Artigo 17 do AI Act: Sistema de gestão da qualidade para fornecedores de IA de alto risco

Precisão normativa: o Artigo 17 regula a qualidade, não o registo

É fundamental esclarecer uma confusão frequente na literatura secundária: o Artigo 17 do Regulamento (UE) 2024/1689 não regula o registo dos sistemas na base de dados da União Europeia. Essa obrigação corresponde especificamente ao Artigo 49. O Artigo 17 centra-se exclusivamente na obrigação de implementar um sistema de gestão da qualidade (SGQ) que garanta o cumprimento do regulamento por parte dos fornecedores de sistemas de IA de alto risco.

Esta distinção é crítica para as equipas de conformidade. Enquanto o registo (Art. 49) é um ato administrativo pontual de inscrição, o SGQ (Art. 17) é uma infraestrutura organizacional contínua que abrange todo o ciclo de vida do sistema. Confundir ambos pode levar as organizações a subestimar a carga operacional do Artigo 17, que exige políticas, procedimentos e instruções escritas sistemáticas, e não apenas um formulário de inscrição.

A diferença entre ambas as obrigações também ajuda a ordenar o trabalho interno. O registo identifica formalmente o sistema conforme ao procedimento aplicável; o sistema de gestão da qualidade permite organizar e conservar a documentação que sustenta o cumprimento ao longo do tempo. Por isso, completar a inscrição não substitui a implementação do SGQ, e dispor de procedimentos internos também não elimina por si só a obrigação de registo quando esta for aplicável.

Compreender o SGQ como uma estrutura contínua implica que as suas políticas e procedimentos devem poder ser utilizados para orientar as atividades e deixar constância de como são geridas. Não basta reunir documentos sem relação entre si: devem formar um conjunto sistemático que permita vincular as responsabilidades, as decisões e as tarefas de conformidade com o sistema de IA de alto risco correspondente. Essa lógica distingue uma ferramenta de gestão de um simples processo administrativo.

Conteúdo obrigatório do sistema de gestão da qualidade

O n.º 1 do Artigo 17 estabelece que o SGQ deve estar documentado de forma sistemática e ordenada sob a forma de políticas, procedimentos e instruções escritas. A norma enumera treze aspetos mínimos que devem ser incluídos. Não se trata de uma lista exaustiva, mas de um piso normativo: os fornecedores podem adicionar elementos adicionais se o seu contexto o exigir.

Entre os elementos mais relevantes destaca-se a estratégia de conformidade normativa (alínea a), que deve incluir os procedimentos de avaliação de conformidade e a gestão de modificações; as técnicas de conceção e desenvolvimento (alíneas b e c); e os procedimentos de exame, teste e validação (alínea d), que devem especificar a frequência da sua realização. É também obrigatória a inclusão do sistema de gestão de riscos (Art. 9) e do sistema de monitorização pós-comercialização (Art. 72) dentro do SGQ.

A enumeração de treze aspetos funciona como um enquadramento comum para que o SGQ cubra as atividades relevantes, desde a estratégia de conformidade até à prestação de contas. A expressão «aspetos mínimos» é importante: delimita o conteúdo que não deve ser omitido, mas não converte a lista num catálogo fechado nem determina que cada elemento tenha de existir como documento separado. A forma concreta de o organizar deve continuar a permitir identificar que política ou procedimento atende a cada obrigação.

Na prática, a estratégia de conformidade e os procedimentos de avaliação de conformidade relacionam-se com o controlo das modificações: o fornecedor deve integrar ambos os assuntos na documentação do SGQ, em vez de os tratar como procedimentos desconectados. Da mesma forma, as técnicas de conceção e desenvolvimento e os procedimentos de exame, teste e validação descrevem partes conectadas de um processo. Especificar a frequência das atividades de exame e teste ajuda a que o escrito possa orientar a sua realização e não fique reduzido a uma descrição geral.

A gestão de dados reúne fases distintas que o texto menciona expressamente, como a aquisição, a análise, a etiquetagem, o armazenamento e a conservação. Incorporá-las no SGQ permite que a documentação descreva como se administram esses processos dentro da organização. A norma também inclui a gestão de riscos e a monitorização pós-comercialização, pelo que o conteúdo do sistema deve dar cabimento a essas obrigações e à notificação de incidentes graves indicada na tabela.

O enquadramento de prestação de contas completa essa visão organizativa ao estabelecer responsabilidades da direção e do pessoal. A sua presença evita que a documentação se limite a enumerar controlos sem identificar quem deve geri-los. Em conjunto, os elementos permitem relacionar o planeamento da conformidade, as tarefas técnicas, a gestão de dados, a monitorização e as responsabilidades, sem perder de vista que o SGQ deve ficar documentado de maneira ordenada.

