El AI Act ya tiene su primera norma armonizada, y se parece mucho a la ISO 42001

El Reglamento europeo de IA ya tiene su primera norma armonizada. Se llama EN 18286, trata de cómo montar un sistema de gestión de calidad para la IA y desde el 14 de octubre de 2026 tiene efectos legales en toda la Unión Europea. Ha pasado casi sin ruido. Y para quien vende o desarrolla IA, es la noticia más práctica del otoño.

Te cuento qué es, a quién afecta de verdad y por qué, si tu empresa ya tiene la ISO 9001 o mira de reojo la ISO/IEC 42001, te conviene saberlo.

Qué ha pasado

La Comisión Europea aprobó el 12 de octubre de 2026 la Decisión de Ejecución (UE) 2026/2274, sobre las normas armonizadas para los sistemas de IA de alto riesgo. Entró en vigor el 14 de octubre.

Esa decisión hace una cosa muy concreta: publica en el Diario Oficial la referencia de la norma EN 18286:2026, «Inteligencia artificial. Sistema de gestión de la calidad para los fines reglamentarios del AI Act». La prepararon los organismos europeos de normalización, CEN y CENELEC, en su comité técnico de IA, y la terminaron en julio de 2026.

Una norma armonizada no es una ley. Es una norma técnica voluntaria. Pero tiene un efecto que vale oro: quien la cumple se presume que cumple la parte del Reglamento que esa norma cubre. En este caso, el artículo 17, que obliga a los proveedores de sistemas de alto riesgo a tener un sistema de gestión de la calidad.

Dicho en corto: hasta ahora, cada proveedor tenía que demostrar a su manera que su sistema de calidad cumplía la ley. Ahora tiene un camino marcado. Si lo sigue, la carga de la prueba cambia de lado.

Es la primera, pero no la última. Según el propio comité técnico, siguen en preparación las normas de gestión de riesgos, calidad de los datos, registros, transparencia, supervisión humana, precisión, solidez, ciberseguridad y evaluación de la conformidad. Varias están en revisión después de la consulta pública.

Qué significa para tu empresa

Aquí viene la parte que casi nadie cuenta.

Si tu empresa solo usa IA de otros, como ChatGPT para los correos, un chatbot en la web o el CRM que puntúa contactos, la EN 18286 no te obliga a nada. El artículo 17 es para quien fabrica y comercializa sistemas de alto riesgo, no para quien los usa. Tus deberes siguen siendo los de siempre: no cruzar las líneas prohibidas, formar a tu equipo y avisar cuando alguien habla con una máquina. Lo tienes ordenado en el calendario del AI Act.

Si usas una herramienta de alto riesgo, por ejemplo un programa que filtra currículos o que evalúa la solvencia de clientes particulares, la noticia sí te toca, aunque sea de rebote. Tu proveedor va a tener que demostrar que tiene un sistema de calidad, y ahora existe una norma de referencia para hacerlo. Es una pregunta que puedes y debes hacerle antes de renovar el contrato. Las obligaciones de alto riesgo llegan el 2 de diciembre de 2027, y quien llegue tarde lo va a notar en sus clientes.

Si desarrollas o vendes IA, aunque sea un producto pequeño, esto es lo más útil que ha salido en meses. Ya no tienes que adivinar qué se entiende por un sistema de calidad conforme al Reglamento.

Y ahora lo que me parece más interesante. Según el comité técnico que la ha redactado, la EN 18286 incluye anexos informativos que la relacionan con la ISO 9001 y con la ISO/IEC 42001. No es casualidad. Las tres hablan el mismo idioma: procesos, responsables, documentación, auditoría y mejora.

Simplifico, lo sé. Pero la consecuencia práctica es clara: si tu empresa ya tiene la ISO 9001, no partes de cero. Y si estabas pensando en la ISO/IEC 42001, el trabajo no se pierde: buena parte de lo que pide te acerca a lo que pide esta norma. No son lo mismo y una no sustituye a la otra. Te explico las diferencias en la guía de ISO/IEC 42001 y AI Act.

Te hablo con cierto interés, no lo voy a esconder: estoy completando la certificación de auditor líder en ISO/IEC 42001. Precisamente por eso te digo que no necesitas certificarte para cumplir el AI Act. Lo que necesitas es saber qué IA usas y en qué papel.

Lo que yo haría esta semana

• Abre tu inventario de IA y marca cualquier herramienta que decida o ayude a decidir sobre personas o sobre el dinero de particulares. Si no tienes inventario, ese es tu primer deber, no esta norma.
• A cada proveedor de una herramienta marcada, pregúntale por escrito si su sistema de IA es de alto riesgo y cómo va a cumplir el sistema de gestión de la calidad del artículo 17. Si te habla de la EN 18286, buena señal. Guarda la respuesta.
• Si tienes la ISO 9001, pásale esta noticia a quien lleve la calidad en tu empresa. Que mire si en el próximo ciclo de auditoría tiene sentido incluir la IA.
• Si desarrollas IA, consigue la norma. Las normas EN se compran a través de los organismos nacionales de normalización, en España UNE. Leerla antes que tu competencia es una ventaja barata.

Preguntas frecuentes

¿Qué es una norma armonizada del AI Act?

Es una norma técnica europea cuya referencia publica la Comisión en el Diario Oficial. Cumplirla da presunción de conformidad con los requisitos del Reglamento que cubre. Es voluntaria: se puede cumplir la ley por otro camino, pero entonces hay que demostrarlo.

¿Es obligatoria la EN 18286 para mi empresa?

No. Es voluntaria, y además solo tiene sentido para los proveedores de sistemas de IA de alto riesgo. Si tu empresa solo usa herramientas de IA de otros, no te afecta directamente.

¿Tengo que certificarme en la ISO 42001 para cumplir el AI Act?

No. La ISO/IEC 42001 es una norma voluntaria de gestión de la IA y la certificación no equivale a cumplir el Reglamento. Puede ayudarte a ordenar el trabajo y a demostrarlo ante clientes grandes, pero el cumplimiento es otra cosa.

Noticia comentada con fines divulgativos, no asesoramiento jurídico. No soy abogado: si tu caso lo necesita, consúltalo con uno. Datos comprobados a fecha de publicación.