La Decisión de Ejecución (UE) 2026/2274 citó EN 18286:2026 en el Diario Oficial para el sistema de calidad del artículo 17. La decisión es de 12 de octubre de 2026, se publicó el 14 de octubre y entró en vigor ese día. Aprobar la norma en CEN y publicar su referencia son dos momentos distintos. La presunción del artículo 40, limitada a lo que esta norma cubre, nace con esa publicación, no con la aprobación de la norma.

Comparación entre ISO/IEC 42001, como gestión de la IA en la organización, y EN 18286:2026, como norma citada para el artículo 17 del AI Act. No se sustituyen.
ISO/IEC 42001 y EN 18286 no se sustituyen. La segunda es la norma europea citada para el sistema de calidad del artículo 17.

El nombre oficial en inglés, el del anexo de la Decisión y el de la Comisión, es Artificial intelligence — Quality management system for EU AI Act regulatory purposes. La Comisión la presenta como la primera norma armonizada del AI Act cuya referencia se publica en el Diario Oficial. El anexo publica una sola referencia: EN 18286:2026.

Por qué importa la cita en el Diario Oficial

El artículo 40 del Reglamento (UE) 2024/1689 es la regla general de la presunción. Los sistemas de IA de alto riesgo, o los modelos de IA de uso general, que sean conformes con normas armonizadas —o con partes de ellas— cuya referencia esté publicada en el Diario Oficial se presumen conformes con los requisitos cubiertos por esas normas o por esas partes. La presunción no va más allá de lo que cada norma cubre.

La Decisión 2026/2274 recuerda esa regla en su primer considerando. Lo que publica, en el artículo 1 y en el anexo, es una referencia para sistemas de IA de alto riesgo. La Comisión explica que quien aplique EN 18286 obtiene una presunción de conformidad con los requisitos del artículo 17 cubiertos por la norma. Esta cita no es una norma para modelos de IA de uso general. Dura mientras la referencia siga publicada. Si la cita se retira o se limita, la presunción cambia con ella.

La Decisión no impone aplicar EN 18286. Publica su referencia y, desde esa publicación, quien sea conforme con la norma se presume conforme con los requisitos que cubre. El artículo 17, apartado 1, letra e), del Reglamento (UE) 2024/1689 contempla que las normas armonizadas no se apliquen por completo o no cubran todos los requisitos: el sistema de calidad debe incluir entonces los otros medios usados para cumplirlos. La presunción no sustituye los deberes que la norma no cubre.

A quién afecta y a quién no

La pregunta práctica es si tu empresa está en el supuesto del artículo 17. Ese artículo se dirige a los proveedores de sistemas de IA de alto riesgo. Les pide un sistema de gestión de la calidad documentado: políticas, procedimientos e instrucciones, con aspectos que van de la estrategia de conformidad al seguimiento posterior a la comercialización. Usar ChatGPT, Copilot o Gemini en la oficina no convierte a la empresa en ese proveedor.

Tres perfiles frente a EN 18286 y al artículo 17:

Perfil Artículo 17 y EN 18286 Qué conviene mirar antes
Pyme que solo usa ChatGPT o Copilot El mero uso de un chatbot no coloca a la empresa en el artículo 17 ni le obliga a implantar EN 18286. Qué herramienta se usa, con qué datos y si la empresa es proveedora o solo responsable del despliegue.
Empresa que desarrolla IA de alto riesgo Si tu empresa es proveedora de un sistema de alto riesgo, el artículo 17 puede exigirle un sistema de gestión de la calidad. EN 18286 es una vía para la presunción de los requisitos que cubre. Si el sistema es de alto riesgo, quién es el proveedor y qué sistema de calidad existe ya.
Integrador El nombre del contrato no decide. Si tu empresa introduce un sistema en el mercado bajo su nombre, el papel puede ser el de proveedor. Si solo implanta la herramienta de un tercero, normalmente el artículo 17 no es el suyo. El papel en cada sistema, no la etiqueta comercial.

Hay un cuarto perfil. Quien usa una IA de terceros bajo su autoridad, en la actividad profesional, no es por eso el proveedor del artículo 17. Otra pregunta es la alfabetización: el artículo 4 se dirige a proveedores y responsables del despliegue, y usar ChatGPT no convierte a la empresa en proveedora. Lo vemos en alfabetización en IA y artículo 4. Si ese sistema fuera de alto riesgo, el responsable del despliegue tiene deberes propios. Se miran caso a caso. El calendario del Reglamento, y lo que el Ómnibus aplazó, está en la guía del AI Act para empresas.

