Article 17 : système de gestion de la qualité
Les 13 aspects du système de gestion de la qualité selon l’article 17 du règlement sur l’IA, la proportionnalité pour les PME, le lien avec l’évaluation de la conformité et les amendes de l’article 99(4).
Les fournisseurs de systèmes d’IA à haut risque doivent disposer d’un système de gestion de la qualité (SGQ) couvrant 13 aspects (article 17).
Il s’applique aux fournisseurs qui mettent de tels systèmes sur le marché de l’UE. Pour les systèmes de l’annexe III (usages énumérés, comme le recrutement), c’est à partir du 2 décembre 2027. Pour ceux de l’annexe I, à partir du 2 août 2028. L’effort peut être proportionné à la taille de l’entreprise, mais le niveau de protection ne doit pas baisser (article 17(2)). L’absence de SGQ enfreint l’article 16, point c. Les amendes atteignent 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Première étape : comparez votre système qualité aux 13 aspects ci-dessous.
L’article 17 énumère 13 aspects que doit couvrir un SGQ
Le SGQ doit être documenté de manière systématique et ordonnée sous la forme de politiques, de procédures et d’instructions écrites. Il comprend au moins ces aspects (article 17(1)).
Une stratégie de conformité réglementaire, y compris les procédures d’évaluation de la conformité et la gestion des modifications du système.
Techniques, procédures et actions systématiques pour la conception, le contrôle de la conception et la vérification de la conception du système.
Techniques, procédures et actions systématiques pour le développement, le contrôle de la qualité et l’assurance de la qualité du système.
Procédures d’examen, d’essai et de validation avant, pendant et après le développement, et leur fréquence.
Les spécifications techniques et normes à appliquer et, si les normes harmonisées ne sont pas appliquées intégralement, les moyens de respecter les exigences de la section 2.
Systèmes et procédures de gestion des données, de l’acquisition et de l’étiquetage au stockage et à la conservation, couvrant toute opération sur les données avant la mise sur le marché ou la mise en service du système.
Le système de gestion des risques de l’article 9.
La mise en place, la mise en œuvre et la tenue d’un système de surveillance après commercialisation (article 72).
Des procédures de signalement d’un incident grave (article 73).
La gestion de la communication avec les autorités nationales compétentes, d’autres autorités concernées, les organismes notifiés, d’autres opérateurs, les clients et d’autres parties intéressées.
Systèmes et procédures de conservation de toute la documentation et de toutes les informations pertinentes.
La gestion des ressources, y compris les mesures relatives à la sécurité de l’approvisionnement.
Un cadre de responsabilité fixant les responsabilités de la direction et des autres membres du personnel pour tous ces aspects.
L’effort peut être proportionné à la taille de l’entreprise, sans réduire la protection
La mise en œuvre des aspects doit être proportionnée à la taille de l’organisation du fournisseur, en particulier pour les PME, y compris les jeunes pousses, et les petites ETI. Les fournisseurs doivent en tout état de cause respecter le degré de rigueur et le niveau de protection nécessaires pour que leurs systèmes à haut risque soient conformes (article 17(2), tel que modifié par le règlement (UE) 2026/1744).
Les PME, y compris les jeunes pousses, peuvent respecter de façon simplifiée certains éléments du SGQ si elles n’ont pas d’entreprises partenaires ni liées au sens de la recommandation 2003/361/CE. La Commission élabore des lignes directrices sur les éléments concernés. La simplification n’exempte personne des autres exigences, dont les articles 9 à 15, 72 et 73 (article 63).
D’autres systèmes qualité peuvent intégrer les aspects de l’article 17
Un fournisseur qui doit déjà disposer d’un SGQ en vertu d’une autre législation sectorielle de l’Union peut y inclure les 13 aspects (article 17(3)). Les établissements financiers qui respectent les règles de l’Union sur la gouvernance interne satisfont à l’obligation de SGQ en respectant ces règles. Font exception le système de gestion des risques, la surveillance après commercialisation et le signalement des incidents graves (article 17(4)).
L’évaluation de la conformité vérifie le SGQ
Pour les systèmes de l’annexe III, points 2 à 8, le fournisseur vérifie lui-même son SGQ au regard de l’article 17 (contrôle interne, annexe VI, point 2). Pour les systèmes biométriques (annexe III, point 1), le fournisseur peut dans certains cas choisir entre le contrôle interne et un organisme notifié, et doit dans d’autres recourir à un organisme notifié (article 43(1) et (2)). Un organisme notifié examine le SGQ selon l’annexe VII. Pour les produits de la section A de l’annexe I, l’évaluation du SGQ fait partie de l’évaluation de la conformité du produit (article 43(3)).
Comment Scanara aide pour votre SGQ
Scanara réalise une évaluation guidée de la gestion de la qualité fondée sur les 13 aspects de l’article 17(1). Son analyse de documents fondée sur des règles, générées à partir du texte du règlement, vérifie les documents que vous chargez au regard de l’article 17. Vous rédigez et gérez le SGQ et vous décidez de ce qui suffit.
Questions fréquentes sur le SGQ
Une certification ISO 9001 satisfait-elle à l’article 17 ?
Le règlement ne le dit pas : il ne mentionne aucune norme ISO. L’article 17(1) énumère 13 aspects que votre SGQ doit couvrir, dont le système de gestion des risques de l’article 9, la surveillance après commercialisation (article 72) et le signalement des incidents graves (article 73). Un système qualité existant peut servir de base si vous l’étendez aux 13 aspects.
Un SGQ est-il exigé pour les systèmes d’IA qui ne sont pas à haut risque ?
Non. L’article 17 s’applique aux fournisseurs de systèmes d’IA à haut risque ; les autres systèmes d’IA n’ont pas besoin de SGQ au titre du règlement. Le fournisseur qui considère qu’un système de l’annexe III n’est pas à haut risque doit en revanche documenter cette évaluation avant de mettre le système sur le marché (article 6(4)).
Quel niveau de détail le SGQ doit-il avoir pour une petite équipe ?
La mise en œuvre doit être proportionnée à la taille du fournisseur (article 17(2)), mais les 13 aspects doivent tous être couverts. Les PME, y compris les jeunes pousses, sans entreprises partenaires ni liées peuvent simplifier certains éléments (article 63(1)). La Commission élabore des lignes directrices sur les éléments concernés.
Que se passe-t-il si le SGQ est absent ou insuffisant ?
Un fournisseur sans SGQ conforme à l’article 17 enfreint l’article 16, point c. L’amende peut atteindre 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4), point a). Pour les PME, y compris les jeunes pousses, et les petites ETI, l’amende est plafonnée au montant le plus faible (article 99(6) et (6 bis)).
Un seul SGQ peut-il couvrir plusieurs systèmes d’IA ?
L’article 17 exige que le fournisseur mette en place un SGQ et ne le limite pas à un seul système. La documentation technique de l’article 11 est établie pour chaque système d’IA à haut risque.
Le détail de chaque aspect
Article 9 : système de gestion des risques
Présente le système de gestion des risques, aspect g) de votre SGQ.
Article 72 : surveillance après commercialisation
Présente le système de surveillance après commercialisation, aspect h) de votre SGQ.
Article 16 : obligations du fournisseur
Présente les 12 obligations des fournisseurs, dont le SGQ au point c).
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.