Norme harmonisée pour l’AI Act : quelles preuves comptent désormais

Le 14 octobre 2026, la référence à la norme EN 18286:2026 a été publiée au Journal officiel de l’Union européenne, comme l’a annoncé le CEN-CENELEC le 15 octobre 2026. C’est la première fois qu’une norme harmonisée existe pour fonder la présomption de conformité prévue à l’article 40 du règlement (UE) 2024/1689. Le règlement lui-même a été publié au Journal officiel le 12 juillet 2024, est entré en vigueur le 1er août 2024 et, selon la IHK Lippe zu Detmold, s’applique depuis le 2 août 2026. Pour les fonctions de gouvernance, la question est désormais de savoir quelles preuves exige concrètement ce nouveau référentiel.

Qu’a exactement décidé la Commission le 12 octobre 2026 ?

La décision d’exécution (UE) 2026/2274 de la Commission du 12 octobre 2026 fait référence pour la première fois à une norme harmonisée pour l’AI Act : l’EN 18286:2026, relative au système de gestion de la qualité.

Cette norme a été élaborée par le CEN et le CENELEC et offre aux fournisseurs de systèmes d’IA à haut risque une voie claire pour répondre aux exigences relatives au système de gestion de la qualité prévues à l’article 17 du règlement. La décision, comme l’a rapporté Nemko Digital le 16 octobre 2026, est entrée en vigueur le jour de sa publication. La Commission européenne, dans une communication datée du 19 octobre 2026, qualifie l’EN 18286 de première norme harmonisée pour l’AI Act.

Pour les fonctions de gouvernance qui se préparent depuis des années à une cible mouvante, il s’agit d’un point de repère tangible. Pour la première fois, il est possible de désigner concrètement l’étalon sur lequel une partie de la base de preuves est mesurée.

Jusqu’où va la présomption de conformité prévue à l’article 40 ?

Elle s’applique exclusivement aux exigences relatives au système de gestion de la qualité prévues à l’article 17, paragraphe 1, et à la première phrase de l’article 11, paragraphe 1, et non aux autres obligations du règlement.

L’annexe ZA de la norme relie exclusivement l’EN 18286 à ces deux dispositions. La gestion des risques, la gouvernance des données, la transparence et le contrôle humain ne sont pas couverts et attendent leurs propres normes, pour lesquelles aucun calendrier n’existe actuellement. La présomption ne s’applique en outre que dans la mesure où la norme couvre effectivement l’exigence concernée ; elle ne remplace pas une évaluation de la conformité au titre de l’article 43 et ne constitue pas une certification.

Une exception concerne les établissements financiers : les fournisseurs soumis aux exigences de gouvernance de l’Union applicables au secteur des services financiers sont déjà réputés se conformer à l’obligation relative au système de gestion de la qualité, à l’exception des points g, h et i de l’article 17, paragraphe 1. Pour tous les autres fournisseurs, l’application de l’EN 18286 reste volontaire.

Une certification ISO 9001 ou ISO/IEC 42001 existante constitue-t-elle une preuve suffisante ?

Pas à elle seule, car ces normes ne sont pas des normes harmonisées au sens de l’AI Act et ne sont pas citées au Journal officiel.

L’EN 18286 est délibérément conçue pour s’appuyer sur des systèmes existants tels qu’ISO/IEC 42001, ISO 9001 ou la norme sectorielle de gestion de la qualité ISO 13485, plutôt que de les remplacer. Une organisation déjà certifiée selon l’une de ces normes dispose donc de briques essentielles, mais doit démontrer en plus que les exigences spécifiques de l’article 17, paragraphe 1, sont couvertes.

L’application de l’EN 18286 reste volontaire et n’entraîne pas de certification automatique. Ce qui compte comme preuve n’est donc pas le seul certificat, mais la correspondance documentée entre les propres processus de l’organisation et les exigences de la norme. Cette correspondance peut être transférée dans une bibliothèque de normes et de référentiels et tenue à jour en continu.

Quels délais s’appliquent désormais aux obligations relatives aux systèmes à haut risque ?

Le règlement Digital Omnibus (UE) 2026/1744 a reporté les délais d’application au 2 décembre 2027 pour les systèmes relevant de l’annexe III, et au 2 août 2028 pour les systèmes d’IA intégrés dans des produits réglementés relevant de l’annexe I.

Parallèlement, la clause antérieure selon laquelle les règles applicables aux systèmes à haut risque prendraient effet dès la disponibilité de normes harmonisées a été supprimée. La disponibilité de l’EN 18286 ne déclenche donc pas automatiquement le début d’un délai. Les organisations gagnent ainsi du temps pour préparer les preuves relatives au système de gestion de la qualité avant que les autres obligations relatives au haut risque ne deviennent contraignantes.