Definiciones para leer el artículo 17

Estas definiciones siguen el uso del Reglamento y el glosario del AI Act de Legal Stones. No clasifican un sistema concreto.

Proveedor

En el AI Act, el proveedor es quien desarrolla un sistema de IA o lo comercializa, también quien lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca. Usar ChatGPT, Copilot o Gemini no convierte a la empresa en proveedora.

Responsable del despliegue

Es quien utiliza un sistema de IA bajo su autoridad, en una actividad profesional, aunque lo haya desarrollado un tercero. Muchas empresas que usan una herramienta de un tercero pueden estar en ese papel. No es automático: depende del sistema y del uso.

Sistema de IA de alto riesgo

Es una categoría del Reglamento para ciertos sistemas listados en sus anexos, por ejemplo algunos usos en selección de personal o en evaluación crediticia. Usar ChatGPT para redactar un texto no coloca, por sí solo, a la empresa en alto riesgo. Si un sistema concreto entra en esa categoría, requiere revisión.

Norma armonizada

A los efectos del artículo 40, es una norma europea cuya referencia publica la Comisión en el Diario Oficial. EN 18286:2026 está en ese supuesto desde la Decisión 2026/2274. La presunción solo cubre los requisitos que esa norma cubre, y solo mientras la referencia siga publicada.

Presunción de conformidad

Si el sistema es conforme con la norma citada, el artículo 40 lo presume conforme con los requisitos cubiertos por esa norma. No es un certificado, no aprueba el sistema en bloque y no cierra el resto del Reglamento.

Qué no es EN 18286

  • No aprueba un sistema de IA en bloque. La presunción, cuando existe, es de los requisitos cubiertos por la norma.
  • No sustituye otras obligaciones del Reglamento que puedan resultar aplicables en el caso, como la transparencia, los datos, la supervisión humana, la vigilancia poscomercialización o el papel de cada operador.
  • No es una certificación. Citar la norma en el Diario Oficial no convierte a nadie en organismo notificado, ni a Legal Stones en entidad que certifique sistemas.
  • Aplicarla no es una obligación de la Decisión. Es una vía hacia la presunción de los requisitos que cubre. El artículo 17, apartado 1, letra e), prevé otros medios cuando la norma armonizada no se aplica por completo. Eso no borra el artículo 17 cuando el proveedor de un sistema de alto riesgo está en ese supuesto.

La clasificación de un sistema concreto, y el papel de la empresa en ese sistema, requiere revisión. Esta página no la hace.

Relación con el sistema de calidad que ya existe

El artículo 17 no pide, por sistema, un manual nuevo al lado de todos los que ya tengas. El apartado 3 permite incluir los aspectos del apartado 1 en el sistema de gestión de la calidad que ya exija el Derecho sectorial de la Unión, cuando el proveedor esté sujeto a ese régimen. Integrar no significa que el sistema antiguo cubra ya el AI Act. El Reglamento (UE) 2026/1744 no sustituye ese apartado: sustituye el apartado 2.

El apartado 2, en la redacción del Reglamento (UE) 2026/1744, pide que la aplicación sea proporcional al tamaño de la organización del proveedor. Lo señala en particular si el proveedor es una pyme, incluida una empresa emergente, o una pequeña empresa de mediana capitalización (SMC). En todo caso hay que mantener el rigor y el nivel de protección necesarios. Proporcional no quiere decir opcional.

Con ISO/IEC 42001 la relación es de capa, no de sustituto. La Comisión describe EN 18286 como un sistema construido alrededor del ciclo de vida del sistema de IA, y no de la organización en abstracto, pensado para apoyarse en normas que ya existan: ISO/IEC 42001, ISO 9001 o un sistema sectorial, por ejemplo ISO 13485. Tener ISO/IEC 42001 no equivale a la presunción del artículo 17. No tenerla tampoco impide, si la empresa es proveedora de un sistema de alto riesgo, usar EN 18286 para ampliar un sistema de calidad que ya exista.

Qué hacer según el tipo de empresa

Si tu empresa solo usa ChatGPT, Copilot o Gemini

  1. Empieza por el uso real: herramienta, datos y si hay alguna regla interna. La guía ¿es legal usar ChatGPT en la empresa? ordena esa pregunta.
  2. No encargues EN 18286 solo porque el equipo tiene una cuenta.
  3. Si no está claro si tu empresa es proveedora o responsable del despliegue, eso se revisa antes de montar un sistema de calidad.

