---
title: "EN 18286 : le premier standard harmonisé de l'AI Act est publié"
url: "https://realmoon.ai/actualites/en-18286-standard-harmonise-ai-act-dsi"
date_published: "2026-10-19T11:22:56+00:00"
author: "Veille Moon AI"
category: "Sécurité"
publisher: "Moon AI (Stellarr Studio SAS)"
language: fr
license: "Citation autorisée avec lien vers la source. Réutilisation intégrale soumise à accord."
ai_generated: true
human_reviewed: false
editorial_policy: "https://realmoon.ai/actualites/methode"
sources:
  - "https://www.leto.legal/news/commission-norme-harmonisee-en-18286-ai-act-systeme-qualite-2026"
  - "https://keplernewsletter.substack.com/p/privacy-and-cybersecurity-91"
  - "https://lne-gmed.com/news/ai-act-a-first-harmonized-standard-published-in-the-ojeu"
  - "https://certiforma.fr/ai-act-article-4-maitrise-ia-organismes-formation/"
  - "https://digital-strategy.ec.europa.eu/en/policies/ai-act-standardisation"
  - "https://www.innosys.fr/blog/ai-act-ce-qui-sapplique-vraiment-depuis-le-2-aout-2026"
---

# EN 18286 : le premier standard harmonisé de l'AI Act est publié

*La Commission européenne a publié le 14 octobre 2026 la référence de la norme EN 18286:2026, premier standard harmonisé de l'AI Act. Il porte sur le système de management de la qualité des fournisseurs de systèmes d'IA à haut risque et ouvre droit à une présomption de conformité au titre de l'article 40 du règlement. Pour les DSI français, c'est la première fois qu'un texte technique concret permet de vérifier, point par point, si un déploiement d'IA tient la route face à l'AI Act.*

> Article produit par la veille automatisée de Moon AI, sans relecture humaine préalable, conformément à l'article 50 du règlement (UE) 2024/1689. Méthode et politique de correction : https://realmoon.ai/actualites/methode

## Ce que la Commission a publié le 14 octobre 2026

La décision d'exécution (UE) 2026/2274, adoptée le 12 octobre 2026 et publiée au Journal officiel de l'Union européenne deux jours plus tard, cite pour la première fois une référence de norme harmonisée au titre du règlement (UE) 2024/1689 sur l'intelligence artificielle. Le texte est court : deux articles et une annexe. L'article premier publie la référence listée en annexe, « EN 18286:2026, Intelligence artificielle : Système de management de la qualité pour le règlement européen sur l'IA ». L'article 2 fixe l'entrée en vigueur au jour même de la publication, soit le 14 octobre 2026.

La norme découle d'une demande de normalisation adressée au CEN et au Cenelec, qui travaillent conjointement au sein du comité technique mixte JTC 21. Selon la Commission, ce comité développe des standards dans dix domaines distincts de l'AI Act : gestion des risques, gouvernance et qualité des jeux de données, tenue de registres, transparence, supervision humaine, exactitude, robustesse, cybersécurité, management de la qualité et évaluation de la conformité. EN 18286 est la première de ces dix briques à franchir l'étape finale. Le projet de norme, prEN 18286, était entré en enquête publique le 30 octobre 2025 ; la Commission a ensuite évalué, avec les deux organismes de normalisation, que le texte final « satisfait aux exigences qu'elle vise à couvrir » dans le règlement.

## Pourquoi ce texte change la donne pour les DSI français

Jusqu'à présent, un DSI qui voulait vérifier la conformité d'un système d'IA à haut risque face à l'AI Act devait se contenter du texte du règlement, formulé en obligations générales, sans référentiel technique opposable. EN 18286 change cette situation sur un point précis : le système de management de la qualité prévu par l'article 17. C'est la première fois qu'un audit de conformité peut s'appuyer sur un document normatif identifié, et non sur une interprétation maison du règlement.

### Une présomption de conformité, pas un blanc-seing

L'article 40 de l'AI Act prévoit qu'un système d'IA à haut risque conforme à une norme harmonisée référencée au Journal officiel est présumé conforme aux exigences du règlement, dans la mesure où ces exigences sont couvertes par la norme. Le considérant 6 de la décision précise que cette présomption joue à compter de la date de publication, donc depuis le 14 octobre 2026. Mais la présomption ne couvre que le périmètre de la norme : EN 18286 traite du système qualité, pas de la classification du système d'IA ni de ses autres exigences techniques (données d'entraînement, documentation technique, robustesse, etc.). Un DSI qui coche cette case ne peut donc pas en conclure que l'ensemble du système est conforme à l'AI Act.

