La décision d’exécution (UE) 2026/2274 date du 12 octobre 2026. Publiée au Journal officiel le 14, elle s’applique le jour même. Le texte tient en deux articles et une annexe d’une ligne, celle qui cite EN 18286:2026. Le considérant 6 fait partir la présomption de la publication.
Beaucoup d’articles retiennent le 19 octobre, date du communiqué de la Commission, cinq jours plus tard. Une présomption se date au Journal officiel : le 14.
Le communiqué rattache la présomption à l’article 17. La décision, elle, parle d' »exigences essentielles correspondantes » sans citer le moindre article. Pour savoir ce qui est couvert, il faut ouvrir la norme à son annexe ZA.
Le CEN et le CENELEC ont publié la norme fin juillet 2026, neuf mois après l’ouverture de l’enquête publique le 30 octobre 2025. La version française, NF EN 18286, fait 52 pages chez AFNOR. Sur les dix domaines de la demande de normalisation C(2025) 3871, elle ne traite que la gestion de la qualité.
Le périmètre réel de la présomption
La présomption couvre les treize rubriques de l’article 17, paragraphe 1 (points a à m), et la première phrase de l’article 11, paragraphe 1 : établir la documentation technique avant la mise sur le marché et la tenir à jour. Le reste, résumé dans le tableau, demeure à prouver par le fournisseur.
| Disposition du règlement | Couverte par la présomption | Ce qui reste à la charge du fournisseur |
|---|---|---|
| Art. 17(1) a) à m), système de management de la qualité | Oui | Respecter les exigences normatives des articles 4 à 10 de la norme |
| Art. 11(1), première phrase, documentation technique | Oui | Produire, système par système, le contenu détaillé de l’annexe IV |
| Art. 17(2), proportionnalité selon la taille | Non | Justifier lui-même l’allègement retenu |
| Art. 17(3), intégration dans un système qualité sectoriel | Non | Démontrer l’intégration, par exemple sous ISO 13485 |
| Art. 17(4), établissements financiers | Non | S’appuyer sur les règles de gouvernance interne du droit financier de l’Union |
| Art. 72, surveillance après commercialisation | Non, malgré la clause 9 de la norme | Bâtir le plan de surveillance sur l’article 72 et l’acte d’exécution prévu à son paragraphe 3 |
| Art. 9 à 15, exigences techniques du système | Non | Démontrer la gestion des risques, les données, la journalisation, la transparence, le contrôle humain, l’exactitude, la robustesse et la cybersécurité sans appui d’une norme harmonisée |
Ce découpage vient des analyses de l’annexe ZA publiées depuis la citation. Avant de revendiquer la présomption, lisez l’annexe vous-même, ligne par ligne : certaines correspondances sont assorties de conditions.
La présomption tient au respect effectif des exigences normatives. Le règlement ne prévoit aucune certification EN 18286. Un audit tiers peut rassurer un client, et il s’en vendra beaucoup ; il ne remplace ni le contrôle interne de l’annexe VI ni l’intervention d’un organisme notifié au titre de l’annexe VII.
Au 22 octobre 2026, neuf des dix domaines de la demande de normalisation attendent encore leur norme harmonisée. Un système qualité présumé conforme peut donc entourer un produit dont la gestion des risques ou la cybersécurité reposent sur la seule démonstration du fournisseur.
EN 18286 exige qu’un système de gestion des risques existe et soit intégré au cycle de vie. Le processus lui-même est renvoyé au projet prEN 18228, dont l’enquête publique s’est close le 30 juillet 2026.
Une définition de la qualité propre au règlement
Un qualiticien formé à ISO 9001 risque d’être dérouté. Dans EN 18286, la qualité veut dire respecter les exigences du règlement sur l’IA, rien d’autre. La satisfaction du client n’entre pas dans le champ. Le texte publié parle d’ailleurs de non-respect (non-compliance) là où le projet disait non-conformité.
Pas d’obligation générale d’amélioration continue non plus. La norme demande de maintenir l’efficacité du système et de le vérifier en revue de direction, à partir des données de surveillance, des incidents et des évolutions du règlement.
Le texte sépare l’organisation et le produit. Les articles 4 à 7 portent sur la stratégie de conformité réglementaire, la direction, la planification, les ressources et la communication avec les autorités. Les articles 8 et 9 suivent chaque système d’IA de sa conception à son retrait. L’essentiel du travail se logera dans cette seconde partie.
Certaines exigences n’existent ni dans ISO 9001 ni dans ISO/IEC 42001. Chaque système d’IA reçoit un identifiant unique, chaque version évaluée aussi. Le retrait devient une étape à part entière du cycle de vie. Pour les systèmes qui continuent d’apprendre après leur mise sur le marché, les modifications doivent être prévues dès la conception ; elles n’échappent qu’à cette condition à la qualification de modification substantielle (article 43, paragraphe 4).
Les délais de l’article 73 entrent dans le système qualité : 15 jours pour signaler un incident grave, 10 jours en cas de décès, 2 jours en cas d’infraction généralisée ou de perturbation grave d’une infrastructure critique. Avec deux jours, personne n’a le temps de chercher qui décide. La procédure se répète avant l’incident.
