Articolo 17 regolamento IA: sistema di gestione qualità
I 13 aspetti del sistema di gestione della qualità secondo l’articolo 17 del regolamento sull’IA, la proporzionalità per le PMI, il legame con la valutazione della conformità e le sanzioni dell’articolo 99(4).
I fornitori di sistemi di IA ad alto rischio devono disporre di un sistema di gestione della qualità (SGQ) che copra 13 aspetti (articolo 17).
Riguarda i fornitori che immettono tali sistemi sul mercato dell’UE. Per i sistemi dell’allegato III (usi elencati, come la selezione del personale) vale dal 2 dicembre 2027. Per quelli dell’allegato I, dal 2 agosto 2028. L’impegno può essere proporzionato alle dimensioni dell’impresa, ma il livello di protezione non può scendere (articolo 17(2)). L’assenza di un SGQ viola l’articolo 16, lettera c). Le sanzioni arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Per prima cosa, confrontate il vostro sistema qualità con i 13 aspetti qui sotto.
L’articolo 17 elenca 13 aspetti che un SGQ deve coprire
Il SGQ deve essere documentato in modo sistematico e ordinato sotto forma di politiche, procedure e istruzioni scritte. Comprende almeno questi aspetti (articolo 17(1)).
Una strategia per la conformità normativa, comprese le procedure di valutazione della conformità e la gestione delle modifiche del sistema.
Tecniche, procedure e azioni sistematiche per la progettazione, il controllo della progettazione e la verifica della progettazione del sistema.
Tecniche, procedure e azioni sistematiche per lo sviluppo, il controllo della qualità e la garanzia della qualità del sistema.
Procedure di esame, prova e convalida prima, durante e dopo lo sviluppo, e la frequenza con cui sono eseguite.
Le specifiche tecniche e le norme da applicare e, se le norme armonizzate non sono applicate integralmente, i mezzi per rispettare i requisiti della sezione 2.
Sistemi e procedure per la gestione dei dati, dall’acquisizione e dall’etichettatura all’archiviazione e alla conservazione, che coprano ogni operazione sui dati prima dell’immissione sul mercato o della messa in servizio del sistema.
Il sistema di gestione dei rischi dell’articolo 9.
L’istituzione, l’attuazione e la manutenzione di un sistema di monitoraggio successivo all’immissione sul mercato (articolo 72).
Procedure per la segnalazione di un incidente grave (articolo 73).
La gestione della comunicazione con le autorità nazionali competenti, altre autorità pertinenti, gli organismi notificati, altri operatori, clienti e altre parti interessate.
Sistemi e procedure per la conservazione di tutta la documentazione e le informazioni pertinenti.
La gestione delle risorse, comprese le misure relative alla sicurezza dell’approvvigionamento.
Un quadro di responsabilità che definisca le responsabilità della dirigenza e del resto del personale per tutti questi aspetti.
L’impegno può essere proporzionato alle dimensioni dell’impresa, ma senza ridurre la protezione
L’attuazione degli aspetti deve essere proporzionata alle dimensioni dell’organizzazione del fornitore, in particolare per le PMI, comprese le start-up, e le piccole imprese a media capitalizzazione. I fornitori devono comunque rispettare il grado di rigore e il livello di protezione necessari perché i loro sistemi ad alto rischio siano conformi (articolo 17(2), come modificato dal regolamento (UE) 2026/1744).
Le PMI, comprese le start-up, possono rispettare in modo semplificato alcuni elementi del SGQ se non hanno imprese associate né collegate ai sensi della raccomandazione 2003/361/CE. La Commissione elabora orientamenti sugli elementi interessati. La semplificazione non esonera da altri requisiti, tra cui gli articoli da 9 a 15, 72 e 73 (articolo 63).
