EN 18286 sinds 14 oktober 2026 in het Publicatieblad: wat de eerste geharmoniseerde norm onder de AI Act dekt van artikel 17, en hoe hij zich verhoudt tot ISO/IEC 42001

In 1979 publiceerde het British Standards Institution BS 5750, een norm die beschreef hoe een fabrikant zijn kwaliteitszorg moest inrichten: wie waarvoor verantwoordelijk is, welke procedures er zijn en welke registraties worden bijgehouden. De norm zei niets over hoe goed een product moest zijn. Toch veranderde hij de markt, omdat grote inkopers hun leveranciers al snel om een certificaat vroegen. In 1987 werd BS 5750 de basis voor ISO 9001. Op 14 oktober 2026 kreeg de AI Act zijn eerste geharmoniseerde norm, en die gaat over precies hetzelfde onderwerp: de manier waarop een aanbieder van AI-systemen zijn eigen organisatie bestuurt.

Wat Uitvoeringsbesluit (EU) 2026/2274 op 14 oktober 2026 regelde

De Europese Commissie stelde het uitvoeringsbesluit vast op 12 oktober en publiceerde het op 14 oktober in het Publicatieblad. Het besluit plaatst de referentie van EN 18286:2026 in het Publicatieblad en trad in werking op de dag van publicatie. CEN-CENELEC maakte de vermelding op 15 oktober bekend. De norm zelf was ouder: CEN keurde hem goed op 12 juli 2026 en CEN-CENELEC kondigde op 31 juli de publicatie aan als eerste geharmoniseerde Europese norm voor de AI Act. Volgens de samenvatting per clausule van Modulos moeten de nationale normalisatie-instellingen hem uiterlijk in januari 2027 overnemen; in Nederland is dat NEN.

Juridisch telt vooral de vermelding in het Publicatieblad. Artikel 40, lid 1, van de AI Act geeft wie een geharmoniseerde norm volgt een vermoeden van overeenstemming, maar alleen "voor zover die normen die voorschriften of verplichtingen bestrijken". De overwegingen van het besluit herhalen die grens. Wie EN 18286 toepast, mag dus aannemen dat hij aan een deel van de AI Act voldoet. Welk deel dat is, staat in bijlage ZA van de norm.

Welke delen van artikel 17 en artikel 11 AI Act EN 18286 dekt, volgens bijlage ZA

Artikel 17, lid 1, somt onder de punten a tot en met m op wat het kwaliteitsbeheersysteem van een aanbieder van een AI-systeem met een hoog risico moet bevatten. Het gaat onder meer om een strategie voor naleving van de regelgeving, procedures voor ontwerp, ontwikkeling, tests en validatie, gegevensbeheer, het systeem voor risicobeheer van artikel 9, de monitoring na het in de handel brengen van artikel 72, het melden van ernstige incidenten onder artikel 73, registratie, beheer van middelen en een kader voor verantwoording.

Volgens Modulos koppelt tabel ZA.1 van de norm alle punten a tot en met m aan clausules van EN 18286, en ook de eerste zin van artikel 11, lid 1, over de technische documentatie. Vier rijen van de tabel kennen voorwaarden. De technische documentatie moet alle onderdelen van bijlage IV bevatten. De norm waarborgt niet uit zichzelf dat aan elk voorschrift van de verordening is voldaan, dus elk voorschrift moet afzonderlijk worden geverifieerd. De punten a tot en met m moeten ten minste zijn vastgelegd. Het gebruikte systeem voor risicobeheer moet aan artikel 9 voldoen. De clausules 8.6 en 9.2 hebben geen eigen rij, en bijlage ZA waarschuwt dat het vermoeden alleen geldt zolang de referentie in het Publicatieblad staat.

