Norma armonizzata per l’AI Act: cosa conta ora come prova

Il 14 ottobre 2026, il riferimento a EN 18286:2026 è stato pubblicato nella Gazzetta ufficiale dell’Unione europea, come annunciato da CEN-CENELEC il 15 ottobre 2026. Si tratta della prima volta in cui esiste una norma armonizzata su cui può basarsi la presunzione di conformità ai sensi dell’articolo 40 del regolamento (UE) 2024/1689. Il regolamento stesso è stato pubblicato nella Gazzetta ufficiale il 12 luglio 2024, è entrato in vigore il 1° agosto 2024 e, secondo quanto riportato da IHK Lippe zu Detmold, si applica dal 2 agosto 2026. Per le funzioni di governance, la domanda ora è quali evidenze richieda effettivamente questo nuovo riferimento.

Cosa ha deciso esattamente la Commissione il 12 ottobre 2026?

La decisione di esecuzione (UE) 2026/2274 della Commissione del 12 ottobre 2026 fa riferimento per la prima volta a una norma armonizzata per l’AI Act: EN 18286:2026, relativa al sistema di gestione della qualità.

La norma è stata sviluppata da CEN e CENELEC e offre ai fornitori di sistemi di IA ad alto rischio un percorso chiaro per soddisfare i requisiti relativi al sistema di gestione della qualità previsti dall’articolo 17 del regolamento. La decisione, come riportato da Nemko Digital il 16 ottobre 2026, è entrata in vigore il giorno della sua pubblicazione. La Commissione europea, in una comunicazione del 19 ottobre 2026, definisce EN 18286 la prima norma armonizzata per l’AI Act.

Per le funzioni di governance che da anni si preparano su un bersaglio mobile, si tratta di un punto fermo tangibile. Per la prima volta è possibile indicare concretamente rispetto a cosa viene misurata una parte della base di evidenze.

Fino a dove si estende la presunzione di conformità ai sensi dell’articolo 40?

Si applica esclusivamente ai requisiti relativi al sistema di gestione della qualità di cui all’articolo 17, paragrafo 1, e alla prima frase dell’articolo 11, paragrafo 1, non agli altri obblighi del regolamento.

L’allegato ZA della norma collega EN 18286 esclusivamente a queste due disposizioni. La gestione del rischio, la governance dei dati, la trasparenza e la sorveglianza umana non sono coperte e attendono norme proprie, per le quali al momento non esiste alcuna tempistica. La presunzione si applica inoltre solo nella misura in cui la norma copre effettivamente il requisito in questione, non sostituisce una valutazione di conformità ai sensi dell’articolo 43 e non costituisce una certificazione.

Un’eccezione riguarda gli istituti finanziari: i fornitori soggetti ai requisiti di governance dell’Unione per il settore dei servizi finanziari sono già considerati conformi all’obbligo relativo al sistema di gestione della qualità, ad eccezione dei punti g, h e i dell’articolo 17, paragrafo 1. Per tutti gli altri fornitori, l’applicazione di EN 18286 resta volontaria.

Una certificazione ISO 9001 o ISO/IEC 42001 esistente vale come evidenza?

Non da sola, poiché queste norme non sono norme armonizzate ai sensi dell’AI Act e non sono citate nella Gazzetta ufficiale.

EN 18286 è volutamente concepita per basarsi su sistemi esistenti come ISO/IEC 42001, ISO 9001 o la norma di gestione della qualità specifica per settore ISO 13485, anziché sostituirli. Un’organizzazione già certificata secondo una di queste norme dispone quindi di elementi costitutivi essenziali, ma deve inoltre dimostrare che i requisiti specifici dell’articolo 17, paragrafo 1, sono soddisfatti.

L’applicazione di EN 18286 resta volontaria e non comporta una certificazione automatica. Ciò che conta come evidenza non è quindi il certificato da solo, ma la mappatura documentata dei processi propri dell’organizzazione rispetto ai requisiti della norma. Questa mappatura può essere trasferita in una libreria di norme e framework e mantenuta costantemente aggiornata.

Quali termini si applicano ora agli obblighi per i sistemi ad alto rischio?

Il regolamento Digital Omnibus (UE) 2026/1744 ha posticipato i termini di applicazione al 2 dicembre 2027 per i sistemi dell’allegato III e al 2 agosto 2028 per i sistemi di IA integrati in prodotti regolamentati di cui all’allegato I.

Allo stesso tempo, è stata eliminata la precedente clausola secondo cui le norme per i sistemi ad alto rischio sarebbero entrate in vigore non appena fossero disponibili norme armonizzate. La disponibilità di EN 18286 non fa quindi scattare automaticamente alcun termine. Le organizzazioni guadagnano tempo per preparare le evidenze relative al sistema di gestione della qualità prima che i restanti obblighi per i sistemi ad alto rischio diventino vincolanti.