### Le périmètre exact de l'article 17

Le système qualité relève de l'article 17 du règlement. Il s'impose aux fournisseurs de systèmes d'IA à haut risque et doit être documenté « sous la forme de politiques, de procédures et d'instructions écrites ». Il comprend au moins treize volets, parmi lesquels :

- la stratégie de respect de la réglementation
- la gestion des données
- le système de gestion des risques prévu à l'article 9
- la surveillance après commercialisation prévue à l'article 72
- le signalement des incidents graves prévu à l'article 73
- un cadre de responsabilisation de l'encadrement

Sa mise en œuvre reste proportionnée à la taille du fournisseur, comme le précise l'article 17, paragraphe 2. Un point mérite l'attention des DSI du secteur financier : l'article 17, paragraphe 4, prévoit qu'un établissement fournisseur qui respecte déjà ses règles de gouvernance sectorielles satisfait à l'obligation de système qualité, sauf pour la gestion des risques, la surveillance après commercialisation et le signalement des incidents graves. Le même paragraphe impose de prendre en considération toute norme harmonisée de l'article 40, donc EN 18286, même dans ce cas.

## Un calendrier qui laisse le temps de s'aligner

La norme arrive alors que le calendrier d'application des obligations haut risque a lui-même bougé. Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l'IA », publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet, a repoussé l'application des dispositions haut risque de l'annexe III (recrutement, crédit, éducation, biométrie, justice) du 2 août 2026 au 2 décembre 2027. Les systèmes haut risque de l'annexe I, intégrés à des produits déjà réglementés par ailleurs, basculent quant à eux au 2 août 2028.

| Date | Ce qui s'applique | Statut |
| --- | --- | --- |
| 2 février 2025 | Interdictions de l'article 5 et obligation de maîtrise de l'IA (article 4) | En vigueur |
| 2 août 2025 | Obligations des modèles à usage général, gouvernance, sanctions | En vigueur |
| 14 octobre 2026 | Référence EN 18286:2026 publiée au Journal officiel | En vigueur |
| 2 décembre 2026 | Deux nouvelles interdictions ; fin du délai de marquage des contenus antérieurs | À venir |
| 2 décembre 2027 | Haut risque, annexe III (RH, crédit, éducation, biométrie) | Reporté |
| 2 août 2028 | Haut risque, annexe I (IA intégrée à des produits réglementés) | Reporté |

Ce décalage ne touche ni aux interdictions de l'article 5, ni à l'obligation de littératie en IA de l'article 4, ni aux obligations de transparence de l'article 50, toutes trois déjà en vigueur ou maintenues. Il laisse en revanche un délai confortable pour se préparer sur le terrain précis que couvre EN 18286 : la norme est publiée plus d'un an avant l'échéance haut risque de l'annexe III.

## Qualifier son rôle avant d'auditer quoi que ce soit

L'article 17 vise le fournisseur, défini comme l'organisation qui développe ou fait développer un système et le met en service sous son propre nom. La majorité des entreprises françaises sont en réalité déployeuses : elles utilisent des systèmes d'IA fournis par des éditeurs tiers, sans les avoir développés elles-mêmes. Pour un fournisseur, l'exercice consiste à comparer son système qualité existant aux volets de l'article 17 et à EN 18286, puis à décider si la norme sera appliquée intégralement ; à défaut, l'article 17 impose de documenter les moyens alternatifs retenus.

Pour un déployeur, l'exercice est différent mais tout aussi concret : demander aux éditeurs d'IA utilisés s'ils se réfèrent à EN 18286, et intégrer cette question aux grilles d'évaluation des sous-traitants. Une organisation déjà engagée dans une démarche ISO 42001 a intérêt à comparer les deux référentiels : seule EN 18286, parce qu'elle est une norme harmonisée au sens de l'article 40, porte une présomption de conformité réglementaire. ISO 42001 n'en porte pas.

