EN 18286 y el artículo 17: qué cubre de verdad la presunción de conformidad
Hay dos aspectos del EN 18286:2026 que se ven poco, y conviene tenerlos claros antes de construir un plan encima.
El primero está en el reglamento y se comprueba rápidamente: el artículo 40 presume la conformidad respecto de los requisitos de la Sección 2 del capítulo III, que son los artículos 8 a 15, y el artículo 17 está en la Sección 3. El segundo está en la norma: su Anexo ZA mapea el artículo 17(1), letras a a m, y la primera frase del artículo 11(1), con filas condicionadas y ninguna casilla limpia.
Este artículo continúa el mapa que empecé en la comparación entre el reglamento y ISO/IEC 42001, donde la conclusión era que ninguna certificación privada otorga presunción de conformidad. La pregunta siguiente es cuánta otorga la que sí puede otorgarla, y la respuesta tiene dos capas: hasta dónde llega el mecanismo del artículo 40, y hasta dónde llega la tabla de la norma.
El artículo 40 nombra una sección, y el artículo 17 no está en ella
El artículo 40(1) del Reglamento (UE) 2024/1689 dice que los sistemas de IA de alto riesgo conformes con normas armonizadas cuyas referencias se hayan publicado en el Diario Oficial
se presumirán conformes con los requisitos establecidos en la Sección 2 del presente Capítulo o, en su caso, con las obligaciones establecidas en el Capítulo V, Secciones 2 y 3, en la medida en que dichas normas cubran esos requisitos u obligaciones.
La Sección 2 del capítulo III son los artículos 8 a 15: gestión de riesgos, gobierno de datos, documentación técnica, registro de eventos, transparencia hacia el responsable del despliegue, supervisión humana, y precisión, robustez y ciberseguridad. El artículo 17, el del sistema de gestión de calidad del proveedor, está en la Sección 3, la de obligaciones de los proveedores. El Capítulo V es el de los modelos de propósito general.
Al mismo tiempo, EN 18286:2026 se titula norma de sistema de gestión de calidad para fines regulatorios del EU AI Act, el sistema de gestión de calidad formaba parte de la petición de normalización que la Comisión encargó a CEN-CENELEC, y el Anexo ZA de la norma mapea el artículo 17(1). Las tres cosas son ciertas a la vez, y de ahí sale una pregunta que hoy no tiene respuesta pública: qué efecto jurídico exacto producirá la citación de esta norma sobre un artículo que el mecanismo de presunción no nombra.
Hay una lectura que hace encajar las piezas, y la cito simplemente como lectura recomendada. El artículo 17 es instrumental respecto de la Sección 2: el sistema de gestión de calidad existe para sostener esos requisitos, hasta el punto de que obliga a documentar, cuando las armonizadas no se aplican en su totalidad, los medios con los que se asegura el cumplimiento de los requisitos de la Sección 2. Con esa lectura, una norma sobre el artículo 17 sirve al artículo 40 por vía indirecta. Es plausible, aunque le falta confirmación.
Lo que se puede afirmar hoy sin forzar nada se resume en tres frases. El artículo 11 sí está en la Sección 2, así que para la primera frase del 11(1) el mecanismo opera sin discusión, y esa es la parte del Anexo ZA que pisa suelo firme. Para el artículo 17, la respuesta llegará con la referencia publicada en el Diario Oficial, que es el documento que delimita el alcance exacto de cada citación. Y conviene leerla el día que aparezca en lugar de darla por supuesta ahora.
El texto del artículo 40(1) citado arriba está verificado a 17 de agosto de 2026. Cuando llegue la citación habrá que releerlo también en la versión consolidada, por si el paquete de simplificación hubiera tocado el apartado.
Qué es un Anexo ZA y por qué se lee antes que el resto
En una norma armonizada, el Anexo ZA es un anexo informativo con una tabla. A la izquierda, los requisitos de la legislación de la Unión que la norma pretende cubrir. A la derecha, las cláusulas concretas que los cubren. Ese anexo delimita, y el efecto jurídico lo produce la citación de la referencia conforme al Reglamento (UE) 1025/2012.
