Ascensori, giocattoli, macchine e dispositivi medici vengono regolati in Europa da quarant’anni con la stessa divisione del lavoro, in cui il legislatore fissa i requisiti essenziali e lascia agli enti di normazione il compito di scrivere come soddisfarli, con la promessa che chi segue quelle norme tecniche si presume in regola. Il modello si chiama Nuovo approccio, nasce da una risoluzione del Consiglio del 7 maggio 1985, ed è la grammatica su cui è stato costruito anche il regolamento europeo sull’intelligenza artificiale.
Il 14 ottobre quella grammatica ha prodotto la sua prima frase compiuta per l’AI Act. La decisione di esecuzione (UE) 2026/2274 ha pubblicato in Gazzetta ufficiale il riferimento alla EN 18286:2026, la norma sul sistema di gestione della qualità dei fornitori di sistemi ad alto rischio, che diventa così la prima norma armonizzata del regolamento.
È un passaggio tecnico, e insieme il primo banco di prova di una scelta politica: affidare a comitati di esperti il compito di tradurre in procedure un regolamento che tocca salute, sicurezza e diritti fondamentali. Calendario e regole di accesso a quelle procedure raccontano come l’Europa intende governare l’AI.
Indice degli argomenti
EN 18286 e Nuovo approccio: come nasce la presunzione di conformità
Il meccanismo è quello previsto dall’articolo 40 del regolamento. Il comitato congiunto CEN/CLC/JTC 21, che riunisce gli enti di normazione di 34 paesi, ha scritto la norma in risposta alla richiesta della Commissione C(2025) 3871, il testo è stato ratificato il 12 luglio e pubblicato a fine luglio, e la Commissione ha poi verificato che rispondesse alla richiesta. Nel considerando 6 della decisione si legge che la conformità a una norma armonizzata conferisce la presunzione di conformità ai requisiti corrispondenti dalla data di pubblicazione del riferimento in Gazzetta: da quel momento l’onere di provare un’eventuale violazione passa all’autorità di vigilanza.
La presunzione copre il sistema qualità richiesto dall’articolo 17 e l’obbligo di redigere e aggiornare la documentazione tecnica, mentre i requisiti sul comportamento dei sistemi, dalla qualità dei dati fino alla cybersicurezza, attendono norme dedicate. Nel regolamento la presunzione passa per due paragrafi da leggere insieme.
L’articolo 40, al paragrafo 1, la collega ai requisiti della sezione 2 del capo III, mentre l’articolo 17 si trova nella sezione 3; al paragrafo 2, nella versione consolidata, chiede agli enti di normazione prodotti che facilitino la presunzione di conformità con i requisiti e gli obblighi di entrambe le sezioni. Nel considerando 5 della decisione la Commissione ha poi valutato che la EN 18286 soddisfa i requisiti del regolamento a cui si riferisce, e per chi applica la norma il perimetro operativo è quello fissato dalla decisione e dall’allegato ZA.
Norme armonizzate AI Act: nove standard ancora da completare
La richiesta della Commissione elenca dieci aree, dalla gestione del rischio alla valutazione della conformità, e a metà ottobre una sola ha una norma armonizzata. Il progetto sulla gestione del rischio, la prEN 18228, è in seconda inchiesta pubblica fino all’11 novembre, quelli sulla cybersicurezza e sulla registrazione degli eventi hanno chiuso l’inchiesta in estate e sono in revisione, e lo stesso comitato JTC 21 ricorda che la richiesta di normazione, nella versione modificata, scade il 28 febbraio 2027.
A ogni testo, dopo l’adozione, toccheranno la valutazione della Commissione e la citazione in Gazzetta, la stessa sequenza che per la EN 18286 ha richiesto quasi tre mesi dalla pubblicazione.
Fonte: elaborazione dell’autore su decisione (UE) 2026/2274, regolamento (UE) 2026/1744 e CEN-CENELEC JTC 21
Le scadenze del 2027 e la via delle specifiche comuni
Il legislatore ha già scelto come gestire il ritardo. La proposta originaria del Digital Omnibus legava l’applicazione degli obblighi sull’alto rischio alla disponibilità delle norme, con una data limite; il regolamento (UE) 2026/1744 approvato a luglio ha preferito date fisse, il 2 dicembre 2027 per i sistemi dell’allegato III e il 2 agosto 2028 per quelli incorporati in prodotti regolati, e nei considerando riconosce che i ritardi nelle norme e nella designazione delle autorità mettevano a rischio l’applicazione effettiva.
Le scadenze non aspettano gli standard, e se le norme non arrivassero in tempo l’articolo 41 consente alla Commissione di adottare specifiche comuni con atto di esecuzione, una via di riserva che a oggi non risulta usata.
EN 18286 e ISO/IEC 42001: la scelta europea sugli standard AI
La strada più breve sarebbe stata armonizzare la ISO/IEC 42001, la norma internazionale sui sistemi di gestione dell’AI già diffusa e certificabile, recepita anche in Europa come EN ISO/IEC 42001:2026. La Commissione l’ha scartata: nelle sue domande e risposte sulla normazione spiega che obiettivi e definizioni di quella norma non sono allineati al sistema qualità richiesto dall’AI Act, e che per questo è servito un testo europeo centrato sulla conformità del prodotto.
