Artikel 17 KI-Verordnung: Qualitätsmanagementsystem
Die 13 Punkte des Qualitätsmanagementsystems nach Artikel 17 der KI-Verordnung, Verhältnismäßigkeit für KMU, der Bezug zur Konformitätsbewertung und die Geldbußen nach Artikel 99 Absatz 4.
Anbieter von Hochrisiko-KI-Systemen müssen ein Qualitätsmanagementsystem (QMS) betreiben, das 13 Punkte abdeckt (Artikel 17).
Das gilt für Anbieter, die solche Systeme in der EU in Verkehr bringen. Die Termine sind der 2. Dezember 2027 für Anhang-III-Systeme (aufgelistete Einsatzzwecke wie Personalauswahl) und der 2. August 2028 für Anhang-I-Systeme. Der Aufwand darf zur Unternehmensgröße passen, das Schutzniveau darf aber nicht sinken (Artikel 17 Absatz 2). Ein fehlendes QMS verstößt gegen Artikel 16 Buchstabe c. Geldbußen betragen bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Nächster Schritt: Gleichen Sie Ihr Qualitätssystem mit den 13 Punkten unten ab.
Artikel 17 nennt 13 Punkte, die ein QMS abdecken muss
Das QMS muss systematisch und geordnet in Form schriftlicher Strategien, Verfahren und Anweisungen dokumentiert sein. Es umfasst mindestens diese Punkte (Artikel 17 Absatz 1).
Eine Strategie zur Einhaltung der Regulierungsvorschriften, einschließlich der Konformitätsbewertungsverfahren und des Umgangs mit Änderungen am System.
Techniken, Verfahren und systematische Maßnahmen für Entwurf, Entwurfskontrolle und Entwurfsprüfung des Systems.
Techniken, Verfahren und systematische Maßnahmen für Entwicklung, Qualitätskontrolle und Qualitätssicherung des Systems.
Untersuchungs-, Test- und Validierungsverfahren vor, während und nach der Entwicklung sowie die Häufigkeit, mit der sie durchgeführt werden.
Die anzuwendenden technischen Spezifikationen und Normen sowie, wenn harmonisierte Normen nicht vollständig angewandt werden, die Mittel zur Erfüllung der Anforderungen aus Abschnitt 2.
Systeme und Verfahren für das Datenmanagement, von der Datenerfassung und Datenkennzeichnung bis zur Speicherung und Aufbewahrung, für jeden Datenvorgang vor dem Inverkehrbringen oder der Inbetriebnahme des Systems.
Das Risikomanagementsystem nach Artikel 9.
Einrichtung, Umsetzung und Pflege eines Systems zur Beobachtung nach dem Inverkehrbringen (Artikel 72).
Verfahren für die Meldung eines schwerwiegenden Vorfalls (Artikel 73).
Der Umgang mit der Kommunikation mit den nationalen zuständigen Behörden, anderen einschlägigen Behörden, notifizierten Stellen, anderen Akteuren, Kunden und sonstigen interessierten Kreisen.
Systeme und Verfahren für die Aufbewahrung aller einschlägigen Dokumentation und Informationen.
Ressourcenmanagement, einschließlich Maßnahmen zur Versorgungssicherheit.
Ein Rahmen für die Rechenschaftspflicht, der die Verantwortlichkeiten der Leitung und des sonstigen Personals für alle diese Punkte festlegt.
Der Aufwand darf zur Unternehmensgröße passen, aber nicht den Schutz senken
Die Umsetzung der Punkte muss zur Größe der Organisation des Anbieters passen, insbesondere bei KMU, einschließlich Start-up-Unternehmen, und kleinen Midcap-Unternehmen. Anbieter müssen in jedem Fall den Grad an Strenge und das Schutzniveau einhalten, die nötig sind, damit ihre Hochrisiko-Systeme die Verordnung erfüllen (Artikel 17 Absatz 2 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung).
KMU, einschließlich Start-up-Unternehmen, dürfen bestimmte Elemente des QMS vereinfacht erfüllen, wenn sie keine Partnerunternehmen oder verbundenen Unternehmen im Sinne der Empfehlung 2003/361/EG haben. Die Kommission erarbeitet Leitlinien dazu, welche Elemente infrage kommen. Die Vereinfachung befreit nicht von anderen Anforderungen, darunter die Artikel 9 bis 15, 72 und 73 (Artikel 63).