De ahí sale la regla que ordena lo demás: la cobertura llega hasta donde llega la tabla, requisito a requisito. Cumplir una norma armonizada al cien por cien deja intactos todos los requisitos legales que su Anexo ZA no lista. Es la parte de la norma que un responsable de gobierno de IA lee primero, y suele ser la que menos se lee.
Con un matiz que rompe el binario de confort: las filas pueden llevar condiciones y notas, y en el caso de EN 18286 las lecturas publicadas describen una advertencia de cabecera según la cual la conformidad con la norma por sí sola no constituye un hallazgo de cumplimiento de ninguna obligación individual. Así que la tabla se lee como un mapa con relieve.
Lo que mapea el Anexo ZA de EN 18286:2026
Antes del detalle, la advertencia que lo condiciona todo. El texto de EN 18286 es de pago y su Anexo ZA no circula en abierto, así que lo que sigue procede de las lecturas del texto final publicadas por terceros, entre ellas la de Patrick Sullivan, que ha inspirado este artículo, y la ficha pública que mantiene Modulos. Coinciden en el detalle, incluido el cambio entre el borrador y la versión final, y ese acuerdo pesa menos de lo que parece: la lectura de Sullivan cita el trabajo de mapeo de Modulos como su referencia principal, así que las dos versiones bajan de una sola cadena de origen. El contraste contra el texto oficial sigue pendiente. Lo haré cuando llegue la citación.
La tabla ZA.1 recoge dos bloques:
- El artículo 17(1) completo, sus trece letras: (a) estrategia de cumplimiento, incluida la gestión de modificaciones del sistema; (b) técnicas y procedimientos de diseño, control del diseño y verificación del diseño; (c) técnicas y procedimientos de desarrollo, control de la calidad y aseguramiento de la calidad; (d) procedimientos de examen, prueba y validación antes, durante y después del desarrollo; (e) especificaciones técnicas y normas a aplicar; (f) sistemas y procedimientos de gestión de datos; (g) el sistema de gestión de riesgos del artículo 9; (h) el establecimiento y mantenimiento del sistema de vigilancia poscomercialización del artículo 72; (i) los procedimientos de notificación de incidentes graves del artículo 73; (j) la gestión de la comunicación con autoridades, organismos notificados, otros operadores, clientes y demás partes interesadas; (k) los sistemas de conservación de documentación e información; (l) la gestión de recursos, incluida la seguridad del suministro; y (m) el marco de rendición de cuentas de la dirección y del personal.
- La primera frase del artículo 11(1), que exige que la documentación técnica esté elaborada antes de comercializar el sistema y se mantenga actualizada.
Ahí termina la tabla. Y conviene retener la palabra frase, porque el corte es literalmente ese.
| Requisito | ¿Figura en el Anexo ZA? | Quién lo sostiene |
|---|---|---|
| Art. 17(1), letras a a m | Sí, con condiciones | La norma, si la citación alcanza al art. 17 |
| Art. 17(2), proporcionalidad | No | Tú |
| Art. 17(3), integración sectorial | No | Tú |
| Art. 17(4), entidades financieras | No, y no lo necesita | La ley, por equivalencia |
| Art. 11(1), primera frase | Sí | La norma |
| Art. 11(1), resto del apartado y Anexo IV | No | Tú |
| Art. 72, vigilancia poscomercialización | No, no está el texto final | Tú |
Lo que se queda fuera: 17(2), 17(3), 17(4), el artículo 72 y medio artículo 11(1)
Los apartados 2, 3 y 4 del artículo 17 figuran como no cubiertos. El apartado 2 exige que la implantación sea proporcionada al tamaño de la organización. El apartado 3 permite integrar los elementos del apartado 1 en un sistema de gestión de calidad que ya exista por normativa sectorial. El apartado 4 contiene el régimen de las entidades financieras, que merece epígrafe propio. Son los tres apartados donde una organización grande y regulada decide cómo va a cumplir el artículo 17, y en los tres el argumento lo sostienes tú, con tu propio razonamiento documentado, ante la autoridad de vigilancia del mercado.
