L’Europa ha pubblicato il primo standard per l’AI Act

EN 18286 dà presunzione di conformità all’art. 17

L’Europa ha consegnato alle aziende la prima chiave ufficiale per dimostrare di essere in regola con l’AI Act. La porta che quella chiave dovrebbe aprire, però, è stata spostata più in là di oltre un anno. Nei giorni scorsi la Commissione europea ha pubblicato nella Gazzetta ufficiale dell’Unione europea il riferimento al primo standard armonizzato a supporto dell’attuazione del regolamento sull’intelligenza artificiale. Non è un’ultim’ora, e conviene non trattarla come tale. È una risposta arrivata in Gazzetta prima che la domanda diventi obbligatoria, e merita una lettura un po’ meno entusiasta di quella dei comunicati.

Una presunzione di conformità in anticipo sull’obbligo

Lo standard si chiama EN 18286:2026, «Artificial intelligence – Quality management system for EU AI Act regulatory purposes». È stato sviluppato da CEN e CENELEC, due delle organizzazioni europee di standardizzazione, e riguarda il sistema di gestione della qualità che l’AI Act richiede ai fornitori di sistemi di IA. Lo strumento giuridico che lo rende rilevante è la Decisione di esecuzione (UE) 2026/2274 della Commissione: con la sua pubblicazione, i fornitori che applicano lo standard godono di una presunzione di conformità ai requisiti dell’articolo 17 del regolamento coperti dalla norma. In pratica, chi lo adotta non deve dimostrare da zero che il proprio sistema di gestione della qualità rispetta la legge:
la conformità si presume, finché qualcuno non prova il contrario.

Il problema è il calendario. Gli obblighi per i sistemi di IA ad alto rischio individuati dall’articolo 6(2) e dall’allegato III dell’AI Act, che sarebbero dovuti scattare il 2 agosto 2026, entreranno in vigore il 2 dicembre 2027. Il 2 agosto è quindi passato senza conseguenze, e lo standard è arrivato a fine ottobre. Perché proprio ora, allora? La risposta più generosa è che alle aziende serve tempo per prepararsi, e uno standard pubblicato con un anno di anticipo è meglio di uno pubblicato il giorno prima. Resta però una domanda più concreta: che cosa compra, esattamente, un’azienda che adotta EN 18286, visto che l’applicazione degli standard resta volontaria?

Uno standard che non vuole sostituire nessuno

Il punto va chiarito subito, perché la stessa Commissione lo scrive nero su bianco nella pagina dedicata alla standardizzazione dell’AI Act: i fornitori possono scegliere qualsiasi altro quadro per dimostrare la propria conformità. Nessuno è obbligato a usare EN 18286. Ma chi sceglie un’altra strada deve portarsi dietro l’onere della prova, mentre chi lo adotta parte da una posizione di vantaggio. EN 18286 è infatti l’unico standard di gestione della qualità per l’IA che offre una presunzione di conformità, ed è costruito direttamente sull’articolo 17. Il valore, quindi, non sta nell’obbligo ma nella riduzione del rischio legale.

La parte più interessante è come è fatto. EN 18286 non si presenta come un’alternativa agli standard già diffusi: è progettato per essere sovrapposto a norme internazionali esistenti come ISO/IEC 42001, ISO 9001 o a un sistema di gestione della qualità settoriale, per esempio ISO 13485 nei dispositivi medici. Un’azienda già certificata non deve ricominciare da capo, ma aggiungere uno strato. È una scelta che risponde a una logica precisa, quella che Bruxelles chiama «international first»: gli standard internazionali, quando esistono e sono allineati ai requisiti europei, possono diventare standard armonizzati. Secondo la Commissione, il disegno a strati di EN 18286 sopra ISO/IEC 42001 e ISO 9001 è un tentativo di rendere lo standard europeo compatibile con il percorso internazionale, invece che suo rivale. C’è anche un beneficio meno visibile: come osserva il comitato tecnico congiunto JTC 21, organismi notificati e autorità di vigilanza del mercato ottengono un riferimento comune per valutare la gestione della qualità. Per chi controlla, avere un metro condiviso conta quanto per chi viene controllato.

Dietro la retorica della compatibilità, però, c’è un giudizio che pesa. Già nel maggio 2024, secondo quanto riportato in una nota di ricerca della Cloud Security Alliance, l’Ufficio europeo per l’IA aveva segnalato che ISO/IEC 42001 non era pienamente allineata al testo finale dell’AI Act, e quello standard non fa parte del processo di armonizzazione europeo. Tradotto: la norma internazionale più vicina al tema non bastava. EN 18286 esiste anche per colmare quella distanza. Ed è qui che il quadro si complica: se serve uno standard europeo per coprire ciò che quello internazionale lascia fuori su un solo articolo del regolamento, quanti altri vuoti restano ancora da riempire?

Il primo mattone di un edificio a scadenza

La risposta, almeno in parte, la dà lo stesso JTC 21: EN 18286, pubblicato lo scorso luglio, è il primo deliverable della richiesta di standardizzazione M/613, non l’ultimo. È il primo pezzo di un programma più ampio, e la versione modificata di quella richiesta resta valida fino al 28 febbraio 2027. Mancano poco più di quattro mesi.

La partita, quindi, si gioca tra due date. Da una parte febbraio 2027, quando scade il mandato con cui la Commissione ha chiesto agli enti di normazione di produrre gli standard. Dall’altra dicembre 2027, quando gli obblighi per i sistemi ad alto rischio diventeranno effettivi. In mezzo, aziende che devono decidere oggi quanto investire in conformità sulla base di un solo standard armonizzato, dedicato alla gestione della qualità. Il rinvio ha comprato tempo, ma non è detto che basti. Riuscirà l’Europa a consegnare tutti gli standard prima che servano, oppure le aziende finiranno per conformarsi a un AI Act di cui conoscono, per ora, soltanto il primo capitolo tecnico?