Per i progetti già in corso, non si tratta di un via libera, bensì di uno spostamento della pressione temporale. Le organizzazioni che iniziano ora a documentare possono sfruttare il tempo supplementare per colmare lacune che vanno oltre il sistema di gestione della qualità, ad esempio nella gestione del rischio o nella sorveglianza umana. Questo trasforma il lavoro da semplice raccolta di evidenze a strumento di governo.

Quale documentazione dovrebbe essere già disponibile?

La documentazione dovrebbe coprire la struttura del sistema di gestione della qualità secondo EN 18286, la mappatura rispetto all’articolo 17, paragrafo 1, e una chiara delimitazione degli obblighi ancora aperti.

Per i responsabili di governance, rischio e conformità, ciò significa che le evidenze per EN 18286 possono già essere preparate ora, anche se la catena completa di evidenze emergerà solo con ulteriori norme armonizzate. Questo lavoro può essere integrato in un’impostazione esistente di governance dell’IA, anziché essere realizzato come soluzione a sé stante. Un primo passo sensato consiste nel far svolgere alla funzione compliance o rischio un’analisi delle lacune tra il sistema di gestione della qualità esistente e i requisiti dell’articolo 17, paragrafo 1, documentandola entro un termine interno autodeterminato.

• Una versione aggiornata del sistema di gestione della qualità, strutturata secondo i requisiti dell’articolo 17, paragrafo 1.
• Un confronto delle certificazioni esistenti, quali ISO 9001 o ISO/IEC 42001, rispetto ai punti dell’allegato ZA.
• Una motivazione scritta su quali requisiti dell’AI Act, al di fuori dell’articolo 17, paragrafo 1, e dell’articolo 11, paragrafo 1, siano ancora coperti da altre misure.
• Una panoramica di quali sistemi ad alto rischio siano soggetti rispettivamente ai termini del 2 dicembre 2027 e del 2 agosto 2028.

FAQ

Domande frequenti

Cos’è EN 18286:2026?

EN 18286:2026 è la prima norma armonizzata per l’AI Act. È stata pubblicata nella Gazzetta ufficiale dell’UE il 14 ottobre 2026 e copre i requisiti relativi al sistema di gestione della qualità di cui all’articolo 17, paragrafo 1, nonché alla prima frase dell’articolo 11, paragrafo 1. Da allora si applica a questa parte una presunzione di conformità ai sensi dell’articolo 40.

Per quali requisiti dell’AI Act si applica la presunzione di conformità in base a EN 18286?

La presunzione di conformità ai sensi dell’articolo 40 si applica esclusivamente al sistema di gestione della qualità di cui all’articolo 17, paragrafo 1, e alla prima frase dell’articolo 11, paragrafo 1. Altri obblighi, come la gestione del rischio, la governance dei dati, la trasparenza o la sorveglianza umana, non sono coperti e attendono norme armonizzate proprie, per le quali al momento non esiste alcuna tempistica.

Una certificazione ISO 9001 o ISO/IEC 42001 esistente è sufficiente per soddisfare l’AI Act?

Una certificazione secondo ISO 9001 o ISO/IEC 42001 da sola non è sufficiente, poiché queste norme non sono citate nella Gazzetta ufficiale come norme armonizzate. EN 18286, tuttavia, si basa su tali sistemi. Le organizzazioni devono inoltre documentare che i requisiti specifici dell’articolo 17, paragrafo 1, sono soddisfatti.

Quali termini si applicano ai sistemi di IA ad alto rischio secondo il Digital Omnibus?

Il regolamento Digital Omnibus (UE) 2026/1744 posticipa i termini di applicazione per i sistemi di IA ad alto rischio dell’allegato III al 2 dicembre 2027 e per i sistemi integrati in prodotti regolamentati dell’allegato I al 2 agosto 2028. La disponibilità di EN 18286 non fa scattare automaticamente nessuno dei due termini.

Cosa dovrebbero fare ora le organizzazioni per prepararsi all’AI Act?

Un approccio sensato consiste in un’analisi delle lacune tra il sistema di gestione della qualità esistente e i requisiti dell’articolo 17, paragrafo 1, in un confronto delle certificazioni esistenti rispetto all’allegato ZA e nella documentazione dei requisiti residui dell’AI Act ancora aperti. Questo lavoro può essere integrato in una struttura di governance dell’IA già esistente.

Fonti

1. First ever European standard on AI published in the OJEUCEN-CENELEC
2. First harmonised standard supporting the AI Act published in the Official JournalEuropean Commission, Digital Strategy