Artículo 17 reglamento IA: sistema de gestión de calidad
Los 13 aspectos del sistema de gestión de la calidad según el artículo 17 del Reglamento de IA, la proporcionalidad para las pymes, el vínculo con la evaluación de la conformidad y las multas del artículo 99(4).
Los proveedores de sistemas de IA de alto riesgo deben mantener un sistema de gestión de la calidad (SGC) que cubra 13 aspectos (artículo 17).
Se aplica a los proveedores que introducen estos sistemas en el mercado de la UE. Para los sistemas del anexo III (usos enumerados, como la selección de personal) rige desde el 2 de diciembre de 2027. Para los del anexo I, desde el 2 de agosto de 2028. El esfuerzo puede ajustarse al tamaño de la empresa, pero el nivel de protección no puede bajar (artículo 17(2)). La falta de un SGC infringe el artículo 16, letra c. Las multas llegan a 15 millones de EUR o al 3 % del volumen de negocios anual mundial, la cuantía que sea mayor (artículo 99(4)). Primer paso: compare su sistema de calidad con los 13 aspectos siguientes.
El artículo 17 enumera 13 aspectos que debe cubrir un SGC
El SGC debe documentarse de forma sistemática y ordenada en forma de políticas, procedimientos e instrucciones escritos. Incluye al menos estos aspectos (artículo 17(1)).
Una estrategia para el cumplimiento normativo, incluidos los procedimientos de evaluación de la conformidad y la gestión de las modificaciones del sistema.
Técnicas, procedimientos y acciones sistemáticas para el diseño, el control del diseño y la verificación del diseño del sistema.
Técnicas, procedimientos y acciones sistemáticas para el desarrollo, el control de calidad y el aseguramiento de la calidad del sistema.
Procedimientos de examen, prueba y validación antes, durante y después del desarrollo, y la frecuencia con que se realizan.
Las especificaciones técnicas y normas que se aplicarán y, si las normas armonizadas no se aplican en su totalidad, los medios para cumplir los requisitos de la sección 2.
Sistemas y procedimientos de gestión de datos, desde la adquisición y el etiquetado hasta el almacenamiento y la conservación, que cubran toda operación con datos antes de introducir el sistema en el mercado o ponerlo en servicio.
El sistema de gestión de riesgos del artículo 9.
La creación, aplicación y mantenimiento de un sistema de vigilancia poscomercialización (artículo 72).
Procedimientos para la notificación de un incidente grave (artículo 73).
La gestión de la comunicación con las autoridades nacionales competentes, otras autoridades pertinentes, organismos notificados, otros operadores, clientes y otras partes interesadas.
Sistemas y procedimientos para la conservación de toda la documentación e información pertinentes.
La gestión de los recursos, incluidas las medidas relacionadas con la seguridad del suministro.
Un marco de rendición de cuentas que establezca las responsabilidades de la dirección y del resto del personal respecto de todos estos aspectos.
El esfuerzo puede ajustarse al tamaño de la empresa, pero no reducir la protección
La aplicación de los aspectos debe ser proporcionada al tamaño de la organización del proveedor, en particular en el caso de las pymes, incluidas las empresas emergentes, y de las pequeñas empresas de mediana capitalización. En todo caso, los proveedores deben respetar el rigor y el nivel de protección necesarios para que sus sistemas de alto riesgo cumplan el Reglamento (artículo 17(2), modificado por el Reglamento (UE) 2026/1744).
Las pymes, incluidas las empresas emergentes, pueden cumplir de forma simplificada determinados elementos del SGC si no tienen empresas asociadas ni vinculadas en el sentido de la Recomendación 2003/361/CE. La Comisión elabora directrices sobre qué elementos pueden simplificarse. La simplificación no exime de otros requisitos, entre ellos los artículos 9 a 15, 72 y 73 (artículo 63).
