Artikel 17 voor biometrie: kwaliteitsbeheersysteem

Het systeem moet systematisch en ordelijk worden gedocumenteerd in de vorm van schriftelijke beleidslijnen, procedures en instructies. De verordening somt 13 onderdelen op, a) tot en met m); de rijen hieronder tonen eerst a), g), h) en i), daarna de overige negen.

• art. 17(1)(a)
  Strategie voor regelgevingsconformiteit

  Een strategie voor naleving van de regelgeving, met inbegrip van de naleving van conformiteitsbeoordelingsprocedures en procedures voor het beheer van wijzigingen van het systeem.

• art. 17(1)(g)
  Risicobeheersysteem

  Het in artikel 9 bedoelde risicobeheersysteem.

• art. 17(1)(h)
  Monitoring na het in de handel brengen

  Het opzetten, uitvoeren en onderhouden van een systeem voor monitoring na het in de handel brengen overeenkomstig artikel 72.

• art. 17(1)(i)
  Melding van ernstige incidenten

  Procedures voor de melding van een ernstig incident overeenkomstig artikel 73.

• art. 17(1)(b)–(f), (j)–(m)
  De overige negen onderdelen

  Ontwerp en ontwerpcontrole; ontwikkeling, kwaliteitscontrole en kwaliteitsborging; onderzoeks-, test- en validatieprocedures; technische specificaties en normen; gegevensbeheer; communicatie met autoriteiten, aangemelde instanties en anderen; registratie; middelenbeheer; een verantwoordingskader.

• art. 17(2)
  Evenredig aan de omvang, niet aan de bescherming

  De uitvoering moet evenredig zijn aan de omvang van de organisatie van de aanbieder, met name voor een mkb-bedrijf, met inbegrip van een start-up, of een kleine midcaponderneming. Aanbieders moeten in elk geval de mate van nauwkeurigheid en het beschermingsniveau naleven die nodig zijn om te zorgen dat hun hoogrisico-AI-systemen aan de verordening voldoen.

Artikel 17 bindt alleen aanbieders van hoogrisico-AI-systemen. De rijen hieronder tonen waar biometrische AI een hoog risico wordt en hoe zij wordt beoordeeld.

• Biometrie is een beperkt gebied van bijlage III

  Bijlage III heeft een gebied „Biometrie”, beperkt tot de punten a) tot en met c) en tot gebruik dat is toegestaan op grond van relevant Unierecht of nationaal recht (bijlage III, punt 1). De verordening kent geen ruimer biometrieregime. Deze site rekent ook de verboden van artikel 5, lid 1, punten e) tot en met h), tot biometrie.

• Bijlage III, punt 1: biometrie

  Bijlage III, punt 1, noemt drie soorten AI-systemen, voor zover het gebruik ervan is toegestaan op grond van relevant Unierecht of nationaal recht: a) systemen voor biometrische identificatie op afstand, waaronder niet vallen AI-systemen die bedoeld zijn om te worden gebruikt voor biometrische verificatie waarvan het enige doel is te bevestigen dat een specifieke natuurlijke persoon de persoon is die hij of zij beweert te zijn; b) AI-systemen die bedoeld zijn om te worden gebruikt voor biometrische categorisering op basis van gevoelige of beschermde attributen of kenmerken, of op basis van wat over die attributen of kenmerken wordt afgeleid; c) AI-systemen die bedoeld zijn om te worden gebruikt voor emotieherkenning. Systemen voor biometrische verificatie als bedoeld in punt a) staan niet in punt 1. Andere systemen uit bijlage III zijn geen hoogrisicosysteem wanneer artikel 6, lid 3, van toepassing is; vraag een jurist hoe de voorwaarden ervan samenhangen. Een systeem dat profilering van natuurlijke personen uitvoert, is altijd een hoogrisicosysteem. Een aanbieder die een systeem uit bijlage III niet als hoog risico beschouwt, moet de beoordeling documenteren voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld, en het registreren overeenkomstig artikel 49, lid 2 (artikel 6, lid 4).

• Verificatie is geen identificatie op afstand

  Biometrische verificatie is de geautomatiseerde één-op-ééncontrole, met inbegrip van authenticatie, van de identiteit van natuurlijke personen door hun biometrische gegevens te vergelijken met eerder verstrekte biometrische gegevens (artikel 3, punt 36). Een systeem voor biometrische identificatie op afstand identificeert natuurlijke personen zonder hun actieve betrokkenheid, doorgaans op afstand, door hun biometrische gegevens te vergelijken met de biometrische gegevens in een referentiedatabank (artikel 3, punt 41). De verordening noemt geen producttypen; deel elk systeem in aan de hand van deze definities en het beoogde doel ervan (artikel 3, punt 12).

