Norme EN 18286 : ce que la première norme harmonisée de l'AI Act change pour votre PME

Première norme harmonisée de l'AI Act, EN 18286 encadre le système qualité des fournisseurs d'IA à haut risque. Ce qu'elle change pour une PME.

En bref. Depuis le 14 octobre 2026, l'AI Act a sa première norme harmonisée : la norme EN 18286:2026, qui décrit comment organiser un « système de management de la qualité » pour l'IA. Elle s'adresse aux fournisseurs de systèmes d'IA à haut risque, c'est-à-dire aux entreprises qui conçoivent ou vendent ces outils sous leur nom. Si votre PME se contente d'utiliser ChatGPT, Copilot ou un logiciel RH du marché, elle ne vous impose rien. Elle vous donne en revanche une bonne question à poser à vos éditeurs, et un signal clair : l'AI Act passe de la théorie aux outils concrets.

Voici ce qu'est une norme harmonisée, ce que dit celle-ci, et ce que vous pouvez en tirer, selon votre rôle.

Qu'est-ce qu'une « norme harmonisée » ?

Une norme harmonisée est un document technique écrit par les organismes européens de normalisation (ici le CEN et le Cenelec) à la demande de la Commission européenne, puis officiellement reconnu par une publication de sa référence au Journal officiel de l'Union européenne.

Son intérêt tient en trois mots : présomption de conformité. L'article 40 de l'AI Act prévoit que les systèmes d'IA à haut risque conformes à une norme harmonisée publiée au Journal officiel sont « présumés conformes » aux exigences du règlement, dans la mesure où ces exigences sont couvertes par la norme.

Dit simplement : le règlement fixe des objectifs (« vous devez avoir un système qualité »), la norme explique comment y arriver. Si vous suivez la norme, vous n'avez pas à démontrer vous-même que votre méthode est la bonne : la charge de la preuve s'allège.

Deux précisions importantes :

Une norme harmonisée reste facultative. Un fournisseur peut choisir une autre méthode, mais il devra alors prouver lui-même qu'elle répond aux exigences du règlement.
La présomption ne vaut que pour ce que la norme couvre. Elle ne vaut pas « certificat AI Act » pour tout le reste.

Que dit exactement la norme EN 18286 ?

La référence a été publiée par la décision d'exécution (UE) 2026/2274 de la Commission, adoptée le 12 octobre 2026 et publiée au Journal officiel le 14 octobre 2026, date de son entrée en vigueur. La Commission en a fait l'annonce publique le 19 octobre, ce qui explique que cette seconde date circule aussi.

Son titre officiel : « Intelligence artificielle — Système de management de la qualité pour le règlement européen sur l'IA ».

Elle répond à l'article 17 de l'AI Act, qui oblige les fournisseurs de systèmes d'IA à haut risque à mettre en place un système de gestion de la qualité « documenté de manière méthodique et ordonnée sous la forme de politiques, de procédures et d'instructions écrites ». L'article liste au moins treize volets, parmi lesquels :

une stratégie de respect de la réglementation ;
les procédures de conception, de développement, de test et de validation ;
la gestion des données ;
la gestion des risques (article 9) ;
la surveillance après la mise sur le marché (article 72) ;
le signalement des incidents graves (article 73) ;
la conservation des documents ;
un cadre qui précise qui est responsable de quoi.

La norme EN 18286 traduit ces exigences en une méthode concrète. Selon la Commission, elle est conçue pour s'ajouter aux systèmes qualité que beaucoup d'entreprises ont déjà (ISO 9001, ISO/IEC 42001 pour l'IA, ISO 13485 pour les dispositifs médicaux), et non pour les remplacer.

Qui est concerné par cette norme ?

Tout dépend de votre rôle. L'AI Act distingue le fournisseur, qui développe un système d'IA et le met sur le marché sous son nom, et le déployeur, qui l'utilise dans son activité professionnelle. Notre article l'AI Act : qui est concerné ? détaille ce test.

