Art. 17 Kvalitetsstyrningssystem | AI act regulation | AI act

Article 17 is a detailed, operationally focused article that requires providers of high-risk AI systems to establish and maintain a formal quality management system.

The article functions as a companion to Article 16, which lists the general obligations of providers, by spelling out in concrete terms what that quality management obligation actually looks like in practice.

The system must be documented through written policies, procedures and instructions, and must cover a comprehensive range of areas spanning the entire lifecycle of the AI system, from design and development through to post-market monitoring, incident reporting, data management, risk management, and internal accountability frameworks.

The article also acknowledges organisational reality: implementation must be scaled to the size of the provider's organisation, and providers already subject to sectoral Union law quality management obligations, or financial institutions subject to Union financial services internal governance rules, can integrate or satisfy these requirements through their existing frameworks, with the exception of the risk management, post-market monitoring, and serious incident reporting elements, which remain mandatory regardless.

Important points:

Establish a documented quality management system covering the full AI system lifecycle, including design, data management, risk management, post-market monitoring, incident reporting, and internal accountability.
The scope of implementation is proportionate to the size of your organisation, but the required level of rigour and protection for compliance must be maintained regardless.
Financial institutions subject to Union financial services internal governance rules can satisfy most of this obligation through those existing frameworks, but must still separately comply with the risk management, post-market monitoring, and serious incident reporting requirements.

1. Leverantörer av AI-system med hög risk ska inrätta ett kvalitetsstyrningssystem som säkerställer efterlevnad av denna förordning. Systemet ska dokumenteras på ett systematiskt och ordnat sätt i form av skriftliga riktlinjer, förfaranden och instruktioner och ska omfatta åtminstone följande aspekter:
  1. En strategi för efterlevnad av regelverket, inklusive efterlevnad av förfaranden för bedömning av överensstämmelse och för hantering av ändringar av AI-systemet med hög risk.
  2. Tekniker, förfaranden och systematiska åtgärder som ska användas för utformning av AI-systemet med hög risk samt för kontroll och verifikation av utformningen.
  3. Tekniker, förfaranden och systematiska åtgärder som ska användas för utveckling, kvalitetskontroll och kvalitetssäkring av AI-systemet med hög risk.
  4. Undersöknings-, test- och valideringsförfaranden som ska utföras före, under och efter utvecklingen av AI-systemet med hög risk och hur ofta de ska utföras.
  5. Tekniska specifikationer, inbegripet standarder, som ska tillämpas och, om de relevanta harmoniserade standarderna inte tillämpas fullt ut, eller inte omfattar alla relevanta krav i avsnitt 2, de medel som ska användas för att säkerställa att AI-systemet med hög risk uppfyller dessa krav.
  6. System och förfaranden för datahantering, inbegripet datafångst, datainsamling, dataanalys, datamärkning, datalagring, datafiltrering, datautvinning, dataaggregering, lagring av uppgifter och varje annan åtgärd som avser data och som utförs före och med avseende på utsläppandet på marknaden eller ibruktagandet av AI-system med hög risk.
  7. Det riskhanteringssystem som avses i artikel 9.
  8. Upprättande, genomförande och underhåll av ett system för övervakning efter utsläppande på marknaden i enlighet med artikel 72.
  9. Förfaranden som berör rapportering av en allvarlig incident i enlighet med artikel 73.
  10. Hantering av kommunikation med nationella behöriga myndigheter, andra relevanta myndigheter, inbegripet de som tillhandahåller eller stöder tillgången till uppgifter, anmälda organ, andra operatörer, kunder eller andra berörda parter.
  11. System och förfaranden för arkivering av all relevant dokumentation och information.
  12. Resurshantering, inbegripet åtgärder som berör försörjningstrygghet.
  13. En ram för ansvarsutkrävande som fastställer ledningens och övrig personals ansvar vad gäller samtliga aspekter som anges i denna punkt.
1. Genomförandet av de aspekter som avses i punkt 1 ska stå i proportion till storleken på leverantörens organisation. Leverantörer ska i alla händelser iaktta den grad av noggrannhet och den skyddsnivå som krävs för att säkerställa att deras AI-system med hög risk står i överensstämmelse med denna förordning.
1. Leverantörer av AI-system med hög risk som omfattas av skyldigheter avseende kvalitetsstyrningssystem eller en likvärdig funktion enligt relevant sektorsspecifik unionsrätt får inkludera de aspekter som anges i punkt 1 i de kvalitetsstyrningssystem som fastställs enligt den unionsrätten.
1. För leverantörer som är finansinstitut som omfattas av krav avseende interna styrelseformer, arrangemang eller processer enligt unionsrätten om finansiella tjänster ska skyldigheten att införa ett kvalitetsstyrningssystem, med undantag för punkt 1 g, h och i) i denna artikel, anses vara uppfylld genom att reglerna om interna styrelseformer, arrangemang eller processer efterlevs enligt relevant unionsrätt om finansiella tjänster. I detta syfte ska alla harmoniserade standarder som avses i artikel 40 beaktas.

Artikel 17 Kvalitetsstyrningssystem

Relevant recitals