Cumplir con el AI Act europeo acaba de volverse un poco más sencillo, en un punto concreto. Desde el 14 de octubre de 2026, la Comisión Europea publicó en el Diario Oficial de la Unión Europea la primera norma armonizada del reglamento sobre IA: EN 18286:2026. Para una pyme que desarrolla o comercializa un sistema de IA de alto riesgo, este texto técnico ofrece ahora una vía clara para demostrar su cumplimiento, allí donde el AI Act hasta ahora solo daba obligaciones generales que había que interpretar en solitario.
En resumen
- La norma EN 18286:2026 fue citada en el Diario Oficial de la UE el 14 de octubre de 2026, mediante la decisión de ejecución (UE) 2026/2274 de la Comisión, del 12 de octubre de 2026.
- Es la primera norma armonizada publicada para el AI Act, de los diez ámbitos cubiertos por la solicitud de normalización de la Comisión.
- Cubre únicamente el sistema de gestión de calidad exigido por el artículo 17 del AI Act para los proveedores de sistemas de IA de alto riesgo.
- Aplicarla sigue siendo voluntaria, pero otorga una presunción de conformidad: ya no hace falta demostrar uno mismo, punto por punto, el cumplimiento del artículo 17.
- Los otros nueve ámbitos (gestión de riesgos, calidad de los datos, ciberseguridad, supervisión humana...) todavía no tienen norma armonizada.
EN 18286, en una frase
EN 18286:2026 es una norma técnica europea, desarrollada por el comité CEN-CENELEC JTC 21, que traduce en requisitos concretos y auditables la obligación del artículo 17 del AI Act: disponer de un sistema de gestión de calidad documentado para todo sistema de IA de alto riesgo. Un proveedor que construye su sistema de calidad sobre esta base se beneficia de una presunción de conformidad regulatoria, sin tener que demostrar él mismo, punto por punto, que cumple cada uno de los trece requisitos mínimos enumerados en el artículo 17.
23 de junio de 2025
Mandato de normalización
27 de julio de 2026
Omnibus digital
12 de octubre de 2026
Decisión de ejecución
14 de octubre de 2026
Publicación en el Diario Oficial
2 de diciembre de 2027
Plazo del Anexo III
2 de agosto de 2028
Plazo del Anexo I
Lo que cubre la norma, y lo que no cubre
Este es el punto más importante que debe recordar un directivo de pyme: EN 18286 solo cubre una parte del AI Act. Aborda la organización interna (el sistema de gestión de calidad), no las características técnicas del propio sistema de IA.
Cubierto por EN 18286
Sistema de gestión de calidad documentado. Procedimientos de diseño, control y verificación. Vigilancia posterior a la comercialización. Notificación de incidentes graves. Trece aspectos mínimos exigidos por el artículo 17.
No cubierto por EN 18286
Gestión de riesgos del sistema de IA (artículo 9). Calidad y gobernanza de los datos. Registro técnico. Transparencia hacia los usuarios. Supervisión humana. Robustez y ciberseguridad. Procedimientos de evaluación de la conformidad.
Para estos nueve ámbitos restantes, una pyme debe seguir demostrando su cumplimiento por sus propios medios, apoyándose en el propio texto del AI Act o en referenciales existentes como ISO/IEC 42001 (sistema de gestión de la IA) o ISO 9001 (calidad). De hecho, CEN-CENELEC diseñó EN 18286 para articularse con estas dos normas internacionales: una empresa ya certificada en ISO 9001 o ISO/IEC 42001 puede ampliar su sistema existente en lugar de construir uno nuevo.
Por qué es útil para una pyme, en la práctica
Para una pyme que diseña un sistema de IA de alto riesgo (contratación automatizada, scoring de crédito, dispositivos médicos asistidos por IA...), el beneficio práctico es doble.
Menos incertidumbre jurídica
Sin sistema de calidad duplicado
Un argumento comercial verificable
Para recordar
Aplicar EN 18286 sigue siendo voluntario. Una pyme siempre puede demostrar el cumplimiento del artículo 17 por otros medios. Pero apoyarse en la norma evita tener que probar, en solitario ante una autoridad de control, que su sistema de calidad "casero" cumple realmente cada uno de los trece requisitos del texto.
El calendario sigue siendo amplio, pero no conviene esperar
Los plazos de cumplimiento para los sistemas de alto riesgo se postergaron con el reglamento "omnibus digital" (UE) 2026/1744, en vigor desde el 27 de julio de 2026: 2 de diciembre de 2027 para los sistemas enumerados en el Anexo III (recursos humanos, educación, infraestructuras críticas, biometría...), y 2 de agosto de 2028 para los sistemas integrados en productos ya regulados por otra vía (Anexo I). Este margen, aunque bienvenido, no debe animar a esperar: un sistema de gestión de calidad tarda varios meses en construirse, sobre todo si hay que auditar los procesos existentes y formar a los equipos.
La Comisión Europea afirma que seguirán más normas armonizadas para los nueve ámbitos todavía sin cubrir (gestión de riesgos, calidad de los datos, ciberseguridad...), sin dar una fecha precisa. El mandato de normalización inicial, otorgado al CEN-CENELEC en junio de 2025, se ha ampliado desde entonces hasta el 28 de febrero de 2027.
Preguntas frecuentes
¿Debe una pyme aplicar obligatoriamente la norma EN 18286?
No. Aplicar EN 18286 es voluntario. Una pyme puede demostrar el cumplimiento del artículo 17 del AI Act por otros medios, pero entonces debe probar ella misma, punto por punto, que su sistema de gestión de calidad cumple los trece requisitos del texto.
¿Basta EN 18286 para cumplir todo el AI Act?
No. Cubre únicamente el sistema de gestión de calidad exigido por el artículo 17. Otros nueve ámbitos del AI Act (gestión de riesgos, calidad de los datos, ciberseguridad, transparencia, supervisión humana...) todavía no tienen norma armonizada y deben abordarse por separado.
¿A quién concierne esta norma: a todos los usuarios de IA?
Principalmente a los proveedores de sistemas de IA de alto riesgo, es decir, las empresas que desarrollan o comercializan estos sistemas. Una pyme que simplemente utiliza una herramienta de IA ya presente en el mercado (un responsable del despliegue) está más bien sujeta al artículo 26 del AI Act, con obligaciones diferentes.
¿Cuál es la relación con las certificaciones ISO 9001 o ISO/IEC 42001?
EN 18286 incluye anexos que hacen corresponder sus requisitos con los de EN ISO 9001 y EN ISO/IEC 42001. Una empresa ya certificada en alguna de ellas puede ampliar su sistema existente en lugar de crear uno nuevo para el AI Act.
En resumen
EN 18286 no simplifica el AI Act en su conjunto: sigue siendo un texto denso, con nueve de los diez ámbitos todavía a la espera de su norma armonizada. Pero en cuanto al sistema de gestión de calidad, por fin ofrece una referencia concreta y auditada, en lugar de una obligación general que interpretar en solitario. Para una pyme que diseña un sistema de IA de alto riesgo, es una pieza del rompecabezas de cumplimiento que ya se puede abordar ahora, sin esperar a los plazos de 2027 y 2028.
Para seguir los próximos plazos del AI Act y preparar el cumplimiento de IA de su empresa, consulte nuestros otros recursos sobre IA en la empresa.
Fuentes: CEN-CENELEC (cencenelec.eu, "EN 18286:2026 published in OJEU"); CEN-CENELEC JTC 21 (jtc21.eu, "EN 18286 becomes the first harmonised standard under the EU AI Act"); ActuIA (actuia.com, "EU AI Act: first harmonised standard covers only quality system").
