Artikel 17 der AI Act: Qualitätsmanagementsystem für Anbieter von Hochrisiko-KI

Normative Präzisierung: Artikel 17 regelt Qualität, nicht Registrierung

Es ist entscheidend, eine häufige Verwechslung in der Sekundärliteratur aufzuklären: Artikel 17 der Verordnung (EU) 2024/1689 regelt nicht die Registrierung der Systeme in der Datenbank der Europäischen Union. Diese Pflicht obliegt spezifisch Artikel 49. Artikel 17 konzentriert sich ausschließlich auf die Verpflichtung, ein Qualitätsmanagementsystem (QMS) einzuführen, das die Einhaltung der Verordnung durch Anbieter von Hochrisiko-KI-Systemen gewährleistet.

Diese Unterscheidung ist für Compliance-Teams von kritischer Bedeutung. Während die Registrierung (Art. 49) ein punktueller administrativer Akt der Eintragung ist, handelt es sich beim QMS (Art. 17) um eine kontinuierliche organisatorische Infrastruktur, die den gesamten Lebenszyklus des Systems abdeckt. Eine Verwechslung beider Pflichten kann dazu führen, dass Organisationen den operativen Aufwand des Artikels 17 unterschätzen, der systematische schriftliche Richtlinien, Verfahren und Anweisungen erfordert und nicht nur ein Anmeldeformular.

Die Artikel erfüllen unterschiedliche Funktionen und lösen deshalb unterschiedliche organisatorische Arbeiten aus. Die Registrierung nach Artikel 49 betrifft den Eintrag in der Unionsdatenbank; Artikel 17 verlangt dagegen ein dauerhaft angelegtes System, mit dem Anbieter die Einhaltung der Verordnung in ihren Abläufen organisieren. Ein vorhandener Datenbankeintrag ersetzt daher weder die dokumentierten Richtlinien noch die Verfahren und Anweisungen des Qualitätsmanagementsystems.

Der Unterschied zeigt sich auch an der Reichweite der jeweiligen Pflicht: Eine Registrierung lässt sich als einzelner Verwaltungsschritt behandeln, während das Qualitätsmanagementsystem Prozesse, Zuständigkeiten und Dokumentation zusammenführen muss. Anbieter sollten die beiden Anforderungen getrennt erfassen und aufeinander abstimmen, statt den Nachweis der Registrierung als Nachweis für die Funktionsfähigkeit des QMS zu behandeln. Die Registrierung bestätigt für sich genommen nicht, dass die laufenden Qualitätsprozesse eingerichtet oder umgesetzt sind.

Zwingende Inhalte des Qualitätsmanagementsystems

Absatz 1 des Artikels 17 legt fest, dass das QMS systematisch und geordnet in Form schriftlicher Richtlinien, Verfahren und Anweisungen dokumentiert werden muss. Die Norm listet dreizehn Mindestaspekte auf, die enthalten sein müssen. Es handelt sich nicht um eine abschließende Liste, sondern um einen normativen Mindeststandard: Anbieter können zusätzliche Elemente hinzufügen, wenn ihr Kontext dies erfordert.

Zu den relevantesten Elementen gehören die Strategie für die Einhaltung der Vorschriften (Buchstabe a), die die Verfahren zur Konformitätsbewertung und die Verwaltung von Änderungen umfassen muss; die Techniken für Design und Entwicklung (Buchstaben b und c); und die Verfahren für Prüfung, Test und Validierung (Buchstabe d), die die Häufigkeit ihrer Durchführung spezifizieren müssen. Auch die Einbeziehung des Risikomanagementsystems (Art. 9) und des Überwachungssystems nach der Markteinführung (Art. 72) in das QMS ist zwingend.

Die dreizehn Aspekte bilden einen gemeinsamen organisatorischen Rahmen, nicht dreizehn voneinander unabhängige Dokumentationsaufgaben. Die Compliance-Strategie muss sich beispielsweise in den Verfahren für Entwicklung, Prüfung und Änderungen wiederfinden; Risikomanagement, Datenmanagement und Überwachung nach dem Inverkehrbringen müssen ebenfalls mit den jeweils zuständigen Abläufen verbunden sein. Eine geordnete Dokumentation macht diese Beziehungen nachvollziehbar, statt lediglich eine Liste von Themen abzulegen.

