Durante dos años, la respuesta a «¿cuándo habrá normas armonizadas del EU AI Act?» fue siempre la misma: pronto. En julio de 2026 dejó de serlo. EN 18286 ya está publicada. Es la primera norma europea del paquete que existe de verdad, con número y fecha.
Ahora bien: que una norma esté publicada no significa todavía lo que la mayoría de titulares dan a entender. Esa distinción es el asunto de este artículo.
Qué es una norma armonizada, y por qué no es un detalle burocrático
El Reglamento (UE) 2024/1689 dice qué hay que conseguir, no cómo. Exige, por ejemplo, que un sistema de IA de alto riesgo tenga un sistema de gestión de riesgos (art. 9) o un sistema de gestión de la calidad (art. 17), pero no describe cómo se monta ninguno de los dos.
Ese hueco lo rellenan las normas armonizadas. Las redactan CEN y CENELEC —los organismos europeos de normalización— por encargo formal de la Comisión, y traducen el texto legal a requisitos que un ingeniero o un responsable de calidad puede aplicar y auditar.
La pieza que las hace importantes está en el artículo 40: cuando una norma armonizada se cita en el Diario Oficial de la Unión Europea, el sistema que la cumple se presume conforme con los requisitos del Reglamento que esa norma cubre. La presunción de conformidad invierte la carga de la prueba: ya no tienes que demostrar que cumples; es la autoridad quien tendría que demostrar que no.
Por eso importa la diferencia entre publicada y citada. Y por eso el estado actual es más matizado de lo que parece.
Lo que cambió en julio de 2026
EN 18286:2026 — «Inteligencia artificial. Sistema de gestión de la calidad para fines reglamentarios del EU AI Act». Publicada por CEN-CENELEC en julio de 2026. Cubre el artículo 17, que obliga a los proveedores de sistemas de alto riesgo a mantener un sistema de gestión de la calidad documentado.
Es la primera del paquete que cruza la línea de meta. Se parece en su lógica a ISO/IEC 42001, pero está escrita específicamente contra el articulado del Reglamento, no contra un marco genérico de gestión.
El matiz que hay que entender: a fecha de este artículo, EN 18286 no está citada en el Diario Oficial. Puedes comprarla, leerla y aplicarla —y hacerlo es una decisión razonable— pero todavía no activa la presunción de conformidad del art. 40. La Comisión revisa cada norma antes de citarla, y esa revisión es un paso propio que lleva su tiempo.
Dicho de otro modo: aplicar EN 18286 hoy es prepararse bien. No es un salvoconducto.
Las ocho restantes, una por una
El encargo de la Comisión cubre alrededor de una decena de áreas. Este es el estado del resto del paquete:
En votación formal o consulta pública (disponibilidad prevista para finales de 2026):
- prEN 18228 — Gestión de riesgos de la IA · art. 9
- prEN 18229-1 — Marco de fiabilidad, parte 1: registros y trazabilidad · art. 12
- prEN 18282 — Especificaciones de ciberseguridad para sistemas de IA · art. 15
En redacción, con recorrido por delante:
- prEN 18229-2 — Exactitud y solidez · art. 15
- prEN 18229-3 — Transparencia y supervisión humana · arts. 13 y 14
- prEN 18283 — Gestión del sesgo en sistemas de IA · art. 10
- prEN 18284 — Calidad y gobernanza de los conjuntos de datos · art. 10
- prEN 18285 — Marco de evaluación de la conformidad · art. 43 y anexo VII
El mandato de normalización de la Comisión tiene fecha de caducidad: 28 de febrero de 2027. Es la referencia contra la que se mide si el paquete llega o no llega.
Si quieres ver qué artículo del Reglamento hay detrás de cada una de estas normas, la guía del EU AI Act los recoge artículo por artículo.
El calendario ya no aprieta como apretaba
Aquí es donde el retraso de las normas deja de ser un problema grave, y conviene decirlo con claridad porque circula mucha alarma innecesaria.
El Reglamento (UE) 2026/1744, el llamado Ómnibus Digital de IA, aplazó las obligaciones de los sistemas de alto riesgo del anexo III al 2 de diciembre de 2027. Antes vencían en agosto de 2026. Ese aplazamiento y el calendario real de las normas van ahora bastante más acompasados: hay margen para que el paquete se publique, se revise y se cite antes de que las obligaciones que sostiene sean exigibles.
Lo que no se aplazó es igual de importante: las obligaciones de transparencia del artículo 50 están en vigor desde el 2 de agosto de 2026, con sanciones de hasta 15 M€ o el 3 % de la facturación mundial. Y la alfabetización en IA del artículo 4 aplica desde febrero de 2025, aunque el Ómnibus suavizó su redacción de «garantizar» a «tomar medidas para apoyar» la formación del personal.
