Este artículo es para quien despliega un sistema de IA de alto riesgo, o va a hacerlo, y ha leído que ya existe una norma europea que sirve para demostrar ante una autoridad que ese sistema se ajusta al AI Act. La norma existe: CEN-CENELEC anunció en julio de 2026 que la EN 18286:2026 has been published, que ha sido publicada. Lo que conviene aclarar es qué hace esa norma por ti. La respuesta corta: su referencia está ya en el Diario Oficial, y sigue sin ser tuya.
La EN 18286:2026 es una norma armonizada relativa al sistema de gestión de la calidad de los proveedores de sistemas de IA. Su referencia fue publicada en el Diario Oficial de la Unión Europea mediante la Decisión de Ejecución (UE) 2026/2274, de 12 de octubre de 2026, publicada en el Diario Oficial de la Unión Europea el 14 de octubre de 2026.
El artículo 40.1 del Reglamento (UE) 2024/1689 delimita expresamente determinados efectos de la presunción de conformidad, mientras que la modificación del artículo 40.2 introducida por el Reglamento (UE) 2026/1744 contempla también requisitos y obligaciones de la sección 3 del capítulo III, donde se encuentra el artículo 17.
La norma constituye una referencia armonizada pertinente para demostrar la adecuación del sistema de gestión de calidad del proveedor. El alcance jurídico exacto de la presunción respecto de cada obligación del artículo 17 debe interpretarse conjuntamente con el artículo 40 y los requisitos efectivamente cubiertos por la norma.
La aplicación de EN 18286:2026 no constituye por sí sola certificación ni garantiza la conformidad integral del proveedor o de sus sistemas de IA.
Para llegar ahí hay que separar tres capas que suelen llegar mezcladas: quién publica la norma, qué la convierte en algo que el Reglamento reconoce y a quién va dirigida.
La figura reparte entre el proveedor y el responsable del despliegue las obligaciones del AI Act, una por fila, con los artículos que las fundan. La fila resaltada es la de la documentación técnica, el sistema de gestión de la calidad y la conformidad (artículos 11, 17, 18 y 43 y anexo IV): la columna del proveedor dice elaborar esa documentación, conservarla y someter el sistema a evaluación de la conformidad; la del responsable del despliegue está vacía. La EN 18286 pertenece a esa fila.
Primera capa: una norma europea publicada
Las normas europeas las elaboran y publican los organismos europeos de normalización; CEN y CENELEC son dos de ellos. La EN 18286:2026 se titula Artificial intelligence – Quality management system for EU AI Act regulatory purposes, y la nota con la que CEN-CENELEC anunció su publicación la presenta como la primera norma en apoyo de la aplicación del AI Act.
Hasta hace poco circulaba como proyecto, prEN 18286, y así la describíamos cuando explicamos qué es la presunción de conformidad. Ahora es norma europea, con una salvedad que ocupa la segunda capa.
Según la misma nota, la norma especifica los requisitos y da orientaciones para definir, implantar y mantener un sistema de gestión de la calidad for organizations that provide AI systems: para las organizaciones que proveen sistemas de IA. Conviene retener ese sujeto, porque es el de la tercera capa.
Publicar una norma tiene efecto técnico desde ese día: cualquiera puede adquirirla, leerla y aplicarla. Lo que no le da, por sí sola, es el efecto que el AI Act reserva a otra cosa.
Segunda capa: la cita en el Diario Oficial
El Art. 40, apartado 1, concede la presunción de conformidad a los sistemas de IA de alto riesgo —y a los modelos de uso general— conformes con normas armonizadas, o partes de ellas, «cuyas referencias estén publicadas en el Diario Oficial de la Unión Europea». La presunción no nace de que la norma exista, ni de su calidad, ni de que se haya elaborado para apoyar el Reglamento. Nace de un hecho concreto y posterior: que su referencia aparezca en el Diario Oficial.
En el caso de la EN 18286:2026, ese hecho se produjo el 14 de octubre de 2026: la Decisión de Ejecución (UE) 2026/2274 publica su referencia en el Diario Oficial y entró en vigor ese mismo día. Hasta entonces, aplicar la norma no activaba la presunción del Art. 40 para nadie.
Y la presunción llega con el límite que fija el mismo apartado: opera «en la medida en que dichas normas contemplen estos requisitos u obligaciones». No es un sello general sobre el sistema, sino una presunción acotada a lo que la norma cubre.
Por eso conviene leer con cuidado cualquier mensaje que presente la EN 18286 como la vía para demostrar ante una autoridad que un sistema se ajusta al Reglamento en su conjunto. La presunción es acotada a lo que la norma cubre, y la Decisión que publica la referencia no dice qué requisitos son: su anexo trae solo la referencia y el título de la norma.
Tercera capa: la norma es del proveedor
El sujeto de la norma coincide con el del artículo que desarrolla. El Art. 17 empieza así: «Los proveedores de sistemas de IA de alto riesgo establecerán un sistema de gestión de la calidad». Y entre lo que ese sistema debe incluir enumera «las especificaciones técnicas, incluidas las normas, que se aplicarán». Una norma sobre sistemas de gestión de la calidad es, por tanto, una herramienta para organizar una obligación del proveedor.
El apartado 2, en la redacción que le dio el Reglamento (UE) 2026/1744, añade una proporcionalidad que interesa a muchas de las empresas que leen esto: la aplicación de esos aspectos «será proporcional al tamaño de la organización del proveedor, en particular si el proveedor es una pyme, incluidas las empresas emergentes o las pequeñas empresas de mediana capitalización». La proporcionalidad también es del proveedor.
Si tu empresa despliega un sistema que ha desarrollado otro, el Art. 17 no te pide montar un sistema de gestión de la calidad, y ya explicamos por qué no tendría sentido intentarlo: su contenido es diseño, desarrollo y validación del producto, decisiones que tú no tomaste. La EN 18286 hereda esa condición. Implantarla por tu cuenta no te acerca a ninguna obligación propia.
Lo mismo vale para la documentación técnica, que tratamos en dos artículos aparte: el anexo IV como índice de un documento ajeno y quién conserva esa documentación.
Qué puedes hacer con ella si despliegas
Que la norma no sea tuya no la vuelve inútil para ti. Para quien despliega es una buena práctica de referencia: una descripción pública y ordenada de lo que un proveedor serio debería tener en su sistema de gestión de la calidad. Eso la convierte en una fuente de preguntas.
- Pregunta si el sistema de gestión de la calidad del proveedor se apoya en la EN 18286 y qué partes cubre. La respuesta no tiene por qué ser un sí o un no: el propio Art. 17 prevé que, cuando las normas armonizadas pertinentes no se apliquen en su totalidad o no cubran todos los requisitos, el sistema recoja con qué otros medios se cubren.
- Pide por escrito lo que pueda enseñarte, junto con las demás preguntas que un proveedor de IA debería poder contestar.
- Anota la respuesta y su fecha. Así sabrás qué proveedores aplican la norma y desde cuándo.
- No la conviertas en tarea propia. Si tu lista de pendientes incluye «implantar la EN 18286», revisa de dónde salió ese punto.
Y que la referencia se haya publicado no cambia tu situación: sigues sin la obligación de aplicar la norma, y lo que te toque como responsable del despliegue seguirá dependiendo del Art. 26, no de ella.
La diferencia entre lo que la ley exige y lo que es buena práctica es la que explicamos en cómo clasificamos cada obligación. Y lo que sí es tuyo como responsable del despliegue —las evaluaciones y la evidencia de uso— es lo que organiza el módulo de alto riesgo.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.