EN 18286:2026, la prima norma armonizzata AI Act (e cosa NON copre)
Il 19 ottobre 2026 la Commissione europea ha annunciato la pubblicazione in Gazzetta ufficiale della Decisione di esecuzione (UE) 2026/2274, che introduce EN 18286:2026 — la prima norma armonizzata CEN/CENELEC a supporto dell'AI Act, ma limitata al sistema di gestione della qualità dell'art. 17.
Cos'è successo il 19 ottobre
La Commissione ha reso noto, tramite la pagina Shaping Europe's digital future, di aver pubblicato in Gazzetta ufficiale dell'Unione europea il riferimento alla prima norma armonizzata a supporto dell'attuazione dell'AI Act. Si tratta di EN 18286:2026 — «Artificial intelligence — Quality management system for EU AI Act regulatory purposes» — sviluppata da CEN e CENELEC. Per i provider di sistemi di AI ad alto rischio, è il primo riferimento tecnico con valore legale per dimostrare conformità a una parte specifica dell'AI Act.
Decisione di esecuzione (UE) 2026/2274 e pubblicazione in GUUE
La pubblicazione è avvenuta tramite la Decisione di esecuzione (UE) 2026/2274. Qui serve una precisazione sulla fonte: la notizia è riportata dalla pagina ufficiale della Commissione, che cita numero e circostanze della decisione; il nostro tentativo di cross-check diretto su EUR-Lex non è andato a buon fine (la pagina ha opposto una verifica automatica che ha bloccato l'accesso). Attribuiamo quindi il dato alla fonte Commissione — autorevole, ma unica — senza poterlo dire «verificato su Gazzetta ufficiale» in senso stretto.
Cosa copre EN 18286 (e cosa no)
Art. 17 AI Act: sistema di gestione della qualità
EN 18286 traduce in un sistema di gestione della qualità (QMS) operativo i requisiti dell'art. 17 dell'AI Act, quello che impone ai provider di sistemi ad alto rischio di dotarsi di un QMS documentato. La norma è costruita attorno al ciclo di vita del sistema AI — non attorno all'organizzazione che lo produce — e questo la rende integrabile anche da realtà che già operano con QMS settoriali.
Perché «sistemi ad alto rischio» in generale è una semplificazione scorretta
È qui che vale la pena fermarsi: EN 18286 nonè una norma armonizzata per «i sistemi ad alto rischio» nel loro complesso. Gli obblighi dell'AI Act per questi sistemi comprendono anche gestione del rischio, governance dei dati, documentazione tecnica, trasparenza e sorveglianza umana — nessuno di questi ambiti ha, al momento, una norma armonizzata pubblicata. Dire che «la prima norma armonizzata AI Act copre i sistemi ad alto rischio» è impreciso e rischia di generare l'idea di una conformità più ampia di quella reale.
La presunzione di conformità: perimetro esatto
La pubblicazione in Gazzetta ufficiale attiva, per chi applica EN 18286, una presunzione di conformità— ma solo rispetto ai requisiti dell'art. 17 effettivamente coperti dalla norma. Non si estende al resto degli obblighi previsti per i sistemi ad alto rischio, né diventa automaticamente una garanzia di conformità complessiva all'AI Act. È, nelle parole della Commissione stessa, l'unico standard QMS per l'AI con una presunzione di conformità propria — un dettaglio che segnala quanto il perimetro sia ancora circoscritto.
Che rapporto ha con ISO/IEC 42001
Si affianca, non sostituisce
Chi ha già certificato un sistema di gestione secondo ISO/IEC 42001 non deve ripartire da zero. EN 18286 è pensata per essere adottata sopra, o accanto, a standard già esistenti — ISO/IEC 42001, ISO 9001 o QMS settoriali come ISO 13485 — permettendo di integrare i sistemi di gestione invece di tenerne di separati. Va però chiarito un punto spesso frainteso: ISO/IEC 42001, da sola, non hauna presunzione di conformità propria rispetto all'AI Act. È EN 18286, con la sua pubblicazione in Gazzetta ufficiale, a introdurre quell'effetto specifico.
Chi non ha ancora un QMS può partire da qui
Le organizzazioni che non dispongono ancora di un sistema di gestione della qualità strutturato, e che intendono immettere sul mercato UE sistemi di AI ad alto rischio, possono usare EN 18286 come base per costruirne uno conforme ai requisiti dell'art. 17, oppure per estendere un QMS già esistente.
Cosa resta da chiarire (e la nostra riserva sulla fonte)
Due limiti vanno segnalati con onestà. Primo: il riferimento alla Decisione di esecuzione (UE) 2026/2274 si basa, a oggi, su una sola fonte diretta (la Commissione); il testo su EUR-Lex non è stato possibile verificarlo indipendentemente per un problema di accesso tecnico, non di contenuto. Secondo: la pagina della Commissione non pubblica il testo integrale della norma; come è prassi per gli standard CEN/CENELEC, il testo completo di EN 18286 si ottiene tramite gli enti di normazione nazionali, quindi i dettagli tecnici del QMS richiesto restano noti solo nella sintesi diffusa dalla Commissione, non nella loro interezza. La Commissione stessa annuncia che altre norme armonizzate sono attese per completare il quadro.
Cosa fare adesso
Per i provider di sistemi ad alto rischio: verificare se il proprio QMS attuale (o l'assenza di uno) è mappabile sui requisiti dell'art. 17 così come tradotti da EN 18286, e valutare l'acquisto della norma per un'analisi di dettaglio. Per chi ha già ISO/IEC 42001: considerare EN 18286 come livello aggiuntivo mirato alla presunzione di conformità specifica, non come sostituto. Per tutti: non comunicare — internamente o verso clienti — una «conformità AI Act» acquisita con questa sola norma, perché il perimetro reale è l'art. 17, non l'intero impianto degli obblighi per l'alto rischio.
Fonti
- Commissione europea, «Shaping Europe's digital future» — First harmonised standard supporting the AI Act published in the Official Journal — 19 ottobre 2026.
- Decisione di esecuzione (UE) 2026/2274 — citata dalla fonte sopra; non verificata direttamente su EUR-Lex per un blocco di accesso tecnico al momento della redazione.