La doppia griglia degli standard per il mercato internazionale
Le norme armonizzate tendono a diventare riferimenti di mercato anche fuori dall’Unione, e la Commissione lo dichiara come obiettivo, perché chi vende in Europa adegua i propri processi e spesso li estende al resto del mondo; scrivere in casa il sistema qualità dell’AI significa esportare un modo europeo di intendere la responsabilità del fornitore. Il prezzo è una doppia griglia per chi opera su più mercati, con la 42001 per i clienti internazionali e la EN 18286 per la conformità europea, attenuata dalle tabelle di corrispondenza che la norma stessa contiene.
Secondo me la scelta è corretta, e ha senso solo se l’Europa presidia anche il resto della serie con la stessa coerenza. La sovranità sugli standard si esercita nei gruppi di lavoro, aperti a chiunque passi dal proprio ente nazionale e quindi abitati da chi sceglie di partecipare, e la Commissione finanzia da anni la partecipazione europea ai tavoli internazionali attraverso il programma StandICT.eu, che dichiara oltre 7 milioni di euro distribuiti a più di 900 esperti.
Norme armonizzate dell’AI Act e accesso ai testi a pagamento
C’è poi la questione che il Nuovo approccio si porta dietro da sempre. La EN 18286 si compra dagli enti nazionali di normazione, come ogni norma tecnica, e il suo testo integrale non è pubblicato in Gazzetta, dove compaiono soltanto titolo e riferimento. Il 5 marzo 2024 la Corte di giustizia, nella sentenza Public.Resource.Org, ha stabilito che le norme armonizzate fanno parte del diritto dell’Unione per via dei loro effetti giuridici, e che esiste un interesse pubblico prevalente alla loro divulgazione, perché lo Stato di diritto richiede che chiunque possa conoscere le regole che lo riguardano.
La sentenza riguardava norme sulla sicurezza dei giocattoli, ma il ragionamento della Corte poggia sugli effetti giuridici comuni a tutte le norme armonizzate, e per l’AI pesa più che altrove. I destinatari della tutela dell’AI Act sono persone che subiscono decisioni automatizzate su lavoro o credito, e la possibilità di verificare come un fornitore deve organizzarsi per proteggerle passa da un documento a pagamento.
Il Digital Omnibus ha chiesto un’attuazione proporzionata alle dimensioni del fornitore per PMI, start-up e piccole imprese a media capitalizzazione, rinviando a linee guida della Commissione ancora in preparazione, e l’accesso gratuito ai testi armonizzati sarebbe una semplificazione coerente con la sentenza del 2024, anche se tocca il modello con cui gli enti di normazione finanziano il proprio lavoro.
EN 18286 in Italia: il ruolo di AgID, ACN e PA
In Italia il quadro istituzionale si è chiuso in questi giorni. Il decreto legislativo 7 ottobre 2026, n. 179, in vigore dal 23 ottobre, affida ad AgID il ruolo di autorità di notifica, che valuta e designa gli organismi incaricati delle valutazioni di conformità, e all’ACN la vigilanza del mercato, con Banca d’Italia, Consob e Ivass competenti per i sistemi ad alto rischio nei rispettivi settori.
Le violazioni dell’obbligo di avere un sistema qualità conforme ricadono nella fascia fino a 15 milioni di euro o al 3% del fatturato, e la disciplina dei poteri ispettivi dell’ACN rinvia a un decreto del Presidente del Consiglio senza termine fissato nel testo.
La norma negli acquisti della pubblica amministrazione
Per le amministrazioni pubbliche la EN 18286 conta su due piani. Come deployer, quando acquistano sistemi per l’accesso a servizi e prestazioni o per la selezione del personale, la norma offre il riferimento da richiamare nei capitolati: un fornitore che dichiara un sistema qualità conforme, o che dimostra un’equivalenza documentata, dà all’ente una base verificabile per i propri controlli. Come fornitori, quando sviluppano internamente un sistema o ne modificano in modo sostanziale uno acquistato, ne diventano direttamente destinatarie, e per i sistemi destinati alle autorità pubbliche già in uso il regolamento fissa l’adeguamento al 2 agosto 2030.
Il Nuovo approccio ha funzionato quando la marcatura CE è diventata un linguaggio comune, capace di far circolare prodotti e responsabilità nello stesso mercato, e per arrivarci sono serviti anni di norme scritte, aggiornate e contestate, insieme a una rete di organismi notificati e di autorità capaci di leggerle. Per l’intelligenza artificiale quel lavoro comincia adesso, con una norma su dieci e circa quattordici mesi di tempo, e la parte che spetta all’Italia passa per AgID e ACN, ma anche per le stazioni appaltanti che sceglieranno se trasformare un riferimento della Gazzetta in una clausola dei propri contratti.
Partecipa alla community