AI Act. Une première norme harmonisée précise la gestion de la qualité

L’AI Act dispose d’une première norme harmonisée dont la référence est annoncée au Journal officiel. La Commission européenne le précise le 19 octobre 2026. Il s’agit d’EN 18286:2026. Elle porte sur le système de management de la qualité des fournisseurs de systèmes d’IA à haut risque. Sa portée est ciblée. Elle ne constitue pas un certificat général de conformité à toutes les règles européennes.

Ce que change une référence au Journal officiel

Une norme technique et sa reconnaissance réglementaire correspondent à deux étapes différentes. Les organismes de normalisation élaborent le document. La Commission examine ensuite sa correspondance avec les exigences du règlement. La page officielle sur la normalisation explique que la référence au Journal officiel donne accès à une présomption de conformité pour les exigences couvertes.

Selon l’annonce, EN 18286 bénéficie de cette reconnaissance pour les exigences de l’article 17 qu’elle couvre. Le fournisseur qui applique la norme dispose ainsi d’un chemin identifié pour démontrer cette partie de sa conformité. La précision « exigences couvertes » compte. Elle empêche de transformer cette présomption en garantie sur tous les aspects d’un système.

L’application d’une norme harmonisée reste volontaire. La Commission rappelle que les fournisseurs peuvent choisir d’autres moyens pour démontrer leur conformité. Volontaire ne signifie donc pas que les obligations légales correspondantes disparaissent. Ça décrit le choix du moyen utilisé pour y répondre.

L’article 17 organise un travail continu

Le texte de l’article 17 présenté par le service officiel de l’AI Act demande un système documenté. Il couvre notamment les méthodes de conception et de développement. Il comprend les procédures de test et de validation ainsi que la gestion des données. Il traite aussi du suivi après la mise sur le marché et du signalement des incidents graves.

Cet ensemble suppose des responsabilités définies et des traces conservées. Un test réussi à une date donnée ne décrit pas toute cette organisation. Une modification du système peut demander de nouvelles vérifications. La qualité porte donc aussi sur les processus qui permettent de maintenir et de contrôler le système au fil de son usage.

Compléter les systèmes existants

La Commission décrit EN 18286 comme un cadre centré sur le cycle de vie du système d’IA. Il peut compléter ISO/IEC 42001 ou ISO 9001. Les secteurs déjà soumis à un système de qualité peuvent intégrer les exigences pertinentes à leur organisation existante. L’annonce ne demande pas de remplacer automatiquement tous leurs référentiels.

Le texte de l’article 17 prévoit une mise en œuvre proportionnée à la taille du fournisseur. Cette proportionnalité ne supprime pas le niveau de rigueur nécessaire. Une petite structure ne peut pas déduire de sa taille que les exigences de protection ne la concernent plus.

Une étape de conformité qui garde ses limites

Cette publication concerne les fournisseurs de systèmes à haut risque. Elle n’impose pas cette norme à toute personne qui utilise un assistant conversationnel. Il faut d’abord qualifier le système et le rôle de l’organisation. Les explications officielles sur les systèmes à haut risque distinguent aussi classification et calendrier d’application. Une nouvelle référence technique ne déclenche pas à elle seule toutes les obligations à la même date.

Les éléments présentés ici viennent des pages institutionnelles et du texte de l’article 17. Ils ne remplacent pas la lecture de la norme complète. Ils ne constituent pas non plus un audit d’un produit particulier.

Pour replacer cette étape dans son contexte, notre article sur le calendrier de l’AI Act en octobre 2026 distingue les échéances et les règles déjà applicables.

Comprendre ce périmètre aide aussi les équipes à mieux lire les engagements d’un fournisseur. La mention d’une norme doit toujours conduire à demander ce qu’elle couvre et sur quelles preuves repose la conformité annoncée.