Novembre 2026
Cos’è il sistema EN 18286?
La EN 18286 è la prima norma tecnica armonizzata istituita a supporto del Regolamento Europeo sull’Intelligenza Artificiale (AI Act).
Questo standard non valuta le performance tecniche o commerciali del software in sé, ma definisce i requisiti operativi per la creazione e il mantenimento di un Sistema di Gestione della Qualità (SGQ) specificamente orientato al ciclo di vita dei sistemi di IA.
Quali finalità ha?
La norma nasce con un obiettivo prevalentemente giuridico e operativo:
- Presunzione di conformità: Fornire uno strumento pratico che, se applicato correttamente, garantisce all’azienda la presunzione legale di conformità rispetto ai severi requisiti imposti dall’Articolo 17 dell’AI Act.
- Mitigazione dei rischi: Standardizzare i processi aziendali per prevenire discriminazioni (bias), violazioni dei dati o malfunzionamenti nei sistemi di IA prima che vengano immessi sul mercato.
- Integrazione dei processi: Consentire alle aziende di non stravolgere la propria struttura, ma di innestare i controlli sull’IA all’interno di sistemi qualità già esistenti.
Quali caratteristiche ha?
La EN 18286 è strutturata attorno alla logica del miglioramento continuo (Ciclo PDCA – Plan-Do-Check-Act) e si focalizza sulle seguenti caratteristiche del prodotto/processo:
- Data Governance stringente: Impone procedure rigorose per la verifica, la pulizia e la tracciabilità dei dati utilizzati per l’addestramento e la validazione dei modelli.
- Tracciabilità e Logging automatico: Richiede che il software sia progettato per registrare automaticamente i propri log, garantendo la spiegabilità delle decisioni dell’algoritmo in caso di ispezioni o contestazioni.
- Supervisione Umana dall’origine (Human Oversight): Impone l’inserimento nel design del software di interfacce e strumenti di controllo (come “kill switch” o funzioni di override) che permettano all’utente umano di bloccare o correggere le decisioni dell’IA.
- Monitoraggio Post-Market obbligatorio: Definisce le procedure per raccogliere feedback continui dal mercato e gestire tempestivamente eventuali anomalie o “incidenti gravi” dopo la distribuzione.
Chi deve applicarlo?
L’applicazione della EN 18286 è indirizzata a soggetti specifici identificati dall’AI Act:
- I Fornitori (Provider): Organizzazioni che sviluppano un sistema di IA o che integrano modelli terzi immettendoli sul mercato europeo a proprio nome o sotto il proprio brand.
- Ambito “Alto Rischio”: Si applica unicamente se il sistema di IA rientra nelle categorie ad alto rischio definite dall’Allegato III dell’AI Act (es. software per la selezione e lo screening dei 5. È certificabile da un ente terzo?
La norma è una guida metodologica. L’obbligo di legge derivante dall’AI Act riguarda il possesso dei requisiti di qualità, non il possesso di un certificato.
- Autovalutazione (nella maggior parte dei casi): Per quasi tutti i software ad alto rischio (incluso lo screening dei CV), il fornitore applica autonomamente la EN 18286 e firma una dichiarazione di conformità interna senza l’intervento di enti esterni.
- Organismi Notificati (Casi eccezionali): L’intervento di un ente terzo indipendente per la verifica di conformità complessiva scatta solo se l’IA è integrata in prodotti già soggetti a certificazioni specifiche (es. dispositivi medici o componenti di sicurezza industriale).
Quali sono le differenze con la ISO/IEC 42001?
La ISO/IEC 42001 è uno standard internazionale che guarda alla governance aziendale a livello macro. Definisce le linee guida per gestire l’impatto dell’IA a 360 gradi dentro l’organizzazione: si occupa di politiche interne, di come l’azienda acquista tecnologie esterne, dell’etica aziendale e della formazione del personale. Si applica a qualsiasi tipo di IA, a prescindere dal livello di rischio, ed è utile sia a chi sviluppa software sia a chi semplicemente lo compra e lo usa per lavorare.
Al contrario, la EN 18286 è una norma tecnica europea che si focalizza sul singolo prodotto e sul suo ciclo di vita. Essa impone requisiti rigidi e operativi su come quel determinato prodotto ad alto rischio viene progettato, testato, monitorato e immesso sul mercato europeo.
Essendo una norma armonizzata approvata dalla Commissione Europea, ad essa si applica la presunzione di conformità. Se i tuoi processi di sviluppo seguono le sue regole, l’autorità garante europea considera il tuo Sistema di Gestione della Qualità (Articolo 17 dell’AI Act) automaticamente conforme alla legge purchè ovviamente tu sia in grado di dimostrare che tali regole vengano effettivamente applicate).
L’ approccio integrato
La EN 18286 contiene al suo interno un apposito allegato (Annex C) pensato proprio per chi ha già implementato la ISO/IEC 42001.La strategia ideale per una software house consiste nell’usare la ISO/IEC 42001 per la gestione dell’IA a livello di governance, ed integrare la EN 18286 come verticale per adempiere all’obbligo normativo lato sviluppo e la vendita di quello specifico software con impatto ad alto rischio.
Contattaci per una consulenza a / 0583 403248
