Se mettre en conformité avec l'AI Act européen vient de devenir un peu plus simple, sur un point précis. Depuis le 14 octobre 2026, la Commission européenne a publié au Journal officiel de l'Union européenne la toute première norme harmonisée du règlement sur l'IA : EN 18286:2026. Pour une PME qui développe ou commercialise un système d'IA à haut risque, ce texte technique offre une voie balisée pour prouver sa conformité, là où l'AI Act ne donnait jusqu'ici que des obligations générales à interpréter seul.
En bref
- La norme EN 18286:2026 a été citée au Journal officiel de l'UE le 14 octobre 2026, par la décision d'exécution (UE) 2026/2274 de la Commission du 12 octobre 2026.
- C'est la première norme harmonisée publiée pour l'AI Act, sur les dix domaines couverts par la demande de normalisation de la Commission.
- Elle porte uniquement sur le système de gestion de la qualité exigé par l'article 17 de l'AI Act pour les fournisseurs de systèmes d'IA à haut risque.
- L'appliquer reste volontaire, mais elle donne une présomption de conformité : plus besoin de démontrer soi-même le respect de l'article 17, point par point.
- Les neuf autres domaines (gestion des risques, qualité des données, cybersécurité, supervision humaine...) n'ont toujours pas de norme harmonisée.
EN 18286, en une phrase
EN 18286:2026 est une norme technique européenne, développée par le comité CEN-CENELEC JTC 21, qui traduit en exigences concrètes et auditables l'obligation de l'article 17 de l'AI Act : disposer d'un système de gestion de la qualité documenté pour tout système d'IA à haut risque. Un fournisseur qui construit son système qualité sur cette base bénéficie d'une présomption de conformité réglementaire, sans avoir à démontrer lui-même, point par point, qu'il respecte chacune des treize exigences minimales listées par l'article 17.
23 juin 2025
Mandat de normalisation
27 juillet 2026
Omnibus numérique
12 octobre 2026
Décision d'exécution
14 octobre 2026
Publication au Journal officiel
2 décembre 2027
Échéance Annexe III
2 août 2028
Échéance Annexe I
Ce que la norme couvre, et ce qu'elle ne couvre pas
C'est le point le plus important à retenir pour un dirigeant de PME : EN 18286 ne couvre qu'une partie de l'AI Act. Elle porte sur l'organisation interne (le système de gestion de la qualité), pas sur les caractéristiques techniques du système d'IA lui-même.
Couvert par EN 18286
Système de gestion de la qualité documenté. Procédures de conception, de contrôle et de vérification. Surveillance après mise sur le marché. Signalement des incidents graves. Treize aspects minimum exigés par l'article 17.
Pas couvert par EN 18286
Gestion des risques du système d'IA (article 9). Qualité et gouvernance des données. Journalisation technique. Transparence envers les utilisateurs. Supervision humaine. Robustesse et cybersécurité. Procédures d'évaluation de la conformité.
Pour ces neuf domaines restants, une PME doit encore démontrer sa conformité par ses propres moyens, en s'appuyant sur le texte de l'AI Act lui-même ou sur des référentiels existants comme l'ISO/IEC 42001 (système de management de l'IA) ou l'ISO 9001 (qualité). Le CEN-CENELEC a d'ailleurs conçu EN 18286 pour s'articuler avec ces deux normes internationales : une entreprise déjà certifiée ISO 9001 ou ISO/IEC 42001 peut étendre son système existant plutôt que d'en construire un nouveau.
Pourquoi c'est utile pour une PME, concrètement
Pour une PME qui conçoit un système d'IA à haut risque (recrutement automatisé, scoring de crédit, dispositif médical assisté par IA...), l'intérêt pratique est double.
Moins d'incertitude juridique
Pas de système qualité en doublon
Un argument commercial vérifiable
À retenir
L'application d'EN 18286 reste volontaire. Une PME peut toujours démontrer sa conformité à l'article 17 par d'autres moyens. Mais s'appuyer sur la norme évite d'avoir à prouver, seule face à une autorité de contrôle, que son système qualité « maison » répond bien à chacune des treize exigences du texte.
Le calendrier reste large, mais ne pas attendre
Les échéances de mise en conformité pour les systèmes à haut risque ont été repoussées par le règlement « omnibus numérique » (UE) 2026/1744, entré en vigueur le 27 juillet 2026 : 2 décembre 2027 pour les systèmes listés à l'Annexe III (ressources humaines, éducation, infrastructures critiques, biométrie...), et 2 août 2028 pour les systèmes intégrés à des produits déjà régulés par ailleurs (Annexe I). Ce délai, s'il offre du temps, ne doit pas inciter à l'attentisme : un système de gestion de la qualité se construit sur plusieurs mois, en particulier s'il faut auditer les processus existants et former les équipes.
La Commission européenne annonce que d'autres normes harmonisées suivront pour les neuf domaines encore non couverts (gestion des risques, qualité des données, cybersécurité...), sans donner de date précise. Le mandat de normalisation initial, confié au CEN-CENELEC en juin 2025, a depuis été prolongé jusqu'au 28 février 2027.
FAQ
Une PME doit-elle obligatoirement appliquer la norme EN 18286 ?
Non. L'application d'EN 18286 est volontaire. Une PME peut démontrer sa conformité à l'article 17 de l'AI Act par d'autres moyens, mais elle doit alors prouver elle-même, point par point, que son système de gestion de la qualité respecte les treize exigences du texte.
EN 18286 suffit-elle à être en conformité avec l'ensemble de l'AI Act ?
Non. Elle couvre uniquement le système de gestion de la qualité exigé par l'article 17. Neuf autres domaines de l'AI Act (gestion des risques, qualité des données, cybersécurité, transparence, supervision humaine...) n'ont pas encore de norme harmonisée et doivent être traités séparément.
Qui doit s'intéresser à cette norme : tous les utilisateurs d'IA ?
Principalement les fournisseurs de systèmes d'IA à haut risque, c'est-à-dire les entreprises qui développent ou commercialisent ces systèmes. Une PME qui se contente d'utiliser un outil d'IA déjà sur le marché (déployeur) relève plutôt de l'article 26 de l'AI Act, aux obligations différentes.
Quel est le lien avec les certifications ISO 9001 ou ISO/IEC 42001 ?
EN 18286 inclut des annexes qui font correspondre ses exigences avec celles d'EN ISO 9001 et d'EN ISO/IEC 42001. Une entreprise déjà certifiée sur l'une de ces normes peut étendre son système existant plutôt que d'en créer un nouveau pour l'AI Act.
En résumé
EN 18286 ne rend pas l'AI Act plus simple dans son ensemble : il reste un texte dense, dont neuf domaines sur dix attendent encore leur norme harmonisée. Mais sur le système de gestion de la qualité, elle offre enfin un repère concret et audité, plutôt qu'une obligation générale à interpréter seul. Pour une PME qui conçoit un système d'IA à haut risque, c'est une pièce du puzzle de conformité qui se pose dès maintenant, sans attendre les échéances de 2027 et 2028.
Pour suivre les prochaines échéances de l'AI Act et préparer la conformité IA de votre entreprise, consultez nos autres ressources sur l'IA en entreprise.
Sources : CEN-CENELEC (cencenelec.eu, « EN 18286:2026 published in OJEU ») ; CEN-CENELEC JTC 21 (jtc21.eu, « EN 18286 becomes the first harmonised standard under the EU AI Act ») ; ActuIA (actuia.com, « EU AI Act: first harmonised standard covers only quality system »).
