Artykuł 17 rozporządzenia AI: system zarządzania jakością
13 aspektów systemu zarządzania jakością z art. 17 rozporządzenia w sprawie AI, proporcjonalność dla MŚP, związek z oceną zgodności i kary z art. 99 ust. 4.
Dostawcy systemów AI wysokiego ryzyka muszą prowadzić system zarządzania jakością (QMS) obejmujący 13 aspektów (art. 17).
Dotyczy to dostawców wprowadzających takie systemy do obrotu w UE. Terminy to 2 grudnia 2027 dla systemów z załącznika III (wymienione zastosowania, np. rekrutacja) i 2 sierpnia 2028 dla systemów z załącznika I. Nakład pracy może odpowiadać wielkości firmy, ale poziom ochrony nie może spaść (art. 17 ust. 2). Brak QMS narusza art. 16 lit. c). Kary sięgają 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4). Pierwszy krok: porównaj swój system jakości z 13 aspektami poniżej.
Art. 17 wymienia 13 aspektów, które musi obejmować QMS
QMS musi być udokumentowany w systematyczny i uporządkowany sposób w formie pisemnych polityk, procedur i instrukcji. Obejmuje co najmniej te aspekty (art. 17 ust. 1).
Strategia zgodności regulacyjnej, w tym procedury oceny zgodności i zarządzania zmianami w systemie.
Techniki, procedury i systematyczne działania na potrzeby projektowania systemu, kontroli projektu i weryfikacji projektu.
Techniki, procedury i systematyczne działania na potrzeby rozwoju systemu, kontroli jakości i zapewniania jakości.
Procedury badania, testowania i walidacji przed rozwojem systemu, w jego trakcie i po nim oraz częstotliwość ich przeprowadzania.
Specyfikacje techniczne i normy, które należy stosować, oraz – jeżeli normy zharmonizowane nie są stosowane w całości – środki służące spełnieniu wymogów z sekcji 2.
Systemy i procedury zarządzania danymi, od pozyskiwania i etykietowania danych po ich przechowywanie i retencję, obejmujące każdą operację na danych przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku.
System zarządzania ryzykiem z art. 9.
Ustanowienie, wdrożenie i utrzymanie systemu monitorowania po wprowadzeniu do obrotu (art. 72).
Procedury zgłaszania poważnego incydentu (art. 73).
Obsługa komunikacji z krajowymi organami właściwymi, innymi odpowiednimi organami, jednostkami notyfikowanymi, innymi podmiotami, klientami i innymi zainteresowanymi stronami.
Systemy i procedury przechowywania wszelkiej istotnej dokumentacji i informacji.
Zarządzanie zasobami, w tym środki związane z bezpieczeństwem dostaw.
Ramy odpowiedzialności określające obowiązki kierownictwa i pozostałego personelu w odniesieniu do wszystkich tych aspektów.
Nakład pracy może odpowiadać wielkości firmy, ale nie może obniżać poziomu ochrony
Wdrożenie tych aspektów musi być proporcjonalne do wielkości organizacji dostawcy, w szczególności w przypadku MŚP, w tym przedsiębiorstw typu start-up, oraz małych spółek o średniej kapitalizacji. Dostawcy muszą w każdym przypadku zachować stopień rygoru i poziom ochrony niezbędne do zapewnienia zgodności ich systemów wysokiego ryzyka z rozporządzeniem (art. 17 ust. 2 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744).
MŚP, w tym przedsiębiorstwa typu start-up, mogą w uproszczony sposób spełniać niektóre elementy QMS, jeżeli nie mają przedsiębiorstw partnerskich ani powiązanych w rozumieniu zalecenia 2003/361/WE. Komisja opracowuje wytyczne dotyczące tego, które elementy mogą być uproszczone. Uproszczenie nie zwalnia z innych wymogów, w tym z art. 9–15, 72 i 73 (art. 63).
Inne systemy jakości mogą obejmować aspekty z art. 17
Dostawca, który na podstawie innych sektorowych przepisów Unii musi już prowadzić QMS, może uwzględnić 13 aspektów w tym systemie (art. 17 ust. 3). Instytucje finansowe, które przestrzegają przepisów Unii o wewnętrznym zarządzaniu, spełniają obowiązek dotyczący QMS przez przestrzeganie tych przepisów. Wyjątkiem są system zarządzania ryzykiem, monitorowanie po wprowadzeniu do obrotu i zgłaszanie poważnych incydentów (art. 17 ust. 4).
