EN 18286. Pierwsza norma zharmonizowana do AI Act i co oznacza dla firm

Co Komisja opublikowała i dlaczego to ma znaczenie

Norma zharmonizowana to norma techniczna, którą Komisja Europejska oficjalnie powiązała z konkretnym aktem prawnym. Po publikacji odwołania w Dzienniku Urzędowym UE firma stosująca taką normę jest traktowana tak, jakby spełniała odpowiadające jej wymogi prawa. W AI Act tę zasadę opisuje art. 40.

EN 18286:2026 nosi tytuł „Artificial intelligence - Quality management system for EU AI Act regulatory purposes”. CEN-CENELEC, czyli europejskie organizacje normalizacyjne, opisują ją jako pierwszą normę wspierającą AI Act. Odwołanie opublikowano w Międzynarodowym Dniu Normalizacji, a komitet JTC 21, który przygotował normę, potwierdził numer decyzji 2026/2274.

Dla dostawców systemów AI wysokiego ryzyka to pierwszy oficjalny punkt odniesienia. Do tej pory firmy przygotowujące się do AI Act opierały się na samym tekście rozporządzenia, wytycznych i projektach norm, które mogły się jeszcze zmienić.

Czego wymaga system zarządzania jakością z art. 17

Art. 17 AI Act zobowiązuje dostawcę systemu wysokiego ryzyka do prowadzenia udokumentowanego systemu zarządzania jakością. Chodzi o pisemne zasady, procedury i instrukcje obejmujące cały cykl życia systemu, od projektu po monitorowanie po wprowadzeniu na rynek. EN 18286 przekłada te ogólne wymogi na konkretne, możliwe do audytu elementy.

Według komitetu JTC 21 norma została napisana z myślą o celach regulacyjnych AI Act, a nie jako ogólny standard zarządzania. Załączniki informacyjne pokazują jej powiązania z EN ISO 9001 i EN ISO/IEC 42001, a załącznik ZA wskazuje, które punkty normy odpowiadają którym wymogom rozporządzenia. Komitet zaleca sprawdzenie tego załącznika i samej decyzji wykonawczej, bo to one wyznaczają dokładny zakres domniemania zgodności.

• strategia zgodności z przepisami, w tym procedury zmian w systemie AI,
• techniki i procedury projektowania, kontroli i weryfikacji systemu,
• procedury testów i walidacji przed wprowadzeniem na rynek i po nim,
• zarządzanie danymi, od zbierania po etykietowanie i przechowywanie,
• zarządzanie ryzykiem i monitorowanie systemu po wprowadzeniu na rynek,
• zgłaszanie poważnych incydentów i komunikacja z organami nadzoru,
• prowadzenie dokumentacji, zarządzanie zasobami i podział odpowiedzialności.

Czego norma EN 18286 nie załatwia

Domniemanie zgodności obejmuje wyłącznie wymogi, które norma faktycznie opisuje. Nemko, jednostka zajmująca się certyfikacją, zwraca uwagę, że nie jest to ogólne zatwierdzenie systemu AI i nie zastępuje innych obowiązków z AI Act. Dobry system zarządzania jakością nie dowodzi więc, że sam model jest dokładny, odporny i bezpieczny.

Pozostałe normy przewidziane we wniosku normalizacyjnym Komisji M/613 są w toku. Dotyczą zarządzania ryzykiem, jakości danych, rejestrowania zdarzeń, przejrzystości, nadzoru człowieka, dokładności, odporności, cyberbezpieczeństwa i oceny zgodności. Zmieniony wniosek obowiązuje do 28 lutego 2027 roku. Część projektów jest poprawiana po ankiecie publicznej, a każdy musi jeszcze zostać przyjęty przez CEN i CENELEC, oceniony przez Komisję i opublikowany w Dzienniku Urzędowym.

Istniejący certyfikat ISO 9001 albo ISO/IEC 42001 nie oznacza automatycznie zgodności z EN 18286. Obie normy mają wspólne elementy, ale tylko EN 18286 daje domniemanie zgodności z AI Act.