Altri sistemi di qualità possono includere gli aspetti dell’articolo 17
Un fornitore che deve già disporre di un SGQ in base ad altre norme settoriali dell’Unione può includere i 13 aspetti in tale sistema (articolo 17(3)). Gli istituti finanziari che rispettano le norme dell’Unione sulla governance interna adempiono l’obbligo relativo al SGQ rispettando tali norme. Fanno eccezione il sistema di gestione dei rischi, il monitoraggio successivo all’immissione sul mercato e la segnalazione degli incidenti gravi (articolo 17(4)).
La valutazione della conformità verifica il SGQ
Per i sistemi dell’allegato III, punti da 2 a 8, il fornitore verifica il proprio SGQ rispetto all’articolo 17 (controllo interno, allegato VI, punto 2). Per i sistemi biometrici (allegato III, punto 1), il fornitore può in alcuni casi scegliere tra il controllo interno e un organismo notificato e in altri deve ricorrere a un organismo notificato (articolo 43(1) e (2)). Un organismo notificato esamina il SGQ secondo l’allegato VII. Per i prodotti della sezione A dell’allegato I, la valutazione del SGQ fa parte della valutazione della conformità del prodotto (articolo 43(3)).
Come Scanara supporta il vostro SGQ
Scanara esegue una valutazione guidata della gestione della qualità basata sui 13 aspetti dell’articolo 17(1). La sua scansione dei documenti basata su regole, generate dal testo stesso del regolamento, verifica i documenti che caricate rispetto all’articolo 17. Voi redigete e gestite il SGQ e decidete che cosa sia sufficiente.
Domande frequenti sul SGQ
Una certificazione ISO 9001 soddisfa l’articolo 17?
Il regolamento non lo prevede: non menziona alcuna norma ISO. L’articolo 17(1) elenca 13 aspetti che il vostro SGQ deve coprire, tra cui il sistema di gestione dei rischi dell’articolo 9, il monitoraggio successivo all’immissione sul mercato (articolo 72) e la segnalazione degli incidenti gravi (articolo 73). Un sistema di qualità esistente può fare da base se lo estendete a tutti i 13 aspetti.
Il SGQ è obbligatorio per i sistemi di IA che non sono ad alto rischio?
No. L’articolo 17 si applica ai fornitori di sistemi di IA ad alto rischio, quindi gli altri sistemi di IA non richiedono un SGQ ai sensi del regolamento. Il fornitore che ritiene che un sistema dell’allegato III non sia ad alto rischio deve invece documentare tale valutazione prima di immettere il sistema sul mercato (articolo 6(4)).
Quanto deve essere dettagliato il SGQ per un piccolo team?
L’attuazione deve essere proporzionata alle dimensioni del fornitore (articolo 17(2)), ma tutti i 13 aspetti devono essere coperti. Le PMI, comprese le start-up, senza imprese associate né collegate possono semplificare alcuni elementi (articolo 63(1)). La Commissione elabora orientamenti sugli elementi interessati.
Cosa succede se il SGQ manca o è inadeguato?
Un fornitore privo di un SGQ conforme all’articolo 17 viola l’articolo 16, lettera c). La sanzione può arrivare a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4), lettera a). Per le PMI, comprese le start-up, e le piccole imprese a media capitalizzazione la sanzione arriva al massimo all’importo più basso (articolo 99(6) e (6 bis)).
Un unico SGQ può coprire più sistemi di IA?
L’articolo 17 impone al fornitore di predisporre un SGQ e non lo limita a un solo sistema. La documentazione tecnica dell’articolo 11 è redatta per ogni sistema di IA ad alto rischio.
Il dettaglio di ogni aspetto
Articolo 9: sistema di gestione dei rischi
Illustra il sistema di gestione dei rischi, aspetto g) del vostro SGQ.
Articolo 72: monitoraggio successivo all’immissione sul mercato
Illustra il sistema di monitoraggio successivo all’immissione sul mercato, aspetto h) del vostro SGQ.
Articolo 16: obblighi del fornitore
Illustra i 12 obblighi dei fornitori, tra cui il SGQ alla lettera c).
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.