Primera norma armonizada del Reglamento europeo de IA: qué supone la EN 18286 para quienes desarrollan sistemas de alto riesgo
La Comisión Europea ha publicado en el Diario Oficial la primera norma técnica armonizada del Reglamento de Inteligencia Artificial, la EN 18286:2026, que da a los proveedores de sistemas de alto riesgo una vía reconocida para demostrar que su sistema de gestión de la calidad cumple la ley.
De un vistazo
|
La Decisión de Ejecución (UE) 2026/2274 de la Comisión, de 12 de octubre de 2026, publicada y en vigor desde el 14 de octubre, incorpora al Diario Oficial de la Unión Europea la referencia de la norma EN 18286:2026, «Inteligencia artificial. Sistema de gestión de la calidad con fines reglamentarios del Reglamento de Inteligencia Artificial de la UE», elaborada por los organismos europeos de normalización CEN y Cenelec a petición de la propia Comisión.
Es la primera de las normas armonizadas que deben acompañar al Reglamento (UE) 2024/1689 y llega en un momento en que muchas empresas españolas se preguntan cómo traducir obligaciones redactadas en términos generales en procedimientos internos concretos. Para los proveedores de sistemas de alto riesgo, la respuesta empieza a tomar forma.
Qué es una norma armonizada y por qué importa
El Reglamento de IA fija requisitos esenciales, pero no explica con detalle técnico cómo cumplirlos. Esa tarea se encomienda a normas elaboradas por los organismos europeos de normalización que, una vez evaluadas por la Comisión y publicadas en el Diario Oficial, producen un efecto jurídico relevante: se presume que quien las sigue cumple los requisitos que cubren.
Esa presunción no es absoluta. Admite prueba en contrario y solo alcanza a los aspectos que la norma realmente aborda, pero desplaza la carga de la discusión: ante una autoridad de vigilancia del mercado, la empresa que acredita haber aplicado la norma parte de una posición mucho más sólida que la que ha diseñado su propio método sin referencia reconocida.
La norma no es obligatoria. Un proveedor puede cumplir el artículo 17 por otros medios, aunque entonces tendrá que justificar por sí mismo que su sistema es adecuado.
Qué cubre la EN 18286
El artículo 17 del Reglamento exige a los proveedores de sistemas de alto riesgo un sistema de gestión de la calidad documentado que abarque, entre otros aspectos, la estrategia de cumplimiento normativo, el diseño, el desarrollo y las pruebas del sistema, la gestión de datos, la gestión de riesgos, la vigilancia poscomercialización, la notificación de incidentes graves, la conservación de documentación y la rendición de cuentas de la dirección.
La EN 18286 convierte esas exigencias en un sistema operativo de gestión de la calidad construido en torno al ciclo de vida del sistema de IA, y no solo de la organización. Según la Comisión, está pensada para superponerse a normas internacionales ya extendidas, como ISO/IEC 42001, ISO 9001 o sistemas sectoriales como ISO 13485 en productos sanitarios, en lugar de sustituirlas.
Conviene tener presentes sus límites. La presunción se refiere al sistema de gestión de la calidad y no sustituye a los requisitos técnicos del propio sistema de IA, como la calidad de los datos, la transparencia, la supervisión humana o la ciberseguridad, que deberán cubrirse con otras normas todavía en elaboración o con soluciones propias.
A quién afecta y con qué calendario
La obligación de contar con un sistema de gestión de la calidad recae en los proveedores, es decir, en quien desarrolla un sistema de IA de alto riesgo o lo comercializa con su nombre o marca. Afecta, por ejemplo, a sistemas usados en selección de personal, evaluación de solvencia, educación, biometría o infraestructuras críticas, así como a la IA que actúa como componente de seguridad de productos regulados.
Tras el acuerdo sobre el Ómnibus digital de la IA, las normas de alto riesgo se aplicarán a partir del 2 de diciembre de 2027 para los sistemas del anexo III y del 2 de agosto de 2028 para la IA integrada en productos. La Comisión prevé además adoptar antes de que termine 2026 sus directrices definitivas sobre la clasificación de los sistemas de alto riesgo, cuya consulta pública cerró el 23 de julio.
Las empresas que solo utilizan estos sistemas no están obligadas a implantar la norma, pero sí tienen sus propias obligaciones como responsables del despliegue y un interés evidente en exigir a sus proveedores pruebas de cumplimiento.
La situación en España
El decaimiento del proyecto de ley española de IA con la disolución de las Cortes no altera este escenario: el Reglamento europeo es directamente aplicable y las normas armonizadas producen efectos en toda la Unión desde su publicación. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) seguirá siendo la referencia nacional en la vigilancia de estos sistemas.
Para el tejido empresarial español, compuesto en gran parte por pymes tecnológicas y por empresas que integran soluciones de terceros, la publicación de la norma ofrece algo que hasta ahora faltaba: un estándar común con el que medir los procesos internos y con el que negociar contratos con clientes y proveedores.
Comentario de Bufete Castañeda
La publicación de la EN 18286 marca el paso de los principios a la práctica en el Reglamento de IA. Aunque el calendario de alto riesgo se ha retrasado, implantar un sistema de gestión de la calidad exige tiempo, implicación de la dirección y documentación que no se improvisa en unos meses.
En la práctica, las empresas que desarrollan o integran soluciones de IA deberían:
Determinar si alguno de sus sistemas puede calificarse como de alto riesgo y si actúan como proveedores o como responsables del despliegue.
Revisar su sistema de calidad actual, en especial si ya cuentan con ISO 9001 o ISO/IEC 42001, y planificar su adaptación a la EN 18286.
Incluir en los contratos tecnológicos cláusulas sobre cumplimiento del Reglamento de IA, documentación técnica y cooperación ante incidentes.
En Bufete Castañeda asesoramos a empresas tecnológicas y a usuarios de sistemas de inteligencia artificial en la adaptación al Reglamento europeo de IA, la revisión de sus contratos tecnológicos y la relación con las autoridades de supervisión.
Comentarios