EN 18286: la norma del sistema de gestión de calidad del AI Act

Qué es la EN 18286

La EN 18286:2026 es la primera norma armonizada del AI Act. Describe cómo montar y mantener el sistema de gestión de la calidad (SGC) que el artículo 17 exige a los proveedores de sistemas de IA de alto riesgo. La aprobó CEN-CENELEC en julio de 2026, y la Comisión publicó su referencia en el Diario Oficial de la UE el 14 de octubre de 2026 (Decisión de Ejecución (UE) 2026/2274).

Esa publicación es lo que le da valor: quien la aplica se beneficia de una presunción de conformidad con los requisitos del art. 17 que la norma cubre. Dicho de forma sencilla: se da por hecho que cumples esa parte, salvo prueba en contra. Aplicarla es voluntario; puedes demostrar el cumplimiento por otros medios, pero te tocará justificarlo tú.

No es una norma sectorial: sirve para cualquier proveedor de IA de alto riesgo, sea cual sea su sector.

Qué cubre y qué no

La EN 18286 cubre el sistema de gestión: cómo se organiza el proveedor para cumplir. Es decir, los elementos que enumera el art. 17: estrategia de cumplimiento normativo, procedimientos de diseño, desarrollo y verificación, gestión de datos, gestión de riesgos, seguimiento posterior a la comercialización, notificación de incidentes graves, comunicación con autoridades, registros y responsabilidades.

Lo que no cubre, y conviene tenerlo claro:

El detalle de la gestión de riesgos. La norma exige tener un sistema de gestión de riesgos durante todo el ciclo de vida, pero el método lo deja a la prEN 18228, que todavía es un borrador.
La calidad y gobernanza de los conjuntos de datos. Es el objeto de la prEN 18284, también en preparación. Para sistemas de alto riesgo, riesgos y datos (arts. 9 y 10) suelen pesar más que muchos otros requisitos.
Otros requisitos técnicos, como el registro de eventos, la precisión, la robustez o la ciberseguridad, que tendrán sus propias normas.
La evaluación técnica del modelo. La norma evalúa cómo se gestiona el proveedor, no si el sistema funciona bien.

Mientras esas otras normas no se publiquen, para riesgos y datos hay que demostrar el cumplimiento directamente frente al texto del AI Act.

Cómo encaja con ISO 42001 e ISO 9001

	EN 18286	ISO/IEC 42001	ISO 9001
Para qué sirve	Cumplir el SGC del art. 17 del AI Act	Gobernar la IA en toda la organización	Gestión de la calidad general
Presunción de conformidad con el AI Act	Sí, en lo que cubre	No	No
Certificado propio	No: se valora dentro de la evaluación de conformidad del sistema	Sí	Sí
Mejora continua y evaluación de impacto	No es su enfoque: «calidad» es cumplir los requisitos legales	Sí	Mejora continua, sí

La EN 18286 incluye anexos que relacionan sus apartados con los de ISO 9001 e ISO/IEC 42001. Ayudan a orientarse, pero solo emparejan apartados: tener una de esas certificaciones no significa cumplir la EN 18286. En la práctica, muchos proveedores de alto riesgo acabarán con ISO 42001 (para clientes y gobierno interno) y EN 18286 (para el AI Act).

Si ya tienes un sistema de gestión de la calidad

No hace falta montar otro en paralelo. Hay que distinguir dos casos:

Si una ley sectorial de la UE ya te obliga a tener un SGC (por ejemplo, el reglamento de productos sanitarios, donde se suele usar ISO 13485), el art. 17.3 permite incluir los elementos del AI Act dentro de ese sistema.
Si tienes ISO 9001, que es voluntaria, el art. 17.3 no se refiere a ella. Aun así, puedes reutilizar lo que ya funciona (control documental, auditorías internas, revisión por la dirección) y añadir lo específico del AI Act.

Las entidades financieras tienen una regla propia (art. 17.4): parte de la obligación se da por cumplida con sus normas de gobierno interno.

¿Por dónde empiezo?

Depende de tu punto de partida. «Si partes de cero, ve directo a la EN 18286» es un consejo arriesgado: una norma de gestión aplicada sin una base de gobierno detrás suele acabar en un sistema documental que nadie opera.

Primero, saber qué tienes. Inventario de sistemas de IA y clasificación de riesgo. La EN 18286 solo te afecta si eres proveedor de un sistema de alto riesgo.
Si lo eres y no tienes nada: pon antes lo básico de gobierno (responsables, comité, método de riesgos, gestión de datos) y construye el SGC sobre esa base, siguiendo la EN 18286.
Si ya tienes un SGC sectorial o ISO 9001: intégralo, no lo dupliques.
Si ya tienes ISO 42001: mantenla y añade lo que pide la EN 18286 (estrategia de cumplimiento, trazabilidad, plazos de notificación de incidentes, gestión de incumplimientos).
Si solo usas IA de terceros (eres desplegador) o tus sistemas no son de alto riesgo, la EN 18286 no es tu prioridad.

Una norma de calidad no es un modelo de gobierno de la IA

La EN 18286 te ayuda a demostrar una obligación concreta del AI Act. No decide qué usos de IA acepta tu organización, cómo se reparten las responsabilidades entre negocio, IT y legal, ni cómo se evalúa el impacto en las personas. Eso es gobierno de la IA, y conviene tenerlo resuelto antes, o a la vez. Lo explicamos en AI governance vs data governance y en el camino guiado de AI Governance.

Preguntas frecuentes

¿Es obligatorio aplicar la EN 18286?

No. Lo obligatorio, para los proveedores de alto riesgo, es tener el sistema de gestión de la calidad del art. 17. La norma es la vía más directa para demostrarlo.

¿Puedo certificarme en EN 18286?

No como certificado independiente, al estilo de ISO 42001. Su cumplimiento se valora dentro de la evaluación de conformidad del sistema de IA.

¿Cuándo tengo que tenerlo listo?

Cuando se apliquen las obligaciones de alto riesgo, que el Digital Omnibus aplazó. Consulta las fechas actualizadas en el calendario del AI Act.

Contenido informativo y orientativo; no constituye asesoramiento jurídico. Las normas armonizadas son de pago y su texto está protegido: aquí solo resumimos ideas generales a partir de fuentes públicas. Revisa tu caso con un profesional cualificado.

EN 18286: la norma del sistema de gestión de calidad del AI Act, qué cubre y qué no