La norma europea è destinata a supportare soprattutto le organizzazioni che immettono sul mercato o mettono in servizio sistemi di IA ad alto rischio nell’attuazione dei requisiti regolatori applicabili. Il testo definitivo è disponibile dal 22 luglio 2026, mentre la citazione nella Gazzetta ufficiale dell’Unione europea, necessaria per la presunzione di conformità, risulta ancora attesa.

di Oliviero Casale, General Manager di UniProfessioni e Segretario di AICQ Emilia Romagna e Marche

La EN 18286:2026, intitolata “Artificial intelligence – Quality management system for EU AI Act regulatory purposes”, risulta pubblicata nella banca dati ufficiale CEN-CENELEC, dopo essere stata ratificata il 12 luglio 2026 e resa disponibile nelle versioni linguistiche ufficiali il 22 luglio successivo. Elaborata dal CEN/CLC/JTC 21 “Artificial Intelligence” con il Work Item JT021039, la norma specifica requisiti e fornisce indicazioni per la definizione, l’attuazione e il mantenimento di un sistema di gestione della qualità destinato alle organizzazioni che forniscono sistemi di intelligenza artificiale; secondo il campo di applicazione pubblicato nella scheda ufficiale, essa è stata concepita per sostenere il rispetto dei requisiti regolatori applicabili, è principalmente rivolta alle organizzazioni che immettono sul mercato o mettono in servizio sistemi di IA ad alto rischio e non è specifica per alcun settore. [1]
Lo status “Published”, ora riportato nella scheda ufficiale, deve essere distinto dalle ulteriori date che descrivono l’evoluzione e l’attuazione della norma. La ratifica del 12 luglio 2026 indica il momento in cui l’approvazione della EN è stata formalmente rilevata, mentre la data di disponibilità del 22 luglio identifica la distribuzione del testo definitivo nelle versioni linguistiche ufficiali da parte del Segretariato centrale; la date of Publication del 31 gennaio 2027 rappresenta, invece, il termine entro il quale la norma europea dovrà essere attuata a livello nazionale mediante la pubblicazione di una norma identica o mediante endorsement e coincide con il termine previsto per il ritiro delle eventuali norme nazionali contrastanti. La pubblicazione della EN deve inoltre essere mantenuta distinta dalla citazione del suo riferimento nella Gazzetta ufficiale dell’Unione europea, che la scheda CEN-CENELEC indica ancora come attesa. [1]

La base giuridica: il sistema di gestione della qualità previsto dall’articolo 17

Il fondamento dell’obbligo non risiede nella norma tecnica, ma nel Regolamento (UE) 2024/1689. L’articolo 16, lettera c), impone ai fornitori di sistemi di IA ad alto rischio di disporre di un sistema di gestione della qualità conforme all’articolo 17, il quale richiede che tale sistema assicuri la conformità al regolamento e sia documentato in modo sistematico e ordinato mediante politiche, procedure e istruzioni scritte. La norma europea interviene quindi in un ambito nel quale l’obbligo giuridico è già definito dal legislatore, offrendo una struttura tecnica e gestionale specificamente orientata alla sua attuazione. [2]
Il contenuto minimo previsto dall’articolo 17 è ampio e comprende la strategia per la conformità regolatoria, incluse le procedure di valutazione della conformità e di gestione delle modifiche; le tecniche e le azioni sistematiche utilizzate per la progettazione, il controllo e la verifica della progettazione; le modalità di sviluppo, controllo e assicurazione della qualità; le procedure di esame, prova e validazione da eseguire prima, durante e dopo lo sviluppo; le specifiche tecniche e le norme da applicare, nonché i mezzi alternativi da utilizzare quando le norme armonizzate non siano applicate integralmente o non coprano tutti i requisiti pertinenti. A questi elementi si aggiungono la gestione dei dati, il sistema di gestione dei rischi di cui all’articolo 9, il monitoraggio successivo all’immissione sul mercato previsto dall’articolo 72, la segnalazione degli incidenti gravi ai sensi dell’articolo 73, le comunicazioni con le autorità, gli organismi notificati, gli altri operatori, i clienti e le parti interessate, la conservazione delle informazioni e della documentazione, la gestione delle risorse – comprese le misure connesse alla sicurezza dell’approvvigionamento – e un quadro di accountability che assegni le responsabilità alla direzione e al personale coinvolto. [2]
L’attuazione di tali aspetti deve essere proporzionata alle dimensioni dell’organizzazione del fornitore, fermo restando il grado di rigore e il livello di protezione necessari per garantire la conformità del sistema di IA ad alto rischio. Il regolamento contiene inoltre disposizioni specifiche per i fornitori già soggetti a sistemi di gestione della qualità o a funzioni equivalenti previste dalla legislazione settoriale dell’Unione e per le istituzioni finanziarie assoggettate a regole europee di governance interna, confermando che l’attuazione dell’articolo 17 deve essere coordinata con il quadro regolatorio già applicabile, senza presumere che la mera esistenza di un sistema preesistente assicuri, da sola, la copertura di tutti gli obblighi relativi all’IA. [2]

