Qu'est-ce que la norme EN 18286 ?

Une norme européenne de système de management de la qualité au titre de l'AI Act. La décision de la Commission la décrit comme portant sur les systèmes de gestion de la qualité mis en place par les fournisseurs de systèmes d'IA, y compris les processus de surveillance après commercialisation. Selon le CEN-CENELEC JTC 21, ses annexes informatives la mettent en correspondance avec l'EN ISO 9001 et l'EN ISO/IEC 42001.

Depuis quand s'applique-t-elle ?

La décision d'exécution (UE) 2026/2274 a été adoptée le 12 octobre 2026 et publiée au Journal officiel le 14 octobre 2026, date de son entrée en vigueur. La présomption de conformité s'applique à partir de cette publication. Le CEN et le CENELEC avaient publié la norme elle-même en juillet 2026.

La norme EN 18286 s'applique-t-elle aux entreprises qui ne font qu'utiliser l'IA ?

Pas directement. Le système de gestion de la qualité de l'article 17 est une obligation des fournisseurs de systèmes d'IA à haut risque, et la Commission indique que la norme est conçue pour les aider. Les obligations des déployeurs figurent à l'article 26. Un déployeur peut toutefois devenir fournisseur au titre de l'article 25.

Que signifie la présomption de conformité ?

Un fournisseur qui applique une norme harmonisée publiée au Journal officiel est présumé conforme aux exigences de l'AI Act que la norme couvre. Son application est volontaire. Un fournisseur peut satisfaire à l'article 17 autrement, mais doit alors démontrer lui-même sa conformité.

La norme EN 18286 est-elle obligatoire ?

Non. Selon la Commission, l'application des normes harmonisées est volontaire. Un fournisseur qui n'applique pas l'EN 18286 doit tout de même respecter l'article 17 et montrer comment.

Nous utilisons ChatGPT, Claude ou Copilot pour le travail de bureau. Avons-nous besoin de l'EN 18286 ?

La rédaction, la traduction, la synthèse et l'aide au code ne figurent pas à l'annexe III : ce ne sont en général pas des usages à haut risque, et l'EN 18286 s'adresse aux fournisseurs de systèmes à haut risque. Une finalité citée à l'annexe III, comme le recrutement ou l'évaluation de solvabilité, change la donne. La checklist AI Act du déployeur aide à faire la classification.

Quel lien entre l'EN 18286 et l'ISO/IEC 42001 ?

Selon le JTC 21, les annexes informatives de la norme la relient à l'EN ISO 9001 et à l'EN ISO/IEC 42001 : une organisation qui applique déjà l'un de ces systèmes de management peut s'appuyer sur ce travail. L'ISO/IEC 42001 n'est pas elle-même une norme harmonisée au titre de l'AI Act.

La présomption couvre-t-elle tout l'AI Act ?

Non. Elle couvre les exigences que la norme traite, c'est-à-dire le système de gestion de la qualité. Les autres exigences applicables aux systèmes à haut risque, comme la gestion des risques, la transparence ou la cybersécurité, attendent leurs propres normes.

Où lire le texte officiel ?

La décision d'exécution (UE) 2026/2274 est sur EUR-Lex dans toutes les langues de l'UE, dont le français. La norme elle-même est vendue par les organismes nationaux de normalisation.

« Europe » chez Standard Compute signifie-t-il uniquement l'UE ?

Les points de terminaison européens approuvés se trouvent dans l'UE/EEE, au Royaume-Uni ou en Suisse. Notre passerelle UE fonctionne en Finlande et vos données de compte sont stockées à Francfort.

EN 18286, première norme harmonisée de l'AI Act, pour les entreprises qui utilisent l'IA

Dernière mise à jour 9 novembre 2026

Le 14 octobre 2026, la Commission a publié au Journal officiel la référence de la norme EN 18286:2026, Intelligence artificielle : Système de management de la qualité pour le règlement européen sur l'IA. C'est la première norme harmonisée au titre de l'AI Act. Les fournisseurs de systèmes d'IA à haut risque qui l'appliquent bénéficient d'une présomption de conformité pour les exigences qu'elle couvre.

La plupart des entreprises qui utilisent Claude, GPT ou des modèles ouverts via une API sont des déployeurs, pas des fournisseurs. La norme ne leur impose aucune obligation propre. Elle change en revanche ce que les achats doivent demander aux fournisseurs d'IA. Cette page explique la norme à partir des textes officiels, vérifiés le 9 novembre 2026, et liste les questions à poser. Ceci n'est pas un avis juridique.

