EN 18286 og ISO/IEC 42001: hva gir formodning om samsvar under KI-forordningen?

Kommisjonen vedtok 12. oktober 2026 gjennomføringsbeslutning (EU) 2026/2274, som publiserer referansen til den europeiske standarden EN 18286:2026 «Artificial intelligence – Quality management system for EU AI Act regulatory purposes» i EU-tidende. Beslutningen ble kunngjort i EU-tidende 14. oktober 2026 og trådte i kraft samme dag. Kommisjonen omtalte den i en melding 19. oktober 2026 som den første harmoniserte standarden til støtte for KI-forordningen. Standarden gjelder kvalitetsstyringssystemet som leverandører av høyrisikosystemer skal ha etter KI-forordningen art. 17. Artikkelen behandler hva formodningen om samsvar innebærer, hvordan EN 18286 skiller seg fra den sertifiserbare ISO/IEC 42001, hvilken betydning dette har i Norge, og hvordan kjøpere av høyrisiko-KI kan bruke standarden i avtaler og revisjoner.

Hva er EN 18286, og fra når gir den formodning om samsvar?

EN 18286:2026 er utarbeidet av CEN og Cenelec etter Kommisjonens standardiseringsanmodning C(2025) 3871 av 23. juni 2025. Etter fortalen punkt 3 svarer standarden til punkt 9 i anmodningen, som gjelder kvalitetsstyringssystemer for leverandører av KI-systemer, medregnet prosesser for overvåking etter omsetning. Kommisjonen har sammen med standardiseringsorganisasjonene vurdert at standarden oppfyller anmodningen og de kravene den skal dekke (fortalen punkt 4 og 5). Referansen er publisert uten begrensninger i vedlegget til beslutningen.

Formodningen gjelder fra referansen ble publisert, det vil si fra 14. oktober 2026. Dette følger av fortalen punkt 6, og beslutningen trådte derfor i kraft på publiseringsdagen etter art. 2. Selve kravene i art. 17 gjelder likevel ikke ennå. Etter KI-forordningen art. 113 slik bestemmelsen er endret ved forordning (EU) 2026/1744, gjelder kapittel III avsnitt 1 til 3 fra 2. desember 2027 for høyrisikosystemer etter vedlegg III og fra 2. august 2028 for høyrisikosystemer etter vedlegg I. Leverandørene har dermed en referanse å bygge kvalitetssystemet på i god tid før pliktene inntrer.

Hva krever KI-forordningen art. 17 om kvalitetsstyringssystem?

Etter KI-forordningen art. 17 nr. 1 skal leverandører av høyrisikosystemer ha et kvalitetsstyringssystem som sørger for etterlevelse av forordningen, dokumentert i skriftlige retningslinjer, prosedyrer og instrukser. Systemet skal minst omfatte tretten elementer, blant annet en strategi for regeletterlevelse og endringshåndtering, prosedyrer for design, utvikling, testing og validering og systemer for datastyring. Det skal også omfatte risikostyringssystemet etter art. 9, overvåking etter omsetning etter art. 72, rapportering av alvorlige hendelser etter art. 73, dokumentasjon og en ansvarsfordeling for ledelsen og de ansatte. Kravet følger også av KI-forordningen art. 16 bokstav c.

Omfanget skal stå i forhold til leverandørens størrelse, men nivået på beskyttelsen kan ikke senkes (art. 17 nr. 2). Leverandører som allerede har kvalitetssystem etter sektorregler, kan bygge elementene inn i det (art. 17 nr. 3), og finansinstitusjoner oppfyller i hovedsak kravet gjennom reglene om intern styring (art. 17 nr. 4). Etter endringen av KI-forordningen art. 63 nr. 1 ved omnibusforordningen kan små og mellomstore bedrifter uten partner- eller tilknyttede foretak oppfylle enkelte elementer i forenklet form etter retningslinjer fra Kommisjonen.

Hvordan virker formodning om samsvar etter KI-forordningen art. 40?