Campo di applicazione e architettura documentata del progetto

La scheda CEN-CENELEC consente di verificare con certezza il titolo, lo stato, le date e il campo di applicazione della EN 18286:2026, ma non rende liberamente consultabile l’intero contenuto normativo. Per ricostruire l’impostazione tecnica seguita dal JTC 21 è quindi possibile utilizzare il progetto prEN 18286 sottoposto a inchiesta pubblica nell’ottobre 2025, purché si mantenga una distinzione netta tra quel testo e la versione finale, poiché singole clausole, formulazioni e allegati possono essere stati modificati durante la risoluzione dei commenti e l’approvazione. [1][3]
Nell’introduzione del progetto, l’AI Act era ricondotto al sistema di sicurezza dei prodotti del New Legislative Framework e il sistema di IA era considerato come prodotto o componente di un prodotto; il sistema di gestione della qualità poteva essere associato a uno o più sistemi di IA destinati a essere immessi sul mercato o messi in servizio, mentre la qualità, in questo specifico contesto, veniva collegata alla conformità ai requisiti regolatori applicabili ai fornitori. Il progetto descriveva inoltre un sistema esteso all’intero ciclo di vita, applicabile a fornitori di qualunque dimensione, natura o ubicazione e orientato anche alla gestione dei rischi per la salute, la sicurezza e i diritti fondamentali, con un livello di attuazione adattabile alla dimensione del fornitore senza ridurre il rigore richiesto dalla regolazione. [3]
L’indice del progetto articolava il sistema attraverso requisiti relativi all’individuazione delle prescrizioni regolatorie, alla definizione del campo di applicazione, alla strategia di conformità e alle informazioni documentate; proseguiva con la responsabilità della direzione, la politica, i ruoli, la pianificazione, le risorse, le competenze e la comunicazione, per poi disciplinare la realizzazione del prodotto, la progettazione e lo sviluppo, la verifica e la validazione, la gestione dei dati, la sostenibilità ambientale e la documentazione del prodotto. Le successive sezioni riguardavano il deployment, l’operatività e il monitoraggio, la catena di fornitura, le modifiche ai sistemi di IA, il monitoraggio post-market, gli incidenti gravi, le non conformità, il riesame e il miglioramento; gli allegati informativi affrontavano la consultazione delle parti interessate in materia di diritti fondamentali, le relazioni con le altre norme armonizzate, le corrispondenze con ISO 9001:2015 e ISO/IEC 42001:2023 e la mappatura, tramite l’allegato ZA, dei requisiti del Regolamento (UE) 2024/1689 che il progetto mirava a coprire. [3]

