Testo dell'articoloVigente
Art. 17 Reg. (UE) 2024/1689 – Sistema di gestione della qualità
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale)
1. I fornitori di sistemi di IA ad alto rischio istituiscono un sistema di gestione della qualità che garantisce la conformità al presente regolamento. Tale sistema è documentato in modo sistematico e ordinato sotto forma di politiche, procedure e istruzioni scritte e comprende almeno gli aspetti seguenti:
a) una strategia per la conformità normativa, compresa la conformità alle procedure di valutazione della conformità e alle procedure per la gestione delle modifiche dei sistemi di IA ad alto rischio;
b) le tecniche, le procedure e gli interventi sistematici da utilizzare per la progettazione, il controllo della progettazione e la verifica della progettazione del sistema di IA ad alto rischio;
c) le tecniche, le procedure e gli interventi sistematici da utilizzare per lo sviluppo e per il controllo e la garanzia della qualità del sistema di IA ad alto rischio;
d) le procedure di esame, prova e convalida da effettuare prima, durante e dopo lo sviluppo del sistema di IA ad alto rischio e la frequenza con cui devono essere effettuate;
e) le specifiche tecniche, comprese le norme, da applicare e, qualora le pertinenti norme armonizzate non siano applicate integralmente, o non includano tutti i requisiti pertinenti di cui alla sezione 2, i mezzi da usare per garantire che il sistema di IA ad alto rischio sia conforme a tali requisiti;
f) i sistemi e le procedure per la gestione dei dati, compresa l'acquisizione, la raccolta, l'analisi, l'etichettatura, l'archiviazione, la filtrazione, l'estrazione, l'aggregazione, la conservazione dei dati e qualsiasi altra operazione riguardante i dati effettuata prima e ai fini dell'immissione sul mercato o della messa in servizio di sistemi di IA ad alto rischio;
g) il sistema di gestione dei rischi di cui all'articolo 9;
h) la predisposizione, l'attuazione e la manutenzione di un sistema di monitoraggio successivo all'immissione sul mercato a norma dell'articolo 72;
i) le procedure relative alla segnalazione di un incidente grave a norma dell'articolo 73;
j) la gestione della comunicazione con le autorità nazionali competenti, altre autorità pertinenti, comprese quelle che forniscono o sostengono l'accesso ai dati, gli organismi notificati, altri operatori, clienti o altre parti interessate;
k) i sistemi e le procedure per la conservazione delle registrazioni e di tutte le informazioni e la documentazione pertinenti;
l) la gestione delle risorse, comprese le misure relative alla sicurezza dell'approvvigionamento;
m) un quadro di responsabilità che definisca le responsabilità della dirigenza e di altro personale per quanto riguarda tutti gli aspetti elencati nel presente paragrafo.
2. L'attuazione degli aspetti di cui al paragrafo 1 è proporzionata alle dimensioni dell'organizzazione del fornitore. I fornitori rispettano, in ogni caso, il grado di rigore e il livello di protezione necessari per garantire la conformità dei loro sistemi di IA ad alto rischio al presente regolamento.
3. I fornitori di sistemi di IA ad alto rischio soggetti agli obblighi relativi ai sistemi di gestione della qualità o a una funzione equivalente a norma del pertinente diritto settoriale dell'Unione possono includere gli aspetti elencati al paragrafo 1 nell'ambito dei sistemi di gestione della qualità stabiliti a norma di tale diritto.
4. Per i fornitori che sono istituti finanziari soggetti a requisiti in materia di governance, dispositivi o processi interni stabiliti a norma del diritto dell'Unione in materia di servizi finanziari, l'obbligo di istituire un sistema di gestione della qualità, ad eccezione del paragrafo 1, lettere g), h) e i), del presente articolo, si considera soddisfatto se sono soddisfatte le regole sui dispositivi o i processi di governance interna a norma del pertinente diritto dell'Unione in materia di servizi finanziari. A tal fine, si tiene conto delle norme armonizzate di cui all'articolo 40.
