EN 18286 e ISO 42001: qué norma necesitas para el AI Act
En corto. Desde el 14 de octubre de 2026, el Reglamento (UE) 2024/1689 (AI Act) tiene su primera norma armonizada. Es la EN 18286, que cubre el sistema de gestión de calidad del artículo 17 para proveedores de sistemas de IA de alto riesgo. La ISO 42001 sigue siendo voluntaria y no da presunción de conformidad. Si tu empresa solo usa IA de terceros, la EN 18286 no te aplica.
Índice
- Qué es la EN 18286 y qué cambió en octubre de 2026
- Por qué la ISO 42001 no da presunción de conformidad con el AI Act
- Qué norma necesitas según tu papel en el AI Act
- Cuándo una empresa que solo usa IA pasa a ser proveedora
- Qué añade la EN 18286 si ya tienes la ISO 42001
- Qué no resuelve todavía la EN 18286
- Qué hacer el lunes por la mañana
- Preguntas frecuentes
Qué es la EN 18286 y qué cambió en octubre de 2026
La EN 18286 es la norma europea que traduce a requisitos auditables el sistema de gestión de calidad que el artículo 17 del AI Act exige a quien comercializa sistemas de IA de alto riesgo.
Su título oficial en español es «Inteligencia artificial: sistema de gestión de la calidad con fines reglamentarios del Reglamento de Inteligencia Artificial de la UE». La elaboró el comité técnico conjunto CEN-CENELEC JTC 21. Su referencia se publicó en el Diario Oficial de la UE el 14 de octubre de 2026, mediante la Decisión de Ejecución (UE) 2026/2274 de la Comisión, de 12 de octubre. La Decisión entró en vigor el mismo día de su publicación.
Es la primera norma armonizada del AI Act y, de momento, la única: el anexo de la Decisión contiene una sola entrada.
Según la Comisión Europea y el comité JTC 21, el proveedor que aplica la EN 18286 se beneficia de presunción de conformidad con los requisitos del sistema de gestión de calidad del artículo 17 que cubre la norma.
Hay un matiz que conviene conocer. El artículo 40.1 del Reglamento (UE) 2024/1689 da presunción de conformidad, literalmente, con «los requisitos establecidos en la sección 2 del presente capítulo», que son los artículos 8 a 15. El artículo 17 está en la sección 3. La Decisión 2026/2274 habla en general de los requisitos que cubren las normas. La norma incluye un anexo ZA que relaciona cada cláusula con los requisitos del reglamento que apoya, y es ahí donde hay que mirar el alcance exacto. Nuestra lectura es que la presunción vale para el artículo 17 en la medida en que el anexo ZA lo cubra, y que no se extiende al resto de requisitos del producto.
En una frase: La EN 18286 es la primera norma armonizada del AI Act, publicada en el Diario Oficial el 14 de octubre de 2026, y solo cubre el sistema de gestión de calidad que el artículo 17 exige al proveedor de sistemas de alto riesgo.
Por qué la ISO 42001 no da presunción de conformidad con el AI Act
La ISO/IEC 42001 no da presunción de conformidad con el Reglamento (UE) 2024/1689 porque no es una norma armonizada: su referencia no figura en el Diario Oficial de la UE. Es una norma internacional de sistema de gestión, voluntaria y certificable, publicada por ISO en diciembre de 2023.
La propia Comisión explica por qué no se adoptó tal cual. En sus preguntas frecuentes sobre normalización del AI Act, actualizadas el 10 de marzo de 2026, dice:
«although ISO/IEC 42001:2023 helps to set up an AI management system, its goals and definitions are not aligned with the quality management system that is required under the AI Act».
Es decir, la ISO 42001 ayuda a montar un sistema de gestión de la IA, pero sus objetivos y definiciones no encajan con el sistema de calidad que pide el reglamento. Por eso la Comisión encargó una norma nueva.
La diferencia está en lo que mira cada una. La ISO 42001 certifica cómo gestiona la IA una organización. La EN 18286, según la Comisión, está construida en torno al ciclo de vida del sistema de IA y no en torno a la organización, y está diseñada para apoyarse en la ISO/IEC 42001, la ISO 9001 o un sistema sectorial como la ISO 13485. Sus anexos informativos la relacionan con la ISO 9001 y la ISO/IEC 42001, según JTC 21.