Andere Qualitätssysteme können die Punkte aus Artikel 17 aufnehmen
Ein Anbieter, der nach anderen sektoralen Unionsvorschriften bereits ein QMS betreiben muss, darf die 13 Punkte in dieses System aufnehmen (Artikel 17 Absatz 3). Finanzinstitute, die Unionsvorschriften zur internen Unternehmensführung einhalten, erfüllen die QMS-Pflicht durch die Einhaltung dieser Vorschriften. Ausgenommen sind das Risikomanagementsystem, die Beobachtung nach dem Inverkehrbringen und die Meldung schwerwiegender Vorfälle (Artikel 17 Absatz 4).
Die Konformitätsbewertung prüft das QMS
Bei Anhang-III-Systemen nach den Nummern 2 bis 8 prüft der Anbieter sein eigenes QMS anhand von Artikel 17 (interne Kontrolle, Anhang VI Nummer 2). Bei biometrischen Systemen (Anhang III Nummer 1) darf der Anbieter in manchen Fällen zwischen interner Kontrolle und einer notifizierten Stelle wählen, in anderen muss er eine notifizierte Stelle einbeziehen (Artikel 43 Absätze 1 und 2). Eine notifizierte Stelle prüft das QMS nach Anhang VII. Bei Produkten nach Anhang I Abschnitt A gehört die QMS-Bewertung zur Konformitätsbewertung des Produkts (Artikel 43 Absatz 3).
Wie Scanara bei Ihrem QMS unterstützt
Scanara führt eine geführte Bewertung des Qualitätsmanagements durch, die auf den 13 Punkten von Artikel 17 Absatz 1 beruht. Der regelbasierte Dokumentenscan, der aus dem Verordnungstext erzeugt wird, prüft die von Ihnen hochgeladenen Dokumente anhand von Artikel 17. Sie verfassen und betreiben das QMS und entscheiden, was ausreicht.
Häufige Fragen zum QMS
Erfüllt eine ISO-9001-Zertifizierung Artikel 17?
Die Verordnung sagt das nicht: Sie nennt keine ISO-Norm. Artikel 17 Absatz 1 führt 13 Punkte auf, die Ihr QMS abdecken muss, darunter das Risikomanagementsystem nach Artikel 9, die Beobachtung nach dem Inverkehrbringen (Artikel 72) und die Meldung schwerwiegender Vorfälle (Artikel 73). Ein bestehendes Qualitätssystem kann als Grundlage dienen, wenn Sie es auf alle 13 Punkte erweitern.
Ist ein QMS für KI-Systeme ohne hohes Risiko vorgeschrieben?
Nein. Artikel 17 gilt für Anbieter von Hochrisiko-KI-Systemen, andere KI-Systeme brauchen nach der Verordnung kein QMS. Ein Anbieter, der ein Anhang-III-System für nicht hochriskant hält, muss stattdessen diese Bewertung dokumentieren, bevor er das System in Verkehr bringt (Artikel 6 Absatz 4).
Wie detailliert muss das QMS für ein kleines Team sein?
Die Umsetzung muss zur Größe des Anbieters passen (Artikel 17 Absatz 2), aber alle 13 Punkte müssen abgedeckt sein. KMU, einschließlich Start-up-Unternehmen, ohne Partnerunternehmen oder verbundene Unternehmen dürfen bestimmte Elemente vereinfachen (Artikel 63 Absatz 1). Die Kommission erarbeitet Leitlinien dazu, welche Elemente infrage kommen.
Was passiert, wenn das QMS fehlt oder unzureichend ist?
Ein Anbieter ohne QMS nach Artikel 17 verstößt gegen Artikel 16 Buchstabe c. Die Geldbuße kann bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4 Buchstabe a). Für KMU, einschließlich Start-up-Unternehmen, und kleine Midcap-Unternehmen beträgt die Geldbuße höchstens den niedrigeren Betrag (Artikel 99 Absätze 6 und 6a).
Kann ein QMS mehrere KI-Systeme abdecken?
Artikel 17 verlangt, dass der Anbieter ein QMS einrichtet, und beschränkt es nicht auf ein System. Die technische Dokumentation nach Artikel 11 wird für jedes Hochrisiko-KI-System erstellt.
Die Einzelheiten zu den Punkten
Artikel 9: Risikomanagementsystem
Behandelt das Risikomanagementsystem, Punkt g Ihres QMS.
Artikel 72: Beobachtung nach dem Inverkehrbringen
Behandelt das System zur Beobachtung nach dem Inverkehrbringen, Punkt h Ihres QMS.
Artikel 16: Pflichten der Anbieter
Behandelt die 12 Pflichten der Anbieter, darunter das QMS unter Buchstabe c.
Scanara bereitet Nachweise aus Ihren Repositorien vor
Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.