Pour les projets déjà en cours, il ne s’agit pas d’un signal de fin d’alerte, mais d’un décalage de la pression temporelle. Les organisations qui entament dès maintenant la documentation peuvent utiliser ce temps supplémentaire pour combler les lacunes au-delà du système de gestion de la qualité, par exemple en matière de gestion des risques ou de contrôle humain. Ce travail de preuve se transforme ainsi en instrument de pilotage.

Quelle documentation doit être en place dès maintenant ?

La documentation doit couvrir la structure du système de gestion de la qualité conforme à l’EN 18286, la correspondance avec l’article 17, paragraphe 1, et une délimitation claire des obligations qui restent ouvertes.

Pour les responsables gouvernance, risque et conformité, cela signifie que les preuves relatives à l’EN 18286 peuvent d’ores et déjà être préparées, même si la chaîne complète de preuves ne se dessinera qu’avec de futures normes harmonisées. Ce travail peut être intégré à un dispositif de gouvernance de l’IA existant plutôt que construit comme une démarche isolée. Une première étape pertinente consiste, pour la fonction conformité ou risque, à réaliser une analyse d’écarts entre le système de gestion de la qualité existant et les exigences de l’article 17, paragraphe 1, et à la documenter selon une échéance interne fixée par l’organisation elle-même.

• Une version actuelle du système de gestion de la qualité, structurée selon les exigences de l’article 17, paragraphe 1.
• Une comparaison des certifications existantes, telles qu’ISO 9001 ou ISO/IEC 42001, avec les points de l’annexe ZA.
• Une justification écrite indiquant quelles exigences de l’AI Act, en dehors de l’article 17, paragraphe 1, et de l’article 11, paragraphe 1, sont encore couvertes par d’autres mesures.
• Un aperçu des systèmes à haut risque soumis respectivement aux échéances du 2 décembre 2027 et du 2 août 2028.

FAQ

Questions fréquentes

Qu’est-ce que l’EN 18286:2026 ?

L’EN 18286:2026 est la première norme harmonisée pour l’AI Act. Elle a été publiée au Journal officiel de l’UE le 14 octobre 2026 et couvre les exigences relatives au système de gestion de la qualité prévues à l’article 17, paragraphe 1, ainsi qu’à la première phrase de l’article 11, paragraphe 1. Depuis lors, une présomption de conformité au titre de l’article 40 s’applique à cette partie.

Pour quelles exigences de l’AI Act la présomption de conformité au titre de l’EN 18286 s’applique-t-elle ?

La présomption de conformité prévue à l’article 40 s’applique exclusivement au système de gestion de la qualité prévu à l’article 17, paragraphe 1, et à la première phrase de l’article 11, paragraphe 1. Les autres obligations, telles que la gestion des risques, la gouvernance des données, la transparence ou le contrôle humain, ne sont pas couvertes et attendent leurs propres normes harmonisées, pour lesquelles aucun calendrier n’existe actuellement.

Une certification ISO 9001 ou ISO/IEC 42001 existante suffit-elle à satisfaire à l’AI Act ?

Une certification ISO 9001 ou ISO/IEC 42001 seule ne suffit pas, car ces normes ne sont pas citées au Journal officiel en tant que normes harmonisées. L’EN 18286 s’appuie toutefois sur de tels systèmes. Les organisations doivent documenter en plus que les exigences spécifiques de l’article 17, paragraphe 1, sont couvertes.

Quels délais s’appliquent aux systèmes d’IA à haut risque dans le cadre du Digital Omnibus ?

Le règlement Digital Omnibus (UE) 2026/1744 reporte les délais d’application des systèmes d’IA à haut risque relevant de l’annexe III au 2 décembre 2027, et de ceux intégrés dans des produits réglementés relevant de l’annexe I au 2 août 2028. La disponibilité de l’EN 18286 ne déclenche automatiquement aucun de ces deux délais.

Que doivent faire les organisations dès maintenant pour se préparer à l’AI Act ?

Une approche pertinente consiste à réaliser une analyse d’écarts entre le système de gestion de la qualité existant et les exigences de l’article 17, paragraphe 1, à comparer les certifications existantes avec l’annexe ZA, et à documenter les exigences restantes de l’AI Act encore ouvertes. Ce travail peut être intégré à une structure de gouvernance de l’IA existante.

Sources

1. Première norme européenne sur l’IA publiée au JOUECEN-CENELEC
2. Première norme harmonisée soutenant l’AI Act publiée au Journal officielCommission européenne, Digital Strategy