Si vous avez fait votre analyse d’écart sur le projet prEN 18286, recommencez-la. Les numéros d’articles ont changé, des exigences sont apparues, et l’annexe ZA a perdu sa correspondance avec l’article 72. L’annexe ZB de la norme liste les modifications.
Intégrer sans créer une gouvernance parallèle
Les annexes B et C mettent la norme en regard d’EN ISO 9001:2015 et d’EN ISO/IEC 42001. Elles rapprochent des numéros de chapitres, sans affirmer que les exigences sont équivalentes. Un certificat ISO 9001 ou ISO/IEC 42001 ne prouve donc pas la conformité à EN 18286.
ISO/IEC 42001 n’ouvre d’ailleurs aucune présomption au titre de l’AI Act. Les normalisateurs européens l’ont jugée trop éloignée du texte final du règlement pour l’harmoniser telle quelle. Les clients continueront pourtant à la réclamer dans leurs appels d’offres, et je ne conseillerais à personne d’abandonner une certification déjà acquise.
Pour les secteurs déjà soumis à une obligation de qualité, l’article 17, paragraphe 3, permettait dès l’origine d’ajouter les rubriques de l’AI Act au système existant. Un fabricant de dispositifs médicaux sous ISO 13485 étend ses maîtrises de conception, sa gestion des données, sa surveillance après commercialisation et sa gestion des modifications. La présomption ne couvre pas cette intégration : il faudra la démontrer.
Ma recommandation va vers une seule maîtrise documentaire et une seule revue de direction, dans laquelle entrent les données propres à l’IA. Il faut y ajouter un registre des systèmes d’IA (finalité, classification, rôle de l’organisation) et, pour chaque système, une matrice qui relie l’exigence réglementaire, l’exigence technique, le test et son résultat. La matrice coûtera le plus d’efforts, surtout pour un système déjà en production.
Côté RGPD, la gestion des données de l’article 17, paragraphe 1, point f), porte sur les mêmes jeux d’entraînement et de test que ceux du registre des traitements et, souvent, d’une AIPD. Une cartographie unique évite que le DPO et l’équipe qualité décrivent les mêmes données de deux façons.
Qui est visé
L’article 17 vise le fournisseur : l’organisation qui développe un système d’IA à haut risque, ou le fait développer, puis le met sur le marché ou en service sous son nom. Peu importe où elle est établie. Un éditeur américain qui vend dans l’Union est fournisseur.
Le déployeur relève de l’article 26, et la norme ne s’adresse pas à lui. Il peut toutefois devenir fournisseur au titre de l’article 25 en apposant son nom ou sa marque sur le système, en le modifiant substantiellement, ou en changeant sa finalité au point de le faire passer à haut risque. L’organisation qui ajuste un modèle tiers, ou le revend sous sa propre marque, a intérêt à vérifier sa position avant de conclure que la norme ne la concerne pas.
Rien n’oblige à appliquer EN 18286. Le fournisseur qui choisit un autre cadre devra démontrer seul, point par point, que son système qualité répond à l’article 17. Les systèmes qui ne sont pas à haut risque n’ont aucune obligation de système qualité ; ils peuvent utiliser la norme s’ils le souhaitent.
Calendrier et préparation
Le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA », est entré en vigueur le 27 juillet 2026. Les obligations des systèmes de l’annexe III s’appliqueront le 2 décembre 2027 ; celles des systèmes intégrés aux produits de l’annexe I, dispositifs médicaux compris, le 2 août 2028. L’omnibus a aussi retouché l’article 17, paragraphe 2 : la proportionnalité vise désormais nommément les PME, les jeunes pousses et les petites entreprises à moyenne capitalisation, sans réduire le niveau de rigueur exigé.
Treize mois restent avant l’échéance de l’annexe III, et un système qualité ne prouve rien tant qu’il n’a pas tourné. Une autorité demandera des comptes rendus de revues de direction et des données de surveillance réelles, datés. L’article 18 impose en outre de garder la documentation qualité et la documentation technique dix ans après la mise sur le marché.
Feuille de route
- Inventorier les systèmes d’IA : finalité, classification, rôle de l’organisation pour chacun.
- Confirmer les systèmes à haut risque et la procédure d’évaluation de la conformité applicable (annexe VI, annexe VII ou procédure sectorielle).
- Acquérir NF EN 18286 et lire l’annexe ZA ligne par ligne avant toute revendication de présomption.
- Comparer le système qualité existant à la norme, en prenant les annexes B et C comme point d’entrée.
- Traiter les exigences sans équivalent : stratégie de conformité réglementaire, matrice de traçabilité, données d’entraînement et de test, délais d’incident, identification des versions.
- Obtenir des fournisseurs de modèles, de jeux de données et de services les preuves que le fournisseur doit détenir.
- Couvrir à part l’article 72 et les articles 9 à 15, en suivant les projets de normes harmonisées, dont prEN 18228.
- Tenir une première revue de direction sur des données réelles, pour disposer d’un historique avant décembre 2027.
La Commission promet d’autres normes harmonisées. Elle ne donne aucune date, et je ne conseille pas de les attendre pour commencer.
