Le 14 octobre 2026, le Journal officiel de l’Union européenne a publié la décision d’exécution (UE) 2026/2274 de la Commission du 12 octobre 2026. Derrière ce titre administratif, un événement attendu depuis l’adoption de l’AI Act : la référence de la première norme harmonisée élaborée à l’appui du règlement y figure. Il s’agit de la norme EN 18286:2026, « Artificial intelligence — Quality management system for EU AI Act regulatory purposes », élaborée par le CEN et le CENELEC. La Commission l’a annoncé le 19 octobre.
Pour un fournisseur de système d’IA à haut risque, ce n’est pas une nouvelle de normalisateur. C’est un outil juridique.
Cet article existe aussi en English et en Nederlands.
Ce qu’une norme harmonisée change
L’AI Act fonctionne comme la plupart des textes du « nouveau cadre législatif » européen : le règlement fixe des exigences, les normes harmonisées disent comment les satisfaire. L’article 40 en tire la conséquence : un système d’IA à haut risque conforme à une norme harmonisée dont la référence a été publiée au Journal officiel est présumé conforme aux exigences que cette norme couvre.
Trois précisions, qui comptent en pratique.
- La présomption ne vaut que dans la mesure où la norme couvre l’exigence. EN 18286 vise l’article 17 — le système de gestion de la qualité — et rien d’autre. Elle ne dit rien de la gestion des risques, des données ou de la cybersécurité du système.
- Appliquer la norme reste volontaire. Un fournisseur peut démontrer autrement qu’il respecte l’article 17 ; il perd simplement le confort de la présomption et devra convaincre pièce par pièce.
- La présomption se renverse. Elle déplace la charge de la preuve vers l’autorité ou le plaignant ; elle ne dispense pas d’appliquer réellement la norme.
EN 18286, en quelques lignes
La norme traduit les exigences de l’article 17 en un système de gestion de la qualité opérationnel. Selon la présentation qu’en fait la Commission, elle est construite autour du cycle de vie du système d’IA plutôt que de l’organisation, et conçue pour se superposer à des systèmes existants — ISO/IEC 42001 (management de l’IA), ISO 9001 (qualité) ou un système sectoriel comme ISO 13485 pour les dispositifs médicaux — plutôt que pour les remplacer. Une entreprise d’un secteur réglementé peut donc intégrer ses systèmes de management au lieu d’en faire tourner plusieurs en parallèle.
C’est, à ce jour, la seule norme de système de gestion de la qualité pour l’IA assortie d’une présomption de conformité. Le projet (prEN 18286) était en enquête publique depuis le 30 octobre 2025. D’autres normes harmonisées sont annoncées, sans calendrier public à ce stade : la demande de normalisation adressée au CEN-CENELEC couvre dix thèmes, de la gestion des risques à l’évaluation de la conformité.
L’article 17, en rappel
L’article 17 impose à tout fournisseur de système d’IA à haut risque un système de gestion de la qualité documenté — politiques, procédures et instructions écrites — couvrant notamment : la stratégie de conformité réglementaire (évaluation de la conformité, gestion des modifications), la conception et son contrôle, le développement et l’assurance qualité, les examens, tests et validations, les spécifications techniques et normes appliquées, la gestion des données, le système de gestion des risques, la surveillance après commercialisation, le signalement des incidents graves, la communication avec les autorités et les tiers, la tenue des registres, la gestion des ressources et un cadre de responsabilité interne.
Trois nuances à connaître. Le paragraphe 2, modifié par l’omnibus numérique (voir ci-dessous), exige des mesures proportionnées à la taille de l’organisation — PME, start-ups et petites entreprises à moyenne capitalisation comprises — sans renoncer au niveau de rigueur attendu. Le paragraphe 3 permet au fournisseur déjà soumis à des obligations sectorielles de gestion de la qualité d’y intégrer les exigences de l’AI Act. Le paragraphe 4 traite les établissements financiers : leurs règles de gouvernance interne valent respect de l’article 17, sauf pour la gestion des risques, la surveillance après commercialisation et le signalement des incidents.
Le calendrier, après l’omnibus numérique
Le texte applicable n’est plus celui de 2024. Le règlement (UE) 2026/1744 du 8 juillet 2026 (« omnibus numérique sur l’IA ») a modifié l’AI Act, et notamment son article 113. Dans la version consolidée au 27 juillet 2026, les exigences applicables aux systèmes d’IA à haut risque s’appliquent à partir du 2 décembre 2027 pour les systèmes de l’annexe III, et du 2 août 2028 pour ceux de l’annexe I, intégrés à des produits déjà couverts par la législation d’harmonisation de l’Union.
La publication d’une norme harmonisée plus d’un an avant la première échéance est précisément ce que le report visait : laisser aux fournisseurs le temps de construire leur conformité sur des référentiels stables plutôt que sur des interprétations.
Concrètement
- Qualifiez d’abord. L’article 17 ne vise que les fournisseurs de systèmes d’IA à haut risque. Un déployeur n’a pas à mettre en place ce système — mais il a intérêt à demander à ses fournisseurs sur quoi ils s’appuient, et à l’écrire dans le contrat.
- Vous êtes certifiés ISO 9001, ISO/IEC 42001 ou ISO 13485 ? Ne créez pas un second système. Faites une analyse d’écart contre EN 18286 et étendez l’existant : c’est la logique de la norme, et celle de l’article 17, paragraphe 3.
- Vous partez de zéro ? EN 18286 est désormais le chemin le plus court vers la présomption de conformité sur ce point — et le plus lisible pour un organisme notifié ou une autorité de surveillance.
- Documentez les choix. La présomption ne couvre que ce que la norme couvre. Pour le reste — risques, données, transparence, contrôle humain, robustesse — les normes viendront ; l’obligation, elle, est déjà écrite.
- La norme s’acquiert auprès des organismes nationaux de normalisation (le NBN en Belgique).
Sources
- Commission européenne, « First harmonised standard supporting the AI Act published in the Official Journal », 19 octobre 2026.
- Décision d’exécution (UE) 2026/2274 de la Commission du 12 octobre 2026 concernant les normes harmonisées relatives aux systèmes d’IA à haut risque élaborées à l’appui du règlement (UE) 2024/1689, JO L, 2026/2274, 14.10.2026.
- Règlement (UE) 2024/1689 (AI Act), articles 17, 40 et 113, version consolidée au 27 juillet 2026 (AI Act Service Desk).
- Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, 2018/1139 et 2023/1230 (omnibus numérique sur l’IA).
- Commission européenne, « Standardisation of the AI Act », mise à jour du 19 octobre 2026.
Cet article présente un sujet de manière générale et ne constitue pas un avis juridique. Chaque situation appelle une analyse propre.
Jeoffrey Vigneron
Avocat au barreau de Bruxelles — Lawgitech