Créer un espace entrepriseou écrivez à contact@standardcompute.com

English Deutsch Nederlands Español Italiano Svenska Norsk Dansk Suomi Polski

Réponses courtes

Qu'est-ce que la norme EN 18286 ?: Une norme européenne de système de management de la qualité au titre de l'AI Act. La décision de la Commission la décrit comme portant sur les systèmes de gestion de la qualité mis en place par les fournisseurs de systèmes d'IA, y compris les processus de surveillance après commercialisation. Selon le CEN-CENELEC JTC 21, ses annexes informatives la mettent en correspondance avec l'EN ISO 9001 et l'EN ISO/IEC 42001.
Depuis quand s'applique-t-elle ?: La décision d'exécution (UE) 2026/2274 a été adoptée le 12 octobre 2026 et publiée au Journal officiel le 14 octobre 2026, date de son entrée en vigueur. La présomption de conformité s'applique à partir de cette publication. Le CEN et le CENELEC avaient publié la norme elle-même en juillet 2026.
La norme EN 18286 s'applique-t-elle aux entreprises qui ne font qu'utiliser l'IA ?: Pas directement. Le système de gestion de la qualité de l'article 17 est une obligation des fournisseurs de systèmes d'IA à haut risque, et la Commission indique que la norme est conçue pour les aider. Les obligations des déployeurs figurent à l'article 26. Un déployeur peut toutefois devenir fournisseur au titre de l'article 25.
Que signifie la présomption de conformité ?: Un fournisseur qui applique une norme harmonisée publiée au Journal officiel est présumé conforme aux exigences de l'AI Act que la norme couvre. Son application est volontaire. Un fournisseur peut satisfaire à l'article 17 autrement, mais doit alors démontrer lui-même sa conformité.

Les dates

EN 18286 et le calendrier de l'AI Act pour les systèmes à haut risque
Date	Ce qui s'est passé	Source
23 juin 2025	Ce qui s'est passé: Demande de normalisation C(2025) 3871 de la Commission au CEN et au CENELEC pour les systèmes d'IA à haut risque	Source: Décision (UE) 2026/2274, considérant 2
30 octobre 2025	Ce qui s'est passé: Le prEN 18286 est la première norme harmonisée sur l'IA soumise à enquête publique	Source: Commission européenne
Juillet 2026	Ce qui s'est passé: Le CEN et le CENELEC publient la norme EN 18286	Source: CEN-CENELEC JTC 21
12 octobre 2026	Ce qui s'est passé: La Commission adopte la décision d'exécution (UE) 2026/2274	Source: Journal officiel
14 octobre 2026	Ce qui s'est passé: Référence publiée au Journal officiel ; la décision entre en vigueur et la présomption de conformité s'applique	Source: Journal officiel
28 février 2027	Ce qui s'est passé: Fin de la demande de normalisation modifiée pour les autres normes	Source: CEN-CENELEC JTC 21
2 décembre 2027	Ce qui s'est passé: Les règles sur le haut risque (chapitre III, sections 1 à 3) s'appliquent aux systèmes de l'annexe III	Source: AI Act, article 113
2 août 2028	Ce qui s'est passé: Les mêmes règles s'appliquent aux systèmes de l'annexe I (IA dans des produits réglementés)	Source: AI Act, article 113

Résumé des textes officiels, vérifié le 9 novembre 2026. Ceci n'est pas un avis juridique.

Ce que couvre la norme

La norme EN 18286 porte sur le système de gestion de la qualité que l'article 17 exige des fournisseurs de systèmes d'IA à haut risque. L'article 17 énumère ce que ce système doit contenir par écrit, notamment une stratégie de respect de la réglementation, des contrôles de conception et de développement, des essais et validations, la gestion des données, le système de gestion des risques, la surveillance après commercialisation, le signalement des incidents graves, la tenue des documents et un cadre de responsabilisation.

Le texte de la norme est vendu par les organismes nationaux de normalisation. Sont publics son titre, son objet tel que décrit dans la décision de la Commission et le résumé du JTC 21 : des exigences et des lignes directrices pour un système de management de la qualité, avec des annexes qui le relient à l'ISO 9001 et à l'ISO/IEC 42001. Une organisation qui applique déjà l'une ou l'autre peut s'appuyer sur ce travail.

La présomption ne va pas plus loin que la norme. L'article 40 la limite aux exigences qu'une norme couvre, et l'EN 18286 couvre le management de la qualité. Elle ne dit pas si un système donné est assez exact, robuste ou sûr.

Fournisseurs et déployeurs

Les fournisseurs développent un système d'IA, ou le font développer, et le mettent sur le marché sous leur propre nom. Le fournisseur d'un système à haut risque doit disposer d'un système de gestion de la qualité, et l'EN 18286 est une façon de le construire.

