Suivez Management Qualité sur Google
Ajoutez-nous comme source préférée pour voir nos articles et actualités qualité plus souvent dans vos résultats Google et Discover.
Le 14 octobre 2026, la Commission européenne a publié au Journal officiel la référence de la norme EN 18286:2026, consacrée au système de management de la qualité des fournisseurs d’IA. C’est la première norme harmonisée publiée à l’appui de l’AI Act, le règlement (UE) 2024/1689. Pour les fournisseurs de systèmes d’IA à haut risque, elle vaut présomption de conformité, depuis cette date, pour les exigences qu’elle couvre.
Les faits
Allez, on commence par la question que tout le monde va poser. EN 18286, c’est une norme ISO ? Non. C’est une norme européenne, rédigée par le CEN et le Cenelec à la demande de la Commission. Cette demande de normalisation, la décision C(2025) 3871 du 23 juin 2025, réclamait entre autres une norme sur les systèmes de gestion de la qualité des fournisseurs d’IA, « y compris les processus de surveillance après commercialisation ».
Le CEN et le Cenelec ont annoncé la publication de la norme fin juillet 2026. Mais une norme publiée ne vaut pas encore présomption de conformité. Il manquait l’étape qui compte : l’évaluation par la Commission, puis la citation de la référence au Journal officiel. Eh bien, c’est fait ! La décision d’exécution (UE) 2026/2274 du 12 octobre 2026 a été publiée au JOUE le 14 octobre 2026, et elle est entrée en vigueur le jour même. Son annexe tient en une ligne. Une seule norme, aucune restriction mentionnée.
Petit clin d’œil du calendrier (et je ne l’ai pas inventé) : le même mois, l’ISO publiait ISO/IEC 27090:2026, un guide de 56 pages sur les menaces de sécurité propres aux systèmes d’IA. Deux normes IA dans l’actualité du même mois, et celle qui pèse juridiquement pour les fournisseurs n’est pas celle qui porte le logo ISO. Vous suivez toujours ? Bien.
Ce que prévoit la nouvelle norme
Le point de départ, c’est l’article 17 de l’AI Act. Tout fournisseur de système d’IA à haut risque doit mettre en place un système de gestion de la qualité, « documenté de manière méthodique et ordonnée », par écrit. Le texte liste treize aspects minimum, des points a) à m). Les premiers vous parleront tout de suite : la stratégie de respect de la réglementation et la maîtrise de la conception. Plus loin dans la liste arrivent la gestion des données, la surveillance après commercialisation au sens de l’article 72 et le signalement des incidents graves au sens de l’article 73.
EN 18286 donne la méthode pour y répondre. Selon la Commission européenne, elle est construite autour du cycle de vie du système d’IA, pas autour de l’organisation. Et c’est le point que je trouve le plus utile : elle se greffe sur un système existant, qu’il s’agisse d’ISO/IEC 42001, d’ISO 9001 ou d’un référentiel sectoriel comme ISO 13485. Dans les secteurs réglementés, elle autorise même explicitement l’intégration plutôt que deux systèmes en parallèle, comme l’article 17 le permettait déjà.
Attention à la portée. La présomption de conformité ne vaut que pour les exigences de l’article 17 que la norme couvre, pas pour tout le règlement. Et elle arrive en avance : depuis l’Omnibus IA, les obligations des systèmes à haut risque de l’annexe III s’appliquent au 2 décembre 2027, celles de l’annexe I au 2 août 2028 (nous avions détaillé ce report des obligations à haut risque en mai).
Ce que ça change pour les responsables qualité
Et, pourquoi je vous raconte tout ça, à vous qui faites de la qualité et pas de l’IA ? Parce que l’obligation pèse sur le fournisseur du système d’IA, et que ce fournisseur, c’est peut-être votre entreprise.
Premier réflexe, celui que je conseille à tout le monde : vérifiez si votre entreprise met sur le marché un système d’IA classé à haut risque, seul ou intégré à un produit. Si la réponse est non, rangez ce dossier, promis, il peut attendre. Deuxième réflexe : si la réponse est oui, votre système ISO 9001 est votre point de départ, pas un obstacle. Faites l’analyse d’écarts sur les treize aspects de l’article 17, en commençant par ceux qui sont propres à l’IA (j’en parle dans ce que l’ISO 9001:2026 dit vraiment de l’IA). Troisième réflexe : regardez le calendrier. D’ici le 2 décembre 2027, il reste un peu plus de treize mois. Construire un système qualité qui tient la route en treize mois ? Faisable, mais pas en partant d’une page blanche ! Notre kit documentaire ISO 9001:2026 pose la base sur laquelle EN 18286 viendra se greffer. Dernier point, pour les organisations certifiées ISO/IEC 42001 : selon la Commission, EN 18286 est la seule norme de système qualité IA qui donne une présomption de conformité. Votre certificat ne la remplace pas. Redoutable, non ?
Pour aller plus loin
EN 18286 est conçue pour se greffer sur un système qualité existant, ISO 9001 par exemple. Si c’est la voie que vous choisissez et que le vôtre n’est pas encore structuré, commencez par là.
Kit documentaire ISO 9001:2026 : 161 documents modifiables (126 Word, 35 Excel), rédigés article par article sur la 6e édition, 289 euros. Pour suivre l’évolution réglementaire en continu : Veille réglementaire MQ.
Sources : Commission européenne, décision d’exécution (UE) 2026/2274 du 12 octobre 2026, JOUE série L du 14 octobre 2026 (texte officiel) ; Commission européenne, « First harmonised standard supporting the AI Act published in the Official Journal », 19 octobre 2026 (page officielle) ; CEN-CENELEC, annonce de publication d’EN 18286, 31 juillet 2026 (communiqué) ; règlement (UE) 2024/1689, articles 17 et 40 (texte officiel) ; Commission européenne, calendrier d’application de l’AI Act (page officielle) ; ISO, fiche ISO/IEC 27090:2026 (iso.org). Consultées le 19 octobre 2026.
Hafsa J.
