La ley de IA europea ya tiene su primera norma armonizada. La Comisión Europea ha publicado en el Diario Oficial de la UE la referencia a la EN 18286:2026, una norma técnica elaborada por CEN y CENELEC, dos de los organismos europeos de normalización. Lo ha contado la propia Comisión el 19 de octubre.
Va dirigida a quien desarrolla o comercializa sistemas de IA de alto riesgo, y resuelve una duda muy concreta: cómo montar el sistema de gestión de calidad que exige el artículo 17 del reglamento. Quien la aplica parte con ventaja, porque se presume que cumple en todo lo que la norma cubre.
Qué es una norma armonizada
Una ley dice qué hay que conseguir y una norma técnica explica cómo hacerlo. Las normas armonizadas son normas europeas que la Comisión encarga a los organismos de normalización. Cuando comprueba que encajan con la ley, las cita en el Diario Oficial, y desde ese momento tienen un efecto que no tiene una norma cualquiera: la presunción de conformidad.
En la práctica funcionan como un camino ya validado. Si aplicas la norma, se da por hecho que cumples los requisitos de la ley que esa norma cubre, sin tener que demostrarlo punto por punto. Usarla es voluntario. Puedes elegir otra vía, pero entonces te toca justificar por tu cuenta que cumples.
Qué pide la EN 18286
La norma convierte el artículo 17 en un sistema de calidad que se puede poner en marcha, con la gestión de riesgos, la vigilancia del sistema una vez en el mercado o la comunicación de incidentes graves. Según la Comisión, es la única norma de calidad para IA con presunción de conformidad, y gira alrededor del ciclo de vida del sistema de IA, no de la organización.
Lo más práctico es que no obliga a empezar de cero. Está pensada para montarse encima de lo que ya tengas, como ISO/IEC 42001, ISO 9001 o un sistema sectorial como ISO 13485 en productos sanitarios, en vez de sustituirlo. Y quien no tenga ninguna de ellas puede usarla para ampliar su sistema de calidad o construir uno desde el principio.
La letra pequeña de la norma
La presunción solo vale para lo que la norma cubre. La EN 18286 se ocupa del sistema de calidad, no del resto de requisitos de la IA de alto riesgo, como la precisión, la solidez o la ciberseguridad, que tendrán sus propias normas. La Comisión ya avisa de que vendrán más.
Tampoco hay que correr. El Ómnibus digital aprobado este verano aplazó las obligaciones de la IA de alto riesgo, que se aplican desde el 2 de diciembre de 2027 para los sistemas del anexo III y desde el 2 de agosto de 2028 para los del anexo I. La norma llega con más de un año de margen.
Qué significa para las empresas españolas
La mayoría de las empresas españolas no desarrolla IA de alto riesgo: usa ChatGPT, Copilot o un chatbot de atención al cliente, y a ellas esta norma no les pide nada. Su parte de la ley va por otro lado, con la formación de la plantilla o el aviso de que hablas con una IA. Lo repasamos con calma en nuestra guía de la ley de IA.
Sí le importa a quien fabrica o integra IA en ámbitos de alto riesgo, como la selección de personal, la concesión de crédito, la educación o los productos sanitarios. Y también a sus proveedores. Si vendes software a una empresa así, no sería raro que pronto te pregunten si trabajas conforme a la EN 18286, igual que hoy te piden certificados de seguridad.
Una primera pieza de muchas
La EN 18286 es la primera de una serie de normas que irán llegando al Diario Oficial antes de que las obligaciones sean exigibles. Si tu empresa está en el grupo de alto riesgo, merece la pena revisar ya qué sistema de calidad tienes y qué le falta. Es justo el tipo de trabajo que hacemos en consultoría de IA.