Lo que ya publicamos sobre para qué sirve la ISO 42001 y a quién no le compensa sigue valiendo. La ISO 42001 sirve para licitar, para pasar la due diligence de un cliente grande y para ordenar la documentación. La presunción de conformidad ante la autoridad solo la da una norma armonizada.
Qué norma necesitas según tu papel en el AI Act
La norma que necesitas depende de tu papel en el Reglamento (UE) 2024/1689, mucho más que de tu sector o tu tamaño. El reglamento distingue entre el proveedor, que desarrolla un sistema de IA y lo comercializa con su nombre o marca (artículo 3.3), y el responsable del despliegue, que lo utiliza bajo su propia autoridad (artículo 3.4).
El artículo 17 solo obliga a tener un sistema de gestión de calidad a los proveedores de sistemas de IA de alto riesgo. Las obligaciones del responsable del despliegue están en el artículo 26: usar el sistema según sus instrucciones, asignar supervisión humana competente, vigilar su funcionamiento, conservar al menos seis meses los registros que genere el sistema, en la medida en que estén bajo su control, y, si es empleador, informar a los trabajadores y a sus representantes. Entre ellas no está el sistema de gestión de calidad.
| Tu papel | ¿Te aplica el art. 17? | EN 18286 | ISO 42001 |
|---|---|---|---|
| Proveedor de un sistema de alto riesgo (anexo III o anexo I) | Sí | La vía para acreditar el art. 17 con presunción de conformidad | Buena base, pero sin presunción |
| Proveedor de IA que no es de alto riesgo | No | No la necesitas | Opcional: clientes, pliegos, orden interno |
| Responsable del despliegue de un sistema de alto riesgo | No; te aplica el art. 26 | No te aplica | Opcional; ordena la evidencia del art. 26 |
| Empresa que usa IA generalista para tareas de apoyo | No | No te aplica | Probablemente no te compensa todavía |
La mayoría de las empresas medianas españolas están en las dos últimas filas, y para ellas la EN 18286 no cambia nada. Les sigue aplicando la alfabetización en IA del artículo 4, en vigor desde el 2 de febrero de 2025. Y el artículo 26, si usan un sistema de alto riesgo. El resto de obligaciones está en nuestros artículos de cumplimiento de IA.
Las obligaciones del alto riesgo tienen dos fechas tras el Reglamento (UE) 2026/1744, conocido como ómnibus digital sobre IA. Los sistemas del anexo III las tienen desde el 2 de diciembre de 2027. Los sistemas del anexo I, ligados a productos regulados, desde el 2 de agosto de 2028. Así lo fija el artículo 113 del texto consolidado.
En una frase: La EN 18286 solo afecta a quien desarrolla y comercializa un sistema de IA de alto riesgo; a quien usa IA de terceros le siguen aplicando el artículo 4 y, si el sistema es de alto riesgo, el artículo 26.
Cuándo una empresa que solo usa IA pasa a ser proveedora
Una empresa que usa un sistema de IA pasa a ser proveedora de un sistema de alto riesgo en los tres casos del artículo 25.1 del Reglamento (UE) 2024/1689. A partir de ese momento le aplica el artículo 17 y, con él, la EN 18286.
- Pones tu nombre o tu marca a un sistema de alto riesgo que ya está en el mercado.
- Haces una modificación sustancial de un sistema de alto riesgo y sigue siéndolo.
- Cambias la finalidad prevista de un sistema que no era de alto riesgo y lo conviertes en uno que sí lo es.
El tercer caso es el que más se escapa. Un modelo generalista que se empieza a usar para filtrar candidatos o para decidir el acceso a un servicio puede entrar en el anexo III sin que nadie lo haya aprobado como proyecto.
| Situación | ¿Te convierte en proveedor? |
|---|---|
| Usas, sin modificarlo, un sistema de alto riesgo de un tercero, por ejemplo para cribar candidaturas | No; tienes las obligaciones del responsable del despliegue (art. 26) |
| Vendes con tu marca un sistema de alto riesgo desarrollado por otro | Sí (art. 25.1.a) |
| Modificas sustancialmente un sistema de alto riesgo que ya usabas | Sí (art. 25.1.b) |
| Montas sobre un modelo de uso general una herramienta que decide sobre personas en un ámbito del anexo III | Probablemente sí (art. 25.1.c); requiere análisis caso por caso |
Por eso el primer paso nunca es elegir norma. Primero tienes que saber qué papel tienes en cada sistema que usas, y eso sale de un inventario. Si el inventario está mal hecho, sale mal el papel y sale mal la norma.
