Présomption EN 18286 : comment un auditeur la teste, ligne par ligne

Un guide pratique pour les responsables qualité, les auditeurs internes et les responsables de la gouvernance de l'IA.

La plupart des équipes peuvent montrer une politique. Bien moins peuvent prouver à un auditeur que cette politique a été appliquée le jour prévu, et c'est précisément ce que teste la présomption EN 18286. Ce guide explique ce que couvre la présomption, comment un auditeur échantillonne les preuves, quelle place occupe un certificat ISO/IEC 42001 et où les équipes butent le plus souvent.

Points clés

• EN 18286:2026 est la première norme harmonisée au titre de l'AI Act. Sa présomption de conformité s'applique depuis le 14 octobre 2026.
• Elle couvre les treize lignes de l'article 17, paragraphe 1, et la documentation technique de l'article 11, paragraphe 1. L'article 17, paragraphes 2, 3 et 4, n'est pas couvert.
• Deux lignes sont assorties d'une condition : la ligne relative aux risques exige un processus de gestion des risques conforme à l'article 9, et la documentation technique exige chaque élément de l'annexe IV.
• Un auditeur teste chaque ligne en fixant une population, une période, un échantillon, les attributs à vérifier et une règle de réussite ou d'échec.
• Un certificat ISO/IEC 42001 ne donne pas à lui seul la présomption. Un registre de réutilisation montre ce qui se reporte.
• L'éditeur ne décrit aucun schéma de certification pour la présomption : « conçu en référence à EN 18286:2026 » est une formulation sûre, « certifié EN 18286 » ne l'est pas.

Qu'est-ce que la présomption de conformité EN 18286 ?

La Commission européenne a publié EN 18286:2026 comme première norme harmonisée au titre de l'AI Act par la décision d'exécution (UE) 2026/2274. La décision est entrée en vigueur le 14 octobre 2026. Si votre système de management de la qualité satisfait à la norme pour les lignes qu'elle couvre, la loi présume que vous remplissez les obligations correspondantes de l'article 17, paragraphe 1, de l'AI Act.

Une présomption est une longueur d'avance, pas une ligne d'arrivée. Elle ne fait pas de votre système un système certifié, et elle ne couvre que les lignes et les conditions que la norme désigne.

Pensez à la note de passage à l'école. Si votre travail atteint cette note, l'enseignant part d'une position de confiance. Il peut toujours vérifier le travail, et la note n'a de sens que si le travail qui la sous-tend est réel.

Quelles lignes de l'AI Act EN 18286 couvre-t-elle ?

Ce que couvre la présomptionCouvertCouvert sous conditionNon couvert

• Art. 17(1)(a)Stratégie réglementaire
• (b)Maîtrise de la conception
• (c)Développement et assurance qualité
• (d)Examen et validation
• (e)Normes et moyens
• (f)Gestion des données
• (g)Gestion des risquesProcessus conforme à l'article 9 exigé
• (h)Surveillance après commercialisation
• (i)Signalement des incidents graves
• (j)Communication avec les autorités
• (k)Tenue des registres
• (l)Ressources et approvisionnement
• (m)Responsabilité
• Art. 11(1)Documentation techniqueChaque élément de l'annexe IV présent
• Art. 17(2), (3), (4)Proportionnalité, systèmes sectoriels, établissements financiersNon couvert par la présomption

D'après les lignes de cet article

Deux conditions méritent une attention particulière. La ligne relative aux risques ne vaut que si votre processus de gestion des risques est conforme à l'article 9, et il n'existe pas encore de norme harmonisée pour l'article 9 : vous devez donc démontrer cette conformité vous-même. La ligne relative à la documentation technique ne vaut que si chaque élément de l'annexe IV figure dans le dossier.

Comment un auditeur teste-t-il une ligne ?

