Le 14 octobre 2026, le Journal officiel de l'Union européenne (JOUE) a publié la décision d'exécution (UE) 2026/2274 de la Commission, datée du 12 octobre 2026, relative aux normes harmonisées pour les systèmes d'IA à haut risque élaborées à l'appui du règlement (UE) 2024/1689. La référence qu'elle publie est l'EN 18286:2026, Intelligence artificielle : système de management de la qualité pour les besoins réglementaires de l'EU AI Act. Le CEN-CENELEC la présente comme la première norme européenne sur l'IA citée au Journal officiel. L'EN 18286 est la norme rédigée pour l'article 17, l'obligation faite aux fournisseurs de systèmes d'IA à haut risque de tenir un système de management de la qualité (SMQ). Cette note couvre ce que la citation change pour cette obligation, ce qu'elle laisse en l'état et ce qu'un fournisseur peut faire ce trimestre. Il s'agit d'une orientation générale et non d'un avis juridique.
Les jalons, du vote à la citation
Une norme européenne arrive au Journal officiel par étapes, et chaque étape fait l'objet d'un enregistrement distinct. La fiche projet CEN-CENELEC de l'EN 18286:2026 indique les dates ci-dessous et nomme la demande de normalisation à laquelle elle répond, la M/613.
| Jalon | Date | Signification |
|---|---|---|
| Ratification (DOR) | 12 juillet 2026 | Le CEN et le CENELEC ont ratifié le texte après le vote formel |
| Mise à disposition (DAV) | 22 juillet 2026 | Le texte européen final a été transmis aux organismes nationaux de normalisation |
| Publication nationale, Royaume-Uni | 24 juillet 2026 | Le BSI a publié la BS EN 18286:2026 |
| Citation au Journal officiel | 14 octobre 2026 | JO L, 2026/2274 : la référence qui déclenche l'article 40 |
| Annonce (DOA) | 31 octobre 2026 | Date limite pour que les organismes nationaux annoncent la norme |
| Date limite de publication nationale (DOP) | 31 janvier 2027 | Date limite pour que chaque organisme national publie sa version nationale |
Ce que la citation change pour l'article 17
L'article 17 impose au fournisseur d'un système d'IA à haut risque de mettre en place un SMQ documenté : une stratégie de conformité réglementaire, des contrôles de conception et de développement, des essais et une validation, la gestion des données, le système de gestion des risques de l'article 9, la surveillance après commercialisation, la notification des incidents graves, la tenue des registres, la gestion des ressources et un cadre de responsabilité. L'EN 18286 transforme cette liste en exigences de système de management qu'un fournisseur peut mettre en œuvre et qu'un évaluateur peut auditer.
Depuis le 14 octobre 2026, l'EN 18286 est une norme harmonisée citée au Journal officiel. L'article 40 présume qu'un système conforme à une norme harmonisée publiée au Journal officiel satisfait aux exigences que cette norme couvre. Un fournisseur qui s'appuie sur la norme documente la façon dont son SMQ satisfait à chaque exigence. Les fournisseurs qui choisissent une autre voie peuvent toujours être conformes, et il leur revient de démontrer que leur SMQ satisfait à l'article 17 par lui-même.
Lisez le périmètre avec précision. Dans sa version consolidée après l'Omnibus numérique, l'article 40, paragraphe 1, vise les exigences du chapitre III, section 2 (articles 8 à 15), et l'article 17 se situe dans la section 3. L'Omnibus a ajouté à l'article 40, paragraphe 2, un texte qui demande des normes à l'appui des exigences des sections 2 et 3. Le CEN-CENELEC présente la citation comme ouvrant la présomption de conformité aux dispositions correspondantes du règlement IA. Un fournisseur doit citer l'édition exacte de la norme, EN 18286:2026, et faire confirmer par un conseil jusqu'où va la présomption pour son propre SMQ.
