La Commissione europea ha pubblicato nella Gazzetta ufficiale dell’Unione il primo standard armonizzato collegato all’AI Act. Si chiama EN 18286:2026, è stato sviluppato dagli enti europei di normazione CEN e CENELEC e riguarda il sistema di gestione della qualità che deve avere chi fornisce sistemi di intelligenza artificiale ad alto rischio.
Che cosa copre la norma
L’articolo 17 dell’AI Act chiede a chi sviluppa e immette sul mercato sistemi ad alto rischio un sistema di gestione della qualità documentato, con procedure per progettazione, test, gestione dei dati, monitoraggio dopo la vendita e segnalazione degli incidenti gravi. EN 18286 traduce questi obblighi in requisiti tecnici e si può integrare con sistemi già diffusi nelle aziende, come la ISO 9001, la ISO/IEC 42001 sulla gestione dell’AI o norme di settore come la ISO 13485 per i dispositivi medici.
La decisione di esecuzione 2026/2274 del 12 ottobre è stata pubblicata il 14 ottobre ed è entrata in vigore lo stesso giorno. Da allora chi applica la norma gode della presunzione di conformità, cioè per i requisiti coperti si considera in regola con l’AI Act senza doverlo dimostrare in altro modo. Secondo la Commissione è l’unica norma sui sistemi qualità per l’AI che offra questa presunzione.
I limiti
L’uso della norma resta volontario e la presunzione riguarda solo il sistema di gestione della qualità. Gli altri requisiti per l’alto rischio, come la gestione dei rischi, la qualità dei dati, la sorveglianza umana e la cybersecurity, non hanno ancora uno standard armonizzato. La Commissione ha chiesto norme in dieci aree senza fissare date. Secondo la newsletter specializzata Krog, a settembre alcune bozze sulla gestione dei rischi e sulla cybersecurity non hanno superato l’inchiesta pubblica, quindi i tempi potrebbero allungarsi.
La norma si rivolge ai fornitori. Le aziende che si limitano a usare un sistema di AI ad alto rischio, i cosiddetti deployer, hanno obblighi diversi e non sono tenute ad adottare questo sistema di gestione.
Le scadenze per le aziende
C’è ancora tempo per adeguarsi. Con il Digital Omnibus, il regolamento di semplificazione in vigore dal 27 luglio, gli obblighi per i sistemi ad alto rischio elencati nell’allegato III, come quelli usati nella selezione del personale, nella valutazione del credito o nell’istruzione, partono dal 2 dicembre 2027. Per i sistemi integrati in prodotti già regolati, come macchinari e dispositivi medici, la data è il 2 agosto 2028.
In Italia l’UNI recepisce le norme europee e con la commissione tecnica UNI/CT 533 ha già adottato la ISO/IEC 42001 nel 2024. Sul sito dell’ente non risulta ancora una versione italiana di EN 18286. Per una software house o una startup che sviluppa AI per le risorse umane, la sanità o la finanza, partire da un sistema ISO 9001 o 42001 già in uso e completarlo con la nuova norma può essere la strada più rapida verso la conformità, in attesa degli standard sugli altri requisiti.
Fonti: Commissione europea, Gazzetta ufficiale UE, CEN-CENELEC, Nemko, Commissione europea, Digital Omnibus, Krog.
