Artigo 17 do Regulamento de IA: sistema de gestão da qualidade
Os 13 aspetos do sistema de gestão da qualidade segundo o artigo 17 do Regulamento de IA, a proporcionalidade para as PME, a ligação à avaliação da conformidade e as coimas do artigo 99(4).
Os fornecedores de sistemas de IA de risco elevado têm de manter um sistema de gestão da qualidade (SGQ) com 13 aspetos (artigo 17).
Aplica-se aos fornecedores («prestadores» no regulamento) que colocam esses sistemas no mercado da UE. Para os sistemas do anexo III (utilizações enumeradas, como a seleção de pessoal), vale desde 2 de dezembro de 2027. Para os do anexo I, desde 2 de agosto de 2028. O esforço pode ser proporcional à dimensão da empresa, mas o nível de proteção não pode baixar (artigo 17(2)). A falta de um SGQ viola o artigo 16, alínea c). As coimas chegam a 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4)). Primeiro passo: compare o seu sistema de qualidade com os 13 aspetos abaixo.
O artigo 17 enumera 13 aspetos que um SGQ tem de abranger
O SGQ deve ser documentado de forma sistemática e ordenada, sob a forma de políticas, procedimentos e instruções escritos. Inclui, pelo menos, estes aspetos (artigo 17(1)).
Uma estratégia de conformidade regulamentar, incluindo os procedimentos de avaliação da conformidade e a gestão das modificações do sistema.
Técnicas, procedimentos e ações sistemáticas para a conceção, o controlo da conceção e a verificação da conceção do sistema.
Técnicas, procedimentos e ações sistemáticas para o desenvolvimento, o controlo da qualidade e a garantia da qualidade do sistema.
Procedimentos de exame, teste e validação antes, durante e depois do desenvolvimento, e a frequência com que são realizados.
As especificações técnicas e normas a aplicar e, se as normas harmonizadas não forem aplicadas na totalidade, os meios para cumprir os requisitos da secção 2.
Sistemas e procedimentos de gestão de dados, da aquisição e rotulagem ao armazenamento e à conservação, que abranjam qualquer operação com dados antes de o sistema ser colocado no mercado ou em serviço.
O sistema de gestão de riscos do artigo 9.
A criação, a aplicação e a manutenção de um sistema de monitorização pós-comercialização (artigo 72).
Procedimentos de comunicação de um incidente grave (artigo 73).
A gestão da comunicação com as autoridades nacionais competentes, outras autoridades relevantes, organismos notificados, outros operadores, clientes e outras partes interessadas.
Sistemas e procedimentos de conservação de toda a documentação e informação relevantes.
A gestão de recursos, incluindo medidas relacionadas com a segurança do aprovisionamento.
Um quadro de responsabilização que defina as responsabilidades da direção e dos restantes colaboradores em relação a todos estes aspetos.
O esforço pode ser proporcional à dimensão da empresa, mas não reduzir a proteção
A aplicação dos aspetos deve ser proporcional à dimensão da organização do fornecedor, em especial no caso das PME, incluindo as empresas em fase de arranque, e das pequenas empresas de média capitalização. Os fornecedores devem, em todo o caso, respeitar o grau de rigor e o nível de proteção necessários para que os seus sistemas de risco elevado cumpram o regulamento (artigo 17(2), na redação do Regulamento (UE) 2026/1744).
As PME, incluindo as empresas em fase de arranque, podem cumprir de forma simplificada determinados elementos do SGQ se não tiverem empresas parceiras nem associadas na aceção da Recomendação 2003/361/CE. A Comissão elabora orientações sobre os elementos que podem ser simplificados. A simplificação não dispensa de outros requisitos, incluindo os artigos 9 a 15, 72 e 73 (artigo 63).
