Artikel 17 AI-verordening: kwaliteitsbeheersysteem
De 13 onderdelen van het kwaliteitsbeheersysteem volgens artikel 17 van de AI-verordening, evenredigheid voor het mkb, de band met de conformiteitsbeoordeling en de boetes volgens artikel 99, lid 4.
Aanbieders van hoogrisico-AI-systemen moeten een kwaliteitsbeheersysteem (KBS) hanteren dat 13 onderdelen omvat (artikel 17).
Het geldt voor aanbieders die zulke systemen in de EU in de handel brengen. De data zijn 2 december 2027 voor systemen uit bijlage III (opgesomde toepassingen, zoals personeelsselectie) en 2 augustus 2028 voor systemen uit bijlage I. De inspanning mag passen bij de omvang van het bedrijf, maar het beschermingsniveau mag niet dalen (artikel 17, lid 2). Een ontbrekend KBS is in strijd met artikel 16, punt c. Boetes bedragen tot 15 miljoen EUR of 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99, lid 4). Eerste stap: vergelijk uw kwaliteitssysteem met de 13 onderdelen hieronder.
Artikel 17 noemt 13 onderdelen die een KBS moet omvatten
Het KBS moet systematisch en ordelijk worden gedocumenteerd in de vorm van schriftelijk beleid, schriftelijke procedures en schriftelijke instructies. Het omvat ten minste deze onderdelen (artikel 17, lid 1).
Een strategie voor de naleving van de regelgeving, met inbegrip van de conformiteitsbeoordelingsprocedures en het beheer van wijzigingen in het systeem.
Technieken, procedures en systematische acties voor het ontwerp, de ontwerpcontrole en de ontwerpverificatie van het systeem.
Technieken, procedures en systematische acties voor de ontwikkeling, kwaliteitscontrole en kwaliteitsborging van het systeem.
Onderzoeks-, test- en validatieprocedures vóór, tijdens en na de ontwikkeling, en hoe vaak ze worden uitgevoerd.
De toe te passen technische specificaties en normen en, als geharmoniseerde normen niet volledig worden toegepast, de middelen om aan de eisen van afdeling 2 te voldoen.
Systemen en procedures voor gegevensbeheer, van het verwerven en labelen van gegevens tot de opslag en bewaring ervan, voor elke gegevensverwerking voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld.
Het risicobeheersysteem van artikel 9.
Het opzetten, uitvoeren en onderhouden van een systeem voor monitoring na het in de handel brengen (artikel 72).
Procedures voor het melden van een ernstig incident (artikel 73).
Het omgaan met communicatie met nationale bevoegde autoriteiten, andere relevante autoriteiten, aangemelde instanties, andere marktdeelnemers, klanten en andere belanghebbenden.
Systemen en procedures voor het bijhouden van alle relevante documentatie en informatie.
Het beheer van middelen, met inbegrip van maatregelen voor leveringszekerheid.
Een verantwoordingskader dat de verantwoordelijkheden van het management en het overige personeel voor al deze onderdelen vastlegt.
De inspanning mag passen bij de omvang van het bedrijf, maar de bescherming niet verlagen
De uitvoering van de onderdelen moet evenredig zijn aan de omvang van de organisatie van de aanbieder, met name voor mkb-bedrijven, met inbegrip van start-ups, en kleine midcapondernemingen. Aanbieders moeten in elk geval de mate van striktheid en het beschermingsniveau respecteren die nodig zijn om hun hoogrisicosystemen conform te maken (artikel 17, lid 2, zoals gewijzigd door Verordening (EU) 2026/1744).
Mkb-bedrijven, met inbegrip van start-ups, mogen bepaalde onderdelen van het KBS vereenvoudigd toepassen als zij geen partnerondernemingen of verbonden ondernemingen hebben in de zin van Aanbeveling 2003/361/EG. De Commissie ontwikkelt richtsnoeren over welke onderdelen in aanmerking komen. De vereenvoudiging ontslaat niemand van andere eisen, waaronder de artikelen 9 tot en met 15, 72 en 73 (artikel 63).
