L'AI Act a sa première norme : elle encadre le contrôle qualité des IA à haut risque

L'annexe de la décision tient en une ligne. La décision d'exécution (UE) 2026/2274, datée du 12 octobre et publiée au Journal officiel de l'Union européenne le 14, ne cite qu'une seule norme. C'est pourtant une première : EN 18286 devient la première norme harmonisée au service du règlement européen sur l'intelligence artificielle, l'AI Act. Le comité européen de normalisation CEN-CENELEC l'a saluée le 15 octobre, et la Commission européenne l'a annoncée le 19.

Son titre, traduit de l'anglais : « Intelligence artificielle – Système de management de la qualité pour les besoins réglementaires de l'AI Act ». Elle s'adresse aux fournisseurs de systèmes d'IA à haut risque, ceux qui servent par exemple au recrutement, au crédit ou à des produits réglementés.

Que gagne une entreprise qui l'applique ?

Une norme harmonisée publiée au Journal officiel apporte une « présomption de conformité » : l'entreprise qui la respecte est présumée remplir les exigences correspondantes du règlement. Ici, il s'agit de l'article 17, qui impose aux fournisseurs d'IA à haut risque un système de gestion de la qualité écrit, documenté, couvrant notamment la surveillance après mise sur le marché et le signalement des incidents graves.

La présomption s'arrête là. Elle ne s'étend pas aux exigences sur la gestion des risques, la qualité des données, la cybersécurité ou le contrôle humain, qui font l'objet d'autres demandes de normes. Son application reste par ailleurs volontaire : un fournisseur peut démontrer sa conformité par d'autres moyens, au prix d'un travail de justification plus lourd.

Ce n'est pas une certification ISO de plus

EN 18286 est une norme européenne, et non une norme ISO. Selon la revue Management Qualité, elle peut se greffer sur un système existant : ISO/IEC 42001 pour le management de l'IA, ISO 9001 pour la qualité, ISO 13485 pour les dispositifs médicaux. Une entreprise déjà certifiée ISO/IEC 42001 n'est pas pour autant présumée conforme à l'AI Act : seule EN 18286 apporte cette présomption pour le système qualité, selon la Commission citée par la revue. Autre particularité relevée par la Commission : la norme s'organise autour du cycle de vie du système d'IA, pas autour de l'organisation.

Que faire maintenant ?

Les obligations sur les IA à haut risque ont été repoussées par l'« omnibus » numérique : elles s'appliqueront le 2 décembre 2027 pour les systèmes de l'annexe III (recrutement, crédit, éducation…) et le 2 août 2028 pour ceux intégrés à des produits réglementés (annexe I). Pour un fournisseur de systèmes de l'annexe III, il reste un peu plus d'un an.

• Vérifier si vos systèmes relèvent du haut risque, et si vous en êtes le fournisseur ou seulement l'utilisateur. La norme vise les fournisseurs.
• Comparer votre système qualité actuel aux exigences d'EN 18286, en particulier si vous êtes déjà certifié ISO 9001 ou ISO/IEC 42001.
• Suivre les autres normes attendues : la Commission a demandé des normes dans dix domaines, dont la gestion des risques, les données, la transparence, la robustesse et la cybersécurité.

Bruxelles avance aussi sur d'autres fronts de l'AI Act, comme l'a montré sa demande d'explications à OpenAI et Anthropic. Pour les normes, la question est désormais celle du rythme : les neuf autres domaines restent à couvrir, alors que les premières obligations s'appliqueront en décembre 2027.