El apartado 3 y el apartado 4 se citan juntos y hacen cosas distintas. El 3 habla de integrar: quien ya tiene un sistema de gestión de calidad exigido por normativa sectorial puede alojar dentro los elementos del apartado 1. Las trece letras siguen siendo exigibles una a una, y lo que cambia es dónde viven. El 4 habla de dar por cumplida la obligación, y su supuesto es estrecho: entidades financieras sujetas a requisitos de gobernanza interna por el derecho de la Unión en materia de servicios financieros. Un fabricante de producto sanitario con ISO 13485 y el sistema de gestión de calidad que le exige el artículo 10, apartado 9, del Reglamento (UE) 2017/745 va por el apartado 3. Integra, y después sostiene ante la autoridad que la integración cubre cada letra. Quien lea el 17(4) como si valiera para cualquier sector con normativa propia dimensionará mal el análisis de brecha, y en ese punto el Anexo ZA tampoco acompaña.
El artículo 72 perdió su fila entre el borrador y el texto final. El borrador sometido a consulta pública mapeaba también las obligaciones de vigilancia poscomercialización. La versión aprobada el 12 de julio ya no las mapea. La distinción es fina y vale la pena hacerla despacio: la letra h del apartado 1 sigue en la tabla, así que el mapeo alcanza a que tu sistema de gestión de calidad establezca y mantenga el sistema de vigilancia poscomercialización. Lo que ese sistema debe producir una vez el producto está en el mercado, que es el artículo 72 con su plan y sus obligaciones de recogida y análisis de datos, se queda fuera. La letra h remite al 72, así que la frontera exacta entre documentar el sistema y operarlo es de las cosas que habrá que releer en el texto oficial.
De la documentación técnica, el mapeo cubre el calendario y no el contenido. La primera frase del artículo 11(1) pide que la documentación esté hecha a tiempo y se mantenga viva. El resto del apartado pide que demuestre la conformidad del sistema e informe a las autoridades nacionales y a los organismos notificados de forma clara y completa, que contenga como mínimo los elementos del Anexo IV, y regula además la forma simplificada para pymes. Nada de eso está en la tabla. Traducido a la conversación que acabarás teniendo: el mapeo te acompaña en que la documentación existe, y la discusión sobre si dice lo que tiene que decir es tuya.
El artículo 17(4) es una equivalencia legal, y por eso funciona distinto
Este apartado afecta a un sector entero y es el que más veces he visto invocar de memoria y a medias. Empiezo por citarlo entero, que son dos frases:
Para los proveedores que sean entidades financieras sujetas a requisitos en materia de gobernanza, sistemas o procesos internos en virtud del derecho de la Unión en materia de servicios financieros, la obligación de establecer un sistema de gestión de la calidad, con excepción del apartado 1, letras g), h) e i), del presente artículo, se considerará cumplida si se cumplen las normas sobre sistemas o procesos de gobernanza interna con arreglo al derecho pertinente de la Unión en materia de servicios financieros. A tal fin, se tendrán en cuenta las normas armonizadas a que se refiere el artículo 40.
Dos consecuencias, y ninguna es la que yo esperaba antes de leerlo entero.
La primera: esto es una cláusula de equivalencia. El reglamento da por cumplida la obligación. Reclamarle presunción de conformidad a una equivalencia legal es un error de categoría, porque la presunción sirve para probar el cumplimiento y aquí la ley lo declara directamente. Que el 17(4) quede fuera del Anexo ZA es, por tanto, lo esperable.
La segunda: las tres letras exceptuadas, (g), (h) e (i), están dentro del apartado 1, que es justo lo que la tabla ZA.1 sí recoge. Para lo único que a una entidad financiera le queda por construir, el sistema de gestión de riesgos del artículo 9, la vigilancia poscomercialización del artículo 72 y la notificación de incidentes graves del artículo 73, la norma sí acompaña. Y la segunda frase del apartado lo dice de forma expresa: a tal fin, se tendrán en cuenta las normas armonizadas del artículo 40.
