Abbiamo bisogno di un SGQ se siamo già certificati ISO 9001?

ISO 9001 fornisce una base solida, ma è necessario estenderlo per coprire i requisiti specifici della legge UE sull'IA: gestione del rischio dell'articolo 9, governance dei dati dell'articolo 10, sorveglianza post-commercializzazione dell'articolo 72, segnalazione degli incidenti dell'articolo 73 e controlli del ciclo di vita del sistema di IA.

È richiesto un SGQ per sistemi di IA a rischio minimo?

No. L'articolo 17 si applica solo ai fornitori di sistemi di IA ad alto rischio. I sistemi a rischio minimo non sono soggetti ai requisiti del SGQ, sebbene i processi di qualità volontari rimangano una buona pratica ingegneristica.

Quanto deve essere dettagliata la documentazione del SGQ per un piccolo team?

Il SGQ deve essere proporzionato alle dimensioni della propria organizzazione. I team piccoli possono utilizzare documentazione leggera—politiche concise, checklist semplici e strumenti integrati—ma tutti i 13 componenti devono comunque essere affrontati. Concentrarsi sull'efficacia, non sulla burocrazia.

Cosa succede se il SGQ viene ritenuto inadeguato durante un audit?

Un SGQ inadeguato può portare a rilievi di non conformità, revoca della marcatura CE, azione di vigilanza del mercato o sanzioni amministrative fino a 15 milioni di euro o il 3% del fatturato mondiale. Mantenere e migliorare continuamente il SGQ per evitare queste conseguenze.

Un SGQ può essere condiviso tra più prodotti di IA?

Sì. Un unico SGQ può coprire più sistemi di IA ad alto rischio se i sistemi condividono processi, rischi e fasi del ciclo di vita simili. I dettagli specifici del prodotto (valutazioni del rischio, documentazione tecnica, protocolli di prova) devono comunque essere mantenuti separatamente.

Articolo 17 regolamento IA: sistema di gestione qualità

Come implementare un sistema di gestione della qualità per l'articolo 17 del regolamento IA: politiche, ISO 42001 e allegato IV.

Articolo 17: Sistema di gestione della qualità

I fornitori di sistemi di IA ad alto rischio devono istituire, documentare, implementare e mantenere un sistema di gestione della qualità che garantisca la conformità alla legge UE sull'IA. Il SGQ deve essere proporzionato alle dimensioni della propria organizzazione e coprire tutte le fasi del ciclo di vita del sistema di IA.

Requisiti chiave del SGQ per i team di ingegneria

Strategia di conformità normativa

Documentare le procedure di valutazione della conformità e i processi di gestione delle modifiche. Definire come si monitorano gli obblighi normativi e si risponde agli aggiornamenti di conformità.

Controllo di progettazione e sviluppo

Stabilire tecniche, procedure e azioni sistematiche per la progettazione, il controllo di progettazione e la verifica di progettazione del sistema di IA durante l'intero ciclo di sviluppo.

Procedure di esame e prova

Definire le procedure di esame, prova e convalida da eseguire prima, durante e dopo lo sviluppo. Specificare la frequenza di queste procedure.

Gestione dei dati (articolo 10)

Implementare sistemi e procedure di gestione dei dati che garantiscano che i dati di addestramento, convalida e prova soddisfino i requisiti di qualità e governance dell'articolo 10.

Sistema di gestione del rischio (articolo 9)

Integrare il sistema di gestione del rischio continuo richiesto dall'articolo 9, che copre l'identificazione, l'analisi, la stima, la valutazione e la mitigazione dei rischi durante l'intero ciclo di vita.

Tutti i 13 componenti del SGQ richiesti dall'articolo 17

Un SGQ completo per i sistemi di IA ad alto rischio deve affrontare tutti i 13 componenti elencati nell'articolo 17. Questi componenti coprono strategia, progettazione, sviluppo, prova, dati, rischio, attività post-commercializzazione, comunicazione, registrazioni, risorse e responsabilità.

Fase 1: Progettazione e pianificazione

Definire l'ambito del SGQ, identificare i requisiti applicabili, documentare le politiche e assegnare le responsabilità. Stabilire il quadro prima dell'implementazione completa.

Fase 2: Implementazione e funzionamento

Distribuire le procedure documentate a tutti i team. Formare il personale, integrare i processi del SGQ nei flussi di lavoro quotidiani e iniziare la conservazione sistematica delle registrazioni.

Fase 3: Sorveglianza e miglioramento continuo

Condurre audit interni, monitorare i KPI, raccogliere feedback e aggiornare le procedure. Il SGQ deve evolvere insieme ai sistemi di IA e ai cambiamenti normativi.

Passi pratici di implementazione

Repository di documentazione SGQ-come-codice

Creare un repository con controllo di versione per tutte le politiche, procedure e istruzioni del SGQ. Utilizzare modelli e automazione per mantenere la documentazione sincronizzata con il codice sorgente.

Gate automatizzati di prova e convalida

Integrare le procedure di esame e prova direttamente nella pipeline CI/CD. I gate di qualità automatizzati garantiscono che la convalida avvenga a ogni commit e rilascio.

Pipeline di segnalazione degli incidenti (articolo 73)

Costruire flussi di lavoro automatizzati che rilevino, documentino ed escalino gli incidenti gravi alle autorità competenti. Collegare i dati sugli incidenti alla sorveglianza post-commercializzazione.

Monitoraggio della sicurezza di risorse e dipendenze

Monitorare la sicurezza dell'approvvigionamento per le risorse critiche, incluse le dipendenze di terze parti, i set di dati e l'infrastruttura. Sorvegliare vulnerabilità e rischi della catena di approvvigionamento.

Allineamento con l'allegato VII e le norme ISO

I requisiti del SGQ dell'articolo 17 si allineano con la documentazione di gestione della qualità dell'allegato VII. Se già gestisci un sistema di qualità ISO 9001 o ISO 13485, puoi estenderlo per coprire i requisiti specifici della legge UE sull'IA anziché ricostruirlo da zero.

Domande frequenti

Come aiuta Scanara

Scanara automatizza la conformità al Regolamento sull'IA dal codice al dossier. Connetti i tuoi repo GitHub e ottieni report di conformità in pochi minuti.