Les déployeurs utilisent un système d'IA sous leur propre autorité. Une entreprise qui donne Claude ou GPT à ses équipes pour rédiger, coder ou résumer, ou qui construit un assistant interne sur une API LLM, est déployeur de ces outils. Si un usage est à haut risque, l'article 26 s'applique : utiliser le système conformément à sa notice d'utilisation, confier le contrôle humain à des personnes compétentes, surveiller son fonctionnement et informer le fournisseur des risques et des incidents graves, et conserver au moins six mois les journaux générés par le système qui sont sous votre contrôle.

Quand un déployeur devient fournisseur. L'article 25 considère un déployeur comme fournisseur d'un système à haut risque s'il y appose son nom ou sa marque, s'il y apporte une modification substantielle, ou s'il modifie la destination d'un système d'IA, y compris d'un système d'IA à usage général, de sorte qu'il devienne à haut risque. Une entreprise qui construit un outil de tri de CV ou d'évaluation de solvabilité sur un modèle généraliste doit d'abord vérifier ce point. S'il s'applique, l'article 17 et le système de gestion de la qualité deviennent sa propre obligation.

Les questions à poser aux fournisseurs d'IA

Si vous achetez un système d'IA pour un usage qui peut être à haut risque, ou un modèle ou un service sur lequel un système à haut risque sera construit, ces questions traduisent la norme en clauses d'achat. Reprenez-les dans votre cahier des charges ou votre questionnaire fournisseur.

Questions à un fournisseur d'IA après l'EN 18286
Question au fournisseur	Pourquoi elle compte	AI Act
Classez-vous ce produit comme système d'IA à haut risque, et pour quelle destination ?	Pourquoi elle compte: L'obligation de management de la qualité et la présomption concernent les systèmes à haut risque. La destination détermine la classification.	AI Act: Article 6, annexe III
Votre système de gestion de la qualité applique-t-il l'EN 18286:2026 ? Sinon, comment respectez-vous l'article 17 ?	Pourquoi elle compte: Appliquer la norme donne au fournisseur une présomption de conformité. Une autre voie est permise, mais le fournisseur doit alors démontrer sa conformité.	AI Act: Articles 17 et 40
Quelles parties du produit et quels processus ce système couvre-t-il ?	Pourquoi elle compte: La présomption ne couvre que ce que la norme couvre, et seulement le système auquel elle est appliquée.	AI Act: Article 40, paragraphe 1
Nous fournirez-vous la notice d'utilisation et les informations nécessaires à notre AIPD ?	Pourquoi elle compte: L'article 26 impose aux déployeurs de suivre la notice d'utilisation et d'utiliser les informations du fournisseur pour leur analyse d'impact relative à la protection des données.	AI Act: Article 26, paragraphes 1 et 9
Comment assurez-vous la surveillance après commercialisation, et comment nous informerez-vous des incidents et des mesures correctives ?	Pourquoi elle compte: La surveillance après commercialisation et le signalement des incidents font partie de l'article 17. Les déployeurs signalent d'abord les incidents graves au fournisseur.	AI Act: Article 17, paragraphe 1, points h) et i), et article 26, paragraphe 5
Pouvons-nous conserver au moins six mois les journaux générés par le système ?	Pourquoi elle compte: L'article 26, paragraphe 6, l'exige des déployeurs pour les journaux sous leur contrôle.	AI Act: Article 26, paragraphe 6
Si nous construisons un système à haut risque sur votre modèle ou service, que convenez-vous par écrit sur les informations, l'accès technique et l'assistance ?	Pourquoi elle compte: L'article 25, paragraphe 4, impose un accord écrit entre le fournisseur d'un système à haut risque et le tiers qui fournit un modèle, un outil ou un service qui y est intégré.	AI Act: Article 25, paragraphe 4
Si vous vous dites « conforme à l'EN 18286 » ou « certifié », qu'est-ce qui a été évalué, selon quelle édition et par qui ?	Pourquoi elle compte: Ni la décision de la Commission ni ses pages sur la normalisation ne décrivent de certificat EN 18286. Elles décrivent une présomption de conformité pour les fournisseurs qui appliquent la norme.	AI Act: Décision (UE) 2026/2274

Articles cités d'après l'AI Act consolidé sur l'AI Act Service Desk, vérifié le 9 novembre 2026.

Ce qui arrive ensuite

L'EN 18286 est la première des normes harmonisées demandées par la Commission, et la seule publiée au Journal officiel à ce jour. Le CEN-CENELEC JTC 21 poursuit ses travaux sur la gestion des risques, la gouvernance et la qualité des données, la journalisation, la transparence, le contrôle humain, l'exactitude, la robustesse, la cybersécurité et l'évaluation de la conformité. Selon le JTC 21, plusieurs projets centraux sont révisés après leur enquête publique. Chaque norme passe par l'adoption par le CEN et le CENELEC, l'évaluation par la Commission et la publication au Journal officiel avant de conférer une présomption de conformité.

