La norme EN 18286 est sortie

Le 19 octobre 2026, la Commission européenne a publié au Journal officiel de l'UE la référence de la norme EN 18286. Cette norme porte sur la mise en œuvre du système de management de la qualité que l'article 17 de l'IA Act impose aux fournisseurs de systèmes d'IA à haut risque. Sa citation au Journal officiel en fait la première norme harmonisée de l'IA Act.

Qui est concerné

L'article 17 de l'IA Act s'adresse aux fournisseurs de systèmes d'IA dits « à haut risque ». Parmi ces systèmes figurent notamment les logiciels d'aide au diagnostic par imagerie relevant des dispositifs médicaux, les modules de détection d'obstacles intégrés à un robot collaboratif et les outils de tri de CV ou d'évaluation des candidats. On y trouve aussi les modèles de scoring de crédit utilisés par les banques, les systèmes de notation d'examens ou d'orientation scolaire, les composants de sécurité des réseaux d'énergie et les outils d'aide à la décision pour l'octroi de prestations sociales. Cette liste n'est pas exhaustive.

Le fournisseur est celui qui développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. Un utilisateur professionnel peut aussi devenir fournisseur s'il modifie substantiellement un système ou en change la destination. À l'inverse, une entreprise qui se contente d'utiliser un outil d'IA acheté est qualifiée de « déployeur ». Ses obligations sont plus légères et ne passent pas par la norme EN 18286.

Ce que change la présomption de conformité

La norme EN 18286 est à ce jour la seule norme de management de l'IA qui permet à un fournisseur d'être réputé conforme à l'IA Act, pour les seules exigences de son article 17. Concrètement, le fournisseur cite la norme dans sa déclaration UE de conformité.

Mais cette déclaration n'est qu'une affirmation. La présomption repose sur l'application réelle de la norme, que le fournisseur doit pouvoir démontrer en cas de contrôle, notamment par sa documentation et ses enregistrements. Elle ne dépend donc pas d'un certificat. Un fournisseur non certifié en bénéficie s'il applique effectivement la norme. Quant au certificat, il ne lie pas l'autorité de surveillance, mais reste un élément de preuve solide.

Certification ou évaluation réglementaire, des rôles distincts

Différents acteurs peuvent intervenir dans ce schéma, à des titres très différents.

L'organisme de certification accrédité intervient à la demande de l'entreprise. Celle-ci peut choisir de faire certifier son système qualité selon l'EN 18286. Cette certification est volontaire et n'est exigée par aucun texte réglementaire. Un client peut en revanche l'imposer par contrat à ses fournisseurs. Elle devient alors un moyen efficace de démontrer la rigueur de leur démarche. Les organismes de certification devront toutefois d'abord obtenir leur accréditation sur ce nouveau référentiel avant de pouvoir délivrer leurs premiers certificats.

L'organisme notifié est un organisme privé, désigné par un État pour évaluer la conformité avant la mise sur le marché. Son intervention est imposée par la loi, mais seulement dans certaines situations. C'est le cas pour les produits déjà soumis à une évaluation par tierce partie, comme les dispositifs médicaux, et pour certains systèmes biométriques. Pour la plupart des autres systèmes à haut risque, aucun tiers n'est imposé. Le fournisseur pourra évaluer lui-même sa conformité.

L'autorité de surveillance du marché est un service public. Elle contrôle après coup les systèmes déjà commercialisés et peut sanctionner. C'est elle qui vérifie, en cas de contrôle, que le fournisseur applique réellement la norme.

Et l'aéronautique ?

L'aviation civile figure à l'annexe I, mais dans une section à part. Pour ces produits, l'IA Act ne s'applique pas directement. Dès lors que la Commission adoptera des règles sur l'IA dans la réglementation aéronautique, avec l'appui de l'EASA, elle devra tenir compte des exigences techniques du règlement. L'article 17, et donc la norme EN 18286, ne fait pas partie de ces exigences.

Les systèmes d'IA destinés exclusivement à des fins militaires ou de défense sont, eux, exclus du règlement. Un système à double usage, civil et militaire, reste en revanche concerné.

En pratique, un équipementier qui intègre de l'IA dans un équipement embarqué suivra les orientations de l'EASA, pas la norme EN 18286. Il peut en revanche devenir fournisseur au sens de l'IA Act pour une autre activité. Ce serait le cas s'il développait et commercialisait, par exemple, un outil d'IA de recrutement ou d'inspection industrielle destiné à d'autres entreprises.