AI Act : la norme EN 18286 concerne-t-elle votre TPE ou votre fournisseur d'IA ?

Réponse courte : si votre entreprise utilise de l'IA sans en fournir, la première norme harmonisée de l'AI Act, dont la référence a été publiée le 19 octobre 2026 selon la Commission européenne, ne vous impose rien. Elle s'adresse aux entreprises qui fournissent des systèmes d'IA « à haut risque », ce qui peut inclure certains de vos fournisseurs.

Ce que la Commission annonce

L'AI Act est le règlement européen sur l'intelligence artificielle. Son article 17 impose aux fournisseurs de systèmes d'IA dits « à haut risque » de mettre en place un système de gestion de la qualité : une organisation écrite pour concevoir, tester, suivre et corriger leur système.

La norme EN 18286:2026, élaborée par les organismes européens de normalisation CEN et CENELEC, traduit ces exigences en un système qualité concret. Sa référence a été publiée par la décision d'exécution (UE) 2026/2274 de la Commission.

Ce que change une norme « harmonisée »

Selon la Commission, un fournisseur qui applique cette norme bénéficie d'une présomption de conformité aux exigences de l'article 17 couvertes par la norme. Autrement dit, pour ces exigences-là, appliquer la norme est une manière reconnue de montrer qu'on est en règle.

La Commission précise trois points :

1. EN 18286 est la seule norme de système qualité pour l'IA qui donne cette présomption de conformité.

2. Elle est construite autour du cycle de vie du système d'IA, et non de l'organisation dans son ensemble.

3. Elle complète les normes de gestion existantes sans les remplacer. Une organisation qui n'applique pas ISO/IEC 42001 peut aussi s'en servir pour étendre un système qualité existant ou en construire un.

La Commission présente cette publication comme une étape avant l'entrée en application des exigences pour les systèmes à haut risque, et annonce d'autres normes harmonisées à venir.

Votre entreprise est-elle concernée ?

Cette partie est l'analyse d'Elginux.

• Vous utilisez de l'IA sans en fournir : cette norme ne vous vise pas. La Commission la présente comme une voie pour les fournisseurs de systèmes à haut risque.

• Vous développez ou vendez un système d'IA : la norme peut vous concerner si ce système est classé « à haut risque » par l'AI Act. Faites vérifier votre rôle et ce classement avant d'engager des travaux.

• Vous achetez un outil d'IA utilisé pour des décisions importantes, par exemple sur des personnes : demandez à votre fournisseur s'il est concerné par l'article 17 et comment il s'y prépare. Demandez-lui quelles exigences il couvre et comment il le démontre : la seule mention d'EN 18286 ne suffit pas.

Source et limites

Source principale : la page « First harmonised standard supporting the AI Act published in the Official Journal », publiée par la Commission européenne le 19 octobre 2026 et lue par Elginux le 26 octobre 2026. Nous n'avons pas lu le texte de la norme EN 18286. Cet article ne détaille donc pas son contenu au-delà de ce qu'en dit la Commission, et ne donne pas de date d'application des exigences, que la page ne précise pas.

Questions fréquentes

Dans quels cas ma TPE est-elle concernée ?

Seulement si elle fournit elle-même un système d'IA classé à haut risque par l'AI Act. Une entreprise qui utilise de l'IA sans en fournir n'est pas visée par cette norme ; elle peut en revanche interroger ses fournisseurs.

La norme est-elle obligatoire ?

Non. Selon la Commission, l'appliquer donne une présomption de conformité aux exigences de l'article 17 couvertes par la norme. Son application est volontaire. Ne pas l'appliquer ne dispense pas de respecter les obligations de l'article 17.

Faut-il déjà être certifié ISO/IEC 42001 ?

Non. ISO/IEC 42001 est une norme de management de l'intelligence artificielle. La Commission indique que les organisations sans ISO/IEC 42001 peuvent utiliser EN 18286 pour étendre un système qualité existant ou en construire un.