Imaginez un exercice d'évacuation à l'école. L'enseignant ne se contente pas de demander : « Avez-vous un plan d'évacuation ? » Il choisit quelques classes, chronomètre le temps que chacune met à sortir et vérifie que chaque enfant a été compté. Un plan sur papier ne vaut pas grand-chose si l'exercice ne fonctionne jamais.

Les auditeurs testent les lignes de l'AI Act de la même manière. Avant de commencer, ils fixent cinq éléments.

Comment un auditeur teste une ligneExemple : point i), signalement des incidents

1. 1PopulationChaque événement auquel la ligne s'appliqueChaque incident et quasi-incident consigné dans l'année
2. 2PériodeLa fenêtre de temps testéeDu 1er janvier au 31 décembre
3. 3ÉchantillonLe nombre d'éléments retenusTous les incidents s'il y en a moins de dix, sinon dix tirés au hasard
4. 4AttributsCe qui est vérifié pour chaque élémentDate de départ du délai, date du signalement, délai respecté
5. 5Règle de réussite ou d'échecCe qui constitue une exceptionTout signalement envoyé après le délai est une exception

D'après l'exemple de cet article

Voici trois exemples de ce que cela donne en pratique.

Point a), changements. Retenez chaque changement substantiel apporté à un système à haut risque au cours de l'année. Pour chacun, vérifiez que quelqu'un l'a évalué au regard de vos critères et a consigné la décision par écrit. Un changement mis en production sans évaluation est un échec.

Point g), risques. Retenez deux risques de niveaux de gravité différents. Suivez chacun depuis son identification jusqu'au test qui a prouvé l'efficacité de la correction, puis jusqu'à la validation du risque résiduel. Un risque clos sans preuve de test est un échec.

Point i), incidents. Organisez un incident simulé une fois par an. Les équipes qui s'exercent au délai de signalement découvrent des lacunes qu'un processus sur papier ne révèle jamais, comme un responsable mal défini ou un numéro de contact manquant.

Quelle est la différence entre ISO 9001, ISO/IEC 42001 et EN 18286 ?

Les équipes demandent souvent si elles ont besoin des trois. Elles remplissent des fonctions différentes et donnent leur meilleur ensemble.

1. EN 18286:2026La voie de présomption pour les obligations qualité de l'AI ActCitée au Journal officiel
2. ISO/IEC 42001Système de management de l'IA à l'échelle de l'organisation
3. ISO 9001:2015Couche de base pour la maîtrise des processus et des documents

D'après la comparaison de cet article

Ai-je encore besoin d'ISO/IEC 42001 si j'applique EN 18286 ?

En général, oui. Les normes se recoupent, mais elles ne se remplacent pas. EN 18286 comprend une annexe C, qui met en correspondance ses articles avec ISO/IEC 42001, et une annexe B, qui les met en correspondance avec ISO 9001:2015. Ces tables montrent où les articles concordent. Elles ne prouvent pas que les exigences sont identiques : un certificat 42001 ne vous donne donc pas la présomption à lui seul.

La question utile est de savoir quelle part de votre travail 42001 se reporte. Trois éléments en décident.

• Le périmètre du certificat. Couvre-t-il chaque site et chaque système d'IA soumis à l'AI Act ? Un certificat qui ne couvre que le siège laisse le bureau d'ingénierie hors périmètre.
• Votre rôle. Un certificat établi pour un développeur peut ne pas vous couvrir en tant que déployeur, et l'inverse est aussi possible.
• Le processus de gestion des risques. Votre méthode de gestion des risques 42001 satisfait-elle à l'article 9 ? Une évaluation générale des risques liés à l'IA peut passer à côté de l'angle santé, sécurité et droits fondamentaux qu'exige l'AI Act.

