AI Act, arriva il primo standard armonizzato: che cosa cambia davvero per chi sviluppa sistemi ad alto rischio

In breve

Dal 14 ottobre 2026 esiste un primo riferimento armonizzato europeo per il sistema di gestione della qualità dei sistemi di intelligenza artificiale ad alto rischio. L’adozione resta volontaria e non equivale a una certificazione automatica dell’intero sistema. Lo standard può essere usato fin d’ora per preparare i processi; le regole sui sistemi dell’allegato III diventano applicabili il 2 dicembre 2027, mentre quelle sui sistemi incorporati nei prodotti regolamentati dell’allegato I si applicano dal 2 agosto 2028.

 

Perché lo standard EN 18286 cambia il lavoro dei fornitori

Per chi lavora sul regolamento europeo sull’intelligenza artificiale, noto come AI Act, la pubblicazione di uno standard può sembrare un passaggio per specialisti. In questo caso, invece, vale la pena fermarsi. Con la decisione di esecuzione (UE) 2026/2274, pubblicata nella Gazzetta ufficiale dell’Unione il 14 ottobre 2026, la Commissione europea ha reso pubblico il riferimento della EN 18286:2026, dedicata al sistema di gestione della qualità per gli scopi regolatori del regolamento.

È il primo standard armonizzato europeo costruito attorno a uno degli obblighi centrali per i fornitori di sistemi di intelligenza artificiale ad alto rischio. Non introduce una nuova legge e non sostituisce il regolamento. Offre però un linguaggio operativo comune per descrivere come un’organizzazione governa sviluppo, modifiche, controlli, responsabilità e documentazione.

 

Dalla regola al processo

L’AI Act chiede ai fornitori di sistemi ad alto rischio di adottare un sistema di gestione della qualità. La formula è ampia perché deve valere per organizzazioni molto diverse, dai produttori di tecnologie sanitarie ai fornitori di strumenti usati nella selezione del personale o nella gestione di servizi essenziali.

La difficoltà nasce quando quella formula deve diventare lavoro quotidiano. Chi approva una modifica? Come si documenta una scelta? Quali controlli accompagnano il ciclo di vita del sistema? Come si coordinano sviluppo, gestione dei rischi, qualità, sicurezza e conformità? La EN 18286 prova a dare struttura a queste domande.

Gli organismi europei di normazione CEN e CENELEC descrivono la norma come un quadro per definire, attuare e mantenere il sistema di gestione della qualità nelle organizzazioni che forniscono sistemi di intelligenza artificiale. Il suo valore non sta in un elenco di documenti da produrre, ma nella capacità di collegare responsabilità, processi e prove.

Le scadenze restano importanti. Le regole sui sistemi ad alto rischio elencati nell’allegato III si applicano dal 2 dicembre 2027; per i sistemi incorporati nei prodotti regolamentati dell’allegato I la data è il 2 agosto 2028. La pubblicazione dello standard non anticipa questi termini, ma consente di iniziare ora il lavoro organizzativo.

 

Che cosa significa “norma armonizzata”

Una norma armonizzata è uno standard europeo il cui riferimento viene pubblicato dalla Commissione nella Gazzetta ufficiale dell’Unione. L’uso rimane volontario. Quando però un’organizzazione applica lo standard e rispetta le condizioni previste, può beneficiare della presunzione di conformità per i requisiti coperti dalla norma.

La precisazione è decisiva. Applicare la EN 18286 non significa dimostrare, da sola, che un sistema di intelligenza artificiale è conforme a ogni parte dell’AI Act. Lo standard riguarda il sistema di gestione della qualità. Restano da affrontare, quando applicabili, gli altri requisiti: gestione del rischio, qualità dei dati, documentazione tecnica, registrazione degli eventi, trasparenza, supervisione umana, accuratezza, robustezza e cybersicurezza.

La norma non è quindi una scorciatoia. È un modo per rendere più ordinato e verificabile un tratto del percorso.