Otros sistemas de calidad pueden incorporar los aspectos del artículo 17
Un proveedor que ya debe mantener un SGC con arreglo a otra normativa sectorial de la Unión puede incluir los 13 aspectos en ese sistema (artículo 17(3)). Las entidades financieras que cumplen las normas de la Unión sobre gobernanza interna cumplen la obligación relativa al SGC si respetan esas normas. Se exceptúan el sistema de gestión de riesgos, la vigilancia poscomercialización y la notificación de incidentes graves (artículo 17(4)).
La evaluación de la conformidad comprueba el SGC
En los sistemas del anexo III, puntos 2 a 8, el proveedor comprueba su propio SGC con arreglo al artículo 17 (control interno, anexo VI, punto 2). En los sistemas biométricos (anexo III, punto 1), el proveedor puede elegir en algunos casos entre el control interno y un organismo notificado, y en otros debe recurrir a un organismo notificado (artículo 43(1) y (2)). Un organismo notificado examina el SGC conforme al anexo VII. En los productos de la sección A del anexo I, la evaluación del SGC forma parte de la evaluación de la conformidad del producto (artículo 43(3)).
Cómo ayuda Scanara con su SGC
Scanara realiza una evaluación guiada de la gestión de la calidad basada en los 13 aspectos del artículo 17(1). Su análisis de documentos basado en reglas, generado a partir del texto del propio Reglamento, comprueba los documentos que usted sube con respecto al artículo 17. Usted redacta y mantiene el SGC y decide qué es suficiente.
Preguntas frecuentes sobre el SGC
¿Cumple el artículo 17 una certificación ISO 9001?
El Reglamento no lo dice: no menciona ninguna norma ISO. El artículo 17(1) enumera 13 aspectos que su SGC debe cubrir, entre ellos el sistema de gestión de riesgos del artículo 9, la vigilancia poscomercialización (artículo 72) y la notificación de incidentes graves (artículo 73). Un sistema de calidad existente puede servir de base si lo amplía a los 13 aspectos.
¿Se exige un SGC para los sistemas de IA que no son de alto riesgo?
No. El artículo 17 se aplica a los proveedores de sistemas de IA de alto riesgo, así que los demás sistemas de IA no necesitan un SGC según el Reglamento. El proveedor que decide que un sistema del anexo III no es de alto riesgo debe, en cambio, documentar esa evaluación antes de introducir el sistema en el mercado (artículo 6(4)).
¿Cuánto detalle debe tener el SGC para un equipo pequeño?
La aplicación debe ser proporcionada al tamaño del proveedor (artículo 17(2)), pero deben cubrirse los 13 aspectos. Las pymes, incluidas las empresas emergentes, sin empresas asociadas ni vinculadas pueden simplificar determinados elementos (artículo 63(1)). La Comisión elabora directrices sobre qué elementos pueden simplificarse.
¿Qué ocurre si falta el SGC o es inadecuado?
Un proveedor sin un SGC conforme al artículo 17 infringe el artículo 16, letra c. La multa puede alcanzar 15 millones de EUR o el 3 % del volumen de negocios anual mundial, la cuantía que sea mayor (artículo 99(4), letra a). Para las pymes, incluidas las empresas emergentes, y las pequeñas empresas de mediana capitalización la multa no puede superar la cuantía menor (artículo 99(6) y (6 bis)).
¿Puede un solo SGC cubrir varios sistemas de IA?
El artículo 17 exige que el proveedor establezca un SGC y no lo limita a un solo sistema. La documentación técnica del artículo 11 se elabora para cada sistema de IA de alto riesgo.
El detalle de cada aspecto
Artículo 9: sistema de gestión de riesgos
Cubre el sistema de gestión de riesgos, que es el aspecto (g) de su SGC.
Artículo 72: vigilancia poscomercialización
Cubre el sistema de vigilancia poscomercialización, que es el aspecto (h) de su SGC.
Artículo 16: obligaciones del proveedor
Cubre las 12 obligaciones de los proveedores, entre ellas el SGC de la letra c).
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.