Ce qui se reporte depuis 42001

• Politique et gouvernanceOuiÀ ajouter : une stratégie de conformité réglementaire liée à l'AI Act
• Maîtrise documentaireOuiÀ ajouter : des registres structurés selon l'article 17 et l'annexe IV
• Gestion des risquesEn partieÀ ajouter : la preuve que le processus satisfait à l'article 9
• Gestion des incidentsEn partieÀ ajouter : un délai de signalement aligné sur les échéances de l'article 73
• Surveillance après commercialisationEn partieÀ ajouter : des preuves pour la ligne h)
• Documentation techniqueRarement complèteÀ ajouter : un dossier annexe IV complet par version du système

D'après le tableau de cet article

Une étape pratique consiste à établir un registre de réutilisation, avec une ligne par élément de l'annexe ZA. Qualifiez chaque ligne de « se reporte », « à compléter » ou « à créer ». La plupart des organisations constatent que la stratégie, le délai de signalement et la documentation technique par système demandent le plus de travail.

Voici à quoi peuvent ressembler les premières lignes d'un tel registre, établies uniquement à partir des lignes ci-dessus. Les responsables sont des exemples ; indiquez les vôtres.

Voici comment un praticien le formulerait. Un certificat 42001 indique au marché que votre système de management est solide. Il n'indique pas à un auditeur que chaque ligne de l'AI Act a été testée sur des enregistrements réels. Considérez le certificat comme les fondations de la maison, pas comme la maison terminée.

« La plupart des équipes ne manquent pas de politiques. Elles manquent de preuves que la politique a été appliquée le jour prévu. C'est autour de cela que nous avons construit Acuna GRC. »

Nous faisions le même constat dans notre article sur les agents IA à la connexion bancaire : ISO/IEC 42001 étaye les preuves, mais la certification n'établit pas à elle seule la conformité à l'AI Act.

Existe-t-il un certificat EN 18286 ?

Pas au sens où beaucoup l'entendent. Le CEN-CENELEC, qui publie la norme, ne décrit aucun schéma de certification pour la présomption. Certains organismes de certification commercialisent des services de « certification EN 18286 », et leur langage commercial ne doit pas être confondu avec la position de l'éditeur. Un certificat privé n'a aucun effet juridique au-delà de l'évaluation de la conformité qu'exige l'AI Act lui-même.

La formulation défendable est que la conformité à la norme est démontrée dans le cadre de l'évaluation de la conformité prévue par l'AI Act, par contrôle interne ou par un organisme notifié, selon le système.

Quelle édition d'EN 18286 acheter ?

La norme est vendue par les organismes nationaux de normalisation, et le fond est le même d'une édition à l'autre, mais vous devriez acheter la version qui correspond à votre langue de travail et au marché pour lequel vous documentez.

Avant d'acheter, confirmez à quelle édition votre auditeur ou votre organisme notifié se référera. Si vos équipes travaillent dans plusieurs langues, convenez par écrit de la version qui prévaut.

Que puis-je écrire au sujet d'EN 18286 ?

C'est là que de nombreuses organisations vont trop loin, et une seule phrase dans un appel d'offres peut créer plus d'exposition que la norme elle-même.

Que se passe-t-il si la référence est retirée ?

La présomption ne vaut que tant que la référence au Journal officiel est maintenue. Si la Commission la retire ou la restreint, la présomption tombe et vous devez prouver directement votre conformité. Conservez des preuves qui tiennent par elles-mêmes, et non des preuves qui dépendent de la citation de la norme.

D'autres normes harmonisées sont encore en préparation, notamment sur la gestion des risques, la cybersécurité et la journalisation. Tant qu'elles ne sont pas citées, EN 18286 restera probablement la principale voie de présomption pour le système de management de la qualité : organisez-vous en conséquence et réexaminez la situation à chaque étape du JTC 21.

Les dates clés à prévoir

1. 14 oct. 2026Début de la présomption EN 18286
2. 2 déc. 2027Obligations haut risque de l'annexe III applicables
3. 2 août 2028Obligations haut risque de l'annexe I applicables

D'après les dates de cet article

Pour les classes de risque et le calendrier complet, consultez notre guide de l'AI Act et notre article sur la classification d'un système d'IA à haut risque.

Qui assure la formation derrière ce travail ?

