Wat is een geharmoniseerde norm onder de AI Act?
De AI Act zegt wat een aanbieder van een high-risk AI-systeem moet regelen, maar niet precies hoe. Dat hoe staat in geharmoniseerde normen: Europese normen die op verzoek van de Europese Commissie worden opgesteld door de normalisatie-instellingen CEN en CENELEC. Zodra de Commissie een verwijzing naar zo'n norm in het Publicatieblad van de EU zet, krijgt de norm juridische betekenis.
Die betekenis heet het vermoeden van conformiteit. Pas je de norm toe, dan wordt aangenomen dat je voldoet aan de wettelijke eisen die de norm afdekt. Een toezichthouder moet dan aantonen dat het niet zo is, in plaats van dat jij elk detail zelf moet onderbouwen.
De Commissie vroeg in juni 2025 aan CEN en CENELEC om normen voor tien gebieden. EN 18286 is de eerste die het Publicatieblad heeft gehaald.
EN 18286 in het kort: data en inhoud
De feiten op een rij:
- **Naam:** EN 18286:2026, Artificial intelligence, Quality management system for EU AI Act regulatory purposes
- **Opgesteld door:** CEN en CENELEC
- **Juridische basis:** Uitvoeringsbesluit (EU) 2026/2274, vastgesteld op 12 oktober 2026
- **In het Publicatieblad:** 14 oktober 2026, op dezelfde dag van kracht, en vanaf die datum geldt het vermoeden van conformiteit
- **Bekendgemaakt door de Commissie:** 19 oktober 2026
- **Dekt:** het kwaliteitsmanagementsysteem dat aanbieders van high-risk AI moeten inrichten volgens artikel 17 van de AI Act, inclusief monitoring nadat het systeem in gebruik is
De norm gaat over de organisatie rond een AI-systeem: hoe je ontwerp, ontwikkeling, tests, documentatie, wijzigingen en monitoring beheerst. Het is geen technische test van de prestaties van een individueel model.
Wat EN 18286 niet dekt
Hier zit de belangrijkste kanttekening. Van de tien gebieden waarvoor de Commissie normen vroeg, is alleen kwaliteitsmanagement nu afgedekt. Voor deze negen gebieden is nog geen geharmoniseerde norm gepubliceerd:
- Risicobeheer
- Governance en kwaliteit van datasets
- Logging en registratie
- Transparantie richting gebruikers
- Menselijk toezicht
- Nauwkeurigheid
- Robuustheid
- Cyberbeveiliging
- Conformiteitsbeoordeling
De Commissie zegt dat er meer normen volgen, maar noemt geen datum. Voor die eisen moet je dus nog steeds zelf onderbouwen hoe je eraan voldoet, bijvoorbeeld met bestaande internationale normen en goede documentatie van je eigen keuzes.
Wanneer de AI Act-eisen voor high-risk AI gelden
Door de Digital Omnibus zijn de high-risk verplichtingen opgeschoven. Zelfstandige high-risk systemen uit bijlage III, zoals AI voor werving, onderwijs, kredietbeoordeling of kritieke infrastructuur, moeten vanaf 2 december 2027 voldoen. High-risk AI in gereguleerde producten uit bijlage I volgt op 2 augustus 2028. Wat er precies is gewijzigd, lees je in ons artikel over de definitieve Digital Omnibus.
Niet alles is uitgesteld. De transparantieplichten van artikel 50, zoals een chatbot die zich als AI bekendmaakt, gelden sinds 2 augustus 2026. Die staan uitgewerkt in EU AI Act verplichtingen 2026.
Een kwaliteitsmanagementsysteem bouw je niet in een maand. Dat EN 18286 er ruim een jaar voor de eerste high-risk deadline is, geeft aanbieders tijd om hun processen er nu al op in te richten.
Voor wie is EN 18286 relevant?
De norm is in de eerste plaats bedoeld voor aanbieders van high-risk AI-systemen: partijen die zo'n systeem ontwikkelen of onder eigen naam op de markt brengen. Denk aan een softwareleverancier die AI-gestuurde kandidaatselectie verkoopt, of een fabrikant van een medisch hulpmiddel met een AI-component.
Gebruik je alleen AI-tools van anderen, zoals een chatbot of een AI-assistent in je klantenservice, dan ben je geen aanbieder van een high-risk systeem en hoef je geen kwaliteitsmanagementsysteem volgens artikel 17 in te richten. Laat je wel een AI-toepassing op maat bouwen voor een high-risk toepassing en breng je die onder eigen naam in gebruik, dan kun je wel als aanbieder gelden. Dat onderscheid is de eerste vraag die je moet beantwoorden.
Heb je al ISO/IEC 42001, ISO 9001 of ISO 13485, dan hoef je niet opnieuw te beginnen. EN 18286 is ontworpen om daar bovenop te komen, zodat organisaties in gereguleerde sectoren hun managementsystemen kunnen integreren in plaats van er meerdere naast elkaar te draaien. Let wel op: een bestaand systeem voldoet niet automatisch aan EN 18286, je moet de verschillen in kaart brengen.
Wat je nu concreet kunt doen
Ons advies voor organisaties die AI bouwen of laten bouwen:
- Stel per AI-toepassing vast of het een high-risk systeem is en of jij aanbieder of gebruiker bent
- Leg voor high-risk toepassingen je bestaande kwaliteitsprocessen naast EN 18286 en noteer wat ontbreekt
- Richt logging, versiebeheer en wijzigingsbeheer van je AI-systemen nu al zo in dat je later kunt laten zien wat het systeem wanneer deed
- Wacht niet op de negen ontbrekende normen voor de basis: menselijke goedkeuring bij beslissingen met impact en aantoonbare tests zijn hoe dan ook nodig
Wij bouwen AI-agents en AI-toepassingen standaard met audit-trails, rollen en goedkeuringsstappen, en werken als ISO 27001-gecertificeerde ontwikkelaar volgens vastgelegde processen voor beveiliging en wijzigingsbeheer. Twijfel je of een toepassing onder de high-risk regels valt, plan dan een vrijblijvende AI-compliance check. Meer over onze aanpak lees je bij AI-oplossingen.