Qué añade la EN 18286 si ya tienes la ISO 42001
Si tienes un sistema ISO 42001 y eres proveedor de un sistema de alto riesgo, la EN 18286 te añade sobre todo las obligaciones que solo existen en el Reglamento (UE) 2024/1689. Una norma internacional no puede preverlas, porque dependen de autoridades y procedimientos europeos.
El artículo 17.1 enumera trece aspectos del sistema de gestión de calidad, de la letra a) a la m). Algunos, como la gestión de riesgos, la de datos o la de recursos, tienen equivalente en un sistema de gestión de la IA. Otros remiten a procedimientos del propio reglamento:
| Aspecto del art. 17.1 | Qué exige | Remite a |
|---|---|---|
| Estrategia de cumplimiento normativo (letra a) | Incluye la evaluación de la conformidad y la gestión de modificaciones | Art. 43 |
| Gestión de riesgos (letra g) | El sistema de gestión de riesgos del reglamento | Art. 9 |
| Seguimiento posterior a la comercialización (letra h) | Recoger y analizar datos del sistema ya en uso | Art. 72 |
| Notificación de incidentes graves (letra i) | Comunicarlos a la autoridad de vigilancia del mercado | Art. 73 |
| Comunicación (letra j) | Con autoridades nacionales, organismos notificados, clientes y otros operadores | Art. 17.1.j |
El tamaño también cuenta. Tras el ómnibus digital, el artículo 17.2 pide que el sistema sea proporcional al tamaño del proveedor, en particular si es una pyme, una empresa emergente o una pequeña empresa de mediana capitalización. El artículo 63 permite a las pymes, incluidas las empresas emergentes, que no tengan empresas asociadas ni vinculadas cumplir determinados elementos del sistema de forma simplificada. No alcanza a las pequeñas empresas de mediana capitalización y no exime de ninguna otra obligación del reglamento, incluidos los artículos 9 a 15, 72 y 73.
En una frase: Quien ya tiene la ISO 42001 no empieza de cero con la EN 18286; le faltan las piezas que solo existen en el AI Act: seguimiento tras la comercialización, notificación de incidentes graves y comunicación con las autoridades.
Qué no resuelve todavía la EN 18286
La EN 18286 no acredita que tu sistema de IA de alto riesgo cumpla el Reglamento (UE) 2024/1689. Cubre el sistema de gestión de calidad. Los requisitos del producto (gestión de riesgos, datos, registros, transparencia, supervisión humana, precisión, solidez y ciberseguridad) siguen sin norma armonizada publicada.
Según JTC 21, la EN 18286 es el primer resultado del encargo de normalización y no el último. El encargo modificado vence el 28 de febrero de 2027, y varios de los borradores principales se están revisando tras su información pública. Hasta que se publiquen, quien comercializa un sistema de alto riesgo tiene que demostrar por sus propios medios que el producto cumple esos requisitos.
Quedan dos incertidumbres que conviene decir en voz alta:
- No hay fecha de publicación para el resto de normas armonizadas. El vencimiento del encargo marca el plazo de trabajo, y no garantiza que la publicación llegue en esa fecha.
- En España sigue sin fijarse quién supervisa cada caso ni con qué régimen sancionador. El proyecto de ley que designaba a AESIA caducó el 6 de octubre de 2026. El reglamento se aplica igual, pero la autoridad ante la que harás valer la presunción está pendiente de una ley nueva.
Tampoco hay aún versión española de la norma. UNE la tiene en tramitación como PNE-EN 18286, pero todavía no la ha publicado, y AENOR vende la EN 18286:2026 en inglés, francés y alemán.
Qué hacer el lunes por la mañana
Tres pasos que no requieren contratar a nadie:
- Marca tu papel en cada sistema de IA que uses: proveedor, responsable del despliegue o ninguno. Si ya tienes un inventario de IA, añádele esa columna. Si no lo tienes, empieza por ahí.
- Repasa los tres casos del artículo 25.1 contra ese inventario, con atención a los cambios de finalidad. Es donde aparecen los proveedores que no sabían que lo eran.
