentez les choix. La présomption ne couvre que les exigences couvertes par la norme. Conservez les éléments qui démontrent son application effective et documentez aussi la conformité aux autres exigences applicables : risques, données, transparence, contrôle humain et robustesse.
- Pour obtenir la norme : consultez les organismes nationaux de normalisation, notamment le NBN en Belgique, et vérifiez la disponibilité de l’édition EN 18286:2026.
Sources
- Commission européenne, « First harmonised standard supporting the AI Act published in the Official Journal », 19 octobre 2026.
- Décision d’exécution (UE) 2026/2274 de la Commission du 12 octobre 2026 concernant les normes harmonisées relatives aux systèmes d’IA à haut risque élaborées à l’appui du règlement (UE) 2024/1689, JO L, 2026/2274, 14.10.2026.
- Règlement (UE) 2024/1689 (AI Act), articles 17, 25, 40, 111 et 113, version consolidée au 27 juillet 2026 (AI Act Service Desk).
- Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, 2018/1139 et 2023/1230 (omnibus numérique sur l’IA).
- Commission européenne, « Standardisation of the AI Act », mise à jour du 19 octobre 2026.
Cet article présente un sujet de manière générale et ne constitue pas un avis juridique. Chaque situation appelle une analyse propre.
Jeoffrey Vigneron
Avocat au barreau de Bruxelles — Lawgitech