De bonnes preuves dépendent de personnes capables de mener les tests, et la plupart des échecs que nous observons viennent d'équipes qui comprenaient la norme sur le papier mais n'avaient jamais échantillonné un enregistrement réel ni mené un véritable exercice d'incident. Si votre équipe a besoin de cette base pratique, Abilene Academy propose des formations certifiantes PECB en ISO/IEC 42001, gouvernance de l'IA, sécurité de l'information et protection des données, dispensées en EN, FR, ES, DE, IT et dans d'autres langues.

Abilene Academy est le seul partenaire PECB Titanium en Suisse, le niveau d'accréditation le plus élevé que décerne PECB. Ses programmes affichent un taux de réussite aux examens de 99 %, et elle a formé plus de 2 500 professionnels dans plus de 120 pays, avec plus de 600 organisations parmi ses clients. Sa devise le résume bien : Train with practitioners. Pass with confidence.

La place d'Acuna GRC

Acuna GRC est conçu pour les équipes qui doivent démontrer des preuves, et pas seulement stocker des documents. Pour la plupart des équipes, la question pratique est de savoir où se trouvent les enregistrements de chaque ligne de l'annexe ZA, qui en est responsable et si un auditeur peut prélever un échantillon sans passer une semaine à relancer par e-mail. Acuna GRC est conçu pour regrouper ces enregistrements, avec une vue claire des sites et des systèmes que couvre chaque référentiel, et il est lui-même certifié ISO 27001. Il est disponible en anglais, en français et en espagnol.

Comment le démontrer dans Acuna GRC

• Population et période : un audit dans Assure comporte une date Période du et une date Période au, et sa section Enregistrements regroupe les enregistrements liés en Dans la période, Non datés et Autres périodes. Rien n'est masqué.
• Responsable et preuve : chaque enregistrement a une référence, une date de collecte et un responsable. Un enregistrement sans fichier ni lien signale la lacune.
• Périmètre : les référentiels, les exigences et les enregistrements peuvent être affectés à des périmètres comme un site ou une entité juridique, ce qui répond à la question du périmètre du certificat posée plus haut.
• Réutilisation entre référentiels : Comply rattache les exigences de différents référentiels à des mesures communes, de sorte que le travail réalisé pour ISO/IEC 42001 est relié plutôt que refait.
• Systèmes d'IA et incidents : le module AI Governance, disponible dès maintenant, recense chaque système d'IA avec sa classification, ses analyses d'impact, ses superviseurs nommés et ses incidents d'IA. Une non-conformité de type incident ou quasi-incident dispose d'une chronologie d'étapes datées, où un exercice d'incident simulé peut laisser ses preuves.

AuditAssure

Audit interne : management de la qualité AI ActPériode du 1er janv. 2026 au 31 déc. 2026 · Auditrice principale : Aline RochatPérimètre : Bureau d'ingénierie (Site)Interne

ResponsableEnregistrementsStatut

Art. 17(1)(a)Stratégie réglementaireMarie Dubois6 dans la périodeConforme

Art. 17(1)(g)Gestion des risquesJonas Keller4 dans la périodePartiellement conforme

Art. 17(1)(i)Signalement des incidents gravesMarie Dubois3 dans la période, 1 non datéPartiellement conforme

Art. 11(1)Documentation techniqueJonas Keller0 dans la périodeNon évalué

Les enregistrements liés sont regroupés en Dans la période, Non datés et Autres périodes : l'échantillon provient de la période d'audit.

Entreprise fictive · Brenvara AG

« Une bonne plateforme devrait rendre le travail de l'auditeur ennuyeux, dans le meilleur sens du terme. S'il peut choisir un échantillon et retrouver chaque enregistrement en quelques minutes, votre équipe peut consacrer son temps au travail qui compte. »

Prêt à voir comment vos preuves se répartissent ? Réservez une présentation d'Acuna GRC, ou commencez par le registre de réutilisation ci-dessus et apportez-le à l'appel.

Réserver une présentation