Si tu empresa desarrolla un sistema que puede ser de alto riesgo

  1. Confirma el papel: proveedor, responsable del despliegue u otro. No es automático.
  2. Compara el sistema de calidad que ya tienes con los aspectos del artículo 17, no con el índice de una norma genérica.
  3. Si quieres la vía de la presunción, comprueba qué requisitos cubre EN 18286 y cuáles quedan fuera mientras la referencia siga en el Diario Oficial.

Si tu empresa integra IA para un cliente

  1. Separa, sistema a sistema, si tu empresa lo introduce en el mercado bajo su nombre o si solo lo implanta.
  2. No asumas el artículo 17 solo porque tu empresa se defina como integradora.
  3. Si el cliente es el proveedor, el sistema de calidad es el suyo.

Cómo puede ayudar Legal Stones

¿Tu sistema de IA está preparado para los requisitos europeos?

En Legal Stones te ayudamos a identificar qué requisitos del artículo 17 del AI Act pueden afectar a tu empresa, qué aspectos de tu sistema de gestión de calidad conviene revisar y dónde están las principales brechas jurídicas. Partimos de la documentación que ya tienes para ofrecerte una revisión clara y recomendaciones priorizadas, sin empezar de cero.

No necesitas otra auditoría genérica: necesitas saber qué te afecta y qué hacer después.

Nuestro trabajo es de revisión y análisis jurídico.

Si tu caso va más allá del artículo 17, descubre nuestra evaluación de riesgos legales de IA.

Preguntas frecuentes

¿Es obligatoria EN 18286:2026?

Como vía, no. La Decisión 2026/2274 publica la referencia y abre la presunción del artículo 40 para los requisitos cubiertos. No ordena aplicar la norma. El artículo 17, cuando la empresa es proveedora de un sistema de alto riesgo, sigue exigiendo un sistema de gestión de la calidad. Si la norma no se aplica por completo, el apartado 1, letra e), pide que ese sistema incluya los otros medios usados para los requisitos que quedan fuera. La presunción solo existe para lo cubierto, y solo mientras la referencia siga citada.

¿Afecta a una empresa que utiliza ChatGPT o Copilot?

No por el mero uso, y ese uso no obliga a implantar EN 18286. El artículo 17 mira al proveedor de sistemas de IA de alto riesgo. La pregunta previa es qué se usa, con qué datos y si la empresa es responsable del despliegue.

¿Qué exige el artículo 17 del AI Act?

Al proveedor de un sistema de IA de alto riesgo, un sistema de gestión de la calidad documentado. El apartado 2, tras el Reglamento (UE) 2026/1744, pide que la aplicación sea proporcional al tamaño del proveedor y, en todo caso, que se mantenga el rigor y el nivel de protección. El apartado 3 permite integrar esos aspectos en un sistema sectorial que ya exista. No exige EN 18286 como único medio.

¿Qué diferencia hay entre EN 18286 e ISO/IEC 42001?

ISO/IEC 42001 es una norma internacional de sistema de gestión de la IA en la organización. EN 18286:2026 es la norma europea citada para los requisitos del artículo 17 que cubre. La Comisión la presenta como una capa sobre un sistema que ya exista, no como su sustituto. Tener una no presume la otra.

¿Qué ocurre si una empresa integra IA para sus clientes?

Hay que separar cada sistema. Si la empresa lo introduce en el mercado bajo su nombre, el papel puede ser el de proveedor. Si solo implanta la herramienta de un tercero, el artículo 17 normalmente no es el suyo. La etiqueta «integrador» no decide.

¿La aplicación de EN 18286 demuestra el cumplimiento de todo el AI Act?

No. El artículo 40 limita la presunción a los requisitos cubiertos por la norma citada. La Decisión 2026/2274 publica EN 18286 para sistemas de IA de alto riesgo, y la Comisión la vincula a los requisitos del artículo 17 que la norma cubre. No es una norma citada para modelos de IA de uso general.

Cautelas y fecha

Última actualización: 20 de octubre de 2026.

Lo prepara Lucía Piedras para Legal Stones, a partir de las fuentes enlazadas. No es un dictamen ni una clasificación del sistema de nadie. La normativa se está desarrollando. Esta es la primera referencia de norma armonizada del AI Act en el Diario Oficial. Vendrán otras.

Fuentes