Outros sistemas de qualidade podem incluir os aspetos do artigo 17
Um fornecedor que já tenha de dispor de um SGQ ao abrigo de outra legislação setorial da União pode incluir os 13 aspetos nesse sistema (artigo 17(3)). As instituições financeiras que cumprem as regras da União em matéria de governação interna cumprem a obrigação relativa ao SGQ ao respeitarem essas regras. Exceções: o sistema de gestão de riscos, a monitorização pós-comercialização e a comunicação de incidentes graves (artigo 17(4)).
A avaliação da conformidade verifica o SGQ
Nos sistemas do anexo III, pontos 2 a 8, o fornecedor verifica o seu próprio SGQ face ao artigo 17 (controlo interno, anexo VI, ponto 2). Nos sistemas biométricos (anexo III, ponto 1), o fornecedor pode, em alguns casos, escolher entre o controlo interno e um organismo notificado e, noutros, tem de recorrer a um organismo notificado (artigo 43(1) e (2)). Um organismo notificado examina o SGQ nos termos do anexo VII. Nos produtos da secção A do anexo I, a avaliação do SGQ faz parte da avaliação da conformidade do produto (artigo 43(3)).
Como a Scanara apoia o seu SGQ
A Scanara realiza uma avaliação guiada da gestão da qualidade com base nos 13 aspetos do artigo 17(1). A sua análise de documentos baseada em regras, geradas a partir do texto do próprio regulamento, verifica os documentos que carrega face ao artigo 17. É o utilizador que redige e gere o SGQ e decide o que é suficiente.
Perguntas frequentes sobre o SGQ
Uma certificação ISO 9001 satisfaz o artigo 17?
O regulamento não o prevê: não menciona nenhuma norma ISO. O artigo 17(1) enumera 13 aspetos que o seu SGQ tem de abranger, incluindo o sistema de gestão de riscos do artigo 9, a monitorização pós-comercialização (artigo 72) e a comunicação de incidentes graves (artigo 73). Um sistema de qualidade existente pode servir de base se o alargar aos 13 aspetos.
É exigido um SGQ para os sistemas de IA que não são de risco elevado?
Não. O artigo 17 aplica-se aos fornecedores de sistemas de IA de risco elevado, pelo que os outros sistemas de IA não necessitam de SGQ nos termos do regulamento. O fornecedor que considere que um sistema do anexo III não é de risco elevado tem, em vez disso, de documentar essa avaliação antes de colocar o sistema no mercado (artigo 6(4)).
Que nível de pormenor deve ter o SGQ numa equipa pequena?
A aplicação deve ser proporcional à dimensão do fornecedor (artigo 17(2)), mas têm de ser abrangidos os 13 aspetos. As PME, incluindo as empresas em fase de arranque, sem empresas parceiras nem associadas podem simplificar determinados elementos (artigo 63(1)). A Comissão elabora orientações sobre os elementos que podem ser simplificados.
O que acontece se o SGQ não existir ou for inadequado?
Um fornecedor sem um SGQ conforme com o artigo 17 viola o artigo 16, alínea c). A coima pode chegar a 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4), alínea a). Para as PME, incluindo as empresas em fase de arranque, e as pequenas empresas de média capitalização, a coima fica limitada ao montante mais baixo (artigo 99(6) e (6-A)).
Um único SGQ pode abranger vários sistemas de IA?
O artigo 17 exige que o fornecedor estabeleça um SGQ e não o limita a um único sistema. A documentação técnica do artigo 11 é elaborada para cada sistema de IA de risco elevado.
O pormenor de cada aspeto
Artigo 9: sistema de gestão de riscos
Apresenta o sistema de gestão de riscos, que é o aspeto g) do seu SGQ.
Artigo 72: monitorização pós-comercialização
Apresenta o sistema de monitorização pós-comercialização, que é o aspeto h) do seu SGQ.
Artigo 16: obrigações do fornecedor
Apresenta as 12 obrigações dos fornecedores, incluindo o SGQ na alínea c).
O Scanara prepara evidências a partir dos seus repositórios
O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.