UE publica primeiro padrão oficial de conformidade com a AI Act

O que a Comissão Europeia publicou

Em 19 de outubro de 2026, a Comissão Europeia publicou no Jornal Oficial da União Europeia a referência ao primeiro padrão harmonizado que dá suporte à AI Act, o regulamento europeu de inteligência artificial (Regulamento (UE) 2024/1689). O padrão se chama EN 18286:2026, "Artificial intelligence, Quality management system for EU AI Act regulatory purposes", desenvolvido pelos comitês europeus de normalização CEN e CENELEC.

A publicação saiu pela Decisão de Execução (UE) 2026/2274 da Comissão Europeia. Na prática, isso abre o primeiro caminho legal reconhecido pra quem fornece sistema de IA de alto risco provar que cumpre o artigo 17 da AI Act, o artigo que exige um sistema de gestão da qualidade (SGQ, do inglês quality management system) pra esse tipo de produto.

Por que isso interessa a quem constrói, não só a quem assina contrato

O artigo 17 da AI Act obriga provedores de sistemas de alto risco (diagnóstico médico, seleção de currículo, crédito, infraestrutura crítica, entre outras categorias listadas no Anexo III do regulamento) a manter um SGQ documentado que cubra toda a vida do sistema: estratégia de conformidade regulatória, processos de design e desenvolvimento, testes e validação, gestão de dados, gestão de risco, registro de eventos, monitoramento pós-mercado e resposta a incidente.

O detalhe que importa pra quem roda pipeline de machine learning, MLOps ou time de dados: isso não é um checklist jurídico que o setor de compliance preenche sozinho. É documentação e instrumentação técnica, versionamento de dataset, rastreabilidade de modelo, log de decisão, plano de monitoramento de desvio de performance (o chamado drift). Quem trata a AI Act só como "problema do jurídico" vai descobrir, tarde, que o SGQ pede evidência de processo que só o time técnico consegue gerar.

Presunção de conformidade: o que esse termo muda na prática

A publicação no Jornal Oficial dá ao EN 18286 "presunção de conformidade" com os requisitos do artigo 17 cobertos pelo padrão. Isso significa que uma empresa que implementa o EN 18286 corretamente é presumida, por lei, como estando em conformidade com aquela parte específica da AI Act, sem precisar provar item por item diante de autoridade de fiscalização.

É a mesma lógica que já existe em outras diretivas europeias: seguir o padrão harmonizado reduz a carga de prova. A Comissão Europeia chama o EN 18286 de único padrão de SGQ pra IA com esse status até agora, mapeado diretamente ao artigo 17, construído em torno do ciclo de vida do sistema de IA (não da empresa como um todo) e pensado pra ser colocado em cima de padrões internacionais já existentes, não pra substituí-los.

Como o EN 18286 se encaixa com normas que o time já conhece

Quem já trabalha com ISO/IEC 42001 (gestão de IA), ISO 9001 (gestão da qualidade genérica) ou um SGQ setorial como ISO 13485 (dispositivo médico) não precisa recomeçar do zero. A proposta do EN 18286 é integração, não substituição.

Empresa sem ISO/IEC 42001 implementada pode usar o EN 18286 direto pra construir o SGQ do zero, cobrindo só o artigo 17. Empresa que já tem ISO/IEC 42001, ISO 9001 ou um SGQ setorial roda os dois sistemas integrados, sem duplicar auditoria.

E quem não vende direto pra União Europeia?

A AI Act alcança qualquer provedor cujo sistema de IA de alto risco seja colocado em uso dentro da UE, mesmo que a empresa esteja sediada fora dela. Isso cobre startup brasileira vendendo SaaS de triagem de currículo pra cliente europeu, fornecedor de scoring de crédito com filial na Europa, ou consultoria que implementa modelo de IA médica pra hospital em Portugal ou na Alemanha.

Mais perto de casa, o efeito prático aparece antes da fiscalização: cliente corporativo começa a pedir, no contrato, evidência de conformidade com o artigo 17 como condição de aquisição, do jeito que já pede certificação ISO em processo de compra. Quem desenvolve ou revende IA de alto risco com qualquer ponta na Europa deveria tratar esse pedido como questão de tempo, não de "se vai acontecer".

Ainda falta o cronograma apertar

A Comissão Europeia deixou claro que esse é o primeiro de uma série de padrões harmonizados ainda por vir, publicado antes das obrigações de alto risco da AI Act entrarem plenamente em vigor, conforme o cronograma de aplicação já previsto no próprio regulamento. O texto completo do EN 18286 fica disponível via CEN e CENELEC; a Comissão Europeia mantém uma página de acompanhamento da padronização da AI Act, linkada na fonte deste texto.

O que levar pra próxima reunião de arquitetura

Antes do próximo projeto de IA de alto risco com qualquer ponta europeia, três perguntas pro time técnico:

• O pipeline de dados e modelo já gera evidência auditável (versionamento, log de decisão, relatório de teste) ou essa documentação ainda é manual e dispersa?
• Existe algum SGQ (ISO 9001, ISO/IEC 42001, ISO 13485) já implementado que o EN 18286 pode estender, ou o time vai construir do zero?
• O contrato com o próximo cliente europeu, ou com cliente daqui que revende pra Europa, já menciona exigência de conformidade com o artigo 17 da AI Act?

Quem responde "não sei" pras três perguntas é quem vai sentir o aperto quando o cliente pedir o certificado e o prazo for semana, não trimestre.

Fonte: Comissão Europeia — Shaping Europe's digital future