In sintesi
Indice dei contenuti
Cos'è il sistema di gestione della qualità e perché è obbligatorio per l'alto rischio
L'articolo 17 del Regolamento (UE) 2024/1689 impone ai fornitori di sistemi di IA ad alto rischio di dotarsi di un sistema di gestione della qualità (Quality Management System, QMS). Non si tratta di una certificazione volontaria, ma di un obbligo giuridico che costituisce la «spina dorsale» organizzativa della conformità al regolamento. Il QMS formalizza, documentando in modo sistematico, tutti i processi che garantiscono che il sistema di IA rispetti i requisiti stabiliti dalla sezione 2 del capo III dell'AI Act (artt. 9-15).
Il legislatore europeo si è ispirato a modelli già consolidati in settori regolamentati ad alto rischio, come la norma ISO 9001 o il sistema MDR per i dispositivi medici (Regolamento (UE) 2017/745), estendendo l'approccio all'IA. Il QMS non è un documento isolato, ma un sistema vivente che deve essere mantenuto aggiornato per tutta la vita del prodotto sul mercato.
Le tredici componenti minime: cosa deve contenere il QMS
Il paragrafo 1 elenca tredici componenti che il QMS deve necessariamente includere. Vale la pena analizzarle in gruppi funzionali.
Conformità normativa e strategia (lett. a): il QMS deve contenere una strategia per la conformità al regolamento, comprese le procedure per la valutazione della conformità e per la gestione delle modifiche del sistema di IA. Se il sistema viene aggiornato - ad esempio con un nuovo algoritmo o nuovi dati di addestramento - il QMS deve disciplinare come valutare se tale modifica impatta sulla conformità.
Progettazione e sviluppo (lett. b, c): devono essere documentate le tecniche e le procedure per la progettazione, il controllo della progettazione e la garanzia della qualità. In pratica, occorre tenere traccia di ogni decisione tecnica rilevante durante lo sviluppo del sistema.
Test e validazione (lett. d): le procedure di esame, prova e convalida devono essere definite e pianificate con frequenza determinata. Non è sufficiente testare il sistema una volta prima del rilascio: il QMS deve prevedere test ricorrenti, anche post-market.
Standard tecnici (lett. e): vanno indicate le norme tecniche applicate. Se non sono disponibili norme armonizzate complete, il QMS deve specificare come il fornitore garantisce comunque la conformità ai requisiti sostanziali del regolamento.
Gestione dei dati (lett. f): il QMS deve coprire l'intero ciclo di vita dei dati utilizzati per l'addestramento, la validazione e il test del sistema: acquisizione, raccolta, analisi, etichettatura, archiviazione, filtrazione, estrazione, aggregazione e conservazione. Questo punto si raccorda direttamente con i requisiti sull'uso dei dati dell'articolo 10 e, ove siano coinvolti dati personali, con il GDPR.
Gestione dei rischi (lett. g): il QMS deve incorporare il sistema di gestione dei rischi di cui all'articolo 9. I due obblighi - QMS e risk management - sono dunque strutturalmente collegati.
Post-market e incidenti gravi (lett. h, i): il QMS deve includere il sistema di monitoraggio post-market (art. 72) e le procedure di segnalazione degli incidenti gravi (art. 73). Questi due elementi trasformano il QMS da strumento di compliance pre-lancio a presidio continuativo durante l'intero ciclo di vita del sistema.
Comunicazione con le autorità (lett. j): devono essere stabilite procedure per la comunicazione con le autorità nazionali competenti, gli organismi notificati e altri soggetti rilevanti. Una lacuna in questo punto potrebbe tradursi in ritardi nel rispondere a richieste di documentazione o in ispezioni.
Registrazioni e documentazione (lett. k): il QMS deve prevedere sistemi per la conservazione delle registrazioni e di tutta la documentazione pertinente. L'obbligo di conservazione è decennale per la dichiarazione di conformità UE (art. 47).
Gestione delle risorse (lett. l): incluse le misure relative alla sicurezza dell'approvvigionamento, un elemento rilevante nei contesti di supply chain IA complessa.
Responsabilità organizzativa (lett. m): il QMS deve definire un quadro di responsabilità che assegni compiti alla dirigenza e al personale rilevante per ciascuno degli aspetti elencati. Senza questo quadro, il QMS rimane un documento cartaceo privo di efficacia operativa.