Andere kwaliteitssystemen kunnen de onderdelen van artikel 17 opnemen
Een aanbieder die op grond van andere sectorale Unieregels al een KBS moet hanteren, mag de 13 onderdelen in dat systeem opnemen (artikel 17, lid 3). Financiële instellingen die de Unieregels over interne governance naleven, voldoen aan de KBS-plicht door die regels na te leven. Uitgezonderd zijn het risicobeheersysteem, de monitoring na het in de handel brengen en de melding van ernstige incidenten (artikel 17, lid 4).
De conformiteitsbeoordeling toetst het KBS
Bij systemen uit bijlage III, punten 2 tot en met 8, toetst de aanbieder zijn eigen KBS aan artikel 17 (interne controle, bijlage VI, punt 2). Bij biometrische systemen (bijlage III, punt 1) mag de aanbieder in sommige gevallen kiezen tussen interne controle en een aangemelde instantie, en in andere gevallen moet hij een aangemelde instantie inschakelen (artikel 43, leden 1 en 2). Een aangemelde instantie onderzoekt het KBS volgens bijlage VII. Bij producten uit bijlage I, sectie A, maakt de beoordeling van het KBS deel uit van de conformiteitsbeoordeling van het product (artikel 43, lid 3).
Hoe Scanara helpt bij uw KBS
Scanara voert een begeleide beoordeling van het kwaliteitsbeheer uit op basis van de 13 onderdelen van artikel 17, lid 1. De regelgebaseerde documentscan, gegenereerd uit de tekst van de verordening zelf, toetst de documenten die u uploadt aan artikel 17. U schrijft en beheert het KBS en beslist wat voldoende is.
Veelgestelde vragen over het KBS
Voldoet een ISO 9001-certificering aan artikel 17?
De verordening bepaalt dat niet: ze noemt geen enkele ISO-norm. Artikel 17, lid 1, noemt 13 onderdelen die uw KBS moet omvatten, waaronder het risicobeheersysteem van artikel 9, de monitoring na het in de handel brengen (artikel 72) en de melding van ernstige incidenten (artikel 73). Een bestaand kwaliteitssysteem kan als basis dienen als u het uitbreidt tot alle 13 onderdelen.
Is een KBS verplicht voor AI-systemen die geen hoogrisico zijn?
Nee. Artikel 17 geldt voor aanbieders van hoogrisico-AI-systemen, dus andere AI-systemen hebben volgens de verordening geen KBS nodig. Een aanbieder die vaststelt dat een systeem uit bijlage III geen hoogrisico is, moet in plaats daarvan die beoordeling documenteren voordat hij het systeem in de handel brengt (artikel 6, lid 4).
Hoe gedetailleerd moet het KBS zijn voor een klein team?
De uitvoering moet evenredig zijn aan de omvang van de aanbieder (artikel 17, lid 2), maar alle 13 onderdelen moeten aan bod komen. Mkb-bedrijven, met inbegrip van start-ups, zonder partnerondernemingen of verbonden ondernemingen mogen bepaalde onderdelen vereenvoudigen (artikel 63, lid 1). De Commissie ontwikkelt richtsnoeren over welke onderdelen in aanmerking komen.
Wat gebeurt er als het KBS ontbreekt of ontoereikend is?
Een aanbieder zonder KBS dat voldoet aan artikel 17 overtreedt artikel 16, punt c. De boete kan oplopen tot 15 miljoen EUR of 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99, lid 4, punt a). Voor mkb-bedrijven, met inbegrip van start-ups, en kleine midcapondernemingen bedraagt de boete ten hoogste het lagere bedrag (artikel 99, leden 6 en 6 bis).
Kan één KBS meerdere AI-systemen omvatten?
Artikel 17 verplicht de aanbieder een KBS in te voeren en beperkt dat niet tot één systeem. De technische documentatie van artikel 11 wordt voor elk hoogrisico-AI-systeem opgesteld.
De details bij de onderdelen
Artikel 9: risicobeheersysteem
Behandelt het risicobeheersysteem, onderdeel g van uw KBS.
Artikel 72: monitoring na het in de handel brengen
Behandelt het systeem voor monitoring na het in de handel brengen, onderdeel h van uw KBS.
Artikel 16: verplichtingen van aanbieders
Behandelt de 12 verplichtingen van aanbieders, waaronder het KBS in punt c.
Scanara bereidt bewijs voor vanuit uw repositories
Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.