 

A chi serve davvero

I destinatari principali sono i fornitori di sistemi classificati ad alto rischio. La classificazione non dipende dal fatto che una soluzione sia sofisticata o importante per l’azienda. Dipende dalla funzione svolta e dall’ambito in cui il sistema viene usato, secondo le categorie previste dal regolamento.

Possono rientrare in questa area, a determinate condizioni, sistemi usati in sanità, istruzione, lavoro, infrastrutture critiche, accesso a servizi essenziali, attività di contrasto o amministrazione della giustizia. Prima di parlare di standard, occorre quindi mappare i sistemi e capire quale ruolo ricopre ciascun soggetto nella filiera.

Anche chi acquista o integra una soluzione ha interesse a conoscere la EN 18286. Un’amministrazione o un’impresa non dovrebbe limitarsi a chiedere al fornitore una dichiarazione generica di conformità. Può invece domandare come vengono gestite le modifiche, chi approva i rilasci, quali evidenze vengono conservate, come vengono trattati incidenti e non conformità e come si controllano i subfornitori.

 

Il rapporto con i sistemi di gestione già esistenti

Molte organizzazioni non partono da zero. Chi utilizza ISO 9001 dispone già di processi per responsabilità, controllo documentale, verifiche e miglioramento. Chi ha adottato ISO/IEC 42001 ha un sistema di gestione dedicato all’intelligenza artificiale. Queste basi possono ridurre il lavoro necessario, ma non rendono superfluo il confronto con lo standard europeo.

La domanda corretta non è se una certificazione precedente “copra” automaticamente l’AI Act. Bisogna invece verificare quali processi esistono, quali evidenze producono e quali requisiti specifici restano scoperti. Il risultato dovrebbe essere una mappa delle corrispondenze e delle lacune, non una sovrapposizione di manuali.

 

Cinque verifiche da avviare

La pubblicazione del riferimento consente di muoversi in modo concreto.

1. Mappare sistemi e ruoli. Elencare le soluzioni sviluppate, distribuite o utilizzate e chiarire se l’organizzazione agisce come fornitore, deployer — cioè usa il sistema sotto la propria autorità —, importatore o distributore.
2. Confermare la classificazione. Verificare se un sistema rientra tra quelli ad alto rischio e documentare il ragionamento, evitando etichette automatiche.
3. Confrontare i processi esistenti. Collegare la EN 18286 ai sistemi qualità, sicurezza, privacy e gestione dell’intelligenza artificiale già adottati.
4. Rendere le responsabilità leggibili. Stabilire chi decide, chi controlla e chi conserva le prove nelle diverse fasi del ciclo di vita.
5. Portare lo standard nei rapporti di filiera. Aggiornare criteri di selezione, richieste ai fornitori, clausole e verifiche, senza affidarsi a dichiarazioni generiche.

 

Un riferimento utile, non un timbro

La prima norma armonizzata per l’AI Act segna un passaggio importante: il regolamento entra nella fase in cui le regole vengono tradotte in pratiche tecniche e organizzative condivise. È proprio in questa fase che aumenta il rischio delle semplificazioni.

La EN 18286 non assegna un timbro di conformità a qualunque sistema che la richiami. Offre un riferimento per costruire e dimostrare un sistema di gestione della qualità adeguato. Il valore, per fornitori e committenti, dipenderà dalla qualità con cui lo standard verrà integrato nei processi reali, nelle decisioni e nelle prove conservate.

 

Fonti e riferimenti

• EUR-Lex, decisione di esecuzione (UE) 2026/2274: https://eur-lex.europa.eu/eli/dec_impl/2026/2274/oj
• Commissione europea, calendario di applicazione dell’AI Act: https://digital-strategy.ec.europa.eu/en/policies/enforcement-ai-act
• CEN-CENELEC, EN 18286:2026: https://www.cencenelec.eu/news-events/news/2026/en-in-the-spotlight/2026-07-30-ai-quality-management/

 

Nota di trasparenza

Questo contenuto è stato predisposto con il supporto di strumenti di intelligenza artificiale ed è stato revisionato dalla redazione iSimply, che ne assume la responsabilità editoriale.