De punten g, h en i vragen de meeste aandacht. EN 18286 regelt hoe risicobeheer, monitoring en incidentmelding een plaats krijgen in het managementsysteem; de monitoring na het in de handel brengen staat in clausule 9.5. Voor de artikelen 9, 72 en 73 zelf heeft de tabel geen rij. Een aanbieder kan met de norm aantonen dat zijn organisatie in risicobeheer voorziet, en moet daarnaast nog steeds laten zien dat het risicobeheer zelf aan artikel 9 voldoet. Nemko wijst erop dat normen voor risicobeheer, data, transparantie, menselijk toezicht, nauwkeurigheid, robuustheid en cyberbeveiliging nog in de Europese normalisatiepijplijn zitten. Die routes gaan pas open wanneer de Commissie ook die normen vermeldt.

Waarom artikel 17, leden 2 tot en met 4, buiten de norm valt: mkb, medische hulpmiddelen en banken

Tabel ZA.1 markeert drie leden van artikel 17 als niet gedekt. Lid 2 laat de omvang van het systeem afhangen van de grootte van de organisatie. Lid 3 staat aanbieders die al een sectorale plicht tot kwaliteitsbeheer hebben toe de AI Act-onderdelen in dat bestaande systeem op te nemen. Een fabrikant van medische hulpmiddelen met AI werkt doorgaans met een systeem op basis van EN ISO 13485. Lid 4 bepaalt dat financiële instellingen aan de plicht voldoen wanneer zij de regels over interne governance uit het financiële Unierecht naleven, met uitzondering van de punten g, h en i.

Kleine aanbieders, fabrikanten van medische hulpmiddelen en banken kunnen EN 18286 gewoon gebruiken voor de onderdelen die de norm wel dekt. De norm beantwoordt alleen niet hoe proportionaliteit, integratie in een sectoraal systeem en de route via financiële governance precies werken. Een ISO 13485-certificaat bewijst geen overeenstemming met EN 18286. Nemko maakt hetzelfde punt over elk bestaand managementsysteem: artikel 17 staat integratie in een bestaand systeem toe, en dat systeem voldoet daardoor nog niet vanzelf aan EN 18286. Voor de patiënt bij wie een diagnose-algoritme meekijkt en voor de kredietaanvrager wiens dossier door een model gaat, is dit de plaats waar het verschil tussen papier en praktijk ontstaat.

Hoe EN 18286 zich verhoudt tot ISO/IEC 42001

Veel aanbieders zijn al gecertificeerd volgens ISO/IEC 42001, de internationale norm voor AI-managementsystemen uit 2023, of werken daaraan. EN 18286 bevat een bijlage C met een correspondentietabel naar EN ISO/IEC 42001:2026. Modulos beschrijft die als een correspondentie tussen clausules, zonder dat de eisen of begrippen gelijk zijn. De woorden verschillen al: EN 18286 spreekt van "non-compliance", ISO/IEC 42001 van "nonconformity". ISO/IEC 42001 heeft bovendien een clausule over continue verbetering, 10.1, zonder tegenhanger in EN 18286.

Het verschil volgt uit het doel. ISO/IEC 42001 is gebouwd om een organisatie door de tijd heen te certificeren, net als ISO 9001. EN 18286 is gebouwd om aan te tonen dat een aanbieder aan een wettelijke plicht uit één verordening voldoet. Voor een bedrijf met een 42001-certificaat is bijlage C een goed beginpunt voor een gap-analyse, zonder eigen vermoeden van overeenstemming.

Wat Nederlandse inkopers en aanbieders van AI met EN 18286 kunnen doen vóór 2 december 2027

