استانداردی که جای جزئیات قانون را می‌گیرد؛ نخستین استاندارد هماهنگ قانون هوش مصنوعی اروپا
انتشار EN 18286 در روزنامه رسمی اتحادیه اروپا نشان می‌دهد انطباق با قانون هوش مصنوعی از مسیر سیستم مدیریت کیفیت می‌گذرد؛ اما فرض انطباق، میانبر قانونی نیست.
آیا سندی فنی که یک نهاد استانداردسازی نوشته و متنش هم فروخته می‌شود، می‌تواند معیار اثبات انطباق با قانون باشد؟ وقتی قانون‌گذار فقط «الزامات اساسی» را می‌نویسد و جزئیات اجرا را به استاندارد می‌سپارد، مرز میان قاعده حقوقی و دستورالعمل فنی کجاست؟ به نظر من این پرسش، که سال‌ها در حقوق ایمنی محصولات مطرح بوده، حالا با هوش مصنوعی به قلب حقوق فناوری رسیده است؛ و پاسخ آن برای هر شرکتی که بخواهد سامانه هوشمند خود را در بازار اروپا عرضه کند، دیگر بحثی نظری نیست!
کمیسیون اروپا در ۲۰ مهر ۱۴۰۵ (۱۲ اکتبر ۲۰۲۶) تصمیم اجرایی (EU) 2026/2274 را صادر کرد؛ این تصمیم در ۲۲ مهر ۱۴۰۵ (۱۴ اکتبر ۲۰۲۶) در روزنامه رسمی اتحادیه اروپا منتشر شد و از همان روز لازم‌الاجرا شد. با این انتشار، استاندارد EN 18286:2026 با عنوان «هوش مصنوعی ـ سیستم مدیریت کیفیت برای اهداف مقرراتی قانون هوش مصنوعی اتحادیه اروپا» نخستین استاندارد هماهنگی شد که مرجع آن ذیل مقررات (EU) 2024/1689، یعنی همان قانون هوش مصنوعی اروپا، رسماً منتشر می‌شود.
۱. استاندارد هماهنگ چیست و چرا «فرض انطباق» می‌سازد؟
قانون هوش مصنوعی اروپا از الگوی موسوم به «چارچوب قانون‌گذاری جدید» در حقوق محصولات پیروی می‌کند؛ در این الگو، قانون الزامات اساسی را تعیین می‌کند و استانداردهای اروپایی جزئیات فنی رسیدن به آن الزامات را. طبق ماده ۴۰ این قانون، سامانه پرخطری که با استانداردی منطبق باشد که مرجع آن در روزنامه رسمی منتشر شده، فرض می‌شود با همان الزاماتی منطبق است که استاندارد پوشش می‌دهد. معتقدم نکته ظریف دقیقاً همین «فرض» است؛ فرض انطباق، خودِ انطباق نیست و در عمل بار اثبات را جابه‌جا می‌کند. از سوی دیگر، رعایت استاندارد اختیاری است و ارائه‌دهنده می‌تواند از راه‌های دیگر هم انطباق را نشان دهد؛ و مهم‌تر این‌که فرض انطباق فقط به الزاماتی محدود است که استاندارد واقعاً پوشش داده، نه بیشتر!
۲. EN 18286 دقیقاً چه چیزی را پوشش می‌دهد؟
این استاندارد را کمیته اروپایی استانداردسازی (CEN) و کمیته اروپایی استانداردسازی الکتروتکنیک (CENELEC) در پاسخ به درخواست رسمی کمیسیون، موضوع تصمیم C(2025) 3871 مورخ ۲ تیر ۱۴۰۴ (۲۳ ژوئن ۲۰۲۵)، تهیه کرده‌اند. به گزارش مؤسسه حقوقی اوریک، ارائه‌دهندگان سامانه‌های پرخطر می‌توانند با تکیه بر آن، انطباق با بند ۱ ماده ۱۱ (مستندات فنی) و بند ۱ ماده ۱۷ (سیستم مدیریت کیفیت) را نشان دهند. محتوای آن هم صرفاً فنی نیست؛ ارائه‌دهنده باید الزامات قابل اعمال بر خود را شناسایی کند، دامنه سیستم مدیریت کیفیت را تعریف کند و «راهبردی مستند برای انطباق مقرراتی» داشته باشد که الزامات مواد ۹ تا ۱۵، ارزیابی انطباق، تغییرات سامانه، پایش پس از عرضه و گزارش حوادث جدی را دربرگیرد؛ سپس همه این‌ها در فرایندهای مدیریتی مانند رهبری، نقش‌ها و پاسخ‌گویی، کنترل زنجیره تأمین، مدیریت داده، رسیدگی به عدم انطباق و بازنگری مدیریتی جای می‌گیرد. به نظر من این همان نقطه‌ای است که حقوق و مهندسی در یک سند به هم می‌رسند؛ حقوق‌دان دیگر نمی‌تواند بگوید «این بخش فنی است و به من ربطی ندارد»!
۳. داشتن گواهی ISO/IEC 42001 کافی نیست
بسیاری از شرکت‌ها پیش‌تر برای نظام مدیریت هوش مصنوعی خود به ISO/IEC 42001 یا ISO 9001 تکیه کرده‌اند. EN 18286 همان ساختار سطح بالای این استانداردها را دنبال می‌کند تا بتوان آن را روی سیستم موجود سوار کرد؛ اما همان‌طور که اوریک تصریح می‌کند، رعایت آن استانداردهای بین‌المللی به‌تنهایی فرض انطباق ماده ۴۰ را ایجاد نمی‌کند. معتقدم این تفکیک برای مشاوران حقوقی شرکت‌ها اهمیت عملی دارد؛ گواهی‌نامه بین‌المللی، هر قدر هم معتبر باشد، با «انطباق مقرراتی» یکی نیست و نباید در قرارداد با مشتری یا سرمایه‌گذار طوری بیان شود که گویی تضمین انطباق با قانون است.
