Este artículo es para quien despliega un sistema de IA de alto riesgo, o va a hacerlo, y ha leído que ya existe una norma europea que sirve para demostrar ante una autoridad que ese sistema se ajusta al AI Act. La norma existe: CEN-CENELEC anunció en julio de 2026 que la EN 18286:2026 has been published, que ha sido publicada. Lo que conviene aclarar es qué hace esa norma por ti. La respuesta corta: por ahora, nada que tenga efecto jurídico; y cuando lo tenga, seguirá sin ser tuya.
Para llegar ahí hay que separar tres capas que suelen llegar mezcladas: quién publica la norma, qué la convierte en algo que el Reglamento reconoce y a quién va dirigida.
La figura reparte entre el proveedor y el responsable del despliegue las obligaciones del AI Act, una por fila, con los artículos que las fundan. La fila resaltada es la de la documentación técnica, el sistema de gestión de la calidad y la conformidad (artículos 11, 17, 18 y 43 y anexo IV): la columna del proveedor dice elaborar esa documentación, conservarla y someter el sistema a evaluación de la conformidad; la del responsable del despliegue está vacía. La EN 18286 pertenece a esa fila.
Primera capa: una norma europea publicada
Las normas europeas las elaboran y publican los organismos europeos de normalización; CEN y CENELEC son dos de ellos. La EN 18286:2026 se titula Artificial intelligence – Quality management system for EU AI Act regulatory purposes, y la nota con la que CEN-CENELEC anunció su publicación la presenta como la primera norma en apoyo de la aplicación del AI Act.
Hasta hace poco circulaba como proyecto, prEN 18286, y así la describíamos cuando explicamos por qué todavía no existe la presunción de conformidad. Ahora es norma europea, con una salvedad que ocupa la segunda capa.
Según la misma nota, la norma especifica los requisitos y da orientaciones para definir, implantar y mantener un sistema de gestión de la calidad for organizations that provide AI systems: para las organizaciones que proveen sistemas de IA. Conviene retener ese sujeto, porque es el de la tercera capa.
Publicar una norma tiene efecto técnico desde ese día: cualquiera puede adquirirla, leerla y aplicarla. Lo que no le da, por sí sola, es el efecto que el AI Act reserva a otra cosa.
Segunda capa: sin cita en el Diario Oficial no hay presunción
El Art. 40, apartado 1, concede la presunción de conformidad a los sistemas de IA de alto riesgo —y a los modelos de uso general— conformes con normas armonizadas, o partes de ellas, «cuyas referencias estén publicadas en el Diario Oficial de la Unión Europea». La presunción no nace de que la norma exista, ni de su calidad, ni de que se haya elaborado para apoyar el Reglamento. Nace de un hecho concreto y posterior: que su referencia aparezca en el Diario Oficial.
En el caso de la EN 18286:2026, ese hecho no se había producido en la última comprobación antes de escribir este artículo, el 8 de septiembre de 2026. Mientras no se produzca, aplicar la norma no activa la presunción del Art. 40 para nadie: ni para el proveedor que la aplica ni, menos aún, para quien le compra.
Y cuando se produzca, la presunción llegará con el límite que fija el mismo apartado: opera «en la medida en que dichas normas contemplen estos requisitos u obligaciones». No es un sello general sobre el sistema, sino una presunción acotada a lo que la norma cubre.
Y queda un punto que el Reglamento no resuelve. La norma se elaboró bajo la petición de normalización para el sistema de gestión de la calidad del Art. 17, que está en la sección 3 del capítulo III. El literal del Art. 40(1) refiere la presunción a la conformidad «con los requisitos establecidos en la sección 2 del presente capítulo» —o, para los modelos de uso general, con las obligaciones del capítulo V—, y cómo opera sobre una obligación de la sección 3 no está escrito en el Reglamento.
Por eso conviene leer con cuidado cualquier mensaje que presente la EN 18286 como la vía para demostrar ante una autoridad que un sistema se ajusta al Reglamento. Algunas presentaciones la llaman ya «norma armonizada». En el lenguaje del AI Act esa palabra tiene un efecto jurídico, y ese efecto depende de la cita en el Diario Oficial, no de la publicación por CEN-CENELEC. No es un matiz de vocabulario: es la diferencia entre un hecho técnico y un hecho jurídico.
Tercera capa: la norma es del proveedor
El sujeto de la norma coincide con el del artículo que desarrolla. El Art. 17 empieza así: «Los proveedores de sistemas de IA de alto riesgo establecerán un sistema de gestión de la calidad». Y entre lo que ese sistema debe incluir enumera «las especificaciones técnicas, incluidas las normas, que se aplicarán». Una norma sobre sistemas de gestión de la calidad es, por tanto, una herramienta para organizar una obligación del proveedor.
El apartado 2, en la redacción que le dio el Reglamento (UE) 2026/1744, añade una proporcionalidad que interesa a muchas de las empresas que leen esto: la aplicación de esos aspectos «será proporcional al tamaño de la organización del proveedor, en particular si el proveedor es una pyme, incluidas las empresas emergentes o las pequeñas empresas de mediana capitalización». La proporcionalidad también es del proveedor.
Si tu empresa despliega un sistema que ha desarrollado otro, el Art. 17 no te pide montar un sistema de gestión de la calidad, y ya explicamos por qué no tendría sentido intentarlo: su contenido es diseño, desarrollo y validación del producto, decisiones que tú no tomaste. La EN 18286 hereda esa condición. Implantarla por tu cuenta no te acerca a ninguna obligación propia.
Lo mismo vale para la documentación técnica, que tratamos en dos artículos aparte: el anexo IV como índice de un documento ajeno y quién conserva esa documentación.
Qué puedes hacer con ella si despliegas
Que la norma no sea tuya no la vuelve inútil para ti. Para quien despliega es una buena práctica de referencia: una descripción pública y ordenada de lo que un proveedor serio debería tener en su sistema de gestión de la calidad. Eso la convierte en una fuente de preguntas.
- Pregunta si el sistema de gestión de la calidad del proveedor se apoya en la EN 18286 y qué partes cubre. La respuesta no tiene por qué ser un sí o un no: el propio Art. 17 prevé que, cuando las normas armonizadas pertinentes no se apliquen en su totalidad o no cubran todos los requisitos, el sistema recoja con qué otros medios se cubren.
- Pide por escrito lo que pueda enseñarte, junto con las demás preguntas que un proveedor de IA debería poder contestar.
- Anota la respuesta y su fecha. Si algún día la referencia se publica en el Diario Oficial, sabrás qué proveedores aplicaban ya la norma y desde cuándo.
- No la conviertas en tarea propia. Si tu lista de pendientes incluye «implantar la EN 18286», revisa de dónde salió ese punto.
Y si la referencia se publica, tu situación no cambiará: seguirás sin la obligación de aplicar la norma, y lo que te toque como responsable del despliegue seguirá dependiendo del Art. 26, no de ella.
La diferencia entre lo que la ley exige y lo que es buena práctica es la que explicamos en cómo clasificamos cada obligación. Y lo que sí es tuyo como responsable del despliegue —las evaluaciones y la evidencia de uso— es lo que organiza el módulo de alto riesgo.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.