Onder het uitgestelde tijdpad van de Digitale Omnibus over AI, waarvoor de Raad op 29 juni 2026 definitief groen licht gaf, gelden de verplichtingen voor AI-systemen met een hoog risico uit bijlage III vanaf 2 december 2027 en die voor AI in producten uit bijlage I vanaf 2 augustus 2028. De norm komt dus ruim een jaar vóór de plicht die hij ondersteunt. Dat geeft de markt tijd, en de geschiedenis van BS 5750 laat zien wie die tijd vaak het eerst benut: de inkoper. Artikel 42 van aanbestedingsrichtlijn 2014/24/EU staat aanbestedende diensten toe in technische specificaties naar Europese normen te verwijzen, mits zij er "of gelijkwaardig" bij zetten. Zo'n eis moet verband houden met de opdracht en evenredig zijn. Een gemeente of uitvoeringsorganisatie die een AI-systeem met een hoog risico voor toeslagen, vergunningen of selectie inkoopt, kan dus vandaag al vragen hoe de leverancier zijn kwaliteitsbeheer volgens EN 18286 heeft ingericht. Dat is een vraag over de organisatie van de leverancier, naast de eisen die zij aan het aangeboden systeem zelf stelt.

Aan de aanbiederskant ligt het risico in de reclame. Leveranciers zullen "conform EN 18286" gaan vermelden. Een onderbouwde claim dat het kwaliteitsbeheer aan de norm voldoet, betekent nog niet dat aan de volledige AI Act is voldaan; het wettelijke vermoeden reikt niet verder dan bijlage ZA. Wie dat laatste toch suggereert, kan tegenover zakelijke afnemers een misleidende mededeling doen in de zin van artikel 6:194 BW. Wie de norm inkoopt of aanbiedt, heeft baat bij deze vragen:

• Welke punten van artikel 17, lid 1, zijn volgens de leverancier gedekt, en zijn de vier voorwaarden uit tabel ZA.1 aantoonbaar vervuld?
• Hoe toont de leverancier los van de norm aan dat het risicobeheer aan artikel 9 voldoet en dat monitoring en incidentmelding aan de artikelen 72 en 73 voldoen?
• Is de technische documentatie volledig volgens bijlage IV, of alleen in opzet beschreven?
• Rust de claim op een eigen beoordeling, op een ISO/IEC 42001-certificaat of op een gap-analyse via bijlage C, en wie heeft die uitgevoerd?
• Wat gebeurt er contractueel als de referentie uit het Publicatieblad verdwijnt of als de Commissie een nieuwere versie vermeldt?

Het Quentir-team schreef op dezelfde dag een Engelstalige analyse van EN 18286 per punt van artikel 17. Wie wil weten hoe de toegang tot deze normen zelf verandert, vindt dat in ons eerdere stuk over het voorstel voor een Europese normalisatieverordening van 6 oktober 2026, dat geharmoniseerde normen gratis toegankelijk wil maken. Wie door een AI-systeem wordt beoordeeld bij een uitkering, een sollicitatie of een lening, kan na 14 oktober naar een vaste, openbaar vermelde beschrijving wijzen van wat een zorgvuldige aanbieder intern geregeld moet hebben.

Koopt uw organisatie AI in en staat er "conform EN 18286" of "AI Act-proof" in de offerte of de voorwaarden? Laat het contract dan eens nalopen met de AIRecht contractscan, zodat u ziet wat de leverancier echt toezegt. En wie zelf een AI-toepassing aanbiedt, ziet met de AI-transparantiescan snel wat gebruikers nog over het systeem te horen moeten krijgen.

Bronnen (geraadpleegd op 21 oktober 2026): Uitvoeringsbesluit (EU) 2026/2274 van de Commissie van 12 oktober 2026, PB L 2026/2274 (14 oktober 2026); Verordening (EU) 2024/1689 (AI Act), artikelen 11, 17 en 40; Richtlijn 2014/24/EU, artikel 42; Raad van de EU, persbericht over de Digitale Omnibus over AI (29 juni 2026); CEN-CENELEC, First ever European standard on AI published in the OJEU (15 oktober 2026); CEN-CENELEC, EN 18286 in the Spotlight (31 juli 2026); Modulos, EN 18286 (samenvatting bijlage ZA en bijlage C); Nemko Digital, EN 18286: EU AI Act cites new harmonized QMS standard (16 oktober 2026).