Articolo 17 dell'AI Act: Sistema di gestione della qualità per i fornitori di IA ad alto rischio

Precisione normativa: l'Articolo 17 regola la qualità, non la registrazione

È fondamentale chiarire una confusione frequente nella letteratura secondaria: l'Articolo 17 del Regolamento (UE) 2024/1689 non regola la registrazione dei sistemi nel database dell'Unione Europea. Questo obbligo spetta specificamente all'Articolo 49. L'Articolo 17 si concentra esclusivamente sull'obbligo di implementare un sistema di gestione della qualità (SGQ) che garantisca la conformità al regolamento da parte dei fornitori di sistemi di IA ad alto rischio.

Questa distinzione è critica per i team di conformità. Mentre la registrazione (Art. 49) è un atto amministrativo puntuale di iscrizione, il SGQ (Art. 17) è un'infrastruttura organizzativa continua che copre l'intero ciclo di vita del sistema. Confondere i due può portare le organizzazioni a sottovalutare il carico operativo dell'Articolo 17, che richiede politiche, procedure e istruzioni scritte sistematiche, non solo un modulo di iscrizione.

La differenza tra i due obblighi aiuta inoltre a organizzare il lavoro interno. La registrazione identifica formalmente il sistema in base alla procedura applicabile, mentre il sistema di gestione della qualità consente di organizzare e conservare la documentazione che supporta la conformità nel tempo. Di conseguenza, completare l'iscrizione non sostituisce l'implementazione del SGQ, e disporre di procedure interne non elimina da solo l'obbligo di registrazione quando quest'ultimo è applicabile.

Comprendere il SGQ come una struttura continua implica che le sue politiche e procedure debbano poter essere utilizzate per orientare le attività e lasciare traccia di come vengono gestite. Non è sufficiente raccogliere documenti senza relazione tra loro: devono formare un insieme sistematico che consenta di collegare le responsabilità, le decisioni e i compiti di conformità al corrispondente sistema di IA ad alto rischio. Questa logica distingue uno strumento di gestione da un semplice fascicolo amministrativo.

Contenuto obbligatorio del sistema di gestione della qualità

Il paragrafo 1 dell'Articolo 17 stabilisce che il SGQ deve essere documentato in modo sistematico e ordinato sotto forma di politiche, procedure e istruzioni scritte. La norma elenca tredici aspetti minimi che devono essere inclusi. Non si tratta di un elenco esaustivo, ma di un pavimento normativo: i fornitori possono aggiungere elementi aggiuntivi se il loro contesto lo richiede.

Tra gli elementi più rilevanti spiccano la strategia di conformità normativa (lettera a), che deve includere le procedure di valutazione di conformità e la gestione delle modifiche; le tecniche di progettazione e sviluppo (lettere b e c); e le procedure di esame, prova e validazione (lettera d), che devono specificare la frequenza della loro esecuzione. È inoltre obbligatorio includere il sistema di gestione dei rischi (Art. 9) e il sistema di sorveglianza post-commercializzazione (Art. 72) all'interno del SGQ.

L'elenco di tredici aspetti funziona come un quadro comune affinché il SGQ copra le attività rilevanti, dalla strategia di conformità alla rendicontazione. L'espressione 'aspetti minimi' è importante: delimita il contenuto che non deve essere omesso, ma non trasforma l'elenco in un catalogo chiuso né determina che ogni elemento debba esistere come documento separato. La forma concreta di organizzazione deve continuare a consentire di identificare quale politica o procedura soddisfi ciascuna obbligazione.

Nella pratica, la strategia di conformità e le procedure di valutazione di conformità si collegano al controllo delle modifiche: il fornitore deve integrare entrambe le questioni nella documentazione del SGQ, anziché trattarle come pratiche disconnesse. Allo stesso modo, le tecniche di progettazione e sviluppo e le procedure di esame, prova e validazione descrivono parti connesse di un processo. Specificare la frequenza delle attività di esame e prova aiuta affinché ciò che è scritto possa orientarne l'esecuzione e non si riduca a una descrizione generale.

