Prima norma armonizzata ai sensi dell'AI Act dell'UE

La decisione riporta il riferimento: EN 18286:2026, intitolata «Artificial intelligence – Quality management system for EU AI Act regulatory purposes». È la prima norma armonizzata citata a sostegno del regolamento europeo sull’intelligenza artificiale.

La pubblicazione è significativa perché l’AI Act formula i propri requisiti in termini generali, e le norme armonizzate hanno lo scopo di tradurli in prassi verificabili. Fino al 14 ottobre 2026 non era stata citata alcuna norma che offrisse ai fornitori di sistemi di IA ad alto rischio una via verso una presunzione giuridica di conformità. Con questa decisione ne esiste ora una, il che potrebbe offrire a fornitori, revisori e autorità un punto di riferimento comune su come appaia un sistema di gestione della qualità conforme.

Che cosa cambia

L’effetto pratico discende dall’articolo 40 dell’AI Act, come citato nella decisione. I sistemi di IA ad alto rischio conformi a una norma armonizzata, o a parti di essa, il cui riferimento è stato pubblicato nella Gazzetta ufficiale, si presumono conformi ai requisiti contemplati da tale norma. La decisione entra in vigore il giorno della sua pubblicazione; la presunzione si applica quindi dal 14 ottobre 2026.

La decisione descrive l’oggetto della norma come i sistemi di gestione della qualità per i fornitori di sistemi di IA, compresi i processi di monitoraggio successivo all’immissione sul mercato. Ciò corrisponde all’articolo 17 dell’AI Act, che impone ai fornitori di sistemi di IA ad alto rischio di istituire un sistema di gestione della qualità documentato. Esperti della comunità della normazione indicano che la presunzione si riferisce a questi requisiti dell’articolo 17. La decisione non precisa in che misura la norma copra l’articolo 17, e la presunzione si applica soltanto ai requisiti che la norma copre effettivamente.

Che cosa richiede l’articolo 17

L’articolo 17, paragrafo 1, dell’AI Act dell’UE elenca almeno tredici aspetti che il sistema deve affrontare, sotto forma di politiche, procedure e istruzioni scritte. Tra questi figurano i seguenti:

• Prove e convalida. La lettera d) richiede «procedure di esame, prova e convalida da effettuare prima, durante e dopo lo sviluppo» del sistema, «e la frequenza con cui devono essere effettuate».
• Monitoraggio successivo all’immissione sul mercato. La lettera h) richiede un sistema di monitoraggio successivo all’immissione sul mercato ai sensi dell’articolo 72, e la lettera i) procedure per la segnalazione di incidenti gravi ai sensi dell’articolo 73.
• Gestione del rischio e dei dati. Le lettere g) e f) riguardano il sistema di gestione dei rischi di cui all’articolo 9 e le procedure per il trattamento dei dati, dall’acquisizione alla conservazione.
• Norme e lacune. La lettera e) richiede che i fornitori indichino le norme applicate e, quando le norme armonizzate «non sono applicate integralmente o non coprono tutti i requisiti pertinenti», i mezzi utilizzati per garantire la conformità. Un fornitore che si affidi unicamente a EN 18286 potrebbe quindi dover comunque documentare come soddisfa i requisiti che la norma non copre.
• Proporzionalità. L’articolo 17, paragrafo 2, prevede che l’attuazione sia proporzionata alle dimensioni dell’organizzazione del fornitore, nel rispetto del rigore necessario per la conformità.

Le lettere d) e h) stabiliscono un’aspettativa ricorrente, non una tantum: procedure con frequenze definite e monitoraggio dopo la messa in servizio.

Una regola speciale per gli istituti finanziari

L’obbligo di gestione della qualità ricade sui fornitori, ossia sulle organizzazioni che sviluppano un sistema di IA ad alto rischio, o lo fanno sviluppare, e lo immettono sul mercato o lo mettono in servizio con il proprio nome. Ai sensi dell’articolo 17, paragrafo 4, un fornitore che sia un istituto finanziario regolamentato nell’UE, ad esempio una banca con un proprio modello di credit scoring, è considerato conforme all’obbligo se rispetta le norme di governance interna previste dal diritto dell’UE sui servizi finanziari. Tre aspetti ne sono esclusi: il sistema di gestione dei rischi, il monitoraggio successivo all’immissione sul mercato e la segnalazione di incidenti gravi. L’articolo aggiunge che le norme armonizzate «sono prese in considerazione». Come EN 18286 si inserisca in questo meccanismo non risulta dalla decisione e potrebbe emergere solo dal testo della norma.

Se ciò valga per gli istituti svizzeri è meno chiaro. La Svizzera non è soggetta al diritto dell’UE sui servizi finanziari, quindi l’agevolazione potrebbe non essere disponibile per una banca svizzera, la cui posizione dipenderebbe innanzitutto dall’applicabilità dell’AI Act nei suoi confronti.

