Cosa è successo con la EN 18286 e l'AI Act?
Il 14 ottobre 2026 la Gazzetta ufficiale dell'Unione europea ha pubblicato, con una decisione della Commissione europea, il riferimento alla norma EN 18286. È la prima norma armonizzata dell'AI Act, cioè una norma tecnica che la legge riconosce. L'hanno scritta CEN e CENELEC, gli enti europei di normazione, che l'avevano pubblicata a luglio. In Italia è recepita da UNI.
L'AI Act dice cosa deve garantire chi vende un sistema AI ad alto rischio. La norma spiega come organizzarsi per farlo.
- Si rivolge ai fornitori, cioè a chi sviluppa un sistema AI ad alto rischio e lo vende con il proprio nome. Per esempio un software che seleziona candidati o che valuta chi merita un prestito.
- Copre l'articolo 17 dell'AI Act. Chiede regole scritte per progettare, provare e documentare il sistema, gestire dati e rischi, seguirlo dopo la vendita e segnalare gli incidenti.
- Chi la applica si presume in regola con quell'articolo. Resta volontaria, ma chi sceglie un'altra strada deve dimostrare da solo di essere in regola, spiega il comitato tecnico di CEN e CENELEC.
- Si aggiunge ai sistemi qualità che molte aziende hanno già, come la ISO 9001 o la ISO/IEC 42001, senza sostituirli.
- Si compra da UNI, come ogni norma tecnica. La Gazzetta riporta solo titolo e riferimento.
Cosa significa per la tua azienda o il tuo ente?
Prendi un'agenzia per il lavoro che ha sviluppato un software AI per scremare i curriculum e lo vende ai clienti. È un fornitore di un sistema ad alto rischio. Dovrà avere un sistema qualità per quel software, e la EN 18286 è la strada riconosciuta per dimostrarlo. Le regole sull'alto rischio per questi sistemi si applicano dal 2 dicembre 2027, dopo il rinvio approvato dall'Unione europea in estate.
Ora pensa a un comune che compra quel software per l'ufficio del personale. Il comune lo usa e basta, quindi la norma non si rivolge a lui. Gli serve però come metro. Nel capitolato può chiedere al fornitore se segue la EN 18286, o come rispetta in altro modo l'articolo 17. Se l'ente sviluppa il sistema in casa, diventa fornitore anche lui.
La nostra lettura: è la prima norma pronta delle dieci aree chieste dalla Commissione, e le altre sono ancora in lavorazione. Il quadro può ancora cambiare e aggiorneremo questa pagina.
E noi?
Nella nostra pagina Sicurezza indichiamo le norme a cui allineiamo i progetti, come la ISO 13485 dei dispositivi medici. Su un agente AI ad alto rischio lo faremmo così: registro di ogni azione e ok di una persona sui passaggi delicati dal primo giorno, perché la documentazione nasca con il sistema.
Cosa fare adesso?
- Se sviluppi o vendi un sistema AI che decide su persone, procurati la norma e confrontala con il sistema qualità che hai già.
- Se compri il sistema da un fornitore, chiedigli per iscritto come rispetta l'articolo 17 e se segue la EN 18286.
- Se non sai se il tuo sistema è ad alto rischio, chiariscilo prima di tutto il resto, perché la norma serve in quel caso.
“La legge dice cosa garantire, la norma dice come organizzarsi. Prima però devi sapere se il fornitore sei tu.”
DBrothers — come leggiamo l'AI Act
Se nel tuo ufficio c'è un sistema AI che sceglie candidati, valuta richieste o assegna servizi, chiediti prima chi ne è il fornitore. Lo verifichiamo insieme su quel caso, e da lì capisci cosa preparare o cosa chiedere.
