Selon la Commission, la présomption porte sur le système qualité du fournisseur. Les exigences techniques que le système doit lui-même respecter, de la gestion des risques à la cybersécurité, n'ont encore aucune norme harmonisée publiée : neuf des dix domaines de la demande de normalisation de la Commission attendent la leur. Un fournisseur peut aligner son système qualité sur EN 18286. Il devra démontrer par ses propres moyens le reste de la conformité de son produit, avant le 2 décembre 2027 pour les systèmes de l'annexe III. L'article 17 vise le fournisseur. L'entreprise qui déploie un système à haut risque relève de l'article 26. Si elle le modifie substantiellement ou le commercialise sous son nom, elle devient fournisseur (article 25).

La décision d'exécution (UE) 2026/2274 du 12 octobre 2026 a paru au Journal officiel de l'Union européenne le 14 octobre. Elle est entrée en vigueur le jour même. Elle publie la référence d'une seule norme : EN 18286:2026, « Intelligence artificielle - Système de management de la qualité pour le règlement européen sur l'IA », élaborée par le CEN et le Cenelec. La Commission européenne a annoncé la publication le 19 octobre. Selon elle, les fournisseurs qui mettent en œuvre la norme bénéficient d'une présomption de conformité aux exigences de l'article 17 du règlement couvertes par la norme. La décision, elle, parle des exigences essentielles correspondantes, sans citer d'article.

Au 22 octobre, la boutique d'AFNOR Éditions diffuse la version française, NF EN 18286. Le document de 52 pages, daté de juillet 2026, a le statut « en vigueur » ; son deuxième tirage date de septembre 2026.

L'article 17, treize rubriques à documenter

L'article 17 du règlement (UE) 2024/1689 impose au fournisseur un système de gestion de la qualité écrit. Il prend la forme de politiques, de procédures et d'instructions. Il énumère treize aspects minimaux, de la stratégie de respect de la réglementation au cadre de responsabilités de l'encadrement, en passant par les procédures de test et de validation, la gestion des données, le système de gestion des risques de l'article 9, la surveillance après commercialisation et le signalement des incidents graves.

La Commission y voit une traduction opérationnelle de ces exigences. Elle la décrit comme construite autour du cycle de vie du système d'IA plutôt qu'autour de l'organisation. Sur sa page consacrée à la normalisation, elle présentait déjà le projet de norme comme un cadre axé sur le produit pour la gouvernance de ce cycle de vie.

Une présomption qui court depuis le 14 octobre

La décision s'appuie sur l'article 40 du règlement, qu'elle résume dans son considérant 1 : les systèmes conformes à une norme harmonisée dont la référence est publiée au Journal officiel sont présumés conformes aux exigences couvertes par cette norme. Son considérant 6 fait courir la présomption dès la publication de la référence. Elle vaut donc depuis le 14 octobre, cinq jours avant l'annonce de la Commission.

Appliquer la norme reste facultatif. La Commission le rappelle : un fournisseur peut démontrer sa conformité par tout autre cadre de son choix. Il devra alors établir lui-même que son système qualité répond à l'article 17.

ISO/IEC 42001, ISO 9001, ISO 13485 : une couche supplémentaire

Selon la Commission, EN 18286 est conçue pour se superposer aux normes internationales existantes, comme ISO/IEC 42001, ISO 9001 ou un système qualité sectoriel tel qu'ISO 13485 pour les dispositifs médicaux. Elle ne les remplace pas. Elle permet aux fournisseurs des secteurs réglementés d'intégrer leurs systèmes de management au lieu d'en faire tourner plusieurs en parallèle. Une organisation sans certification ISO/IEC 42001 peut l'utiliser pour étendre un système qualité existant ou en bâtir un.

Le règlement prévoyait déjà cette articulation. Son article 17, paragraphe 3, autorise un fournisseur soumis à des obligations de qualité au titre d'une législation sectorielle de l'Union à y inclure les rubriques exigées par l'AI Act. Un fabricant de dispositifs médicaux trouve dans la norme une méthode reconnue pour cette intégration.

Un peu plus de treize mois avant l'annexe III

Le règlement (UE) 2026/1744, dit omnibus numérique sur l'IA, est entré en vigueur le 27 juillet. Il a repoussé l'entrée en application des sections 1 à 3 du chapitre III, qui portent les règles sur les systèmes à haut risque. Elles s'appliqueront le 2 décembre 2027 pour les systèmes de l'annexe III (dont la biométrie, l'emploi, l'éducation et les infrastructures critiques) et le 2 août 2028 pour ceux intégrés à des produits relevant de l'annexe I, section A. ActuIA a détaillé ce nouveau calendrier de l'AI Act.

Le même omnibus a complété l'article 17, paragraphe 2. La mise en œuvre du système qualité y était déjà proportionnée à la taille du fournisseur ; le texte vise désormais expressément les PME, les jeunes pousses et les petites entreprises à moyenne capitalisation, sans abaisser le degré de rigueur ni le niveau de protection requis.

Neuf domaines toujours sans norme harmonisée

EN 18286 répond au point 9 de l'annexe I de la demande de normalisation C(2025) 3871, adressée au CEN et au Cenelec le 23 juin 2025. Son projet avait été le premier à entrer en enquête publique, le 30 octobre 2025. La Commission a demandé des normes dans dix domaines : gestion des risques, gouvernance et qualité des jeux de données, journalisation, transparence, contrôle humain, exactitude, robustesse, cybersécurité, gestion de la qualité et évaluation de la conformité. Seule la gestion de la qualité dispose au 22 octobre d'une norme harmonisée publiée.

Dans son annonce du 19 octobre, la Commission indique que d'autres normes harmonisées doivent suivre. Elle n'avance aucune date.

Nos articles remonteront en priorité dans « À la une » de Google.