Etter KI-forordningen art. 40 nr. 1 presumeres høyrisikosystemer som er i samsvar med harmoniserte standarder, å være i samsvar med de tilsvarende kravene i forordningen. Formodningen er avgrenset til det standarden faktisk dekker.

«to the extent that those standards cover those requirements or obligations»

Formodningen er en bevisregel, som innebærer at leverandøren som følger standarden, ikke på egen hånd trenger å begrunne at løsningen oppfyller kravene den dekker. Det er da tilsynsmyndigheten som må påvise avvik. Formodningen har også betydning for hvilken samsvarsvurdering leverandøren kan velge. For høyrisikosystemer innen biometri (vedlegg III punkt 1) kan leverandøren som har brukt harmoniserte standarder, velge intern kontroll etter vedlegg VI, mens leverandøren som ikke har gjort det, må bruke et teknisk kontrollorgan etter vedlegg VII (KI-forordningen art. 43 nr. 1). For de øvrige systemene i vedlegg III er intern kontroll hovedregelen uansett.

Hjemmelsgrunnlaget for formodningen er ikke like tydelig for art. 17 som for de tekniske kravene. Ordlyden i art. 40 nr. 1 viser til kravene i kapittel III avsnitt 2 (art. 8 til 15), mens art. 17 står i avsnitt 3. Kommisjonens melding legger likevel til grunn at EN 18286 gir formodning for kravene i art. 17, og beslutningens fortale bygger på at standarden oppfyller de kravene den skal dekke. Omnibusforordningen har dessuten i art. 40 nr. 2 tilføyd at standardiseringen skal legge til rette for formodning om samsvar med kravene i både avsnitt 2 og 3. Etter vår vurdering vil formodningen bli lagt til grunn i praksis, men spørsmålet er ikke prøvd for EU-domstolen.

Hva er forskjellen mellom ISO/IEC 42001 og EN 18286?

ISO/IEC 42001:2023 er en internasjonal standard for ledelsessystemer for kunstig intelligens. Den er rettet mot organisasjoner som leverer eller bruker KI, og er i Norge fastsatt som NS-EN ISO/IEC 42001:2026, publisert 20. april 2026. At ISO-standarden er gitt EN-status, gjør den ikke til en harmonisert standard. En standard får rettsvirkning etter art. 40 først når referansen er publisert i EU-tidende etter standardiseringsforordningen, og per 21. oktober 2026 gjelder dette bare EN 18286.

Standardene er ment å virke sammen, og Kommisjonen opplyser at EN 18286 er utformet for å bygge på ISO/IEC 42001, ISO 9001 eller sektorstandarder som ISO 13485, slik at leverandører kan utvide et eksisterende styringssystem i stedet for å drive flere parallelle systemer. En virksomhet som allerede er sertifisert etter ISO/IEC 42001, har dermed et godt utgangspunkt, men sertifikatet alene dokumenterer ikke at kravene i art. 17 er oppfylt.

Hva betyr formodningen ikke?

Formodningen kan tilbakevises, og viser det seg at systemet ikke oppfyller kravene, hjelper det ikke leverandøren at standarden er fulgt. En medlemsstat eller Europaparlamentet kan dessuten fremme formell innsigelse mot en harmonisert standard etter standardiseringsforordningen (EU) nr. 1025/2012, og Kommisjonen kan da begrense eller trekke tilbake referansen (standardiseringsforordningen art. 11).

Formodningen gjelder heller ikke for andre krav enn dem standarden dekker, og EN 18286 dekker bare kvalitetsstyringssystemet. Standarden sier ikke at systemet oppfyller kravene til nøyaktighet, robusthet og cybersikkerhet i art. 15, at det er klassifisert riktig, eller at idriftsetteren oppfyller sine plikter etter art. 26. Leverandøren må fortsatt gjennomføre samsvarsvurdering, utstede EU-samsvarserklæring etter art. 47 og påføre CE-merking etter art. 48.

Gjelder EN 18286 og KI-forordningen i Norge?

