Article 17 de l'AI Act : Système de gestion de la qualité pour les fournisseurs d'IA à haut risque

Précision normative : l'article 17 régit la qualité, non l'enregistrement

Il est fondamental de clarifier une confusion fréquente dans la littérature secondaire : l'article 17 du Règlement (UE) 2024/1689 ne régit pas l'enregistrement des systèmes dans la base de données de l'Union européenne. Cette obligation relève spécifiquement de l'article 49. L'article 17 se concentre exclusivement sur l'obligation de mettre en place un système de gestion de la qualité (SGQ) garantissant la conformité du règlement par les fournisseurs de systèmes d'IA à haut risque.

Cette distinction est critique pour les équipes de conformité. Alors que l'enregistrement (art. 49) est un acte administratif ponctuel d'inscription, le SGQ (art. 17) est une infrastructure organisationnelle continue couvrant tout le cycle de vie du système. Confondre les deux peut amener les organisations à sous-estimer la charge opérationnelle de l'article 17, qui exige des politiques, des procédures et des instructions écrites systématiques, et non un simple formulaire d'inscription.

Le SGQ organise la façon dont le fournisseur conçoit, contrôle et suit son système, tandis que l’enregistrement répond à une obligation distincte. La différence ne se résume donc pas à deux documents portant des noms différents. Une inscription ne décrit pas à elle seule les procédures de conception, de validation ou de suivi appliquées au quotidien. Pour examiner la conformité, il faut garder ces objets séparés et comprendre comment les procédures écrites se rattachent au fonctionnement du système. La présence d’un dossier ne dispense pas de vérifier ce que les procédures couvrent effectivement.

Contenu obligatoire du système de gestion de la qualité

Le paragraphe 1 de l'article 17 établit que le SGQ doit être documenté de manière systématique et ordonnée sous forme de politiques, de procédures et d'instructions écrites. La norme énumère treize aspects minimaux à inclure. Il ne s'agit pas d'une liste exhaustive, mais d'un plancher normatif : les fournisseurs peuvent ajouter des éléments supplémentaires si leur contexte l'exige.

Parmi les éléments les plus pertinents figurent la stratégie de conformité réglementaire (lettre a), qui doit inclure les procédures d'évaluation de la conformité et la gestion des modifications ; les techniques de conception et de développement (lettres b et c) ; et les procédures d'examen, de test et de validation (lettre d), qui doivent spécifier leur fréquence. L'inclusion du système de gestion des risques (art. 9) et du système de surveillance post-commercialisation (art. 72) dans le SGQ est également obligatoire.

Les aspects énumérés dans le règlement constituent une structure de documentation, et non une simple liste de titres à recopier. Pour chaque aspect, la question utile est de savoir quelle procédure décrit le travail concerné et comment elle s’articule avec les autres. Les examens et validations, par exemple, doivent être reliés à la conception et à ses modifications, plutôt que figurer comme une étape isolée. Cette lecture aide à comprendre le caractère systématique et ordonné exigé pour les politiques, procédures et instructions écrites, sans confondre l’existence de ces textes avec une preuve suffisante de leur application.

Proportionnalité et adaptation à la taille de l'organisation

Le paragraphe 2 de l'article 17 introduit un principe de proportionnalité : l'application des aspects du SGQ doit être proportionnelle à la taille de l'organisation du fournisseur. Cela signifie qu'une startup n'est pas obligée d'avoir la même complexité documentaire qu'une grande corporation, à condition de respecter le degré de rigueur et le niveau de protection nécessaires pour garantir la conformité.

Cependant, cette proportionnalité n'est pas une exemption. Le texte juridique avertit explicitement que, en tout état de cause, les fournisseurs respecteront la rigueur nécessaire. Pour les PME, cela implique d'adapter la granularité des procédures, non de les supprimer. Par exemple, une PME peut intégrer la gestion des risques dans un document unique de gouvernance, tandis qu'une grande entreprise pourrait avoir des départements séparés pour chaque aspect.

La proportionnalité permet de réfléchir à l’organisation des procédures tout en maintenant leur contenu nécessaire. Rassembler plusieurs aspects dans un même document peut être un choix de présentation ; cela ne fait pas disparaître les obligations correspondantes. À l’inverse, multiplier les documents ne démontre pas un niveau supérieur de conformité si leurs responsabilités ou leurs liens restent difficiles à comprendre. Le critère à examiner est la capacité du dispositif à couvrir les aspects requis avec la rigueur nécessaire. L’adaptation à la taille ne doit pas devenir une justification pour laisser une procédure essentielle indéfinie.

Lien avec les autres obligations de l'AI Act

Le SGQ n'opère pas dans le vide. L'article 17.1.g oblige à inclure le système de gestion des risques de l'article 9, et le 17.1.h exige la création et le maintien du système de surveillance post-commercialisation de l'article 72. Cela crée une architecture de conformité intégrée où le SGQ est le conteneur unifiant les obligations techniques et organisationnelles.

De plus, le SGQ doit soutenir la supervision humaine exigée par l'article 14. Les procédures de conception et de développement (art. 17.1.b-c) doivent inclure les mesures garantissant que le système peut être efficacement supervisé par des êtres humains. Si le SGQ ne documente pas la mise en œuvre de la supervision humaine, le fournisseur ne peut pas démontrer la conformité à l'article 14 devant les autorités de surveillance du marché.

L’intégration de la gestion des risques et de la surveillance après commercialisation relie les procédures du SGQ à des activités qui se poursuivent pendant la vie du système. Un résultat de suivi peut conduire à réexaminer un risque ou une mesure de conception ; une modification doit à son tour pouvoir être suivie dans les procédures concernées. Cette articulation explique pourquoi le SGQ ne se limite pas à un dossier préparé au moment de l’enregistrement. Elle ne garantit toutefois pas que toutes les interactions ont été correctement traitées : leur adéquation doit être examinée dans le contexte du système.

Liste de contrôle de conformité et conséquences du non-respect

Pour démontrer la conformité à l'article 17 devant les autorités, les fournisseurs doivent pouvoir présenter un SGQ documenté couvrant les treize aspects minimaux. Le non-respect de cette obligation est considéré comme une infraction grave, susceptible de sanctions allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, selon l'article 99.

La liste de contrôle ci-dessous permet de vérifier l'existence des éléments obligatoires. Elle ne remplace pas le conseil juridique, mais sert d'outil d'auto-évaluation initial pour identifier les lacunes dans la documentation.

Une liste de contrôle peut servir à repérer une absence de documentation ou une responsabilité non définie. Elle ne doit pas transformer la réponse « oui » à une question en certification de conformité. Il faut encore déterminer si les procédures correspondent au système et si les exigences applicables ont été correctement interprétées. Le même principe vaut pour les sanctions : mentionner un plafond ne signifie pas qu’il serait appliqué automatiquement dans chaque situation. Pour prendre une décision juridique sur un cas concret, l’auto-évaluation documentaire doit être distinguée d’une analyse des obligations et des circonstances particulières.

Poursuivre l’exploration

Corrections et transparence

Si vous repérez une information incorrecte ou obsolète, envoyez-nous la page et la source à vérifier.