La maggior parte dei team aziendali gestisce già ISO 9001, ISO/IEC 42001 o un sistema di gestione della qualità settoriale. La EN 18286:2026 aggiunge un quadro SGQ scritto per i fini regolamentari dell'AI Act. CEN e CENELEC hanno reso disponibile il testo europeo il 22 luglio 2026, il BSI ha pubblicato la BS EN 18286:2026 il 24 luglio e la decisione di esecuzione (UE) 2026/2274 della Commissione l'ha citata nella Gazzetta ufficiale il 14 ottobre 2026. Né la ISO 9001 né la ISO/IEC 42001 sono citate ai sensi dell'AI Act. Questo confronto mostra quali strutture ISO si possono trasferire e quali controlli dell'articolo 17 richiedono una mappatura dedicata.
La struttura condivisa dei sistemi di gestione
La EN 18286 e le norme ISO sui sistemi di gestione condividono schemi per leadership, pianificazione, supporto, operatività, valutazione delle prestazioni e miglioramento. Questa sovrapposizione riduce lo sforzo di migrazione e consente di riutilizzare le routine di governance.
La EN 18286 è orientata ai risultati regolamentari dell'AI Act per i fornitori di sistemi ad alto rischio. La ISO 9001 copre la gestione della qualità in senso ampio. La ISO/IEC 42001 copre la gestione organizzativa dell'IA per fornitori e utilizzatori.
Dove la EN 18286 aggiunge dettaglio regolamentare
Il cambiamento più significativo è la mappatura regolamentare esplicita. I team devono dimostrare come ogni requisito essenziale è attuato, quali norme o misure alternative sono utilizzate e perché l'approccio è sufficiente.
Il secondo cambiamento riguarda la densità delle evidenze operative. Il monitoraggio successivo all'immissione sul mercato, la preparazione agli incidenti gravi e la predisposizione alla valutazione della conformità sono capacità centrali in un SGQ del fornitore.
- Strategia di conformità per clausola collegata agli obblighi di ciascun articolo
- Trattamento esplicito della logica di modifica sostanziale per la governance del cambiamento
- Percorsi operativi per incidenti e monitoraggio successivo all'immissione sul mercato collegati alle scadenze legali
- Controlli su fornitori e componenti esterni commisurati al livello di rischio del sistema di IA
Come riutilizzare gli investimenti ISO senza ricostruire tutto
Mantenete le strutture esistenti di gestione della qualità e dell'IA, poi aggiungete le mappature dei controlli specifiche per l'AI Act, i requisiti di evidenza e le verifiche nei gate di rilascio.
Se disponete già della ISO/IEC 42001, usatela come struttura portante della governance e aggiungete la tracciabilità legale specifica per l'UE. Se disponete solo della ISO 9001, date priorità ai controlli specifici per il rischio e il ciclo di vita dell'IA.
Dichiarate con precisione l'ambito della garanzia
Un certificato ISO copre il sistema di gestione, i siti e le attività dichiarati nel suo ambito. Auditor e autorità verificano l'attuazione dell'AI Act rispetto agli obblighi di legge applicabili e alle evidenze a supporto.
Usate lo status ISO come credibilità di partenza, poi dimostrate la copertura a livello di articolo. Per le basi implementative, abbinate questo articolo alla guida alla mappatura dell'articolo 17.
Le affermazioni di copertura richiedono registrazioni che un valutatore possa verificare. Quando a settembre 2026 abbiamo ripercorso l'identità degli agenti lungo il nostro percorso delle evidenze, alcune ricevute di decisione erano state sigillate senza l'identità dell'agente che aveva agito, e una ricevuta sigillata non può essere modificata in seguito. Abbiamo cambiato il percorso perché le ricevute dei policy gate riportino l'identità dell'agente, e oggi un pacchetto con un'identità dell'agente non risolta è contrassegnato come non autorevole. Verificate nella vostra conservazione delle registrazioni i campi che non si possono aggiungere in seguito.
La pubblicazione europea e la citazione nella GUUE sono tappe separate
La EN 18286 ha superato il voto formale ed è stata ratificata il 12 luglio 2026. Il CEN-CENELEC ha reso disponibile il testo europeo il 22 luglio 2026, gli enti nazionali pubblicano le loro versioni entro il 31 gennaio 2027 e la Gazzetta ufficiale ha citato la EN 18286:2026 il 14 ottobre 2026. La notizia del CEN-CENELEC la definisce la prima norma europea sull’IA citata nella Gazzetta ufficiale.
La citazione conferisce alla EN 18286:2026 una presunzione di conformità ai sensi dell'articolo 40 per i requisiti che copre. I certificati ISO 9001 e ISO/IEC 42001 non comportano tale presunzione. L'articolo 40, paragrafo 1, indica i requisiti della sezione 2 agli articoli 8–15 e l'articolo 17 si trova nel capo III, sezione 3, quindi confermate con un consulente la portata della presunzione per il vostro SGQ.
Sequenza pratica di transizione
I team che procedono più rapidamente seguono di norma una sequenza per fasi con responsabili chiari trasversali a qualità, prodotto, ingegneria e compliance.
- Fase 1: costruire una matrice di corrispondenza clausola-obbligo per i sistemi ad alto rischio in perimetro
- Fase 2: individuare le lacune di evidenza per rischio, dati, monitoraggio e processi di gestione degli incidenti
- Fase 3: aggiungere gate di governance nei processi di rilascio dei modelli e di gestione delle modifiche
- Fase 4: eseguire revisioni interne di conformità simulate prima degli eventi rivolti alle autorità
Domande frequenti
Se abbiamo già la ISO/IEC 42001, è comunque necessario l'allineamento alla EN 18286?
I fornitori ad alto rischio hanno comunque bisogno di una mappatura esplicita rispetto all'AI Act e di evidenze per i requisiti applicabili a livello di articolo. La ISO/IEC 42001 fornisce una struttura di sistema di gestione riutilizzabile. Solo la EN 18286:2026, citata nella Gazzetta ufficiale il 14 ottobre 2026, conferisce una presunzione di conformità per il SGQ dell'articolo 17.
La ISO 9001 è sufficiente per l'articolo 17?
La ISO 9001 fornisce la disciplina di un sistema di gestione della qualità. L'attuazione dell'articolo 17 richiede anche controlli specifici dell'AI Act su ciclo di vita, rischio e monitoraggio successivo all'immissione sul mercato, con la profondità richiesta.
Qual è la lacuna pratica che i team trascurano più spesso?
La governance del cambiamento legata alla modifica sostanziale e al suo impatto sulla conformità. I team dispongono spesso di un change control generale e devono ancora aggiungere la logica di rivalutazione specifica dell'AI Act e le relative evidenze.
Punti chiave
Riutilizzate gli investimenti nei sistemi di gestione ISO e aggiungete una mappa precisa delle clausole della EN 18286 per l'articolo 17. Registrate ambito e fonte di autorità di ogni controllo, in modo che certificati, obblighi di legge ed evidenze restino distinguibili.