Ce que la citation laisse en l’état
- Les dates d'application. L'article 17 s'applique à partir du 2 décembre 2027 aux systèmes à haut risque relevant de l'article 6, paragraphe 2, et de l'annexe III, et à partir du 2 août 2028 aux produits de l'annexe I, selon les dates de l'article 113 fixées par le règlement (UE) 2026/1744.
- Les autres exigences. L'EN 18286 couvre le SMQ. La gestion des risques (article 9), la gouvernance des données (article 10), la journalisation (article 12), le contrôle humain (article 14) et la cybersécurité (article 15) attendent leurs propres normes. La prEN 18228 sur la gestion des risques est en approbation dans le programme de travail du CEN-CENELEC, et les parties de la prEN 18229 sur la journalisation et le contrôle humain sont encore en enquête ou en résolution des commentaires. Le suivi du JTC 21 tient les stades à jour.
- L'évaluation de la conformité. Le fournisseur mène toujours la procédure d'évaluation de la conformité de l'article 43, établit la déclaration UE de conformité et y liste les normes harmonisées appliquées.
- Les certificats existants. Un certificat ISO 9001 ou ISO/IEC 42001 ne donne aucune présomption au titre de l'AI Act. Les deux restent des intrants utiles. La comparaison EN 18286 et ISO montre ce qui se transpose.
Ce qu’un fournisseur peut faire ce trimestre
Exemple synthétique : trois lignes d'une analyse des écarts pour un fournisseur fictif d'un système de notation de crédit. Le fournisseur, le système et les constats sont inventés à des fins d'illustration.
- Procurez-vous l'EN 18286:2026 auprès de votre organisme national de normalisation (en France, l'AFNOR). Si votre version nationale n'est pas encore parue, l'organisme national doit la publier au plus tard le 31 janvier 2027 ; le texte européen est disponible depuis le 22 juillet 2026.
- Consignez la décision correspondant à la référence sur laquelle vous vous appuyez : EN 18286:2026, citée par la décision d'exécution (UE) 2026/2274, JO L du 14 octobre 2026. Lisez l'annexe de la décision pour repérer toute restriction attachée à la référence.
- Menez une analyse des écarts clause par clause entre votre SMQ actuel et l'EN 18286, en partant des processus ISO 9001 ou ISO/IEC 42001 que vous appliquez déjà.
- Désignez un responsable pour chaque élément de l'article 17, paragraphe 1, et reliez chacun aux preuves qu'un évaluateur demandera : procédures, enregistrements, comptes rendus de revue, résultats d'essais et journaux d'incidents.
- Gardez sous surveillance les normes des articles 9 à 15. Leurs dates de citation détermineront quelle part de votre dossier technique pourra reposer sur la présomption en 2027.
| Élément de l'article 17, paragraphe 1 | Situation actuelle | Écart | Responsable et preuves |
|---|---|---|---|
| g) Système de gestion des risques de l'article 9 | Politique de risque de modèle sous ISO/IEC 42001 | Aucun lien entre les procédures du SMQ et le registre des risques de l'article 9 | Responsable du risque de modèle ; registre des risques avec renvois au SMQ |
| h) Surveillance après commercialisation | Rapport trimestriel de performance | Aucun déclencheur défini pour une action corrective ou pour l'information du déployeur | Responsable produit ; plan de surveillance, journal des déclenchements, enregistrements des actions correctives |
| k) Tenue des registres | Journaux d'application conservés 90 jours | Durée de conservation inférieure à celle exigée par la documentation technique ; les enregistrements de décision ne portent pas la version du modèle | Responsable plateforme ; politique de conservation, échantillon d’enregistrements de décision avec champs de version |
La place des preuves produites à l’exécution
Un SMQ est un ensemble de procédures, et un évaluateur vérifie qu'elles fonctionnent. Pour un fournisseur dont le système à haut risque utilise des agents IA, plusieurs éléments de l'article 17 dépendent d'enregistrements produits par le système en fonctionnement : tenue des registres, surveillance après commercialisation, traitement des incidents graves et lien avec les contrôles de risque de l'article 9.