Lo aterrizo en el caso que tengo más cerca. Una aseguradora que evalúa riesgo o fija precios en seguros de vida y salud respecto de personas físicas está en el Anexo III, punto 5, letra c. Si además desarrolla el modelo y lo pone en servicio bajo su marca, actúa como proveedor. Su ruta natural es apoyarse en el sistema de gobierno que ya tiene por normativa de solvencia, y esa ruta es legítima, está escrita en el reglamento y le ahorra diez de las trece letras. Las tres que le quedan son las tres más caras, las que ninguna normativa sectorial le perdona, y son precisamente las que caen dentro del perímetro de la norma. La conclusión práctica se invierte respecto de la intuición: la norma armonizada le interesa más a una entidad financiera por lo que le queda fuera del 17(4) que por el artículo 17 en bloque.
El prefijo EN de UNE-EN ISO/IEC 42001 no otorga presunción
En marzo de 2026, CEN-CENELEC adoptó el texto de ISO/IEC 42001:2023 como norma europea, sin modificación alguna, con el identificador EN ISO/IEC 42001:2026. Los organismos nacionales de normalización están obligados a incorporarla, así que es previsible que aparezca en el catálogo español como UNE-EN ISO/IEC 42001.
Esa adopción idéntica no lleva Anexo ZA, y sin Anexo ZA no hay tabla que mapee requisitos del reglamento. Sin citación en el Diario Oficial tampoco hay efecto jurídico. La norma europea de gestión de IA que desarrolla el artículo 17 sigue siendo EN 18286:2026, redactada como norma propia porque los objetivos y las definiciones de la internacional se consideraron desalineados con lo que ese artículo pide, según explicó CEN-CENELEC al anunciarla.
Anticipo la escena, porque llegará a lo largo de este año: alguien enseñará un certificado sobre UNE-EN ISO/IEC 42001 y lo presentará como cumplimiento del artículo 17 por la vía armonizada. El prefijo EN indica el origen europeo del documento normativo. El efecto jurídico lo produce la citación bajo el artículo 40. Son dos hechos independientes, y de momento solo se cumple el primero. Lo que sigue siendo cierto es todo lo que conté sobre montar el sistema de gestión: el AIMS hace un trabajo real que no depende de este debate.
Cuánto adelanta ese trabajo tiene además una respuesta escrita, y está en la propia EN 18286. La norma trae otros dos anexos de correspondencia, el Anexo B hacia ISO 9001 y el Anexo C hacia ISO/IEC 42001, y los dos declaran que corresponden cláusulas y subcláusulas, sin entrar en requisitos ni en conceptos: son una ayuda de lectura para quien ya conoce una de esas normas y busca el sitio equivalente en la nueva. El parecido que describen es real en la carcasa, alcance, liderazgo, política, objetivos, competencia, información documentada y revisión por la dirección, y llega hasta ahí. La estrategia de cumplimiento, los deberes de realización del sistema de IA y las cláusulas de incidentes y de no conformidad son propias de EN 18286. Quien dimensione un análisis de brecha con esos dos anexos en la mano va a presupuestar de menos. El detalle procede otra vez de lecturas de segunda mano, con el mismo contraste pendiente.
EN 18286:2026 sigue sin citación en el Diario Oficial
Conviene cerrar el circuito. La norma fue aprobada por CEN-CENELEC el 12 de julio de 2026 y anunciada el 30 de julio. A 19 de agosto de 2026 sigue sin citación en el Diario Oficial de la Unión Europea. Mientras no la tenga, el mecanismo del artículo 40 no se ha activado para nadie, y lo descrito arriba es el mapa de lo que habrá que leer con lupa cuando ocurra.
El resto del paquete de JTC 21 viene detrás y en distintos estados de maduración. La de gestión de riesgos, la de registro de eventos y la de ciberseguridad pasaron consulta pública. La de gestión de sesgo, prEN 18283, va bastante por detrás: su borrador de trabajo cerró comentarios el 30 de abril de 2026. Importa para planificar, porque el sesgo es de los requisitos donde una organización con un sistema de alto riesgo del Anexo III tiene más trabajo propio por delante y menos norma en la que apoyarse. Voy siguiendo el estado del paquete en la newsletter, porque cambia de mes en mes.
