EN 18286 (system zarządzania jakością "pod" AI Act) przyjęta
Michał Nowakowski · 19 października 2026
Unia Europejska przyjęła EN 18286:2026 - pierwszą normę zharmonizowaną wspierającą AI Act. Czego dotyczy?
Unia Europejska przyjęła EN 18286:2026 - pierwszą normę zharmonizowaną wspierającą AI Act. Dotyczy ona systemu zarządzania jakością, którego wdrożenia art. 17 wymaga od dostawców systemów AI wysokiego ryzyka. Dla mnie jej wartość polega przede wszystkim na uporządkowaniu procesów, odpowiedzialności i kontroli w całym cyklu życia AI. Dlatego warto się jej przyjrzeć także wtedy, gdy budujemy szersze ramy AI Governance. Jeżeli przyjrzymy się art. 17 AI Act to od razu dostrzeżemy pewne analogie, jak chociażby wymóg uporządkowanego dokumentowania działań, wystandaryzowane podejście do procesów wytwórczych i wdrożeniowych czy jasne zakresy odpowiedzialności. Tę perspektywę regulacyjną warto połączyć z celami biznesowymi organizacji budując nasze podejście nie tylko do AI, ale i danych. Warto więc wiedzieć, że prawny punkt zaczepienia do AI Governance jest.
No dobrze, ale teraz przyjrzyjmy się temu, co w normie i jak wykorzystać to na nasze potrzeby. Choć jej głównym adresatem jest dostawca systemu AI wysokiego ryzyka, opisane podejście do systemu zarządzania jakością („QMS”) może być przydatne także w innych organizacjach, o mniejszym ciężarze regulacyjnym.
QMS można przecież zintegrować z szerszym systemem zarządzania AI opartym na ISO/IEC 42001 i innych standardach. Zacznijmy od tego, że QMS ma tutaj przede wszystkim służyć zgodności regulacyjnej, co widać już na wstępie normy (pkt 4.1). Naszym zadaniem jest między innymi:
✅ identyfikacja i systematyczny przegląd wszystkich mających zastosowanie wymogów regulacyjnych w ramach całego cyklu życia systemu AI, a także
✅ wdrożenie odpowiedniej strategii regulacyjnego compliance, na co zresztą wskazuje art. 17 ust. 1 lit. a) AI Act.
I właśnie ten drugi „temat” jest silnie wyeksponowany, a ja sam zetknąłem się z niezrozumieniem czym ma być taka strategia. No bo w typowej organizacji jest tak, że jakaś polityka compliance (zgodności) funkcjonuje i zapewnia, że uwzględniamy perspektywę prawną i regulacyjną „cały czas”. Co więc trzeba uzupełnić w odniesieniu do AI? Nie musi to oznaczać kolejnego, osobnego dokumentu.
Jednym z zadań jest coś, co sam określam jako AI Act Compliance Ops: bieżące sprawdzanie, czy zmiany w rozwiązaniu lub sposobie jego wykorzystania wpływają na kwalifikację prawną i obowiązki organizacji. Sprawdzamy więc:
✅ czy mamy do czynienia z systemem AI w rozumieniu AI Act, a jeżeli tak, to
✅ czy jego zastosowanie podlega zakazom, kwalifikuje system jako system wysokiego ryzyka lub wiąże się ze szczególnymi obowiązkami, np. dotyczącymi przejrzystości.
To jednak tylko część strategii. Obejmuje ona również podejście do oceny zgodności i zarządzania zmianami w systemie AI wysokiego ryzyka. Strategia wyznacza ramowy plan osiągania zgodności, który trzeba następnie przełożyć na konkretne procedury i działania. Oczywiście musimy tutaj uwzględnić wszystkie wymagania prawne i regulacyjne, w tym dotyczące monitorowania systemu po wprowadzeniu do obrotu czy zarządzania danymi.
Ta strategia będzie się potem łączyła z określonymi działaniami (operacjonalizacja), które powinny uwzględniać nie tylko wymogi prawne sensu stricto, ale także normy zharmonizowane, inne standardy i techniczne specyfikacje. Dobre praktyki są również zalecane, na co wskazuje chociażby art. 10 odnoszący się do zarządzania danymi.
