EN 18286, citada en el Diario Oficial: qué cambia para el artículo 17

Los hitos, de la votación a la cita¶

Una norma europea llega al Diario Oficial por etapas, y cada etapa es un registro distinto. El registro del proyecto EN 18286:2026 en CEN-CENELEC recoge las fechas siguientes y menciona la solicitud de normalización a la que responde, M/613.

Qué aporta la cita al artículo 17¶

El artículo 17 exige al proveedor de un sistema de IA de alto riesgo un SGC documentado: una estrategia de cumplimiento normativo, controles de diseño y desarrollo, pruebas y validación, gestión de datos, el sistema de gestión de riesgos del artículo 9, seguimiento posterior a la comercialización, notificación de incidentes graves, conservación de registros, gestión de recursos y un marco de rendición de cuentas. EN 18286 convierte esa lista en requisitos de sistema de gestión que un proveedor puede aplicar y un evaluador puede auditar.

Desde el 14 de octubre de 2026, EN 18286 es una norma armonizada citada en el Diario Oficial. El artículo 40 presume que un sistema conforme con una norma armonizada publicada en el Diario Oficial cumple los requisitos que esa norma cubre. Un proveedor que se apoya en la norma documenta cómo su SGC cumple cada requisito. Los proveedores que elijan otra vía pueden cumplir igualmente, y deben demostrar por sí mismos que su SGC cumple el artículo 17.

Lea el alcance con precisión. En su versión consolidada tras el Digital Omnibus, el artículo 40(1) menciona los requisitos de la sección 2 del capítulo III (artículos 8 a 15), y el artículo 17 está en la sección 3. El Omnibus añadió al artículo 40(2) un texto que pide normas que respalden los requisitos de las secciones 2 y 3. CEN-CENELEC describe la cita como una presunción de conformidad con las disposiciones correspondientes del Reglamento de IA. Un proveedor debería citar la edición exacta de la norma, EN 18286:2026, y pedir a su asesoría jurídica que confirme hasta dónde llega la presunción para su propio SGC.

Qué deja la cita como estaba¶

• Las fechas de aplicación. El artículo 17 se aplica desde el 2 de diciembre de 2027 a los sistemas de alto riesgo del artículo 6(2) y el anexo III, y desde el 2 de agosto de 2028 a los productos del anexo I, según las fechas del artículo 113 fijadas por el Reglamento (UE) 2026/1744.
• Los demás requisitos. EN 18286 cubre el SGC. La gestión de riesgos (artículo 9), la gobernanza de datos (artículo 10), los registros (artículo 12), la supervisión humana (artículo 14) y la ciberseguridad (artículo 15) esperan sus propias normas. prEN 18228, sobre gestión de riesgos, figura en aprobación en el programa de trabajo de CEN-CENELEC, y las partes de prEN 18229 sobre registros y supervisión humana siguen en encuesta o en resolución de comentarios. El seguimiento del JTC 21 mantiene las etapas actuales.
• La evaluación de la conformidad. El proveedor sigue aplicando el procedimiento de evaluación de la conformidad del artículo 43, redacta la declaración UE de conformidad y enumera en ella las normas armonizadas que ha aplicado.
• Los certificados existentes. Un certificado ISO 9001 o ISO/IEC 42001 no da presunción en virtud del Reglamento de IA. Ambos siguen siendo insumos útiles. La comparación entre EN 18286 e ISO muestra qué partes se transfieren.

Qué puede hacer un proveedor este trimestre¶

Ejemplo sintético: tres filas de un análisis de diferencias de un proveedor ficticio de un sistema de calificación crediticia. El proveedor, el sistema y las conclusiones son inventados con fines ilustrativos.

• Compre EN 18286:2026 a su organismo nacional de normalización; en España, UNE. Si su versión nacional aún no ha salido, el organismo nacional debe publicarla antes del 31 de enero de 2027; el texto europeo está disponible desde el 22 de julio de 2026.
• Registre la decisión en la que se basa la referencia: EN 18286:2026, citada por la Decisión de Ejecución (UE) 2026/2274, DO L de 14 de octubre de 2026. Lea el anexo de la decisión por si la referencia lleva alguna restricción.
• Haga un análisis de diferencias cláusula por cláusula entre su SGC actual y EN 18286, partiendo de los procesos ISO 9001 o ISO/IEC 42001 que ya aplica.
• Designe un responsable para cada elemento del artículo 17(1) y vincule cada uno a la evidencia que pedirá un evaluador: procedimientos, registros, actas de revisión, resultados de pruebas y registros de incidentes.
• Mantenga en seguimiento las normas de los artículos 9 a 15. Sus fechas de cita decidirán qué parte de su expediente técnico podrá apoyarse en la presunción en 2027.

Dónde encaja la evidencia en tiempo de ejecución¶

Un SGC es un conjunto de procedimientos, y un evaluador comprueba que se aplican. Para un proveedor cuyo sistema de alto riesgo usa agentes de IA, varios elementos del artículo 17 dependen de registros que produce el sistema en funcionamiento: la conservación de registros, el seguimiento posterior a la comercialización, la gestión de incidentes graves y el vínculo con los controles de riesgo del artículo 9.

Comprobamos en nuestra propia plataforma lo poco que perdona esto. En septiembre de 2026 rastreamos la identidad del agente a lo largo de nuestra ruta de evidencia y encontramos recibos de decisión sellados sin la identidad del agente que actuó. Un registro sellado no puede modificarse, así que la brecha solo podía cerrarse de ahí en adelante. Cambiamos la ruta para que los recibos de las puertas de política incluyan la identidad del agente, y un paquete con una identidad sin resolver se marca ahora como no fehaciente. Para un SGC del artículo 17, revise los campos de sus registros antes de que empiecen a acumularse.

KLA trabaja en esa capa. KLA Policy Engine evalúa una Decision Request antes de que se ejecute una acción gobernada de un agente y devuelve allow, warn, require_approval o block. Decision Desk retiene los resultados require_approval para un revisor designado. Evidence Room produce Sealed Evidence Bundles que un tercero puede verificar sin conexión. Control Mapping vincula esos registros con los artículos 9, 10, 11, 12, 14, 15, 17 y 72 del Reglamento de IA de la UE. KLA no certifica un SGC ni evalúa la conformidad con EN 18286. Esas decisiones corresponden al proveedor y a su evaluador.