• Extra regels voor de aanbieder bij identificatie op afstand

  Twee van de regels voor de aanbieder die specifiek gelden voor systemen uit bijlage III, punt 1, a), zijn deze. De logmogelijkheden moeten ten minste vastleggen: de periode van elk gebruik, de referentiedatabank waarmee de invoergegevens zijn vergeleken, de invoergegevens waarvoor de zoekopdracht tot een match heeft geleid en de identificatie van de natuurlijke personen die bij de verificatie van de resultaten betrokken waren (artikel 12, lid 3). De maatregelen voor menselijk toezicht moeten er bovendien voor zorgen dat geen handeling of besluit op basis van de identificatie wordt genomen, tenzij die afzonderlijk is geverifieerd en bevestigd door ten minste twee natuurlijke personen met de nodige competentie, opleiding en autoriteit; dit geldt niet voor systemen die worden gebruikt voor rechtshandhaving, migratie, grenscontrole of asiel wanneer het Unierecht of het nationale recht de toepassing van dit vereiste onevenredig acht (artikel 14, lid 5).

• Aanbieder en gebruiksverantwoordelijke

  De aanbieder, bijvoorbeeld een leverancier van gezichtsherkenningssoftware, ontwikkelt het AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam in de handel of stelt het onder eigen naam in gebruik (artikel 3, punt 3). Een bedrijf, overheidsinstantie of ander orgaan dat een systeem onder eigen gezag gebruikt, is een gebruiksverantwoordelijke (artikel 3, punt 4). Een gebruiksverantwoordelijke wordt aanbieder als hij zijn naam of merk zet op een hoogrisicosysteem dat al in de handel is, een substantiële wijziging aanbrengt waardoor het een hoogrisicosysteem blijft, of het beoogde doel van een systeem dat geen hoog risico had zo wijzigt dat het een hoogrisicosysteem wordt (artikel 25, lid 1); in het eerste geval kunnen contractuele afspraken de verplichtingen anders verdelen. De verordening is niet van toepassing op verplichtingen van gebruiksverantwoordelijken die natuurlijke personen zijn en AI-systemen gebruiken in het kader van een louter persoonlijke niet-beroepsactiviteit (artikel 2, lid 10).

• Conformiteitsbeoordeling voor bijlage III, punt 1

  Voor hoogrisicosystemen uit bijlage III, punt 1, kiest de aanbieder, indien hij geharmoniseerde normen of, in voorkomend geval, gemeenschappelijke specificaties heeft toegepast, de procedure op basis van interne controle (bijlage VI) of de procedure met betrokkenheid van een aangemelde instantie (bijlage VII) (artikel 43, lid 1). De aanbieder moet bijlage VII volgen wanneer dergelijke normen niet bestaan en gemeenschappelijke specificaties niet beschikbaar zijn, wanneer hij ze niet of slechts gedeeltelijk heeft toegepast, of, alleen voor het beperkte deel, wanneer een norm met een beperking is bekendgemaakt. Wanneer het systeem bedoeld is om in gebruik te worden gesteld door rechtshandhavings-, immigratie- of asielautoriteiten of door instellingen, organen of instanties van de Unie, treedt de markttoezichtautoriteit op als aangemelde instantie. Onder bijlage VI controleert de aanbieder of zijn kwaliteitsbeheersysteem aan artikel 17 voldoet (punt 2); onder bijlage VII beoordeelt de aangemelde instantie dat systeem (punt 3).

• Data

  Systemen uit bijlage III, punt 1, moeten aan deze verplichtingen voldoen vanaf 2 december 2027 (artikel 113, punt c), i)). Een systeem dat vóór die datum in de handel is gebracht of in gebruik is gesteld, valt er alleen onder als het ontwerp daarna aanzienlijk wijzigt; in elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen (artikel 111, lid 2); dit geldt niet voor de hierna genoemde onderdelen uit bijlage X. AI-systemen die onderdeel zijn van de in bijlage X opgenomen grootschalige IT-systemen en vóór 2 augustus 2027 in de handel zijn gebracht of in gebruik zijn gesteld, moeten uiterlijk 31 december 2030 aan de verordening voldoen (artikel 111, lid 1). De verboden van artikel 5, lid 1, punten e) tot en met h), gelden sinds 2 februari 2025; de uitzondering in artikel 113, punt a), heeft daar geen betrekking op. De artikelen 43 en 49 staan in hoofdstuk III, afdeling 5, die artikel 113 in geen van zijn punten noemt. Artikel 113 geeft er geen eigen datum voor; raadpleeg een jurist vanaf wanneer zij aanbieders van systemen uit bijlage III binden.