La proporzionalità: come si adatta il QMS alle PMI e alle start-up
Il paragrafo 2 introduce il principio di proporzionalità: l'attuazione del QMS può essere adattata alle dimensioni dell'organizzazione. Una PMI o una start-up con poche risorse non è tenuta a strutture burocratiche equivalenti a quelle di una multinazionale, ma il livello di protezione - cioè la sostanza degli obblighi - non può essere ridotto.
In pratica, una start-up che sviluppa un sistema di IA ad alto rischio potrà adottare un QMS snello, affidandosi a documentazione semplificata e processi agili, purché tutti i tredici elementi del paragrafo 1 siano coperti. L'articolo 62 prevede peraltro misure specifiche di supporto per le PMI, incluso l'accesso prioritario agli spazi di sperimentazione normativa (regulatory sandboxes).
Integrazione con altri QMS settoriali
Il paragrafo 3 consente ai fornitori già soggetti a obblighi QMS in base al diritto settoriale UE di integrare i requisiti dell'AI Act nel sistema esistente. È il caso tipico dei dispositivi medici (MDR), delle macchine (Direttiva Macchine) o dei veicoli a motore. Un produttore di dispositivi medici che integra un sistema di IA diagnostico può dunque espandere il proprio QMS esistente - già certificato da un organismo notificato - per coprire anche i requisiti dell'AI Act, evitando duplicazioni.
Per i fornitori che sono istituti finanziari, il paragrafo 4 prevede una disposizione specifica: l'obbligo di istituire un QMS si considera soddisfatto dalla conformità alle norme di governance interna già previste dal diritto UE sui servizi finanziari (CRD IV, Solvency II, MiFID II, ecc.). Fanno però eccezione le lettere g) (gestione del rischio), h) (monitoraggio post-market) e i) (segnalazione incidenti gravi): queste restano obblighi autonomi che l'istituto finanziario deve adempiere anche se dispone già di un sistema di governance conforme al diritto finanziario.
Implicazioni operative: come impostare il QMS
Dal punto di vista operativo, il fornitore che intende immettere sul mercato un sistema di IA ad alto rischio deve avviare la costruzione del QMS parallelamente allo sviluppo del sistema, non come adempimento postumo. Ciò significa coinvolgere sin dall'inizio le funzioni legale/compliance, le risorse umane (per il quadro di responsabilità), il team tecnico (per la documentazione di progettazione) e il team dati (per la governance dei dataset). La gran parte degli obblighi per i sistemi ad alto rischio diventa applicabile dal 2 agosto 2026 (art. 113): il QMS deve essere operativo a quella data.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Tutti i fornitori di sistemi di IA devono avere un QMS?
No. L'obbligo del QMS previsto dall'articolo 17 si applica solo ai fornitori di sistemi di IA ad alto rischio ai sensi dell'articolo 6. I sistemi a rischio limitato o minimo non sono soggetti a questo requisito.
Il QMS deve essere certificato da un organismo esterno?
Non necessariamente. La certificazione da parte di un organismo notificato è richiesta solo per le procedure di valutazione della conformità di cui all'articolo 43. Il QMS in sé può essere gestito internamente, purché rispetti tutti i requisiti sostanziali del paragrafo 1. In alcuni casi specifici, tuttavia, l'organismo notificato verifica il QMS nell'ambito della procedura di valutazione.
Cosa succede se un fornitore modifica il suo sistema di IA dopo l'immissione sul mercato?
Il QMS deve includere procedure per la gestione delle modifiche (paragrafo 1, lettera a). Se la modifica è sostanziale, il fornitore deve valutare se si tratta di un cambiamento che impatta sulla conformità e, eventualmente, avviare una nuova procedura di valutazione della conformità.
Le PMI hanno obblighi QMS alleggeriti?
Il paragrafo 2 prevede proporzionalità nell'attuazione, ma non riduce il livello di protezione richiesto. Una PMI può adottare un QMS semplificato nella forma, ma deve coprire sostanzialmente tutti e tredici gli elementi del paragrafo 1.
Un istituto finanziario deve creare un QMS separato per l'AI Act?
No, se dispone già di dispositivi di governance interna conformi al diritto UE sui servizi finanziari (paragrafo 4). Deve però integrare obbligatoriamente la gestione dei rischi IA (art. 9), il monitoraggio post-market (art. 72) e le procedure di segnalazione degli incidenti gravi (art. 73), che non possono essere assorbite dalle norme finanziarie esistenti.