KI-forordningen er ikke tatt inn i EØS-avtalen. I EEA-Lex står både forordningen og omnibusforordningen (EU) 2026/1744 per 21. oktober 2026 som «under scrutiny» for innlemmelse. Gjennomføringsbeslutning (EU) 2026/2274 er merket som EØS-relevant, men den får ingen selvstendig betydning i Norge før forordningen er innlemmet og gjennomført i norsk rett.

Norske leverandører som omsetter høyrisikosystemer i EU, må likevel følge forordningen fra datoene som gjelder der. For norske kjøpere er standarden allerede nå et konkret og etterprøvbart mål på hva et forsvarlig kvalitetssystem hos leverandøren er, uavhengig av når forordningen blir norsk rett.

Hvordan kan kjøpere av høyrisiko-KI bruke EN 18286 i avtalen?

Kjøperen kan bruke standarden som avtalekrav og revisjonsgrunnlag. Formålet er å få dokumentasjon som gjør det mulig for kjøperen, i rollen som idriftsetter, å bruke systemet i samsvar med bruksanvisningen og med forsvarlig menneskelig tilsyn etter KI-forordningen art. 26. Kravene bør formuleres slik at de kan etterprøves.

1. Krev at leverandøren har kvalitetsstyringssystem i samsvar med EN 18286:2026 for det aktuelle systemet, og at eventuelle avvik fra standarden beskrives skriftlig.
2. Krev kopi av EU-samsvarserklæringen og opplysning om hvilken samsvarsvurdering som er brukt, og om et teknisk kontrollorgan har vært involvert.
3. Avtal rett til revisjon av kvalitetssystemet, enten selv eller ved uavhengig revisor, med rett til innsyn i relevante prosedyrer, testresultater og hendelseslogg.
4. Krev varsel ved vesentlige endringer i systemet, ved alvorlige hendelser og ved pålegg fra tilsynsmyndigheter.
5. Gi ISO/IEC 42001-sertifisering vekt som tilleggskrav til leverandørens organisasjon, men ikke som erstatning for kravet om samsvar med art. 17.
6. Knytt brudd på kravene til konkrete beføyelser, som retting innen frist, prisavslag, heving og skadesløsholdelse ved tilsynsreaksjoner.

Kravene bør ses i sammenheng med leverandørens egne bruksvilkår, som allerede setter krav til menneskelig kontroll ved høyrisikobruk. Dette er nærmere behandlet i artikkelen om KI-leverandørvilkår ved høyrisikobruk. Kjøperen bør også vurdere om egne tilpasninger av systemet kan gjøre kjøperen til leverandør etter KI-forordningen art. 25 nr. 1, med plikt til selv å ha et kvalitetsstyringssystem.

Hva bør virksomheten gjøre nå?

Leverandører av KI-systemer som kan bli høyrisiko, bør skaffe EN 18286:2026 fra Standard Norge og kartlegge avstanden mellom eksisterende styringssystem og standarden. Den som allerede har ISO/IEC 42001 eller ISO 9001, bør planlegge en utvidelse av det eksisterende systemet. Arbeidet må være ferdig før 2. desember 2027 for systemer i vedlegg III, og før 2. august 2028 for systemer i vedlegg I, dersom systemet skal omsettes i EU.

Kjøpere bør innarbeide kravene over i nye avtaler og ved fornyelse av eksisterende avtaler om høyrisiko-KI, slik at leverandøren påtar seg samsvar med standarden før pliktene inntrer. Styret bør få rapport om hvilke systemer som omfattes og hvilke avtalekrav som er stilt, i tråd med det som er drøftet i artikkelen om styrets ansvar for KI. Mer om regelverket finnes på pilarsiden om kunstig intelligens. En avtale som ikke gir kjøperen rett til å revidere leverandørens kvalitetssystem, gir kjøperen ingen mulighet til å kontrollere at forutsetningen for formodningen om samsvar faktisk er oppfylt.

Spørsmål og svar

Neste faglige kontroll: 1. mars 2027