AI Act : la première norme harmonisée est publiée. Ce qu’une PME doit en retenir avant de faire développer un outil IA

Le 19 octobre 2026, la Commission européenne a publié au Journal officiel de l’Union européenne la référence de la première norme harmonisée liée à l’AI Act : EN 18286:2026, « Artificial intelligence – Quality management system for EU AI Act regulatory purposes », élaborée par le CEN et le CENELEC (décision d’exécution (UE) 2026/2274).

Dit autrement : il existe désormais un mode d’emploi officiel, reconnu par Bruxelles, pour bâtir le système de management de la qualité exigé par l’article 17 du règlement. Les fournisseurs qui l’appliquent bénéficient d’une présomption de conformité sur les exigences de l’article 17 couvertes par la norme.

Pour la plupart des PME et ETI, la nouvelle ne change rien du jour au lendemain. Mais elle clarifie une question que nous entendons souvent avant un projet : « si je fais développer un outil IA, est-ce que l’AI Act me concerne, et comment ? »

Ce que dit exactement la norme

Selon la Commission, EN 18286 :

• traduit l’article 17 de l’AI Act en un système qualité opérationnel ;
• est construite autour du cycle de vie du système d’IA, et non autour de l’organisation ;
• est conçue pour s’ajouter aux normes existantes, comme ISO/IEC 42001, ISO 9001 ou un système qualité sectoriel (ISO 13485 dans le dispositif médical), plutôt que les remplacer ;
• permet aux entreprises des secteurs réglementés d’intégrer leurs systèmes de management au lieu d’en faire tourner deux en parallèle.

La Commission précise que c’est, à ce jour, la seule norme de système qualité IA qui ouvre droit à la présomption de conformité, et que d’autres normes harmonisées doivent suivre.

Qui est concerné ? Surtout les systèmes « à haut risque »

L’article 17 vise les fournisseurs de systèmes d’IA à haut risque. Le calendrier a été fixé par l’« AI Omnibus », entré en vigueur le 27 juillet 2026 :

• 2 décembre 2027 : application des règles pour les cas d’usage à haut risque listés à l’annexe III (biométrie, infrastructures critiques, éducation, emploi, migration, asile, contrôle aux frontières, etc.) ;
• 2 août 2028 : application pour les systèmes intégrés à des produits réglementés (annexe I), par exemple ascenseurs ou jouets.

Un chatbot de support, un outil de génération de devis ou un assistant de recherche documentaire ne sont en général pas des systèmes à haut risque. En revanche, un outil qui trie des candidatures, note des salariés ou évalue des apprenants entre très vite dans l’annexe III. C’est le cas typique qui peut surprendre une PME.

Le point que beaucoup de dirigeants ratent : « faire développer » peut faire de vous le fournisseur

L’AI Act définit le fournisseur comme celui qui développe un système d’IA ou le fait développer et le met sur le marché ou en service sous son propre nom ou sa propre marque.

Concrètement, si votre entreprise commande un outil IA sur mesure à un prestataire et le déploie sous son nom, c’est souvent elle qui porte les obligations de fournisseur, pas le développeur. Pour un outil à haut risque, cela inclut le système qualité de l’article 17, celui que EN 18286 vient outiller.

Ce n’est pas une raison de renoncer au sur-mesure. C’est une raison de cadrer le projet dès le départ : qui est fournisseur, qui est déployeur, et qui produit quelle documentation.

Ce que les PME et petites ETI gagnent avec l’Omnibus

La Commission rappelle que l’AI Omnibus a étendu aux petites ETI (« small mid-caps ») certaines simplifications jusque-là réservées aux PME, notamment une documentation technique simplifiée. Il élargit aussi l’accès aux bacs à sable réglementaires, y compris un bac à sable au niveau européen, pour tester des solutions IA en conditions réelles. Le AI Act Service Desk et la plateforme d’information unique de la Commission restent les points d’entrée pour les questions de mise en œuvre.

Autre rappel utile : les pratiques interdites et l’obligation de maîtrise de l’IA (AI literacy) s’appliquent déjà depuis le 2 février 2025, quel que soit le niveau de risque de vos outils.

Notre lecture pour une PME ou une ETI

1. Faites l’inventaire. Listez les outils IA en service ou en projet, et repérez ceux qui touchent au recrutement, à l’évaluation de personnes ou à un produit réglementé.
2. Qualifiez votre rôle. Pour chaque outil, notez si vous êtes fournisseur (vous l’avez fait développer et vous l’exploitez sous votre nom) ou déployeur (vous utilisez l’outil d’un éditeur).
3. Partez de l’existant. Si vous êtes déjà ISO 9001 ou ISO/IEC 42001, EN 18286 est pensée pour venir par-dessus, pas pour tout refaire.
4. Écrivez-le dans le cahier des charges. Pour un développement sur mesure : journalisation, traçabilité des données, supervision humaine et documentation se prévoient dans l’architecture, pas après la mise en production.
5. Utilisez le délai. Décembre 2027, c’est un peu plus d’un an. Assez pour bien faire, pas assez pour attendre.

En résumé

La publication d’EN 18286 ne crée pas de nouvelle obligation. Elle donne un chemin balisé pour respecter une obligation qui existe déjà pour les systèmes à haut risque. Pour une PME qui fait développer un outil IA, la vraie question reste en amont : à quoi sert l’outil, et qui en est le fournisseur ? Chez AZINOVE SAS, nous posons ces deux questions au cadrage, avant la première ligne de code.

Sources

1. Commission européenne, « First harmonised standard supporting the AI Act published in the Official Journal », 19 octobre 2026 : https://digital-strategy.ec.europa.eu/en/library/first-harmonised-standard-supporting-ai-act-published-official-journal
2. Commission européenne, page « AI Act » (calendrier d’application, AI Omnibus, simplifications PME / small mid-caps), consultée le 22 octobre 2026 : https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
3. Règlement (UE) 2024/1689 (AI Act), article 3 (définition du fournisseur) et article 17 (système de gestion de la qualité).