Harmonogram AI Act dla systemów wysokiego ryzyka

Brak norm był jednym z powodów, dla których UE przesunęła terminy dla systemów wysokiego ryzyka. Pakiet Digital Omnibus (rozporządzenie 2026/1744), opublikowany 24 lipca 2026 roku, odsunął je o 12-16 miesięcy. Publikacja EN 18286 to pierwszy element zestawu, który ma być gotowy przed nowymi datami.

1. lipiec 2026 roku - CEN-CENELEC wydaje EN 18286 jako normę europejską,
2. 24 lipca 2026 roku - publikacja pakietu Digital Omnibus z nowymi terminami AI Act,
3. 14 października 2026 roku - odwołanie do EN 18286 w Dzienniku Urzędowym UE (decyzja 2026/2274),
4. 28 lutego 2027 roku - koniec okresu obowiązywania wniosku normalizacyjnego M/613 dla pozostałych norm,
5. 2 grudnia 2027 roku - obowiązki dla systemów wysokiego ryzyka z załącznika III, m.in. w rekrutacji, edukacji i ocenie zdolności kredytowej,
6. 2 sierpnia 2028 roku - obowiązki dla systemów AI będących elementami bezpieczeństwa produktów z załącznika I, m.in. wyrobów medycznych i maszyn.

Co oznacza to dla polskich firm

Norma dotyczy przede wszystkim dostawców, czyli firm, które tworzą system AI wysokiego ryzyka albo wprowadzają go na rynek pod własną nazwą. W Polsce będą to m.in. twórcy narzędzi do selekcji kandydatów, systemów scoringu kredytowego, oprogramowania dla szkół i uczelni oraz producenci urządzeń medycznych z komponentem AI. Firmy, które tylko używają takich systemów, mają inne obowiązki, opisane głównie w art. 26 AI Act.

Nadzór nad rynkiem AI w Polsce będzie prowadzić Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Normy europejskie są zwykle przyjmowane do zbioru Polskich Norm przez Polski Komitet Normalizacyjny jako PN-EN. Do dnia sprawdzenia nie znaleźliśmy informacji o polskiej wersji EN 18286, więc firmy powinny na razie korzystać z wersji europejskiej.

W naszej ocenie dla polskiego dostawcy najbardziej praktyczny skutek jest taki, że wiadomo już, według jakiego wzorca audytor będzie oceniał system jakości. Prace nad pozostałymi normami potrwają jeszcze kilka miesięcy, ale system zarządzania jakością można budować od razu.

Co zrobić teraz

Poniższa lista porządkuje pierwsze kroki dla firmy, która może być dostawcą systemu AI wysokiego ryzyka. Nie zastępuje indywidualnej analizy prawnej.

1. Ustal, czy którykolwiek z systemów firmy trafia do załącznika I lub III AI Act i czy firma działa jako dostawca.
2. Kup lub pozyskaj tekst EN 18286:2026 i porównaj go z obecnymi procedurami, zwłaszcza jeśli firma ma już ISO 9001, ISO 13485 lub ISO/IEC 42001.
3. Sprawdź załącznik ZA normy i decyzję 2026/2274, aby wiedzieć, które wymogi obejmuje domniemanie zgodności.
4. Zaplanuj prace nad elementami spoza normy: zarządzaniem ryzykiem, danymi, nadzorem człowieka i cyberbezpieczeństwem.
5. Śledź publikacje kolejnych norm z wniosku M/613 i komunikaty KRiBSI.

Ograniczenia i niewiadome

Kolejne normy mogą zmienić sposób wdrażania części procedur, bo system zarządzania jakością ma obejmować także zarządzanie ryzykiem i dane, dla których normy jeszcze nie ma. Nie wiadomo też, kiedy pojawi się polska wersja normy ani jak KRiBSI będzie podchodzić do firm stosujących inne rozwiązania niż EN 18286.

Tekst normy jest płatny i nie jest dostępny w Dzienniku Urzędowym. Publikowane jest tylko odwołanie do niej, dlatego część szczegółów znamy wyłącznie z opisów CEN-CENELEC, komitetu JTC 21 i firm doradczych.