La gestione dei dati riunisce fasi distinte che il testo menziona esplicitamente, come l'acquisizione, l'analisi, l'etichettatura, lo stoccaggio e la conservazione. Incorporarle nel SGQ consente alla documentazione di descrivere come vengono amministrati tali processi all'interno dell'organizzazione. La norma include anche la gestione dei rischi e il monitoraggio post-commercializzazione, quindi il contenuto del sistema deve accogliere queste obbligazioni e la notifica di incidenti gravi indicata nella tabella.

Il quadro di rendicontazione completa questa visione organizzativa stabilendo le responsabilità della direzione e del personale. La sua presenza evita che la documentazione si limiti a elencare controlli senza identificare chi debba gestirli. Nel complesso, gli elementi consentono di collegare la pianificazione della conformità, i compiti tecnici, la gestione dei dati, il monitoraggio e le responsabilità, senza perdere di vista che il SGQ deve essere documentato in modo ordinato.

Proporzionalità e adattamento alle dimensioni dell'organizzazione

Il paragrafo 2 dell'Articolo 17 introduce un principio di proporzionalità: l'applicazione degli aspetti del SGQ deve essere proporzionata alle dimensioni dell'organizzazione del fornitore. Ciò significa che una startup non è obbligata ad avere la stessa complessità documentale di una grande corporation, a condizione che venga rispettato il grado di rigore e il livello di protezione necessari per garantire la conformità.

Tuttavia, questa proporzionalità non è un'esenzione. Il testo legale avverte esplicitamente che, in ogni caso, i fornitori rispetteranno il rigore necessario. Per le PMI, ciò implica adattare la granularità delle procedure, non eliminarle. Ad esempio, una PMI può integrare la gestione dei rischi in un unico documento di governance, mentre una grande azienda potrebbe avere dipartimenti separati per ciascun aspetto.

La proporzionalità riguarda il modo di applicare gli aspetti del sistema, non l'esistenza dell'obbligo. Le dimensioni dell'organizzazione possono influenzare la struttura e il livello di dettaglio della documentazione, ma il fornitore deve comunque coprire gli aspetti pertinenti e mantenere il rigore necessario. Pertanto, semplificare non equivale a omettere: una struttura più compatta deve continuare a rendere comprensibili le procedure e le responsabilità.

Il Regolamento non fornisce una misura quantitativa che converta le dimensioni dell'organizzazione in un numero predeterminato di documenti, livelli di revisione o controlli. Di conseguenza, l'adattamento richiede di valutare se la struttura proposta consenta di gestire e attestare le obbligazioni del SGQ senza sacrificare il livello di rigore necessario. Questa mancanza di una scala numerica non elimina il principio di proporzionalità, ma consiglia di evitare che venga presentato come un'esenzione automatica o come una formula identica per tutte le organizzazioni.

Il confronto tra un documento integrato e diversi manuali separati illustra una differenza di formato, non una riduzione del contenuto obbligatorio. Un protocollo unico può riunire diverse fasi purché le descriva con chiarezza e consenta di riconoscere come vengono gestite. Al contrario, dividere la documentazione in diversi documenti non dimostra da solo che il sistema sia più completo: ciò che conta è che l'insieme copra gli aspetti applicabili e risulti sistematico e sufficiente per lo scopo del SGQ.

Collegamento con altri obblighi dell'AI Act

Il SGQ non opera nel vuoto. L'Articolo 17.1.g obbliga a includere il sistema di gestione dei rischi dell'Articolo 9, e il 17.1.h richiede la creazione e il mantenimento del sistema di sorveglianza post-commercializzazione dell'Articolo 72. Questo crea un'architettura di conformità integrata in cui il SGQ è il contenitore che unifica gli obblighi tecnici e organizzativi.

