La EN 18286 en seis preguntas
Qué es
La norma europea que dice cómo montar el sistema de gestión de la calidad que el artículo 17 del Reglamento de IA exige al proveedor de un sistema de alto riesgo. La publicó CEN-CENELEC en julio de 2026 y es la primera norma armonizada del Reglamento.
- Quién
- El proveedor: la empresa que desarrolla un sistema de IA de alto riesgo y lo pone en el mercado o en servicio con su nombre. Dentro, la montan calidad e ingeniería, con la dirección como responsable.
- Cuándo
- Citada en el Diario Oficial desde el 14 de octubre de 2026. El artículo 17 se aplica a los sistemas de alto riesgo del Anexo III desde el 2 de diciembre de 2027.
- Dónde
- En la evaluación de conformidad del sistema: casi siempre la hace el propio proveedor por control interno, y la autoridad de vigilancia del mercado puede pedir las pruebas.
- Por qué
- Es voluntaria, pero quien la aplica se presume conforme con lo que cubre. Según la Oficina de IA, eso incluye el artículo 17.
- Cómo
- Con un sistema de gestión que sigue a cada sistema de IA desde el diseño hasta su retirada. Detalle abajo.
A quién le toca
Depende del papel de la empresa con cada sistema, no de la empresa entera.
| Si la empresa… | La EN 18286 |
|---|---|
| Desarrolla un sistema de alto riesgo y lo vende o lo usa con su nombre | Es la norma escrita para el sistema de gestión de la calidad que le pide el artículo 17 |
| Usa un sistema de alto riesgo de otro | No se la piden. Le sirve para saber qué exigir al proveedor |
| Usa o desarrolla IA sin alto riesgo | No le toca. Para un sistema de gestión de la IA, la norma es la ISO/IEC 42001 |
Quien usa un sistema ajeno puede pasar a ser su proveedor si le pone su marca, lo modifica de forma sustancial o le cambia la finalidad (artículo 25). Saber si un sistema es de alto riesgo es el primer paso: está en el pilar de alto riesgo.
Qué pide
Tiene la estructura de cualquier sistema de gestión: contexto, liderazgo, planificación, apoyo, evaluación del desempeño y revisión por la dirección. Lo propio de esta norma son tres cosas.
- Empieza por el Reglamento. Pide identificar los requisitos legales que se aplican a cada sistema y decidir una estrategia para cumplirlos, incluida la vía de evaluación de conformidad y cómo se tratarán los cambios.
- Sigue a cada sistema de IA. El grueso de la norma recorre su ciclo de vida: diseño y desarrollo, verificación y validación, gestión de los datos, documentación técnica, puesta en el mercado, cadena de suministro, modificaciones, vigilancia después de la puesta en el mercado, notificación de incidentes graves y retirada. Tiene un apartado para los sistemas que siguen aprendiendo en uso.
- Remite a las demás normas. El sistema de gestión planifica y controla el trabajo de los artículos 9 a 15, y cada uno tendrá su propia norma. La parte de riesgos, por ejemplo, da por hecho un sistema de gestión del riesgo conforme con el artículo 9, y la norma europea de ese artículo, la prEN 18228, sigue en borrador. Mientras tanto, cómo identificar los riesgos de un sistema.
Qué da la cita en el Diario Oficial
La Comisión citó la norma el 14 de octubre de 2026 en la Decisión de Ejecución (UE) 2026/2274, sin restricciones, porque considera que cumple los requisitos del Reglamento que pretende cubrir. Desde ese día, quien la aplica se presume conforme con lo que cubre. Su Anexo ZA la relaciona con el artículo 17 y con la primera frase del artículo 11.1, sobre la documentación técnica, y según la Oficina de IA la presunción incluye el artículo 17.
La presunción alcanza lo que la norma cubre, no el sistema entero. Los requisitos del producto de los artículos 9 a 15 siguen pidiendo sus propias pruebas, y sus normas todavía están en borrador. El estado de cada una está en la tabla del pilar.
Por dónde empezar
- Con la ISO/IEC 42001: la EN 18286 se monta encima. Su Anexo C relaciona las cláusulas de las dos normas.
- Con la ISO 9001: lo mismo, con el Anexo B.
- Con el sistema de calidad del sector, como la ISO 13485 en productos sanitarios: el artículo 17.3 permite integrar en él lo que pide el Reglamento, sin llevar otro en paralelo.
- Sin sistema de gestión: se puede empezar directamente por la EN 18286. La 42001 no es requisito previo.
La norma es de pago. Se compra a CEN-CENELEC a través de cualquiera de sus organismos nacionales, como la versión británica BS EN 18286 de BSI. Los organismos nacionales tienen hasta el 31 de enero de 2027 para publicar su versión; en España la publicará UNE.
Cómo lo montamos con el equipo de cada cliente está en sistema de gestión de la calidad.