• Boetes

  Overtredingen van de verplichtingen van aanbieders (artikel 16) en gebruiksverantwoordelijken (artikel 26) kunnen worden beboet met maximaal 15 miljoen EUR of, als de overtreder een onderneming is, maximaal 3 % van haar totale wereldwijde jaaromzet in het voorgaande boekjaar, als dat bedrag hoger is (artikel 99, lid 4). Voor mkb-bedrijven, met inbegrip van start-ups, geldt het lagere bedrag als maximum voor elke boete (artikel 99, lid 6); hetzelfde geldt voor kleine midcapondernemingen (artikel 3, punt 14 ter, artikel 99, lid 6 bis). Elke lidstaat bepaalt in hoeverre boeten kunnen worden opgelegd aan overheidsinstanties en -organen die op zijn grondgebied zijn gevestigd (artikel 99, lid 8).

• Grenzen van het toepassingsgebied

  De verordening is niet van toepassing op gebieden die buiten het toepassingsgebied van het Unierecht vallen (artikel 2, lid 3, eerste zin). Zij is niet van toepassing op AI-systemen voor zover zij, al dan niet gewijzigd, uitsluitend voor militaire doeleinden, defensiedoeleinden of doeleinden van nationale veiligheid in de handel worden gebracht, in gebruik worden gesteld of worden gebruikt (artikel 2, lid 3, tweede zin). Zij is niet van toepassing op overheidsinstanties van een derde land of internationale organisaties die AI-systemen gebruiken in het kader van internationale samenwerking of overeenkomsten inzake rechtshandhaving en justitiële samenwerking met de Unie of met een of meer lidstaten, op voorwaarde dat zij passende waarborgen bieden voor de bescherming van de grondrechten en fundamentele vrijheden (artikel 2, lid 4). Zij is niet van toepassing op AI-systemen of AI-modellen, met inbegrip van hun output, die specifiek ontwikkeld en in gebruik gesteld zijn met wetenschappelijk onderzoek en wetenschappelijke ontwikkeling als enig doel (artikel 2, lid 6), noch op onderzoeks-, test- en ontwikkelingsactiviteiten voordat een systeem in de handel wordt gebracht of in gebruik wordt gesteld; testen onder reële omstandigheden vallen niet onder die uitsluiting (artikel 2, lid 8). Zij is niet van toepassing op AI-systemen die worden vrijgegeven onder vrije en opensourcelicenties, tenzij zij als hoogrisico-AI-systemen in de handel worden gebracht of in gebruik worden gesteld of onder artikel 5 of 50 vallen (artikel 2, lid 12).

• Geen genoemde norm voor het systeem

  De verordening zelf noemt geen norm of certificering voor het kwaliteitsbeheersysteem. Artikel 17, lid 1, punt e), vraagt dat het systeem de toe te passen technische specificaties, waaronder normen, vastlegt. Het vermoeden van conformiteit van artikel 40, lid 1, betreft de eisen van afdeling 2, niet artikel 17. De aanbieder toetst elk aspect aan zijn eigen systeem.

• Bestaande kwaliteitssystemen op grond van ander Unierecht

  Aanbieders die op grond van relevant sectoraal Unierecht verplichtingen hebben met betrekking tot kwaliteitsbeheersystemen of een gelijkwaardige functie, kunnen de aspecten van artikel 17, lid 1, opnemen in het kwaliteitsbeheersysteem op grond van dat recht (artikel 17, lid 3).

• Bewaring van tien jaar staat in artikel 18

  De plicht om de documentatie van het kwaliteitsbeheersysteem tien jaar na het in de handel brengen of in gebruik stellen van het systeem te bewaren staat in artikel 18, lid 1, niet in artikel 17.

• Voorbeeld: een tabel met hiaten

  Voorbeeld, geen vereiste van de verordening: een aanbieder met een bestaand kwaliteitssysteem kan de 13 aspecten in een tabel zetten, per aspect het document noteren dat het dekt en documenten toevoegen waar een hiaat blijft.

• Artikel 17 AI-verordening: kwaliteitsbeheersysteem

  Artikel 17 voor alle sectoren: de 13 onderdelen, evenredigheid en boetes.

• AI-verordening biometrie: nalevingsgids

  Het overzicht over biometrie: hoe de verordening biometrische identificatie op afstand, biometrische categorisering en emotieherkenning raakt.

• Artikel 15 voor biometrie: nauwkeurigheid, robuustheid en cyberbeveiliging

  Biometrische AI en artikel 15: nauwkeurigheid, robuustheid, cyberbeveiliging, data en rollen.

• Bijlage III uitgediept: alle 8 hoog-risico categorieën

  Hoe bijlage III AI-systemen tot hoogrisicosystemen maakt, waaronder biometrie.