Inoltre, il SGQ deve supportare la supervisione umana richiesta dall'Articolo 14. Le procedure di progettazione e sviluppo (Art. 17.1.b-c) devono includere le misure per garantire che il sistema possa essere efficacemente supervisionato da persone umane. Se il SGQ non documenta come viene implementata la supervisione umana, il fornitore non può dimostrare la conformità all'Articolo 14 alle autorità di vigilanza del mercato.

L'integrazione descritta in questa sezione implica che le obbligazioni correlate non dovrebbero essere mantenute come pezzi isolati della documentazione. Il sistema di gestione dei rischi e il monitoraggio post-commercializzazione fanno parte del quadro che il SGQ deve incorporare, mentre le tecniche di progettazione e sviluppo possono servire a documentare come si articola la supervisione umana. Così, l'organizzazione può seguire il legame tra un'obbligazione e le procedure interne che contribuiscono a gestirla, senza confondere la funzione del SGQ con quella di ciascuna obbligazione sostanziale.

Questa connessione documentale facilita il mantenimento della coerenza delle informazioni tra i diversi componenti. Se il fornitore modifica le sue procedure, la strategia di conformità e la gestione delle modifiche menzionate nel contenuto minimo offrono il contesto per rivedere le relazioni tra gli elementi. Lo scopo non è aggiungere un livello indipendente di requisiti, ma rendere visibile come si organizza il rispetto degli obblighi previsti per il sistema di qualità.

La documentazione tecnica dell'Allegato IV appare anche nel flusso come un elemento che deve essere generato e mantenuto secondo le procedure del SGQ. Questo rafforza l'idea che il sistema non sia solo una dichiarazione generale di politiche: deve offrire un quadro organizzativo per produrre e conservare documentazione associata alla conformità. In questo quadro, la supervisione umana, la gestione dei rischi e il monitoraggio post-commercializzazione restano collegati alle pratiche di progettazione e alla strategia di conformità, senza che un riferimento sostituisca gli altri.

Checklist di conformità e conseguenze del mancato rispetto

Per dimostrare la conformità all'Articolo 17 alle autorità, i fornitori devono poter presentare un SGQ documentato che copra i tredici aspetti minimi. Il mancato rispetto di questo obbligo è considerato una violazione grave, soggetta a sanzioni fino a 15 milioni di euro o al 3% del fatturato annuo mondiale, a seconda di quale sia maggiore, secondo l'Articolo 99.

La checklist seguente consente di verificare l'esistenza degli elementi obbligatori. Non sostituisce il parere legale, ma serve come strumento di autovalutazione iniziale per identificare lacune nella documentazione.

L'autovalutazione della checklist può essere intesa come una revisione iniziale della copertura e dell'ordine documentale. Una risposta affermativa è utile solo se esiste documentazione localizzabile che la sostenga e consenta di identificare la procedura corrispondente; segnare 'Sì' senza questa base non aiuta a rilevare le lacune. Allo stesso modo, una risposta negativa indica una questione da rivedere, ma non determina da sola la valutazione giuridica della situazione.

Le domande incluse coprono alcuni punti visibili del sistema, non sostituiscono la revisione completa dei tredici aspetti minimi descritti nell'Articolo 17. Pertanto, la tabella deve essere letta insieme all'elenco precedente e non come un elenco esaustivo dei requisiti. Per una verifica coerente, è opportuno confrontare la strategia di conformità, la documentazione scritta, la gestione dei dati, le responsabilità e la proporzionalità con l'intero SGQ.

Il riferimento alle sanzioni deve rimanere entro il suo ambito: il mancato rispetto delle obbligazioni del fornitore può comportare le multe indicate nell'Articolo 99, ma la checklist non calcola una sanzione né consente di anticipare l'esito di un'azione specifica. Inoltre, la proporzionalità non significa che il rigore sia opzionale. Lo strumento serve a ordinare una revisione preliminare della documentazione e a riconoscere possibili carenze, senza sostituire l'analisi giuridica che compete al caso specifico.

Continua a esplorare

Correzioni e trasparenza

Se trovi un dato errato o non aggiornato, inviaci la pagina e la fonte da verificare.