۴. استاندارد، مسیر ارزیابی انطباق را کمتر از آن‌چه تصور می‌شود تغییر می‌دهد
برداشتی رایج این است که با رعایت استاندارد، شرکت از ارزیابی نهاد اعلام‌شده (notified body) معاف می‌شود. طبق تحلیل اوریک، برای بیشتر سامانه‌های پرخطر چنین نیست؛ اثر استانداردهای هماهنگ بر مسیر ارزیابی به سامانه‌های بیومتریک موضوع بند ۱ پیوست سوم محدود است، که اگر استانداردهای هماهنگ یا مشخصات مشترک بر همه الزامات اساسی اعمال شده باشد، ارائه‌دهنده می‌تواند ارزیابی داخلی را برگزیند؛ و سامانه‌های بندهای ۲ تا ۸ پیوست سوم، با استاندارد یا بدون آن، از مسیر ارزیابی داخلی می‌گذرند. ماده ۴۳ قانون نیز سیستم مدیریت کیفیت را به همین رویه‌های ارزیابی انطباق پیوند می‌زند. پس استاندارد، ابزار اثبات است؛ نه میانبر قانونی!
۵. قاعده‌ای که متنش را باید خرید
مسئله‌ای که به نظر من کمتر دیده شده، این است که روزنامه رسمی فقط «مرجع» استاندارد را منتشر می‌کند، نه متن آن را؛ متن کامل را باید از نهادهای ملی استاندارد کشورهای اروپایی خرید. اوریک یادآوری می‌کند که این مدل دسترسی پولی، با توجه به جایگاه استانداردهای هماهنگ در نظام حقوقی اتحادیه، محل مناقشه و حتی دعوای حقوقی بوده است. از منظر حاکمیت قانون، این وضعیت پرسشی جدی پیش می‌کشد؛ اگر سندی عملاً معیار اجرای تکلیف قانونی است، دسترسی آزاد کسب‌وکارهای کوچک به آن چگونه تضمین می‌شود؟ استارتاپی با بودجه محدود، پیش از نوشتن نخستین خط کد، باید برای دانستن «قاعده بازی» هزینه کند. افزون بر این، EN 18286 تازه نخستین گام است؛ درخواست استانداردسازی کمیسیون ده حوزه را دربرمی‌گیرد، از مدیریت ریسک و حکمرانی داده تا ثبت رویدادها، شفافیت، نظارت انسانی، دقت، استحکام و امنیت سایبری، و بقیه استانداردها در مراحل مختلف تدوین‌اند.
۶. درس‌هایی برای ایران
نخست، برای قانون‌گذار؛ هر قانون یا مقرره‌ای که درباره هوش مصنوعی تدوین شود، اگر قرار است قابل اجرا باشد، باید از ابتدا رابطه «الزام قانونی» و «استاندارد فنی» را روشن کند: چه نهادی استاندارد را تدوین می‌کند، رعایت آن چه اثری در اثبات دارد و آیا متن آن آزادانه در دسترس است. تا جایی که بنده اطلاع دارم، سازمان ملی استاندارد ایران در چارچوب قانون تقویت و توسعه نظام استاندارد فعالیت می‌کند؛ اما سازوکاری شبیه «فرض انطباق» که میان قوانین حوزه فناوری و استانداردهای ملی پیوندی صریح برقرار کند، دست‌کم در حوزه هوش مصنوعی هنوز به چشم نمی‌خورد. دوم، برای دادگاه‌ها؛ در دعاوی مسئولیت ناشی از سامانه‌های هوشمند، رعایت یا عدم رعایت یک استاندارد شناخته‌شده می‌تواند قرینه‌ای مهم برای سنجش تقصیر و رفتار متعارف باشد، به شرط آن‌که با «انطباق کامل با قانون» یکی گرفته نشود. سوم، برای وکلا و مشاوران؛ در قراردادهای خرید یا توسعه سامانه هوش مصنوعی، بهتر است به‌جای عبارت کلی «مطابق مقررات»، به استانداردهای مشخص، دامنه پوشش آن‌ها و مسئولیت به‌روزرسانی ارجاع شود. چهارم، برای استارتاپ‌ها؛ شرکتی که به بازار اروپا فکر می‌کند، به‌ویژه در حوزه‌هایی مانند استخدام، آموزش یا اعتبارسنجی، بهتر است سیستم مدیریت کیفیت خود را از امروز با منطق این استاندارد بسازد؛ ساختن آن در روز آخر، بسیار گران‌تر از ساختن آن در روز اول است!
منابع: تصمیم اجرایی (EU) 2026/2274 کمیسیون اروپا، EUR-Lex، ۱۴ اکتبر ۲۰۲۶؛ Orrick, First Harmonised Technical Standard Published Under the EU AI Act، ۲۷ اکتبر ۲۰۲۶؛ LEXIA, Data & Technology Innovation – November 2026 Insight، ۹ نوامبر ۲۰۲۶
این یادداشت جنبه آموزشی دارد و جایگزین مشاوره حقوقی در پرونده‌های مشخص نیست.