Esa asimetría es el punto práctico de todo esto: lo que muerde hoy no es el alto riesgo, es la transparencia y la formación. Y ninguna de las dos cosas depende de que existan normas armonizadas.
¿Y si las normas no llegan a tiempo?
El Reglamento previó el escenario. El artículo 41 permite a la Comisión adoptar especificaciones comunes mediante acto de ejecución cuando las normas armonizadas no existen, son insuficientes o no responden al encargo. Cumplir esas especificaciones da la misma presunción de conformidad.
No es el camino preferido —la Comisión ha dicho repetidamente que prefiere la vía de la normalización, que involucra a la industria— pero existe. La ausencia de una norma no deja a nadie sin ruta.
A quién le afecta esto de verdad
Conviene bajar el asunto a tierra, porque el debate sobre normas armonizadas se cuela en conversaciones donde no pinta nada.
Te afecta directamente si eres proveedor de un sistema de IA de alto riesgo en el sentido del anexo III o del artículo 6: los sistemas que evalúan crédito, criban currículums, deciden sobre acceso a servicios esenciales o funcionan como componente de seguridad de un producto. Ahí las normas son tu vía práctica hacia la evaluación de conformidad.
Te afecta de refilón si eres responsable del despliegue (deployer): usas un sistema de alto riesgo que ha construido otro. Tus obligaciones son otras —supervisión humana, uso conforme a las instrucciones, conservación de registros— y no dependen de estas normas.
No te afecta prácticamente nada si tu empresa usa ChatGPT, Copilot o Gemini para redactar, resumir o programar. Eso, en la inmensa mayoría de los casos, no es un sistema de alto riesgo. Lo que sí te aplica es el artículo 50 —informar cuando alguien habla con una IA y cuando un contenido lo ha generado una IA— y el artículo 4 de formación. Si no tienes claro en cuál de los tres grupos estás, esa es exactamente la pregunta que resuelve un brief de uso de IA antes de preocuparte por ninguna norma técnica.
Qué hacer mientras tanto
Esperar a que se cite la primera norma en el Diario Oficial no es una estrategia, entre otras cosas porque lo que ya es exigible no espera a nadie.
- Sé capaz de decir qué IA usa tu empresa y para qué. Sin ese inventario, ninguna norma te sirve: no sabes a qué aplicarla. Es lo primero que pregunta cualquier revisión.
- Determina tu rol y tu nivel de riesgo, con los hechos escritos y fechados. Proveedor y responsable del despliegue tienen obligaciones distintas, y confundirlos es el error más caro y más común.
- Cierra lo que ya es exigible hoy: los avisos de transparencia del art. 50 y la formación del art. 4, que aplica en los tres niveles de riesgo, no solo en el alto.
- Si eres proveedor de alto riesgo, lee EN 18286 ahora. Cuando se cite en el DOUE, quien la haya aplicado ya solo tendrá que documentar; el resto empezará de cero con un plazo encima.
- Documenta a medida que decides, no después. Una decisión reconstruida seis meses más tarde no tiene la misma fuerza que una registrada el día que se tomó. En cómo funciona está el circuito completo, y en la comparativa de productos qué incluye cada uno.
Conclusión
El titular es que la primera norma armonizada del EU AI Act ya existe. El matiz —el que decide qué haces el lunes— es que todavía no está citada en el Diario Oficial y por tanto no activa la presunción de conformidad.
La lectura sensata: el paquete de normas avanza, el aplazamiento del alto riesgo a diciembre de 2027 ha dado el margen que faltaba, y mientras tanto lo que realmente es exigible —transparencia y formación— no depende de ninguna de estas normas. Ahí es donde conviene mirar primero.
Este artículo se actualizará cuando la primera norma se cite en el DOUE. Es el hito que cambia la respuesta.
Fuentes y fecha de comprobación (5 de septiembre de 2026):
- CEN-CENELEC, publicación de EN 18286:2026 — cencenelec.eu, julio de 2026
- CEN-CENELEC JTC 21, programa de trabajo y estado de los proyectos — jtc21.eu
- Comisión Europea, «Understanding the standardisation of the AI Act» — digital-strategy.ec.europa.eu
- Reglamento (UE) 2024/1689, arts. 4, 6, 9, 10, 12, 13, 14, 15, 17, 40, 41, 43, 50 y anexos III y VII
- Reglamento (UE) 2026/1744 (Ómnibus Digital de IA), calendario de aplicación
Texto IAGenerado con IA y revisado por un editor. Art. 50 Reglamento (UE) 2024/1689.