Con el calendario que dejó el Reglamento (UE) 2026/1744, el llamado Digital Omnibus, publicado el 24 de julio de 2026 y en vigor desde el 27, esto tiene fecha de examen: 2 de diciembre de 2027 para el alto riesgo del Anexo III y 2 de agosto de 2028 para la IA embebida en productos regulados del Anexo I. El detalle de cómo se ordena ese trabajo está en la pieza sobre operacionalizar el reglamento.
Qué hacer con esto el lunes
La consecuencia práctica cabe en una idea: si la cobertura opera requisito a requisito, tu registro de requisitos legales tiene que estar escrito requisito a requisito. Un inventario cuya entrada para el EU AI Act diga “legislación aplicable” y se detenga ahí sobrevive a una revisión de checklist y se desploma en cuanto alguien pregunta por un apartado concreto.
Lo que sostiene la conversación tiene esta forma:
- El requisito, con su apartado. Artículo 17(1)(h). El nivel de detalle del registro tiene que igualar al de la tabla contra la que se compara.
- De dónde viene la cobertura, y con qué reservas. Norma armonizada citada, gobernanza sectorial ya existente, o trabajo propio. Con la fuente nombrada y las condiciones anotadas.
- El rol que tienes en ese sistema concreto. Se determina sistema a sistema, y cambia con el tiempo: un proveedor puede aparecer donde antes había un responsable del despliegue en cuanto alguien pone su marca sobre un sistema de un tercero o lo modifica sustancialmente.
- La fecha desde la que es exigible. Con el Omnibus repartiendo obligaciones entre 2026, 2027 y 2028, sin fecha el registro no sirve para planificar.
- Un dueño nominal y un disparador de revisión. La citación de EN 18286 en el Diario Oficial es un disparador: el día que ocurra, varias filas cambian de estado.
Rellenado con lo de esta pieza, se ve mejor:
| Requisito | Cobertura | Rol | Exigible | Dueño | Disparador |
|---|---|---|---|---|---|
| Art. 17(1)(h) | EN 18286:2026, tabla ZA.1, fila con condiciones. Pendiente de citación y del alcance real sobre el art. 17 | Proveedor, modelo desarrollado en casa | 2 dic 2027 | cargo | Citación en el DOUE |
| Art. 17(4) | Gobernanza interna sectorial, por equivalencia legal. Deja fuera g, h e i | Proveedor | 2 dic 2027 | cargo | Cambio en la normativa sectorial |
| Art. 11(1) | Primera frase mapeada. Contenido y Anexo IV, trabajo propio | Proveedor | 2 dic 2027 | cargo | Citación en el DOUE |
Nada de esto es nuevo como técnica. Es el trabajo de determinar requisitos legales que la cláusula 4 de cualquier sistema de gestión pide al principio, y que se despacha con una frase genérica más veces de las que nadie admite. Lo que cambia ahora es que hay una tabla publicada contra la que ese registro se puede contrastar, y que la distancia entre lo que esa tabla mapea y lo que el reglamento exige se puede medir.
Ese es el examen real de diciembre de 2027: sentarse delante de una autoridad y recorrer el artículo 17 apartado por apartado diciendo de dónde sale la cobertura de cada uno y con qué reservas. Quien pueda hacerlo tendrá una conversación técnica. Quien tenga escrito “legislación aplicable” tendrá otra clase de conversación.
Preguntas frecuentes
¿EN 18286 otorga presunción de conformidad del artículo 17 del EU AI Act? Hoy no la otorga, porque todavía no está citada en el Diario Oficial, y cuando llegue la citación habrá que leer con cuidado hasta dónde alcanza. El artículo 40(1) presume la conformidad respecto de los requisitos de la Sección 2 del capítulo III, que son los artículos 8 a 15, y el artículo 17 está en la Sección 3. EN 18286:2026 desarrolla el artículo 17 y el sistema de gestión de calidad formaba parte de la petición de normalización, así que la pregunta sobre qué efecto jurídico exacto produce la citación sobre ese artículo sigue abierta. Para el artículo 11, que sí está en la Sección 2, el mecanismo opera sin discusión.
