La première norme de l’AI Act est arrivée : ce que vos acheteurs doivent exiger

Le 19 octobre 2026, la Commission européenne a publié au Journal officiel la référence de la première norme harmonisée de l’AI Act : EN 18286, « Intelligence artificielle — Système de management de la qualité pour les besoins réglementaires de l’AI Act », citée par la décision d’exécution (UE) 2026/2274. Une ligne dans le Journal officiel, mais un changement concret pour quiconque achète ou conçoit un système d’IA à haut risque.

Ce que dit la norme

EN 18286 décrit le système de management de la qualité qu’un fournisseur de système d’IA à haut risque doit mettre en place au titre de l’article 17 de l’AI Act : politique de conformité, maîtrise de la conception, tests et validation, gestion des données, surveillance après commercialisation, signalement des incidents, responsabilités.

Son intérêt juridique tient en un mot : présomption de conformité. Un fournisseur qui applique une norme harmonisée citée au Journal officiel est présumé respecter les exigences qu’elle couvre. Il n’a plus à démontrer seul, point par point, que son organisation satisfait l’article 17.

Ce qu’elle ne dit pas

• Elle ne couvre qu’un domaine sur dix. La Commission a demandé aux organismes européens de normalisation (CEN et CENELEC, comité JTC 21) des normes sur dix sujets : gestion des risques, gouvernance et qualité des données, journalisation, transparence, contrôle humain, exactitude, robustesse, cybersécurité, management de la qualité et évaluation de la conformité. Neuf restent à publier.
• Elle ne remplace pas ISO/IEC 42001. La norme internationale de système de management de l’IA reste un bon socle, mais elle n’est pas citée au Journal officiel et ne donne donc pas de présomption de conformité à l’AI Act.
• Elle n’avance pas l’échéance. Les obligations des systèmes à haut risque de l’annexe III s’appliquent au 2 décembre 2027. La norme donne simplement un chemin balisé pour y arriver.

Pourquoi les acheteurs sont concernés

L’obligation pèse sur les fournisseurs. Mais c’est l’acheteur qui choisit son fournisseur, et qui vivra avec son système bien après 2027. Une norme publiée change la conversation : la question n’est plus « êtes-vous conforme ? », à laquelle tout le monde répond oui, mais « appliquez-vous EN 18286, et pouvez-vous le montrer ? ».

Ce qu’il faut exiger dès vos prochains appels d’offres

1. Une déclaration : le fournisseur applique-t-il EN 18286, en tout ou en partie, et à quelle date ?
2. Des preuves : manuel qualité, procédures de test et de validation, plan de surveillance après mise en service.
3. Un engagement de suivi des neuf normes à venir, avec un calendrier de mise en conformité.
4. Un droit d’audit sur le système qualité, pas seulement sur le produit.
5. Une clause de signalement des incidents graves, avec un délai, vers vous et pas seulement vers l’autorité.

Une norme publiée transforme une promesse de conformité en question vérifiable. Posez-la.

La question à poser lundi matin

À votre équipe achats : « Nos trois prochains appels d’offres comportant de l’IA demandent-ils au fournisseur s’il applique EN 18286, et avec quelles preuves ? »