Votre situation	La norme EN 18286 vous concerne-t-elle ?	Ce que vous pouvez faire
Vous utilisez ChatGPT, Copilot, Mistral pour rédiger, résumer, chercher	Non	Rien de spécifique : vos obligations sont ailleurs (article 4, article 50)
Vous utilisez un logiciel à haut risque du marché (tri de CV, scoring de crédit…)	Indirectement	Demander à l'éditeur comment il organise son système qualité
Vous avez fait développer un outil d'IA à haut risque vendu sous votre marque	Oui, vous êtes fournisseur	Étudier la norme et l'intégrer à votre organisation
Vous éditez un logiciel qui intègre de l'IA pour des usages à haut risque	Oui, directement	En faire le socle de votre démarche qualité

Rappel : un système est « à haut risque » s'il figure dans les usages listés à l'annexe III (recrutement, crédit, éducation, accès aux services essentiels…) ou s'il est intégré à un produit déjà réglementé (annexe I). Notre article sur les niveaux de risque de l'AI Act vous aide à vous situer. La grande majorité des usages courants d'une PME relèvent du risque minimal ou limité.

Un point de vigilance : selon l'article 25, un déployeur devient fournisseur s'il commercialise un système à haut risque sous son propre nom, s'il le modifie substantiellement, ou s'il détourne un outil généraliste vers un usage à haut risque. Par exemple, une entreprise qui construit elle-même un outil de présélection de candidats à partir d'un grand modèle de langage.

Quand cette norme devient-elle utile ?

Les obligations des systèmes à haut risque, dont l'article 17, ne s'appliquent pas encore. Le règlement omnibus (UE) 2026/1744 les a repoussées :

au 2 décembre 2027 pour les systèmes de l'annexe III ;
au 2 août 2028 pour les systèmes intégrés à des produits de l'annexe I.

La norme arrive donc en avance, et c'est une bonne nouvelle : les éditeurs disposent d'un peu plus d'un an pour s'organiser avec une méthode reconnue, au lieu de deviner ce qu'on attendra d'eux. Le détail des dates est dans notre calendrier de l'AI Act et notre article sur le Digital Omnibus.

Et les PME qui fournissent de l'IA à haut risque ?

L'omnibus a précisé deux points qui vous intéressent directement si vous êtes une petite structure qui conçoit ce type d'outil :

Proportionnalité. L'article 17, paragraphe 2, prévoit désormais que la mise en œuvre du système qualité est « proportionnée à la taille de l'organisation du fournisseur, en particulier si le fournisseur est une PME, y compris une jeune pousse, ou une petite entreprise à moyenne capitalisation ». Le texte précise que le degré de rigueur et le niveau de protection restent, eux, les mêmes.
Une voie simplifiée. Selon le nouvel article 63, paragraphe 1, les PME et jeunes pousses sans entreprise partenaire ou liée peuvent respecter « de manière simplifiée » certains éléments du système qualité. La Commission doit publier des lignes directrices pour préciser lesquels. À la date de cet article, nous ne les avons pas trouvées publiées : nous mettrons cette page à jour.

Comme toute norme, EN 18286 est un document payant. En France, elle est diffusée par l'AFNOR sous la référence NF EN 18286.

D'autres normes vont-elles suivre ?

Oui. La demande de normalisation de la Commission (décision C(2025) 3871 du 23 juin 2025) couvre aussi la gestion des risques, la qualité des données, la journalisation, la transparence, le contrôle humain, l'exactitude, la robustesse, la cybersécurité et l'évaluation de la conformité. À ce jour, seule la norme sur le système qualité est publiée. La Commission indique que d'autres suivront, sans calendrier précis. Chaque nouvelle publication élargira la présomption de conformité.

Ce que vous pouvez faire dès maintenant

Si vous êtes utilisatrice ou utilisateur d'outils d'IA (le cas de la plupart des PME) :

Faites ou mettez à jour votre inventaire des outils d'IA utilisés. Notre méthode pour cartographier vos systèmes d'IA tient en une journée.
Repérez les outils potentiellement à haut risque : logiciel de recrutement, d'évaluation des salariés, de scoring client.
Posez la question à leurs éditeurs : « Comment organisez-vous votre système qualité au titre de l'article 17 de l'AI Act ? Vous appuyez-vous sur la norme EN 18286 ? » Notez la réponse et sa date dans votre registre. C'est un bon critère de choix de fournisseur.
Continuez à former vos équipes : l'article 4 s'applique déjà, quel que soit le niveau de risque de vos outils.

