Norma EN 18286, czyli systemowe zarządzanie jakością AI "

Michał Nowakowski · 26 października 2026

Norma EN 18286, czyli systemowe zarządzanie jakością AI "pod" AI Act to wyzwanie dla kadry zarządzającej. Dlaczego?

Norma EN 18286, czyli systemowe zarządzanie jakością AI "pod" AI Act to wyzwanie dla kadry zarządzającej. Dlaczego?

Dlatego, że norma świetnie adresuje coś o czym zawszę mówię w trakcie swoich szkoleń i wystąpień - nie da się zrobić dobrej zmiany (także w procesach) bez wsparcia zarządu i kadry kierowniczej.

Dla przypomnienia - norma EN 18286 to pierwsza tzw. norma zharmonizowana, która jest standardem zaakceptowanym jako sposób na zapewnienie zgodności z art. 17 AI Act. To wymóg posiadania przez dostawcę systemu AI wysokiego ryzyka (np. popularne ATS w zatrudnieniu czy niektóre przypadki użycia biometrii) odpowiedniego systemu zarządzania jakością.

O zakresie normy będę opowiadał już 6 listopada w trakcie krótkiego webinaru na styku AI Ac, ISO 42001 (governance) i właśnie naszego nowego standardu.

W EN 18286 znajdziemy dwa bardzo ciekawe "sformułowania", w tym:

✅ zobowiązanie "top management" do udowodnienia swojego przywództwa i zaangażowania w zakresie systemu zarządzania jakością poprzez między innymi ustanowienie odpowiedniej polityki jakości powiązanej ze wskaźnikami czy zapewnieniem zasobów,

✅ zobowiązanie tego samego "menedżmentu" do zapewniania, że polityka jakości, która jest zgodna np. z polityką zgodności (i odpowiednią strategią), ale też, że jest ona KOMUNIKOWANA i ZROZUMIAŁA dla ludzi, którzy muszą ją stosować.

Te dwa zobowiązania są oczywiście rozpisane bardziej szczegółowo, ale łapiecie koncept? Jeżeli będziemy adresatem AI Act, to nie ma możliwości, aby zarząd i nasze kierownictwo nie zapewnił odpowiednich ludzi, narzędzi czy czasu na realizację obowiązków compliance.

Tymczasem stworzenie systemu zarządzania jakością, to między innymi:

✅ dostosowanie lub UTWORZENIE naszego podejścia do wytwarzania oprogramowania (co warto połączyć z cyberbezpieczeństwem), np. poprzez wdrożenie SDLC (dobre praktyki wytwórcze),

✅ ustanowienie jasnych ram odpowiedzialności, w tym poprzez ulubioną przeze mnie matrycę RASCI,

✅ utrzymywanie rejestru zasobów zmapowanych pod inicjatywy AI i odpowiednie zarządzanie łańcuchem dostaw.

To i wiele więcej wymaga od nas de facto stworzenia ram AI Governance, w tym z komponentem cyber. I nawet jeżeli dzisiaj nie czujemy, aby AI Act miał nas dotknąć, to może się to zmienić w przyszłości, prawda? A nawet jeżeli nie, to jest to przykład dobrej praktyki "pod" AI Governance zgodne z ISO 42001.

Więcej na temat tych zależności opowiem już za dwa tygodnie, więc jeżeli macie w piątek czas, to rezerwujcie dwie godziny na spotkanie ze mną i normami ; )