- Si te sale «proveedor de alto riesgo» en alguna fila, consigue la EN 18286 y compara su anexo ZA con tu sistema actual, sea ISO 42001, ISO 9001 o ninguno. Si no te sale en ninguna, tu prioridad es el artículo 4 y, si usas un sistema de alto riesgo, el artículo 26. Para ordenar esa evidencia sin llegar a una ISO completa existe el Sello AI Ready, y lo que documenta se reutiliza si después implantas la ISO 42001.
Conclusiones
- La EN 18286 es la primera y, por ahora, única norma armonizada del Reglamento (UE) 2024/1689, publicada en el Diario Oficial de la UE el 14 de octubre de 2026.
- La EN 18286 cubre el sistema de gestión de calidad del artículo 17, y solo interesa a quien comercializa sistemas de IA de alto riesgo.
- La ISO 42001 sigue siendo voluntaria y no da presunción de conformidad con el AI Act, aunque sirve de base para implantar la EN 18286.
- Una empresa que solo usa IA de terceros no necesita la EN 18286, salvo que se convierta en proveedora por alguno de los casos del artículo 25.1.
Preguntas frecuentes
¿La EN 18286 es obligatoria?
No. Las normas armonizadas son voluntarias. Lo obligatorio es el sistema de gestión de calidad del artículo 17 del AI Act para el proveedor de alto riesgo. La EN 18286 es la vía para acreditarlo con presunción de conformidad con los requisitos del artículo 17 que cubre la norma. Quien no la use tiene que demostrar el cumplimiento por otros medios.
¿Si tengo la ISO 42001 cumplo el artículo 17 del AI Act?
No automáticamente. La ISO 42001 no está citada en el Diario Oficial de la UE y no da presunción de conformidad. La Comisión afirma que sus objetivos y definiciones no están alineados con el sistema de calidad del reglamento. Buena parte de su evidencia se reutiliza, pero faltan piezas como el seguimiento posterior a la comercialización y la notificación de incidentes graves.
¿La EN 18286 sustituye a la ISO 42001?
No. Según la Comisión, está diseñada para apoyarse en normas como la ISO/IEC 42001 o la ISO 9001. La ISO 42001 gestiona la IA en toda la organización. La EN 18286 cubre el sistema de calidad que el reglamento exige al proveedor de alto riesgo.
¿Me afecta la EN 18286 si uso ChatGPT, Copilot o Gemini en la empresa?
No, salvo que uses alguno para una finalidad de alto riesgo del anexo III y te conviertas en proveedor por el artículo 25.1. Para el uso habitual te aplican la alfabetización del artículo 4 y tus propias políticas de uso.
Fuentes
- Reglamento (UE) 2024/1689 (AI Act), texto consolidado a 27 de julio de 2026: artículos 3, 4, 17, 25, 26, 40, 63 y 113. EUR-Lex.
- Decisión de Ejecución (UE) 2026/2274 de la Comisión, de 12 de octubre de 2026, DOUE serie L de 14 de octubre de 2026. EUR-Lex.
- Reglamento (UE) 2026/1744, de 8 de julio de 2026 (ómnibus digital sobre IA). EUR-Lex.
- Comisión Europea: «First harmonised standard supporting the AI Act published in the Official Journal», 19 de octubre de 2026.
- Comisión Europea: preguntas frecuentes sobre normalización del AI Act, actualizadas el 10 de marzo de 2026.
- CEN-CENELEC JTC 21: «EN 18286 becomes the first harmonised standard under the EU AI Act», octubre de 2026.
- ISO/IEC 42001:2023, Information technology — Artificial intelligence — Management system. ISO.
Antonio Vílchez García es Compliance Manager en Montevive AI, donde lleva la gobernanza de IA y el cumplimiento del AI Act, el RGPD y la adecuación a ENS e ISO 27001/42001. Ingeniero Informático con especialización en Sistemas de Información y Máster en Gestión y Tecnologías de Procesos de Negocio por la Universidad de Granada. LinkedIn
¿Proveedor, responsable del despliegue o ninguno de los dos? Compruébalo gratis en dos minutos con nuestro comprobador del AI Act. Si quieres revisarlo con nosotros, la primera conversación es de media hora, sin coste, y respondemos en menos de 24 horas laborables: habla con nosotros.
Este artículo es informativo y no constituye asesoramiento jurídico.
Recibe el Radar IA cada lunes
Las noticias de IA que importan a tu empresa, elegidas y resumidas en un correo breve. Te puedes dar de baja cuando quieras.