Die ausdrücklich genannten Elemente reichen von der Planung bis zur Beobachtung eines Systems nach seiner Bereitstellung. Der Anbieter muss festhalten, wie Design und Entwicklung qualitätsgesichert werden, wie Prüfungen und Validierungen ablaufen und in welchen Abständen sie stattfinden. Hinzu kommen Regeln für den Umgang mit Daten sowie die Einbindung der Risikosteuerung. Die Vorgabe einer festgelegten Prüfhäufigkeit macht dabei deutlich, dass das QMS nicht bei allgemeinen Absichtserklärungen stehen bleiben soll.

Die Aspekte der Buchstaben h und i verbinden die Überwachung nach der Markteinführung mit dem Umgang mit schwerwiegenden Vorfällen. Das QMS muss diese Aufgaben in die vorgesehenen Verfahren einordnen, damit Beobachtungen nach der Bereitstellung und erforderliche Meldungen nicht außerhalb der Qualitätsorganisation liegen. Der in Buchstabe m geforderte Verantwortlichkeitsrahmen ergänzt diese Prozesse: Er ordnet der Leitung und dem Personal Zuständigkeiten zu, ohne die die festgelegten Verfahren nicht verlässlich in die tägliche Organisation eingebettet werden können.

Verhältnismäßigkeit und Anpassung an die Unternehmensgröße

Absatz 2 des Artikels 17 führt ein Prinzip der Verhältnismäßigkeit ein: Die Anwendung der Aspekte des QMS muss proportional zur Größe der Organisation des Anbieters sein. Das bedeutet, dass ein Startup nicht verpflichtet ist, die gleiche Dokumentationskomplexität wie ein großer Konzern zu haben, solange der erforderliche Grad an Strenge und das Schutzniveau gewahrt bleiben, um die Konformität zu gewährleisten.

Diese Verhältnismäßigkeit ist jedoch keine Befreiung. Der Gesetzestext warnt ausdrücklich, dass die Anbieter in jedem Fall den erforderlichen Grad an Strenge einhalten müssen. Für KMU bedeutet dies, die Granularität der Verfahren anzupassen, sie aber nicht zu eliminieren. Ein KMU kann beispielsweise das Risikomanagement in ein einziges Governance-Dokument integrieren, während ein großes Unternehmen separate Abteilungen für jeden Aspekt haben könnte.

Verhältnismäßigkeit betrifft die Ausgestaltung der Verfahren, nicht den Wegfall der gesetzlichen Mindestinhalte. Die Größe der Anbieterorganisation ist ein Maßstab dafür, wie umfangreich und detailliert Richtlinien, Zuständigkeiten und Dokumentation organisiert werden; sie hebt die Pflicht zur Einführung eines QMS jedoch nicht auf. Auch eine kompakte Organisation muss die erforderlichen Aufgaben so abbilden, dass die Einhaltung der Verordnung nachvollziehbar bleibt.

Eine Anpassung kann sich etwa darin zeigen, dass zusammengehörige Abläufe in gemeinsamen Dokumenten beschrieben werden, statt sie auf zahlreiche Handbücher zu verteilen. Entscheidend ist dabei nicht die Zahl der Dokumente, sondern ob die erforderlichen Aspekte erfasst und die zuständigen Verfahren verständlich festgelegt sind. Die gesetzliche Formulierung gibt keine quantitative Schwelle vor, ab der eine bestimmte Dokumentationslänge oder Zahl organisatorischer Einheiten genügt; die Ausgestaltung muss daher den erforderlichen Grad an Strenge und Schutz wahren.

Für das im Abschnitt genannte Daten-Governance-Protokoll bedeutet das: Ein zusammengefasstes Dokument kann mehrere Datenprozesse verbinden, muss aber deren jeweilige Aufgaben weiterhin abbilden. Die Bündelung allein weist weder die Abwesenheit von Verzerrungen noch die Nachvollziehbarkeit nach. Diese Ergebnisse hängen davon ab, ob die beschriebenen Verfahren tatsächlich geeignet und umgesetzt sind; die bloße Existenz eines Protokolls ist dafür keine Garantie.

Verknüpfung mit anderen Pflichten der AI Act

Das QMS operiert nicht im luftleeren Raum. Artikel 17 Abs. 1 lit. g verpflichtet zur Einbeziehung des Risikomanagementsystems aus Artikel 9, und 17 Abs. 1 lit. h verlangt die Schaffung und Aufrechterhaltung des Überwachungssystems nach der Markteinführung aus Artikel 72. Dies schafft eine integrierte Compliance-Architektur, in der das QMS der Container ist, der die technischen und organisatorischen Pflichten vereint.