## Ce que cela implique pour l'accès aux modèles et le traitement des données

Le volet « gestion des données » figure parmi les composantes attendues du système qualité de l'article 17. Pour un DSI qui pilote plusieurs fournisseurs de modèles d'IA via une plateforme d'agrégation, cela signifie documenter précisément où transitent les données, et comment elles sont protégées avant d'atteindre les modèles tiers. Une plateforme multi-modèles comme Moon AI, éditée par Stellarr Studio SAS, illustre ce point sans pour autant répondre à elle seule à l'obligation réglementaire : l'application et le stockage sont hébergés chez OVHcloud, à Strasbourg et Roubaix, mais les requêtes adressées aux modèles tiers partent bien chez leurs fournisseurs respectifs, après un traitement appelé Moon Blur, qui remplace les données personnelles par des jetons avant l'envoi et les rétablit au retour. Ce procédé étant réversible, il s'agit d'une pseudonymisation au sens de l'article 4, point 5, du RGPD, pas d'une anonymisation. Pour un DSI qui construit sa grille d'audit fournisseur, ce genre de détail technique (quelles données quittent réellement le territoire, sous quelle forme, et selon quel procédé réversible ou non) est précisément ce que la gestion des données attendue par EN 18286 cherche à faire documenter.

Cela ne dispense en rien l'organisation de ses propres obligations RGPD, qui n'ont jamais été suspendues par le calendrier de l'AI Act, ni de vérifier si les systèmes concernés relèvent effectivement du régime haut risque.

## Questions fréquentes

### La présomption de conformité couvre-t-elle tout le règlement ?

Non. Elle ne couvre que les exigences effectivement traitées par la norme, en l'occurrence le système de management de la qualité prévu à l'article 17. La classification du système d'IA, sa documentation technique, sa robustesse ou sa gestion des risques spécifiques restent à démontrer par d'autres moyens.

### Le report du calendrier haut risque rend-il EN 18286 inutile pour l'instant ?

Non. La norme est entrée en vigueur dès sa publication, le 14 octobre 2026, indépendamment du report des obligations haut risque à fin 2027 et à 2028. Elle offre un délai pour s'aligner avant l'échéance, pas une raison de ne rien faire.

### Un DSI français doit-il appliquer EN 18286 dès maintenant ?

L'application des normes harmonisées reste volontaire. Un fournisseur de système d'IA à haut risque peut choisir un autre moyen de démontrer sa conformité, à condition de le documenter. Mais appliquer EN 18286 est le chemin le plus simple pour bénéficier de la présomption de conformité de l'article 40.

### Quelle différence entre un fournisseur et un déployeur sur ce sujet ?

L'article 17 et EN 18286 visent le fournisseur, c'est-à-dire l'organisation qui développe ou fait développer un système d'IA et le met en service sous son propre nom. Un déployeur, qui utilise un système fourni par un tiers, n'est pas tenu par l'article 17 lui-même, mais a intérêt à vérifier si ses fournisseurs s'y réfèrent, en l'intégrant à ses propres questionnaires d'évaluation des sous-traitants.

> **Transparence.** Cet article a été rédigé par un système d'intelligence artificielle à partir des sources listées ci-dessous, puis vérifié fait par fait par un second système avant publication. Il n'a pas fait l'objet d'une relecture humaine préalable. Les chiffres et citations proviennent des sources ; en cas d'écart, la source fait foi. Notre [méthode, ses limites et notre politique de correction](https://realmoon.ai/actualites/methode).

> **Sources.** Article rédigé à partir des publications suivantes, consultées le 19/10/2026. En cas d'écart, la source fait foi. Signalez toute inexactitude à [contact@stellarrstudio.com](https://realmoon.ai/mailto:contact@stellarrstudio.com).
>
> - [https://www.leto.legal/news/commission-norme-harmonisee-en-18286-ai-act-systeme-qualite-2026](https://www.leto.legal/news/commission-norme-harmonisee-en-18286-ai-act-systeme-qualite-2026)
> - [https://keplernewsletter.substack.com/p/privacy-and-cybersecurity-91](https://keplernewsletter.substack.com/p/privacy-and-cybersecurity-91)
> - [https://lne-gmed.com/news/ai-act-a-first-harmonized-standard-published-in-the-ojeu](https://lne-gmed.com/news/ai-act-a-first-harmonized-standard-published-in-the-ojeu)
> - [https://certiforma.fr/ai-act-article-4-maitrise-ia-organismes-formation/](https://certiforma.fr/ai-act-article-4-maitrise-ia-organismes-formation/)
> - [https://digital-strategy.ec.europa.eu/en/policies/ai-act-standardisation](https://digital-strategy.ec.europa.eu/en/policies/ai-act-standardisation)
> - [https://www.innosys.fr/blog/ai-act-ce-qui-sapplique-vraiment-depuis-le-2-aout-2026](https://www.innosys.fr/blog/ai-act-ce-qui-sapplique-vraiment-depuis-le-2-aout-2026)

---

Source : https://realmoon.ai/actualites/en-18286-standard-harmonise-ai-act-dsi