L’integrazione con i sistemi di gestione già esistenti

L’articolo 17, paragrafo 3, consente ai fornitori già soggetti a obblighi relativi a sistemi di gestione della qualità o a una funzione equivalente prevista dal diritto settoriale dell’Unione di includere gli aspetti richiesti dal regolamento all’interno dei sistemi stabiliti da tale disciplina. Il progetto prEN seguiva la stessa impostazione, precisando che non era necessario mantenere un sistema separato e indicando, come esempio, l’integrazione dei requisiti nei processi di un sistema per la qualità dei dispositivi medici conforme alla ISO 13485. Per le istituzioni finanziarie, il paragrafo 4 dell’articolo 17 prevede una disciplina specifica, in base alla quale l’obbligo è considerato assolto mediante il rispetto delle regole europee sulla governance interna, salvo gli elementi relativi al sistema di gestione dei rischi, al monitoraggio post-market e alla segnalazione degli incidenti gravi, tenendo conto delle norme armonizzate di cui all’articolo 40. [2][3]
Da queste disposizioni non deriva, tuttavia, una copertura automatica: la presenza di un sistema conforme alla ISO 9001, alla ISO 13485, alla ISO/IEC 27001 o ad altre norme settoriali costituisce una possibile base organizzativa, ma richiede una verifica puntuale delle responsabilità, dei processi, dei controlli e delle evidenze richiesti dall’articolo 17. L’approccio più coerente consiste quindi nell’integrare quanto è già adeguatamente governato e nel colmare le lacune regolatorie riferite ai sistemi di IA, evitando sia la duplicazione di strutture e documenti sia l’assimilazione impropria tra sistemi di gestione aventi finalità differenti.

Il rapporto con ISO/IEC 42001: punti di contatto senza equivalenza

La ISO/IEC 42001:2023 specifica i requisiti per istituire, attuare, mantenere e migliorare continuamente un sistema di gestione dell’intelligenza artificiale all’interno di un’organizzazione ed è destinata a soggetti di qualunque dimensione che sviluppano, forniscono o utilizzano prodotti e servizi basati sull’IA. La prospettiva è organizzativa e riguarda la gestione responsabile dei rischi e delle opportunità connessi allo sviluppo, alla fornitura e all’uso dei sistemi di IA, senza sostituire le prescrizioni legislative applicabili. [4]
La Commissione europea descrive invece il progetto EN 18286 come specificamente concepito per aiutare i fornitori di sistemi di IA ad alto rischio a soddisfare i requisiti dell’articolo 17, attraverso un quadro incentrato sul prodotto e sulla governance del ciclo di vita. La newsletter sull’inclusività del CEN-CENELEC JTC 21 del dicembre 2025 aggiungeva che la ISO/IEC 42001 non copriva tutti i requisiti del sistema di gestione della qualità previsti dall’AI Act e che la EN 18286 era attesa come norma destinata a soddisfare l’insieme dei requisiti regolatori in questo ambito; tale newsletter, tuttavia, dichiara espressamente di non essere vincolante e di non rappresentare necessariamente la posizione ufficiale degli organismi citati, sicché questa indicazione deve essere letta come informazione sul percorso di normazione e non come attestazione di equivalenza, gerarchia o sostituibilità tra le due norme. [5][6]
La conclusione più rigorosa è pertanto che ISO/IEC 42001 ed EN 18286 presentano finalità e campi di applicazione non coincidenti, pur potendo condividere processi e informazioni documentate. La presenza, nel progetto prEN, di distinti allegati di corrispondenza con ISO 9001:2015 e ISO/IEC 42001:2023 conferma l’esigenza di analizzare le relazioni tra i requisiti, ma non autorizza a sostenere che una norma assorba automaticamente l’altra; l’eventuale integrazione deve essere costruita sulla base del testo definitivo e verificata clausola per clausola. [3]