Pour les achats, la liste de questions ci-dessus va donc s'allonger. Demandez aux fournisseurs de vous prévenir lorsqu'ils appliquent une nouvelle norme publiée, et revoyez leurs réponses avant que les règles sur le haut risque s'appliquent aux systèmes de l'annexe III le 2 décembre 2027.

Les enregistrements qu'une passerelle fournit pour votre dossier

Quelles que soient les réponses des fournisseurs, un déployeur a besoin de son propre relevé des modèles et des fournisseurs que chaque application utilise. Standard Compute est une façon de tenir ce relevé pour l'usage par API. Chaque modification d'administration est journalisée avec les valeurs avant et après, et vous pouvez exporter pour chaque requête un enregistrement indiquant le modèle, le fournisseur qui l'a servie et la règle de région en vigueur, conservé 12 mois.

Choisissez les modèles que chaque clé peut utiliser, pour que chaque application et chaque personne n'ait accès qu'aux modèles approuvés. Choisissez les fournisseurs d'inférence autorisés à traiter vos données, pour toute l'entreprise, une équipe ou une seule clé. Avec une règle Europe, chaque requête, y compris les nouvelles tentatives et les replis, n'est servie que par des points de terminaison d'inférence européens approuvés.

Ce sont des enregistrements de la passerelle sur l'usage des modèles et des fournisseurs. Les journaux visés à l'article 26, paragraphe 6, sont ceux que le système à haut risque génère lui-même. Ce que le règlement exige de votre entreprise relève de votre service juridique.

Questions du juridique, de la conformité et des achats

La norme EN 18286 est-elle obligatoire ?: Non. Selon la Commission, l'application des normes harmonisées est volontaire. Un fournisseur qui n'applique pas l'EN 18286 doit tout de même respecter l'article 17 et montrer comment.
Nous utilisons ChatGPT, Claude ou Copilot pour le travail de bureau. Avons-nous besoin de l'EN 18286 ?: La rédaction, la traduction, la synthèse et l'aide au code ne figurent pas à l'annexe III : ce ne sont en général pas des usages à haut risque, et l'EN 18286 s'adresse aux fournisseurs de systèmes à haut risque. Une finalité citée à l'annexe III, comme le recrutement ou l'évaluation de solvabilité, change la donne. La checklist AI Act du déployeur aide à faire la classification.
Quel lien entre l'EN 18286 et l'ISO/IEC 42001 ?: Selon le JTC 21, les annexes informatives de la norme la relient à l'EN ISO 9001 et à l'EN ISO/IEC 42001 : une organisation qui applique déjà l'un de ces systèmes de management peut s'appuyer sur ce travail. L'ISO/IEC 42001 n'est pas elle-même une norme harmonisée au titre de l'AI Act.
La présomption couvre-t-elle tout l'AI Act ?: Non. Elle couvre les exigences que la norme traite, c'est-à-dire le système de gestion de la qualité. Les autres exigences applicables aux systèmes à haut risque, comme la gestion des risques, la transparence ou la cybersécurité, attendent leurs propres normes.
Où lire le texte officiel ?: La décision d'exécution (UE) 2026/2274 est sur EUR-Lex dans toutes les langues de l'UE, dont le français. La norme elle-même est vendue par les organismes nationaux de normalisation.
« Europe » chez Standard Compute signifie-t-il uniquement l'UE ?: Les points de terminaison européens approuvés se trouvent dans l'UE/EEE, au Royaume-Uni ou en Suisse. Notre passerelle UE fonctionne en Finlande et vos données de compte sont stockées à Francfort.

Sources

Décision d'exécution (UE) 2026/2274 de la Commission du 12 octobre 2026, JO L du 14 octobre 2026 (EUR-Lex), vérifié le 2026-11-09
Commission européenne : normalisation de l'AI Act (en anglais), vérifié le 2026-11-09
Commission européenne : FAQ sur la normalisation de l'AI Act (en anglais), vérifié le 2026-11-09
CEN-CENELEC JTC 21 : l'EN 18286 devient la première norme harmonisée de l'AI Act (14 octobre 2026, en anglais), vérifié le 2026-11-09
AI Act, article 17 : système de gestion de la qualité (AI Act Service Desk), vérifié le 2026-11-09
AI Act, article 25 : responsabilités tout au long de la chaîne de valeur de l'IA, vérifié le 2026-11-09
AI Act, article 26 : obligations des déployeurs de systèmes d'IA à haut risque, vérifié le 2026-11-09
AI Act, article 40 : normes harmonisées, vérifié le 2026-11-09
AI Act, article 113 : entrée en vigueur et application, vérifié le 2026-11-09

Créez un espace entreprise, choisissez les modèles et les fournisseurs de chaque clé, et exportez l'enregistrement des requêtes dont votre dossier de conformité a besoin.

Créer un espace entreprise