Što je EN 18286:2026?
EN 18286:2026 (Artificial intelligence – Quality management system for EU AI Act regulatory purposes) je europska norma koja propisuje zahtjeve za sustav upravljanja kvalitetom pružatelja AI sustava, prvenstveno pružatelja visokorizičnih AI sustava. Izradio ju je zajednički tehnički odbor CEN/CLC/JTC 21 na temelju zahtjeva Europske komisije za normizaciju C(2025) 3871 (M/613). CEN i CENELEC odobrili su je 12. srpnja 2026.
Norma je pisana posebno za regulatorne svrhe AI Acta. Pojam „kvaliteta” u njoj ne znači samo tehničku kvalitetu proizvoda, nego dosljedno i dokazivo ispunjavanje obveza iz AI Acta kroz cijeli životni ciklus AI sustava: od dizajna i razvoja, preko stavljanja na tržište, do praćenja nakon stavljanja na tržište.
Što znači da je norma harmonizirana?
Objavljena europska norma i harmonizirana norma nisu isto. CEN i CENELEC donose normu, a Europska komisija zatim ocjenjuje ispunjava li ona zahtjev za normizaciju. Tek kada Komisija objavi referencu norme u Službenom listu EU, norma dobiva pravni učinak prema članku 40. AI Acta.
EN 18286 je od srpnja 2026. bila objavljena, ali dobrovoljna norma bez pravnog učinka. Od 14. listopada 2026. ona je harmonizirana norma: usklađenost s njom daje pretpostavku sukladnosti s odgovarajućim zahtjevima AI Acta, i to od datuma objave reference u Službenom listu.
Je li EN 18286 obvezan?
Ne. Članak 17. AI Acta obvezuje pružatelje visokorizičnih AI sustava da uspostave sustav upravljanja kvalitetom, ali ne propisuje koju normu moraju koristiti. EN 18286 je jedan, ali službeno priznat put do usklađenosti.
Pružatelj može članak 17. ispuniti i na drugi način. U tom slučaju nema pretpostavke sukladnosti i sam mora dokazati da njegov QMS pokriva sve zahtjeve, prijavljenom tijelu ili tijelu za nadzor tržišta.
Na koga se EN 18286 odnosi?
EN 18286 je namijenjen pružateljima (providers) visokorizičnih AI sustava, odnosno onima koji razvijaju AI sustav ili ga stavljaju na tržište ili u uporabu pod svojim imenom ili žigom.
Subjekti koji AI sustav samo uvode i koriste (deployers) nemaju obvezu iz članka 17. Ali granica nije uvijek očita. Prema članku 25. AI Acta, subjekt koji uvodi sustav postaje pružatelj ako na visokorizični sustav stavi svoje ime ili žig, bitno ga izmijeni ili mu promijeni namjenu tako da postane visokorizičan. Organizacija koja AI model razvija interno, za vlastite potrebe, također je pružatelj.
Zato je prvi korak uvijek isti: za svaki AI sustav utvrditi koja je vaša uloga.
Što EN 18286 pokriva, a što ne?
EN 18286 pokriva sustav upravljanja kvalitetom iz članka 17. AI Acta. Aneks ZA norme povezuje njezine klauzule s točkama (a) do (m) članka 17. stavka 1.: od strategije regulatorne usklađenosti i kontrole dizajna, preko upravljanja podacima i dokumentacijom, do praćenja nakon stavljanja na tržište, prijave ozbiljnih incidenata i okvira odgovornosti. Točan opseg pretpostavke sukladnosti treba uvijek provjeriti u Aneksu ZA.
Norma ne daje pretpostavku sukladnosti za ostale zahtjeve za visokorizične sustave, kao što su upravljanje rizikom, podaci i upravljanje podacima, vođenje zapisa, transparentnost, ljudski nadzor te točnost, robusnost i kibernetička sigurnost. Za te zahtjeve CEN/CLC/JTC 21 još izrađuje zasebne norme.
Kako se EN 18286 odnosi na ISO/IEC 42001 i ISO 9001?
ISO/IEC 42001 nije harmonizirana norma uz AI Act i certifikat po ISO/IEC 42001 sam po sebi ne daje pretpostavku sukladnosti s člankom 17. EN 18286 to daje, ali samo za QMS.
| EN 18286:2026 | ISO/IEC 42001 | ISO 9001 | |
|---|---|---|---|
| Izdavač | CEN-CENELEC (JTC 21) | ISO/IEC | ISO |
| Svrha | QMS za regulatorne svrhe AI Acta | sustav upravljanja AI-jem (AIMS) za bilo koju organizaciju | opći sustav upravljanja kvalitetom |
| Harmonizirana uz AI Act | da, od 14. 10. 2026. | ne | ne |
| Pretpostavka sukladnosti s čl. 17. | da, u opsegu Aneksa ZA | ne | ne |
| Veza s EN 18286 | — | mapiranje klauzula u Aneksu C | mapiranje klauzula u Aneksu B |
Mapiranja u Aneksima B i C povezuju klauzule, ali ne izjednačuju zahtjeve. Imati ISO/IEC 42001 ne znači automatski ispunjavati EN 18286.