Norma europea pubblicata, ma presunzione di conformità ancora non operativa

La scheda ufficiale della EN 18286:2026 riporta la dicitura “Citation in OJEU: Citation expected for Directive 2024/1689”. Il numero 2024/1689 identifica giuridicamente un regolamento, non una direttiva, mentre l’espressione “Directive(s)” corrisponde all’intestazione generica utilizzata dalla banca dati CEN-CENELEC; il dato sostanziale è che, alla data della presente verifica, il riferimento della norma non risulta ancora citato nella Gazzetta ufficiale dell’Unione europea. [1]
L’articolo 40 dell’AI Act collega la presunzione di conformità ai sistemi di IA ad alto rischio o ai modelli di IA per finalità generali conformi a norme armonizzate, o a parti di esse, i cui riferimenti siano stati pubblicati nella Gazzetta ufficiale, e limita tale effetto ai requisiti o agli obblighi effettivamente coperti. La Commissione chiarisce inoltre che, dopo la pubblicazione di una norma da parte di CEN e CENELEC, verifica se essa soddisfi gli obiettivi e i requisiti giuridici dell’AI Act e, soltanto dopo questa valutazione, procede alla pubblicazione del riferimento nella Gazzetta ufficiale; l’applicazione delle norme resta volontaria, ma la citazione consente a chi le applica di beneficiare della presunzione di conformità entro il perimetro della copertura riconosciuta. [2][6]
La EN 18286 può quindi essere utilizzata fin da ora come riferimento tecnico e organizzativo volontario per strutturare il sistema di gestione della qualità, ma non è corretto affermare che la sua applicazione produca già automaticamente la presunzione di conformità all’AI Act. Tale effetto dipenderà dalla futura citazione nella Gazzetta ufficiale e dal perimetro di copertura risultante dalla decisione della Commissione e dalla relativa mappatura dei requisiti.

Il calendario applicativo dopo l’adozione del Digital Omnibus sull’IA

La disponibilità della EN 18286 interviene in una fase di modifica del calendario applicativo dell’AI Act. Il 29 giugno 2026 il Consiglio dell’Unione europea ha dato il via libera definitivo al regolamento del Digital Omnibus sull’IA e la versione finale dell’atto adottato, identificata come PE 30 2026 REV 1, è registrata su EUR-Lex con data 8 luglio 2026. Secondo la cronistoria ufficiale del Consiglio, il testo introduce un calendario fisso che rinvia al 2 dicembre 2027 l’applicazione delle regole relative ai sistemi di IA ad alto rischio indipendenti, riconducibili all’articolo 6, paragrafo 2, e all’allegato III, e al 2 agosto 2028 quella delle regole relative ai sistemi ad alto rischio integrati nei prodotti disciplinati dalla legislazione di armonizzazione dell’Unione, riconducibili all’articolo 6, paragrafo 1, e all’allegato I. [7][8]
È necessario, tuttavia, distinguere l’adozione dell’atto dalla sua entrata in vigore: il Consiglio ha precisato che il regolamento sarebbe entrato in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale e, al 25 luglio 2026, le fonti ufficiali rendono disponibile il testo adottato senza attribuirgli ancora un numero della serie L. Le nuove date devono quindi essere presentate come quelle stabilite dal regolamento adottato, la cui efficacia presuppone la pubblicazione e l’entrata in vigore. [7][8]
Il rinvio non riduce la funzione della EN 18286, poiché un sistema di gestione della qualità conforme all’articolo 17 richiede l’attribuzione delle responsabilità, la definizione e il controllo dei processi, la gestione documentata dei dati e dei rischi, il monitoraggio post-market, la gestione delle modifiche e degli incidenti e la disponibilità di evidenze verificabili. Questi elementi devono essere progettati, applicati e riesaminati nel tempo e non possono essere ridotti a un adeguamento documentale effettuato soltanto in prossimità della valutazione di conformità.