Si vous êtes fournisseur d'un système à haut risque :

Vérifiez votre classification (annexe III ou annexe I).
Comparez votre organisation actuelle (ISO 9001, ISO/IEC 42001…) avec les treize volets de l'article 17.
Procurez-vous la norme et planifiez les écarts à combler avant décembre 2027 ou août 2028 selon votre cas.

Rien de tout cela n'est urgent au sens d'une sanction imminente. C'est une avance à prendre, et un argument commercial : pouvoir dire à vos clients que vous suivez la méthode reconnue par l'Union européenne inspire confiance.

Questions fréquentes

La norme EN 18286 est-elle obligatoire ?

Non. Une norme harmonisée est facultative. La suivre donne une présomption de conformité à l'article 17 pour ce qu'elle couvre. Un fournisseur qui choisit une autre méthode doit prouver lui-même qu'elle répond au règlement.

Ma PME utilise ChatGPT et Copilot : dois-je acheter la norme ?

Non. Elle vise les fournisseurs de systèmes d'IA à haut risque. En tant qu'utilisateur d'outils généralistes, vos obligations relèvent surtout de l'article 4 (maîtrise de l'IA du personnel) et, le cas échéant, de l'article 50 (transparence).

Être conforme à EN 18286, est-ce être « conforme à l'AI Act » ?

Non. La norme ne couvre que le système de management de la qualité. Les autres exigences (gestion des risques, données, contrôle humain, cybersécurité, documentation technique, évaluation de la conformité) restent à traiter, en attendant les normes correspondantes.

J'ai déjà la certification ISO/IEC 42001 : est-ce suffisant ?

Pas automatiquement. ISO/IEC 42001 est une norme internationale de management de l'IA, mais seule EN 18286 a été publiée au Journal officiel comme norme harmonisée pour l'article 17. Selon la Commission, EN 18286 se superpose à ISO/IEC 42001 : votre système existant est une bonne base.

Quand s'appliquent les obligations des systèmes à haut risque ?

Le 2 décembre 2027 pour les systèmes de l'annexe III et le 2 août 2028 pour ceux de l'annexe I, depuis le règlement omnibus (UE) 2026/1744.

Pour aller plus loin. Pour comprendre l'AI Act en une heure, sans jargon, et savoir si vous êtes fournisseur ou déployeur, suivez notre formation gratuite « L'IA Act en 60 min ». Pour mettre votre organisation en règle pas à pas (cartographie, classification, formation, documentation), la formation « Conformité AI Act — la méthode complète » (890 €, 8 heures en ligne) vous guide jusqu'au dossier prêt à présenter. Découvrez-les sur notre page Formations.

Sources

Décision d'exécution (UE) 2026/2274 de la Commission du 12 octobre 2026 (JO L du 14.10.2026), considérants 1 à 6, articles 1 et 2, annexe — EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202602274
Règlement (UE) 2024/1689 (AI Act), articles 17, 25, 26 et 40, version française — EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202401689
Règlement (UE) 2026/1744 (omnibus) : article 17 §2 modifié (point 11), article 40 §2 complété (point 17), article 63 §1 remplacé (point 26), article 113 modifié (point 40) — EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202601744
Commission européenne, « First harmonised standard supporting the AI Act published in the Official Journal » (19 octobre 2026) : https://digital-strategy.ec.europa.eu/en/library/first-harmonised-standard-supporting-ai-act-published-official-journal
ActuIA, « AI Act : la première norme harmonisée ne couvre que le système qualité » (liste des domaines encore sans norme, diffusion AFNOR) : https://www.actuia.com/actualite/ai-act-la-premiere-norme-harmonisee-ne-couvre-que-le-systeme-qualite/
Prix et intitulés des formations vérifiés sur https://ai-act.zenbot.tech/formations le 26 octobre 2026.

Article vérifié le 26 octobre 2026.