Co się stało
19 października Komisja Europejska ogłosiła, że AI Act ma pierwszą normę zharmonizowaną. To EN 18286:2026, „Artificial intelligence — Quality management system for EU AI Act regulatory purposes", przygotowana przez komitet CEN-CENELEC JTC 21. Odesłanie do niej opublikowano w Dzienniku Urzędowym UE decyzją wykonawczą Komisji (UE) 2026/2274 z 14 października. Decyzja weszła w życie tego samego dnia.
Norma opisuje system zarządzania jakością, którego art. 17 AI Act wymaga od dostawców systemów AI wysokiego ryzyka. Dostawca, który ją stosuje, korzysta z domniemania zgodności z wymaganiami art. 17 objętymi normą. Stosowanie jest dobrowolne. Kto wybierze inną drogę, musi sam wykazać, że jego system jakości spełnia art. 17. Załączniki informacyjne normy odnoszą ją do ISO 9001 i ISO/IEC 42001, więc firma z istniejącym systemem może go rozbudować zamiast budować od zera.
Komisja zamówiła normy w dziesięciu obszarach. Pozostałe dziewięć, w tym zarządzanie ryzykiem, dane, rejestrowanie zdarzeń, przejrzystość, nadzór człowieka, dokładność, odporność, cyberbezpieczeństwo i ocena zgodności, nie ma jeszcze normy powołanej w Dzienniku Urzędowym. Daty ich publikacji nie podano.
Nasza teza
Oznaczamy jako naszą interpretację. Pierwsza norma nie dotyczy tego, jak zbudować bezpieczny model. Dotyczy tego, jak firma zarządza procesem, w którym system AI powstaje, jest testowany, zmieniany i wycofywany. To dobra wiadomość dla każdego, kto ma już porządny system jakości, i zła dla każdego, kto liczył, że zgodność z AI Act da się kupić jako funkcję produktu.
Najważniejsze pytanie brzmi jednak nie „czy mamy normę", tylko „czy w ogóle jesteśmy dostawcą". Art. 17 wiąże dostawców. Większość firm, które kupują gotowe systemy AI, jest stosującymi i ma osobne obowiązki z art. 26. Granica jest cieńsza, niż się wydaje: kto wprowadza system wysokiego ryzyka pod własną nazwą albo istotnie go zmienia, wchodzi w rolę dostawcy na podstawie art. 25. Firma, która z modelu dostawcy i własnych danych zbudowała narzędzie do oceny kandydatów albo zdolności kredytowej, może się obudzić z obowiązkami producenta.
Druga rzecz to czas. Obowiązki dla systemów z Załącznika III obowiązują od 2 grudnia 2027, o czym pisaliśmy przy nowych terminach z Digital Omnibus. Zostaje około trzynastu miesięcy, a punkt odniesienia z domniemaniem zgodności istnieje dziś tylko dla jednego z dziesięciu obszarów. Spodziewamy się, i to jest spekulacja, że część pozostałych norm nie zdąży przed tą datą. W tych obszarach zgodność trzeba będzie wykazać własną dokumentacją, bez domniemania. System jakości jest więc jedynym elementem, który można dziś zamknąć według wzorca. Warto zrobić to teraz, bo reszta będzie wymagała więcej pracy.
Dlaczego to ma znaczenie
Private Equity
W spółkach portfelowych, które sprzedają produkty AI do rekrutacji, oceny kredytowej albo innych zastosowań z Załącznika III, dopisz do przeglądu jedno pytanie: czy system zarządzania jakością jest zmapowany na EN 18286, a jeśli nie, kto i do kiedy to zrobi. Odpowiedź „mamy ISO 42001" to dobry punkt wyjścia, ale nie to samo. Domniemanie zgodności daje norma powołana w Dzienniku Urzędowym, a w decyzji 2026/2274 jest tylko EN 18286.
Enterprise
Jeśli macie certyfikowany system ISO 9001 albo ISO/IEC 42001, zleć porównanie z EN 18286 i sprawdź, czego brakuje. Równolegle zrób spis wewnętrznych narzędzi AI, które mogą wpaść w Załącznik III, i przy każdym ustal, czy jesteście stosującym, czy dostawcą. Narzędzia zbudowane w domu na cudzym modelu to najczęstsze miejsce, gdzie ta odpowiedź się zmienia.
MŚP / średni rynek
Jeśli kupujesz gotowe narzędzie AI, a nie budujesz własnego, norma dotyczy Twojego dostawcy, nie Ciebie. Przy wdrożeniach w firmach średniej wielkości wystarczy jedno pytanie do dostawcy narzędzia, które ocenia ludzi albo ich zdolność kredytową: czy wasz system jakości jest zgodny z EN 18286. Brak odpowiedzi to informacja o dojrzałości dostawcy, zanim zrobi się z tego problem.
Jeden ruch na ten tydzień
Weź listę systemów AI, z których korzysta firma, i przy każdym zapisz dwie rzeczy: czy mieści się w kategoriach z Załącznika III i czy zmienialiście go albo sprzedajecie pod własną nazwą. Każdy wiersz z odpowiedzią „tak" na oba pytania to miejsce, w którym możecie być dostawcą, a wtedy EN 18286 jest Waszym punktem startu. Opisz swój przypadek: mailto:[email protected]?subject=Rozmowa%20z%20Aurora%20AI