Le attività preparatorie per le organizzazioni

Senza anticipare requisiti del testo definitivo non liberamente consultabili, le organizzazioni possono avviare un lavoro preparatorio fondato sulle disposizioni dell’AI Act e sul campo di applicazione ufficiale della EN 18286. Il primo passaggio consiste nel determinare il ruolo assunto nella catena del valore, censire i sistemi di IA, definirne la finalità prevista e verificare se ricorrano le condizioni della classificazione ad alto rischio. L’articolo 25 stabilisce, tra l’altro, che un distributore, un importatore, un deployer o un altro terzo è considerato fornitore di un sistema di IA ad alto rischio quando appone il proprio nome o marchio su un sistema già immesso sul mercato o messo in servizio, apporta una modifica sostanziale mantenendone la classificazione ad alto rischio oppure modifica la finalità prevista di un sistema non originariamente classificato come tale, rendendolo ad alto rischio ai sensi dell’articolo 6. [2]
Una volta chiariti ruoli, sistemi e obblighi applicabili, diventa possibile confrontare i requisiti dell’articolo 17 con i processi già esistenti, individuando responsabilità, documenti, registrazioni, controlli e interfacce con gli altri sistemi di gestione. La verifica dovrebbe distinguere la governance organizzativa complessiva dell’IA dalla conformità regolatoria dei singoli sistemi immessi sul mercato o messi in servizio, così da integrare ciò che è già adeguato senza trascurare gli elementi specifici relativi al ciclo di vita, ai dati, ai rischi, al monitoraggio e agli incidenti. Parallelamente, sarà necessario seguire l’attuazione nazionale della EN 18286, l’eventuale pubblicazione della versione UNI EN e, soprattutto, la futura citazione del riferimento nella Gazzetta ufficiale dell’Unione europea.
Dalla prescrizione giuridica a processi e prove verificabili
La EN 18286:2026 costituisce una norma europea pubblicata e specificamente dedicata al sistema di gestione della qualità per le finalità regolatorie dell’AI Act; la Commissione aveva già indicato il relativo progetto come il primo progetto di norma armonizzata per l’IA entrato nella fase di inchiesta pubblica, il 30 ottobre 2025. Il suo contributo non consiste nel sostituire il regolamento né nel rendere automaticamente conformi i sistemi di IA, ma nel predisporre una struttura gestionale attraverso la quale i requisiti dell’articolo 17 possano essere tradotti in responsabilità, processi, controlli e informazioni documentate lungo il ciclo di vita. [6]
Una lettura tecnicamente e giuridicamente corretta richiede quindi di mantenere distinti l’obbligo previsto dall’AI Act, i requisiti della EN 18286, l’eventuale integrazione con sistemi già esistenti – compresa la ISO/IEC 42001 – e la futura citazione nella Gazzetta ufficiale, dalla quale potrà derivare la presunzione di conformità soltanto nei limiti dei requisiti effettivamente coperti. È su questa distinzione, accompagnata dalla verifica del testo definitivo e dall’aggiornamento costante del quadro regolatorio, che può essere costruita un’applicazione responsabile della nuova norma.

Fonti e documenti esaminati

[1] CEN-CENELEC, scheda ufficiale della EN 18286:2026, CEN/CLC/JTC 21, Work Item JT021039.
[2] Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, in particolare articoli 16, 17, 25, 40, 72 e 73.
[3] prEN 18286:2025, Artificial intelligence – Quality management system for EU AI Act regulatory purposes, progetto sottoposto a CEN Enquiry nell’ottobre 2025; anteprima documentale esaminata.
[4] ISO, ISO/IEC 42001:2023 – Information technology – Artificial intelligence – Management system.
[5] Artificial Intelligence Standardisation Inclusiveness Newsletter, Edition 12, dicembre 2025, riesaminata dal CEN-CENELEC JTC 21 Task Group Inclusiveness e dichiarata non vincolante; documento esaminato.
[6] Commissione europea, Standardisation of the AI Act, pagina aggiornata al 1° luglio 2026.
[7] Consiglio dell’Unione europea, cronistoria dell’AI Act e comunicato del 29 giugno 2026 sul via libera definitivo al Digital Omnibus sull’IA.
[8] EUR-Lex, PE 30 2026 REV 1, regolamento adottato che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230, documento datato 8 luglio 2026.