Darüber hinaus muss das QMS die menschliche Aufsicht unterstützen, die durch Artikel 14 gefordert wird. Die Verfahren für Design und Entwicklung (Art. 17 Abs. 1 lit. b-c) müssen Maßnahmen enthalten, um sicherzustellen, dass das System effektiv von Menschen überwacht werden kann. Wenn das QMS nicht dokumentiert, wie die menschliche Aufsicht implementiert wird, kann der Anbieter die Einhaltung von Artikel 14 gegenüber den Marktüberwachungsbehörden nicht nachweisen.

Die Verknüpfung der Vorschriften bedeutet nicht, dass das QMS die jeweils eigenständigen Pflichten ersetzt. Es ordnet vielmehr die Verfahren, mit denen der Anbieter diese Pflichten organisatorisch umsetzt und dokumentiert. Das Risikomanagement nach Artikel 9 bleibt ein eigener Regelungsbereich, wird aber nach Artikel 17 in das Qualitätsmanagementsystem eingebunden. Ebenso muss die Überwachung nach der Markteinführung mit den Qualitätsabläufen verbunden sein, statt als isolierter Prozess neben ihnen zu stehen.

Die menschliche Aufsicht nach Artikel 14 hängt mit den Entwicklungs- und Gestaltungsverfahren zusammen, weil diese Verfahren die Voraussetzungen für eine wirksame Aufsicht festlegen müssen. Das QMS kann dokumentieren, wie der Anbieter diese Anforderungen in seine Abläufe integriert; die Dokumentation allein belegt jedoch nicht automatisch, dass Menschen das konkrete System tatsächlich wirksam überwachen können. Dafür müssen die vorgesehenen Maßnahmen auch zum System passen und in der Umsetzung berücksichtigt werden.

Auch die technische Dokumentation nach Anhang IV hat innerhalb dieser Struktur eine klar umrissene Funktion: Die Verfahren des QMS sollen ihre Erstellung und Pflege steuern. Damit bleiben technische Nachweise mit den Qualitätsprozessen verbunden, die sie hervorbringen und aktuell halten. Der Integrationsfluss beschreibt deshalb eine organisatorische Verknüpfung; er ist kein Beleg dafür, dass die einzelnen Anforderungen allein durch ihre Aufnahme in ein Dokument erfüllt sind.

Compliance-Checkliste und Konsequenzen bei Verstößen

Um die Einhaltung von Artikel 17 gegenüber den Behörden nachzuweisen, müssen Anbieter ein dokumentiertes QMS vorlegen können, das die dreizehn Mindestaspekte abdeckt. Ein Verstoß gegen diese Pflicht gilt als schwerwiegender Verstoß und kann mit Sanktionen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, geahndet werden, gemäß Artikel 99.

Die folgende Checkliste ermöglicht die Überprüfung der Existenz der obligatorischen Elemente. Sie ersetzt keine Rechtsberatung, dient aber als Werkzeug für eine initiale Selbsteinschätzung, um Lücken in der Dokumentation zu identifizieren.

Die mögliche Geldbuße hängt von der Einordnung des Verstoßes und den Voraussetzungen des Artikels 99 ab; die genannten Höchstbeträge sind keine automatisch eintretende Sanktion für jede Lücke im QMS. Artikel 17 begründet die Pflicht zur Einrichtung des Qualitätsmanagementsystems, während die Sanktionsregelung die möglichen Folgen bestimmter Verstöße festlegt. Anbieter sollten deshalb zwischen dem Bestehen einer Pflicht und der konkreten Sanktion im Einzelfall unterscheiden.

Eine Selbsteinschätzung kann zunächst prüfen, ob ein systematisch geordnetes Dokument oder eine Dokumentensammlung vorhanden ist und ob sie die zentralen Abläufe sowie Zuständigkeiten erfasst. Anschließend lässt sich feststellen, ob Konformitätsbewertung, Änderungsmanagement, Datenprozesse und Verantwortlichkeiten darin erkennbar geregelt sind. Diese Prüfung bewertet zunächst die Dokumentation; sie bestätigt für sich genommen weder die tatsächliche Umsetzung der Verfahren noch die vollständige Konformität des Systems.

Die Tabelle ist daher als erste Orientierung für die interne Bestandsaufnahme zu verstehen. Ein „Ja“ beantwortet nur die jeweils formulierte Existenzfrage und ersetzt keine Bewertung, ob die Regelung dem konkreten System und dem erforderlichen Schutzniveau entspricht. Ebenso zeigt ein „Nein“ eine zu prüfende Dokumentationslücke an, ohne allein daraus die rechtliche Einordnung oder die Höhe einer möglichen Sanktion abzuleiten.

Weiter entdecken

Korrekturen und Transparenz

Wenn du falsche oder veraltete Angaben findest, sende uns die Seite und die zu prüfende Quelle.