Primera norma armonizada del AI Act: la EN 18286 da presunción de conformidad al sistema de calidad

La Unión Europea ya tiene la primera norma armonizada del Reglamento de IA. La Decisión de Ejecución (UE) 2026/2274 de la Comisión, adoptada el 12 de octubre y publicada en el Diario Oficial el 14 de octubre de 2026, cita la norma EN 18286:2026, dedicada al sistema de gestión de la calidad que el artículo 17 exige a los proveedores de sistemas de IA de alto riesgo. Desde esa fecha, quien construya su sistema de calidad sobre ella goza de presunción de conformidad con esos requisitos. La Comisión lo anunció el 19 de octubre en su página del AI Act.

Qué ha pasado

La Decisión de Ejecución (UE) 2026/2274 (se abre en pestaña nueva) es muy breve: dos artículos y un anexo con una sola entrada. El artículo 1 publica la referencia de la norma y el artículo 2 fija su entrada en vigor el mismo día de la publicación en el Diario Oficial (serie L, 14 de octubre de 2026). El anexo recoge la EN 18286:2026, «Artificial intelligence – Quality management system for EU AI Act regulatory purposes».

Los considerandos explican de dónde viene. La norma responde a la petición de normalización C(2025) 3871, de 23 de junio de 2025, por la que la Comisión encargó a CEN y Cenelec las normas de apoyo al Reglamento (UE) 2024/1689. En concreto, cubre el punto de esa petición dedicado al sistema de gestión de la calidad de los proveedores, incluido el seguimiento poscomercialización.

La ha elaborado el comité técnico conjunto CEN-CENELEC JTC 21, que la publicó en julio de 2026. Según explica el propio JTC 21 (se abre en pestaña nueva), solo la cita en el Diario Oficial da efectos jurídicos a una norma en el marco del artículo 40 del Reglamento. El comité añade dos detalles útiles: el anexo ZA de la norma relaciona cada cláusula con el requisito del AI Act que respalda, y sus anexos informativos la conectan con EN ISO 9001 y EN ISO/IEC 42001, de forma que quien ya tenga uno de esos sistemas puede ampliarlo en lugar de empezar de cero.

Lo que no cubre es casi todo lo demás. Como resume ActuIA (se abre en pestaña nueva), siguen sin norma armonizada la gestión de riesgos, la gobernanza y calidad de los datos, el registro de eventos, la transparencia, la supervisión humana, la precisión, la solidez, la ciberseguridad y la evaluación de la conformidad. El JTC 21 indica que varios de esos borradores se están revisando tras su encuesta pública y que la petición de normalización modificada se extiende hasta el 28 de febrero de 2027, pero nadie ha dado fechas de publicación.

Por qué importa

Hasta ahora, preparar el cumplimiento de alto riesgo era trabajar sin una referencia oficial. Con la EN 18286 hay, por fin, una pieza con valor jurídico: si tu sistema de calidad se apoya en ella, el supervisor parte de que cumples con lo que la norma cubre. Si eliges otro camino, también es válido, pero tendrás que demostrarlo tú.

Para banca y seguros esto encaja con el calendario. Las obligaciones de los sistemas de alto riesgo del Anexo III se aplican desde el 2 de diciembre de 2027. Quedan unos 13 meses, y el sistema de gestión de la calidad no se improvisa: exige procesos documentados, responsables, controles de cambios y seguimiento tras el despliegue.

También hay una lectura menos cómoda. Que la primera norma sea la de calidad y no las técnicas significa que la parte más difícil para un equipo de datos, como la calidad de los datos de entrenamiento, la supervisión humana o la solidez del modelo, seguirá sin referencia armonizada durante un tiempo. El sistema de calidad es el marco que organiza todo eso, pero no sustituye el trabajo técnico.

Por último, conviene recordar que la norma se dirige a proveedores. Si tu entidad desarrolla sus propios modelos de scoring o tarificación y los pone en servicio, es probable que actúe como proveedor, algo que conviene confirmar caso a caso. Si compras la solución a un tercero, la norma te sirve como vara de medir para exigirle evidencias.

Qué significa para tu empresa

1. Haz inventario y clasifica. Identifica qué sistemas podrían ser de alto riesgo y en cuáles actúas como proveedor. Sin esa lista, no sabes dónde aplicar la norma.
2. Consigue la norma y revisa su anexo ZA. Es la forma de saber con exactitud qué parte del artículo 17 queda cubierta por la presunción y qué tendrás que justificar por otras vías.
3. Parte de lo que ya tienes. Si tu organización trabaja con ISO 9001 o ISO/IEC 42001, haz un análisis de brechas frente a la EN 18286 en lugar de montar un sistema paralelo. En banca, conéctalo además con tus marcos de gestión del riesgo de modelos.
4. No esperes a las normas técnicas. Documenta ya cómo gestionas datos, riesgos, registros y supervisión humana con criterios propios razonables; cuando lleguen las normas armonizadas, ajustarás en vez de empezar.
5. Pide evidencias a tus proveedores. Incluye en contratos y homologaciones preguntas sobre su sistema de gestión de la calidad y su alineamiento con la EN 18286.

Si quieres ordenar el calendario completo, tienes las fechas clave en el calendario del EU AI Act, y si necesitas ayuda para preparar tu sistema de calidad, en consultoría EU AI Act.

---

Este artículo es informativo y no constituye asesoramiento jurídico.