Una norma europea costruita sull’articolo 17

A luglio 2026 è stata pubblicata la EN 18286:2026, “Artificial intelligence — Quality management system for EU AI Act regulatory purposes”. Il titolo delimita bene il campo: non è un generico modello di buona gestione dell’AI, ma un sistema di gestione per la qualità pensato per sostenere gli adempimenti regolatori europei.

Il riferimento giuridico è il Regolamento (UE) 2024/1689, l’AI Act. L’articolo 17 impone ai fornitori di sistemi AI ad alto rischio di istituire un sistema qualità documentato «in modo sistematico e ordinato», tramite politiche, procedure e istruzioni scritte. La EN 18286:2026 trasforma quell’elenco legislativo in una struttura applicabile lungo il ciclo di vita del sistema: dall’impostazione della governance alla progettazione, dalla verifica delle modifiche al monitoraggio successivo all’immissione sul mercato.

Il prefisso va letto con attenzione. EN 18286:2026 non è una norma ISO e non va confusa con EN ISO 18286:2010, relativa alle tolleranze delle lamiere di acciaio inossidabile laminate a caldo. Per l’eventuale recepimento italiano e la relativa data di disponibilità occorre controllare il catalogo UNI: una EN pubblicata dal CEN non coincide automaticamente, nello stesso giorno, con la sua versione nazionale UNI EN.

Che cosa deve tenere insieme il sistema qualità

L’articolo 17 del Regolamento (UE) 2024/1689 non chiede soltanto un manuale. Chiede un meccanismo capace di dimostrare chi decide, con quali criteri, su quali dati e con quali registrazioni. La norma organizza questo meccanismo attorno al prodotto AI e ai requisiti regolatori applicabili.

Tra i nuclei da presidiare rientrano:

  • strategia di conformità, procedure di valutazione della conformità e gestione delle modifiche;

  • progettazione, sviluppo, verifica, prova e validazione del sistema AI;

  • gestione dei dati e collegamento con il risk management previsto dall’articolo 9;

  • monitoraggio post-market ai sensi dell’articolo 72 e gestione delle segnalazioni previste dall’articolo 73;

  • controllo di documenti e registrazioni, comunicazioni con autorità e operatori della catena del valore;

  • responsabilità, competenze e risorse, compresa la continuità degli approvvigionamenti rilevanti.

La logica è quella della tracciabilità. Una fattura può riportare l’importo corretto, ma l’amministrazione non la paga se mancano ordine, approvazione e prova della consegna. Allo stesso modo, un modello può superare un test tecnico e restare indifendibile in audit se non è possibile ricostruire versione, dataset, criteri di accettazione, responsabile della decisione e azioni adottate dopo un’anomalia.

Pubblicazione e armonizzazione non sono sinonimi

La pubblicazione della EN 18286:2026 chiude il lavoro tecnico del CEN, non l’intero percorso giuridico. Ai sensi dell’articolo 40 del Regolamento (UE) 2024/1689, la presunzione di conformità nasce quando il riferimento della norma armonizzata, o di una sua parte, è pubblicato nella Gazzetta ufficiale dell’Unione europea. La presunzione vale inoltre soltanto per i requisiti effettivamente coperti.

Alla data del 24 luglio 2026, la citazione della EN 18286:2026 in GUUE va ancora verificata su EUR-Lex. Fino a quel passaggio, la norma costituisce il riferimento tecnico più mirato per costruire il sistema qualità richiesto dall’articolo 17, ma non un “safe harbour” automatico. Anche dopo la citazione, applicarla resterà volontario: l’obbligo è rispettare l’AI Act, mentre la norma offre una via riconosciuta per dimostrarlo, come chiarisce la Commissione europea.

Questa distinzione incide su contratti, capitolati e dichiarazioni commerciali. Scrivere oggi “conforme alla EN 18286:2026” richiede evidenze puntuali; scrivere “conforme all’AI Act perché applica la EN 18286:2026” è un’affermazione più ampia e, senza verifica della citazione e del suo perimetro, può risultare impropria.