Che cos’è l’armonizzazione e che cosa non è

Le norme sono, secondo la descrizione dell’UE stessa, linee guida volontarie su come prodotti, servizi e processi aziendali dovrebbero funzionare. Sono elaborate da organizzazioni europee di normazione private: CEN, Cenelec e, per le telecomunicazioni, ETSI. Gli organismi nazionali di normazione le recepiscono poi come norme nazionali identiche. Una norma armonizzata è una categoria specifica, elaborata a seguito di una richiesta della Commissione europea.

La via verso tale status segue il quadro dell’UE in materia di normazione, il regolamento (UE) n. 1025/2012, citato dalla decisione. La Commissione emette dapprima una richiesta di normazione, qui la decisione C(2025) 3871 del 23 giugno 2025. CEN e Cenelec elaborano quindi la norma, e la Commissione valuta se soddisfi i requisiti che intende coprire. Solo quando la Commissione pubblica il riferimento della norma nella Gazzetta ufficiale questa diventa una norma armonizzata.

L’effetto giuridico di questo passaggio è circoscritto. La norma non diventa diritto e il suo testo non è pubblicato nella Gazzetta ufficiale. Ciò che la citazione aggiunge è la presunzione di conformità di cui all’articolo 40 dell’AI Act: un fornitore che applica la norma è presunto conforme ai requisiti che essa copre. Secondo le indicazioni dell’UE, il ricorso alle norme armonizzate è di norma volontario, mentre i requisiti tecnici della legislazione dell’UE sono sempre obbligatori. I fornitori possono soddisfare tali requisiti mediante una norma armonizzata o mediante altre soluzioni tecniche che raggiungano lo stesso livello di conformità.

In pratica, ciò significa quanto segue:

• È volontaria. L’AI Act stabilisce gli obblighi giuridici. Una norma armonizzata è un modo per dimostrare la conformità, non l’unico. I fornitori possono scegliere altri mezzi, ma devono allora dimostrare che tali mezzi soddisfano i requisiti.
• Una presunzione non è un certificato. L’applicazione della norma potrebbe facilitare la dimostrazione della conformità. Non sostituisce le procedure di valutazione della conformità applicabili a un determinato sistema.
• Copre un solo ambito. La decisione cita soltanto la norma sulla gestione della qualità. Le norme su gestione del rischio, governance dei dati, registrazione, accuratezza, robustezza e cibersicurezza non ne fanno parte. Rappresentanti di CEN-CENELEC hanno dichiarato che i lavori proseguono.

Calendario

La citazione arriva prima dell’applicazione delle regole sui sistemi ad alto rischio. Nell’ambito dell’AI Omnibus, come riportato nel nostro approfondimento di agosto 2026, tali regole sono rinviate al 2 dicembre 2027, e quelle per i sistemi ad alto rischio integrati in prodotti regolamentati al 2 agosto 2028. I fornitori potrebbero quindi avere più di un anno per allineare i propri sistemi di gestione alla norma prima che gli obblighi si applichino.

Rilevanza per le organizzazioni svizzere

La Svizzera non è vincolata dalla decisione. I fornitori svizzeri che immettono sul mercato dell’UE sistemi di IA ad alto rischio, e le filiali svizzere di gruppi dell’UE, potrebbero comunque ritenere la norma rilevante, poiché l’AI Act può applicarsi a loro indipendentemente dal diritto nazionale (si veda La regolamentazione dell’IA in Svizzera).

La norma potrebbe interessare anche le organizzazioni che già lavorano con l’ISO/IEC 42001, la norma internazionale sui sistemi di gestione dell’IA. Come le due si rapportino nel dettaglio è oggetto di studio e merita un’analisi più approfondita.

Un sistema di gestione della qualità con monitoraggio successivo all’immissione sul mercato presuppone che le organizzazioni siano in grado di misurare come i loro sistemi di IA funzionano in esercizio. Ciò collega la norma al tema dell’evidenza che attraversa le aspettative svizzere ed europee: affermazioni quantificate, ripetibili e verificabili sul comportamento dei sistemi, anziché asserzioni una tantum.

Fonti

• La decisione: decisione di esecuzione (UE) 2026/2274 della Commissione, del 12 ottobre 2026, relativa alle norme armonizzate per i sistemi di IA ad alto rischio elaborate a sostegno del regolamento (UE) 2024/1689, Gazzetta ufficiale dell’Unione europea, serie L, 14 ottobre 2026. Consultabile gratuitamente su EUR-Lex. Contiene il riferimento e il titolo della norma EN 18286:2026, ma non il testo della norma.
• L’AI Act: regolamento (UE) 2024/1689 del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale. L’articolo 17 (sistema di gestione della qualità) e l’articolo 40 (norme armonizzate) sono citati sopra. Disponibile su EUR-Lex.
• La richiesta di normazione: decisione di esecuzione C(2025) 3871 della Commissione, del 23 giugno 2025, relativa a una richiesta di normazione a CEN e Cenelec, citata nel considerando 2 della decisione.
• Le norme in Europa: guida dell’Unione europea per le imprese sulle norme e sulle norme armonizzate, Your Europe.
• La norma stessa: EN 18286:2026, disponibile presso gli organismi nazionali di normazione membri di CEN e Cenelec, di norma a pagamento.