Ocena zgodności obejmuje sprawdzenie QMS
W przypadku systemów z załącznika III pkt 2–8 dostawca sam sprawdza swój QMS pod kątem art. 17 (kontrola wewnętrzna, załącznik VI pkt 2). W przypadku systemów biometrycznych (załącznik III pkt 1) dostawca może w niektórych sytuacjach wybrać kontrolę wewnętrzną lub jednostkę notyfikowaną, a w innych musi skorzystać z jednostki notyfikowanej (art. 43 ust. 1 i 2). Jednostka notyfikowana bada QMS zgodnie z załącznikiem VII. W przypadku produktów z załącznika I sekcja A ocena QMS jest częścią oceny zgodności produktu (art. 43 ust. 3).
Jak Scanara wspiera Twój QMS
Scanara przeprowadza prowadzoną ocenę zarządzania jakością opartą na 13 aspektach z art. 17 ust. 1. Jej skan dokumentów oparty na regułach, wygenerowanych z samego tekstu rozporządzenia, sprawdza przesłane przez Ciebie dokumenty pod kątem art. 17. Ty tworzysz i prowadzisz QMS oraz decydujesz, co jest wystarczające.
Najczęstsze pytania o QMS
Czy certyfikat ISO 9001 spełnia wymogi art. 17?
Rozporządzenie tego nie przesądza: nie wymienia żadnej normy ISO. Art. 17 ust. 1 wymienia 13 aspektów, które musi obejmować Twój QMS, w tym system zarządzania ryzykiem z art. 9, monitorowanie po wprowadzeniu do obrotu (art. 72) i zgłaszanie poważnych incydentów (art. 73). Istniejący system jakości może posłużyć za podstawę, jeśli rozszerzysz go na wszystkie 13 aspektów.
Czy QMS jest wymagany dla systemów AI niebędących systemami wysokiego ryzyka?
Nie. Art. 17 dotyczy dostawców systemów AI wysokiego ryzyka, więc inne systemy AI nie wymagają QMS na mocy rozporządzenia. Dostawca, który uzna system z załącznika III za niebędący systemem wysokiego ryzyka, musi natomiast udokumentować tę ocenę przed wprowadzeniem systemu do obrotu (art. 6 ust. 4).
Jak szczegółowy musi być QMS w małym zespole?
Wdrożenie musi być proporcjonalne do wielkości dostawcy (art. 17 ust. 2), ale muszą zostać objęte wszystkie 13 aspektów. MŚP, w tym przedsiębiorstwa typu start-up, bez przedsiębiorstw partnerskich i powiązanych mogą uprościć niektóre elementy (art. 63 ust. 1). Komisja opracowuje wytyczne dotyczące tego, które elementy mogą być uproszczone.
Co się stanie, jeśli QMS nie istnieje lub jest niewystarczający?
Dostawca bez QMS zgodnego z art. 17 narusza art. 16 lit. c). Kara może sięgnąć 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4 lit. a). Dla MŚP, w tym przedsiębiorstw typu start-up, oraz małych spółek o średniej kapitalizacji kara nie może przekroczyć kwoty niższej (art. 99 ust. 6 i 6a).
Czy jeden QMS może obejmować kilka systemów AI?
Art. 17 wymaga, aby dostawca wprowadził QMS, i nie ogranicza go do jednego systemu. Dokumentację techniczną z art. 11 sporządza się dla każdego systemu AI wysokiego ryzyka.
Szczegóły poszczególnych aspektów
Art. 9: system zarządzania ryzykiem
Omawia system zarządzania ryzykiem, czyli aspekt g) Twojego QMS.
Art. 72: monitorowanie po wprowadzeniu do obrotu
Omawia system monitorowania po wprowadzeniu do obrotu, czyli aspekt h) Twojego QMS.
Art. 16: obowiązki dostawcy
Omawia 12 obowiązków dostawców, w tym QMS w lit. c).
Scanara przygotowuje dowody na podstawie Państwa repozytoriów
Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.