Article content Więcej o szkoleniu na końcu felietonu. Idąc dalej „dostaniemy” kilka wskazówek odnośnie:
✅ przywództwa, gdzie zwrócono uwagę na konieczność zapewnienia odpowiednich zasobów (!), integracji QMS z procesami organizacji (i oczywiście innymi systemami zarządzania, np. ISO 27001) czy wprowadzenie polityki jakości,
✅ odpowiedzialności i struktury organizacyjnej, w tym poprzez zapewnienie odpowiedniego poziomu kompetencji i doświadczenia zaangażowanych osób odpowiedzialnych m.in. za wdrożenia mechanizmów zarządzania ryzykiem systemów AI czy kwestie regulacyjne,
✅ planowania i ustalania oraz monitorowania wskaźników jakości (można to przełożyć na cele jakościowe i mierniki ich realizacji),
✅ budowania i zapewnienia wysokiego poziomu kompetencji niezbędnych do skutecznego funkcjonowania QMS, w tym nieustanne ich podnoszenie,
✅ komunikacji, która powinna zapewnić, że ludzie zwyczajnie wiedzą co mają robić, jakie są wymagania prawne i jak je zrealizować (o tym jeszcze poniżej).
Ważnym aspektem normy, silnie związanym z AI Governance, jest cykl życia systemów AI. Chodzi o proces, który pozwala identyfikować i realizować właściwe obowiązki na każdym jego etapie.
Gdy projektujemy ramy AI Governance dużo czasu poświęcamy właśnie na kwestie związane z bramkami decyzyjnymi i tzw. AI checkpoints, czyli punktami, które wymagają naszej szczególnej uwagi. W uproszczeniu chodzi o to, aby w ramach etapów:
🎯 koncepcyjnego,
🎯 projektowania i rozwoju,
🎯 weryfikacji i walidacji,
🎯 operacyjnego funkcjonowania i monitorowania,
🎯 modyfikacji systemu AI,
🎯 „emerytury”.
Article content Powinniśmy przy tym stosować określone techniki, procedury i systematyczne działania, które pomagają zapewniać jakość rezultatów. Jak to może wyglądać w praktyce?
Jeżeli nasze AI Governance zaczyna się od fazy koncepcyjnej, warto wyposażyć się w „kartę wstępną projektu AI”. Zbieramy w niej cel biznesowy, właściciela inicjatywy, informacje o danych oraz wstępnych ryzykach prawnych i biznesowych. To podejście „shift left”, a więc istotne pytania zadajemy możliwie wcześnie, zanim projekt przejdzie do kolejnego etapu.
Sama norma zwraca uwagę, że myśląc o tym musimy uwzględnić między innymi takie zagadnienia (w normie również opisane) jak zarządzanie danymi, dokumentowanie, identyfikacja systemów AI (w tym rejestr zasobów), zarządzanie łańcuchem dostaw, zarządzanie incydentami i skargami czy niezgodnością oraz monitorowanie po wdrożeniu.
Do tych kwestii wrócę w oddzielnym felietonie, bo za bardzo musiałbym tutaj spłycać to kluczowe zagadnienie. Opowiem także o tym jak podejść do procesów wytwórczych (SDLC), aby jakość zapewnić. Także w sytuacji, w której nasze służby IT wykorzystują AI na swoje potrzeby.
Ostatnia część dotyczy oceny działania systemu zarządzania jakością. Jako załączniki dodano materiał informacyjny w zakresie ryzyk oraz zależności pomiędzy innymi normami.
Czy norma jest w jakiś sposób wyjątkowa? Z perspektywy osoby budującej AI Governance wiele z tych elementów będzie znajomych, także z ISO/IEC 42001. Wartość EN 18286 widzę przede wszystkim w ich uporządkowaniu i powiązaniu z wymaganiami AI Act. Praktyczne pytanie brzmi tutaj jak przełożyć je na decyzje, odpowiedzialność i codzienną pracę nie niszcząc jednocześnie kultury innowacyjności?
Właśnie temu poświęcę krótkie szkolenie o AI Act, EN 18286 i ISO/IEC 42001 - 6 listopada 2026 r., w godz. 10:00–12:00, online. Pokażę, jak połączyć te wymagania i standardy w praktycznym podejściu do AI Governance. W ramach szkolenia otrzymacie modelową kartę wstępną projektu AI oraz 30 dni dostępu do cyberszlif.pl. Więcej informacji i zapisy pod tym linkiem.