Iz implementacijske prakse: organizacija koja već ima ISO/IEC 42001 ima prednost jer već ima politiku, uloge, upravljanje rizicima i dokumentiranu kontrolu životnog ciklusa AI-ja. Ne treba graditi paralelni sustav. Treba napraviti gap analizu prema EN 18286 i proširiti postojeći sustav tamo gdje AI Act traži više, posebno u regulatornoj strategiji, upravljanju izmjenama, praćenju nakon stavljanja na tržište i prijavi incidenata.
Što EN 18286 znači za banke i financijske institucije?
Za financijske institucije vrijedi posebno pravilo. Prema članku 17. stavku 4. AI Acta, financijska institucija koja je pružatelj visokorizičnog AI sustava i podliježe pravilima o unutarnjem upravljanju iz propisa EU o financijskim uslugama ispunjava obvezu QMS-a usklađenošću s tim pravilima. Iznimka su točke (g), (h) i (i) članka 17. stavka 1.: sustav upravljanja rizikom (čl. 9.), praćenje nakon stavljanja na tržište (čl. 72.) i prijava ozbiljnih incidenata (čl. 73.). Te tri obveze ostaju i treba ih posebno ispuniti.
To je bitno jer je procjena kreditne sposobnosti fizičkih osoba visokorizična namjena iz Priloga III. AI Acta, uz iznimku sustava za otkrivanje financijskih prijevara. Banka koja interno razvija ili bitno mijenja model kreditnog scoringa vrlo vjerojatno je pružatelj.
Praktični zaključak: financijska institucija ne mora uvoditi cijeli EN 18286. Ali za tri točke koje ostaju izvan iznimke, EN 18286 je najbolja dostupna referenca za to što nadzornik i prijavljeno tijelo mogu očekivati.
Kako EN 18286 utječe na rokove primjene AI Acta?
Ne mijenja ih. Uredbom (EU) 2026/1744 (Digital Omnibus o AI-ju), na snazi od 27. srpnja 2026., rokovi za visokorizične AI sustave su:
- 2. prosinca 2027. za samostalne visokorizične sustave iz Priloga III. (npr. zapošljavanje, obrazovanje, procjena kreditne sposobnosti)
- 2. kolovoza 2028. za visokorizične sustave ugrađene u proizvode iz Priloga I.
Odgoda je uvedena upravo zato što harmonizirane norme i druge mjere potpore nisu bile spremne. Objavom EN 18286 prvi dio te infrastrukture postoji. Vrijeme do prosinca 2027. nije rezervno vrijeme, nego vrijeme za izgradnju sustava.
Koje harmonizirane norme za AI Act slijede?
EN 18286 je prva norma iz zahtjeva za normizaciju M/613, ali ne i posljednja. CEN/CLC/JTC 21 radi na normama za upravljanje rizikom, podatke i kvalitetu podataka, vođenje zapisa, transparentnost, ljudski nadzor, točnost, robusnost, kibernetičku sigurnost i ocjenu sukladnosti. Svaka prolazi isti put: usvajanje u CEN-CENELEC-u, ocjena Komisije i objava reference u Službenom listu EU.
Što učiniti sada?
- Napravite popis AI sustava i za svaki utvrdite ulogu: pružatelj ili subjekt koji uvodi sustav.
- Klasificirajte rizik prema članku 6. te Prilozima I. i III. AI Acta.
- Za sustave gdje ste pružatelj, napravite gap analizu postojećeg QMS-a ili ISO/IEC 42001 sustava prema EN 18286.
- Odredite vlasnika sustava upravljanja kvalitetom za AI i uključite compliance, rizike, IT i poslovne vlasnike sustava.
- Pratite objave novih harmoniziranih normi u Službenom listu EU i planirajte proširenja sustava na vrijeme.
Česta pitanja o EN 18286
Od kada vrijedi pretpostavka sukladnosti za EN 18286? Od 14. listopada 2026., datuma objave reference norme u Službenom listu EU Provedbenom odlukom Komisije (EU) 2026/2274.
Daje li certifikat ISO/IEC 42001 pretpostavku sukladnosti s AI Actom? Ne. ISO/IEC 42001 nije harmonizirana norma uz AI Act. Može služiti kao temelj, a EN 18286 sadrži mapiranje klauzula na ISO/IEC 42001.
Mora li subjekt koji samo koristi AI sustav primijeniti EN 18286? Ne. Obveza QMS-a iz članka 17. odnosi se na pružatelje. Subjekt koji uvodi sustav može postati pružatelj ako sustav bitno izmijeni, promijeni mu namjenu ili ga stavi pod svoje ime (članak 25.).
Tko je izradio EN 18286? Zajednički tehnički odbor za umjetnu inteligenciju CEN/CLC/JTC 21, na temelju zahtjeva Europske komisije za normizaciju M/613.
Moraju li banke primijeniti cijeli EN 18286? Ne nužno. Prema članku 17. stavku 4. AI Acta financijske institucije obvezu QMS-a ispunjavaju kroz pravila o unutarnjem upravljanju, osim za upravljanje rizikom, praćenje nakon stavljanja na tržište i prijavu ozbiljnih incidenata.
Kako vam Actus AI može pomoći
Actus AI radi gap analize postojećih sustava upravljanja prema EN 18286 i ISO/IEC 42001 te implementaciju AI governance okvira za pružatelje i subjekte koji uvode AI sustave, s posebnim iskustvom u reguliranom financijskom sektoru. Kontaktirajte nas!