Nous avons mesuré à quel point c'est exigeant sur notre propre plateforme. En septembre 2026, nous avons retracé l'identité des agents dans notre chaîne de preuves et trouvé des reçus de décision scellés sans l'identité de l'agent qui avait agi. Un enregistrement scellé ne peut pas être modifié : l'écart ne pouvait donc être comblé que pour l'avenir. Nous avons modifié la chaîne pour que les reçus de contrôle de politique portent l'identité de l'agent, et un bundle dont l'identité n'est pas résolue est désormais marqué comme non probant. Pour un SMQ au titre de l'article 17, revoyez vos champs de tenue des registres avant que les enregistrements ne s'accumulent.
KLA opère à cette couche. Le KLA Policy Engine évalue une Decision Request avant l'exécution d'une action d'agent gouvernée et renvoie allow, warn, require_approval ou block. Decision Desk retient les résultats require_approval pour un réviseur désigné. Evidence Room produit des Sealed Evidence Bundles qu'un tiers peut vérifier hors ligne. Control Mapping rattache ces enregistrements aux articles 9, 10, 11, 12, 14, 15, 17 et 72 de l'AI Act. KLA ne certifie pas un SMQ et n'évalue pas la conformité à l'EN 18286. Ces décisions restent celles du fournisseur et de son évaluateur.
Foire aux questions
L'EN 18286 est-elle désormais une norme harmonisée au titre de l'AI Act ?
Oui. La décision d'exécution (UE) 2026/2274 de la Commission du 12 octobre 2026, publiée au Journal officiel le 14 octobre 2026, cite l'EN 18286:2026. Le CEN-CENELEC la présente comme la première norme sur l'IA citée au Journal officiel.
La citation rend-elle l'EN 18286 obligatoire ?
Non. Le recours à une norme harmonisée est volontaire. Les fournisseurs de systèmes d'IA à haut risque doivent respecter l'article 17 dans tous les cas. La conformité à la norme citée donne une présomption de conformité pour les exigences qu'elle couvre ; une autre voie doit être justifiée par elle-même.
La citation change-t-elle la date d'application de l'article 17 ?
Non. L'article 17 s'applique à partir du 2 décembre 2027 pour les systèmes à haut risque de l'annexe III et à partir du 2 août 2028 pour l'IA à haut risque des produits de l'annexe I, selon les dates fixées par le règlement (UE) 2026/1744.
L'EN 18286 donne-t-elle une présomption pour la gestion des risques ou la journalisation ?
Non. L'EN 18286 couvre le système de management de la qualité. La gestion des risques, la journalisation, le contrôle humain, l'exactitude, la robustesse et la cybersécurité ont leurs propres livrables du JTC 21, et aucun n'est encore cité.
Un certificat ISO/IEC 42001 compte-t-il ?
Pas pour la présomption de l'AI Act. L'ISO/IEC 42001 n'est pas citée au titre de l'AI Act. Un fournisseur peut réutiliser ses processus ISO/IEC 42001 ou ISO 9001 et combler les écarts par rapport à l'EN 18286.
Points clés à retenir
La citation de l'EN 18286:2026 offre aux fournisseurs de systèmes d'IA à haut risque la première voie vers la présomption de conformité au titre de l'AI Act, pour le système de management de la qualité de l'article 17. Les dates restent celles fixées par le règlement (UE) 2026/1744, et les normes des articles 9 à 15 sont encore en cours d'élaboration. Procurez-vous le texte, menez l'analyse des écarts au regard de l'édition citée et consignez la référence dans votre dossier technique. Le guide sur l'EN 18286 présente le contenu de la norme, et le suivi du JTC 21 suit le reste du programme de travail.
Sources : décision d'exécution (UE) 2026/2274 de la Commission, JO L du 14 octobre 2026 ; fiche projet CEN-CENELEC de l'EN 18286:2026 et actualité du 15 octobre 2026 ; BSI, 24 juillet 2026 ; règlement (UE) 2024/1689 modifié par le règlement (UE) 2026/1744, version consolidée sur l'AI Act Service Desk. Cet article fournit des informations générales et ne constitue pas un conseil juridique.