¿Qué mapea el Anexo ZA de EN 18286:2026? Según las lecturas publicadas del texto final, que es de pago y cuyo Anexo ZA no circula en abierto, la tabla ZA.1 recoge el artículo 17(1) del EU AI Act, letras a a m, y la primera frase del artículo 11(1). Los apartados 2, 3 y 4 del artículo 17 aparecen como no cubiertos, y el artículo 72, que sí figuraba en el borrador sometido a consulta pública, desapareció del texto final aprobado el 12 de julio de 2026. Varias filas llevan condiciones, así que conviene leer la tabla como un mapa con matices y no como casillas de sí o no.
¿Qué significa que EN 18286 cubra solo la primera frase del artículo 11(1)? La primera frase exige que la documentación técnica esté elaborada antes de comercializar el sistema y se mantenga actualizada. El resto del apartado exige que su contenido demuestre la conformidad e informe a autoridades y organismos notificados de forma clara y completa, que incorpore como mínimo los elementos del Anexo IV, y regula la forma simplificada para pymes. El mapeo alcanza a que la documentación esté hecha y viva. Que diga lo que tiene que decir sigue siendo tuyo.
¿Una entidad financiera con gobernanza sectorial ya cumple el artículo 17? En buena parte sí, y por una vía distinta de la presunción de conformidad. El artículo 17(4) declara cumplida la obligación de tener un sistema de gestión de calidad para las entidades financieras sujetas a requisitos de gobernanza interna por el derecho de la Unión en servicios financieros, con excepción de las letras g, h e i del apartado 1: el sistema de gestión de riesgos del artículo 9, la vigilancia poscomercialización del artículo 72 y la notificación de incidentes graves del artículo 73. Esas tres hay que construirlas igual. Y la segunda frase del apartado añade que, a tal efecto, se tendrán en cuenta las normas armonizadas del artículo 40, así que la norma entra justo por donde queda trabajo.
¿Me sirve el sistema de gestión de calidad de ISO 13485 para el artículo 17? Te sirve como contenedor, por la vía del artículo 17(3), que permite integrar los elementos del apartado 1 en un sistema de gestión de calidad que ya exista por normativa sectorial. Integrar no equivale a quedar excusado: las trece letras siguen siendo exigibles una a una y cambia solo dónde viven. La equivalencia legal del artículo 17(4), que sí da la obligación por cumplida, alcanza únicamente a entidades financieras sujetas a requisitos de gobernanza interna por el derecho de la Unión en materia de servicios financieros, así que un fabricante de producto sanitario va por el apartado 3 y sostiene su propio argumento ante la autoridad de vigilancia del mercado. Ninguno de los dos apartados figura en el Anexo ZA de EN 18286.
¿EN ISO/IEC 42001:2026 es una norma armonizada? No. CEN-CENELEC adoptó el texto de ISO/IEC 42001:2023 como norma europea el 13 de marzo de 2026, sin modificación alguna, y por tanto sin Anexo ZA. Los organismos nacionales de normalización están obligados a incorporarla, así que es previsible que aparezca en el catálogo español como UNE-EN ISO/IEC 42001. El prefijo EN indica que es una norma europea, y el efecto jurídico lo produce la citación en el Diario Oficial conforme al artículo 40, que esta norma no tiene.
¿Qué tiene que decir mi registro de requisitos legales sobre todo esto? Tiene que estar escrito con el mismo detalle con el que está escrita la tabla contra la que se compara: el requisito con su apartado, de dónde viene la cobertura y con qué reservas, el rol que tienes en ese sistema concreto, la fecha desde la que es exigible, un dueño nominal y un disparador de revisión. Un inventario cuya entrada para el EU AI Act diga legislación aplicable y se detenga ahí sobrevive a una revisión de checklist y se desploma en cuanto alguien pregunta por un apartado.