Il rapporto con ISO/IEC 42001, ISO 9001 e ISO 13485

Le organizzazioni certificate secondo ISO/IEC 42001:2023, “Information technology — Artificial intelligence — Management system”, non partono da zero. Politiche, ruoli, valutazione dei rischi, competenze, audit interni, riesame e miglioramento offrono una base riutilizzabile. Tuttavia ISO/IEC 42001:2023 guarda al sistema di gestione dell’organizzazione; EN 18286:2026 è orientata alla conformità regolatoria dei sistemi AI forniti e alla disponibilità delle prove relative a ciascun prodotto.

Lo stesso vale per ISO 9001:2015/Amd 1:2024 e, nei dispositivi medici, per ISO 13485:2016. Alla data del 24 luglio 2026, la sesta edizione di ISO 9001 è ancora in pubblicazione e attesa per settembre: non va citata come norma già vigente. Processi già controllati possono essere integrati, evitando duplicazioni, ma non devono nascondere i requisiti specifici dell’AI Act. Un certificato ISO/IEC 42001:2023 o ISO 9001:2015 non equivale alla conformità del singolo sistema AI ad alto rischio; neppure la sola adozione della EN 18286:2026 sostituisce la valutazione di conformità richiesta dal Regolamento (UE) 2024/1689.

A nostro avviso, l’errore più costoso sarebbe creare un secondo sistema documentale separato. Conviene invece costruire una matrice che colleghi processi esistenti, articolo 17, requisiti EN 18286:2026 ed evidenze di prodotto. La duplicazione produce procedure incoerenti; l’integrazione rende visibili i gap reali.

La gap analysis da avviare ora

Il primo lavoro non è riscrivere il manuale, ma scegliere uno o due sistemi AI rappresentativi e seguirne l’intero percorso. Per ciascuno occorre verificare:

  • classificazione e ruolo dell’organizzazione nella catena del valore;

  • proprietari di processo e poteri di approvazione;

  • collegamento tra rischi, requisiti, test e criteri di accettazione;

  • versionamento di modelli, dati, prompt, componenti e configurazioni rilevanti;

  • gestione delle modifiche sostanziali, anomalie, reclami, incidenti e monitoraggio post-market;

  • tempi di conservazione, integrità e reperibilità delle registrazioni.

L’output utile è una mappa delle evidenze, non una raccolta indiscriminata di file. Ogni controllo dovrebbe indicare requisito, responsabile, frequenza, registrazione prodotta e punto di conservazione. Questo rende il sistema interrogabile durante un audit e riduce il rischio che le prove siano disperse tra ticket, repository tecnici, e-mail e cartelle personali.

Scadenze più lunghe, lavoro da non rinviare

Il calendario dell’AI Act è stato ridisegnato nel 2026 dal Digital Omnibus sull’AI. Il Consiglio UE ha dato il via libera definitivo il 29 giugno 2026 a scadenze differenziate: 2 dicembre 2027 per i sistemi ad alto rischio autonomi dell’allegato III e 2 agosto 2028 per quelli incorporati come componenti di sicurezza nei prodotti disciplinati dagli atti dell’Unione elencati nell’allegato I. Prima di inserire tali date in procedure o contratti, vanno verificati in GUUE il numero definitivo del regolamento modificativo e la sua entrata in vigore.

Il rinvio non riduce il lavoro necessario. Progettazione, data governance, validazione e post-market monitoring producono evidenze nel tempo; ricostruirle a posteriori è più costoso e spesso impossibile. La EN 18286:2026 offre ora la griglia per raccoglierle mentre i processi avvengono. Per quality manager e compliance officer, il passo concreto è assegnare un owner alla gap analysis, delimitare il portafoglio AI interessato e portare al prossimo riesame una roadmap con responsabilità, priorità e budget.