Proporcionalidade e adaptação ao tamanho da organização

O n.º 2 do Artigo 17 introduz um princípio de proporcionalidade: a aplicação dos aspetos do SGQ deve ser proporcional ao tamanho da organização do fornecedor. Isto significa que uma startup não está obrigada a ter a mesma complexidade documental que uma grande corporação, desde que se respeite o grau de rigor e o nível de proteção necessários para garantir a conformidade.

No entanto, esta proporcionalidade não é uma isenção. O texto legal adverte explicitamente que, em qualquer caso, os fornecedores respeitarão o rigor necessário. Para as PME, isto implica adaptar a granularidade dos procedimentos, não eliminá-los. Por exemplo, uma PME pode integrar a gestão de riscos num documento único de governança, enquanto uma grande empresa poderia ter departamentos separados para cada aspeto.

A proporcionalidade afeta a maneira de aplicar os aspetos do sistema, não a existência da obrigação. O tamanho da organização pode influenciar a estrutura e o grau de detalhe da documentação, mas o fornecedor continua a ter de cobrir os aspetos pertinentes e manter o rigor necessário. Por isso, simplificar não equivale a omitir: uma estrutura mais compacta deve continuar a tornar compreensíveis os procedimentos e as responsabilidades.

O Regulamento não fornece uma medida quantitativa que converta o tamanho da organização num número predeterminado de documentos, níveis de revisão ou controlos. Em consequência, a adaptação requer avaliar se a organização proposta permite gerir e atestar as obrigações do SGQ sem sacrificar o nível de rigor necessário. Essa falta de uma escala numérica não elimina o princípio de proporcionalidade, mas aconselha evitar que se apresente como uma isenção automática ou como uma fórmula idêntica para todas as organizações.

A comparação entre um documento integrado e vários manuais separados ilustra uma diferença de formato, não uma redução do conteúdo obrigatório. Um protocolo único pode reunir várias fases sempre que as descreva com clareza e permita reconhecer como são geridas. Por outro lado, dividir a documentação em distintos documentos não demonstra por si só que o sistema seja mais completo: o determinante é que o conjunto cubra os aspetos aplicáveis e resulte sistemático e suficiente para o propósito do SGQ.

Ligação a outras obrigações do AI Act

O SGQ não opera no vácuo. O Artigo 17.1.g obriga a incluir o sistema de gestão de riscos do Artigo 9, e o 17.1.h exige a criação e manutenção do sistema de monitorização pós-comercialização do Artigo 72. Isto cria uma arquitetura de conformidade integrada onde o SGQ é o contêiner que unifica as obrigações técnicas e organizacionais.

Além disso, o SGQ deve suportar a supervisão humana exigida pelo Artigo 14. Os procedimentos de conceção e desenvolvimento (Art. 17.1.b-c) devem incluir as medidas para garantir que o sistema possa ser supervisionado eficazmente por pessoas humanas. Se o SGQ não documentar como se implementa a supervisão humana, o fornecedor não pode demonstrar o cumprimento do Artigo 14 perante as autoridades de vigilância do mercado.

A integração descrita nesta secção implica que as obrigações relacionadas não deviam manter-se como peças isoladas da documentação. O sistema de gestão de riscos e a monitorização pós-comercialização fazem parte do enquadramento que o SGQ deve incorporar, enquanto as técnicas de conceção e desenvolvimento podem servir para documentar como se articula a supervisão humana. Assim, a organização pode seguir o vínculo entre uma obrigação e os procedimentos internos que contribuem para a gerir, sem confundir a função do SGQ com a de cada obrigação substantiva.

Essa conexão documental facilita que a informação se mantenha coerente entre os distintos componentes. Se o fornecedor modificar os seus procedimentos, a estratégia de conformidade e a gestão de modificações mencionadas no conteúdo mínimo oferecem o contexto para rever as relações entre os elementos. A finalidade não é adicionar uma camada independente de requisitos, mas tornar visível como se organiza o cumprimento das obrigações que o texto já vincula com o sistema de qualidade.

O fluxo de integração descrito relaciona a documentação técnica do Anexo IV com os procedimentos do SGQ. Isto reforça a ideia de que o sistema não é apenas uma declaração geral de políticas: deve oferecer um enquadramento organizativo para produzir e conservar documentação associada ao cumprimento. Nesse enquadramento, a supervisão humana, a gestão de riscos e a monitorização pós-comercialização ficam conectadas com as práticas de conceção e com a estratégia de conformidade, sem que uma referência substitua as demais.

Checklist de conformidade e consequências do incumprimento

Para demonstrar o cumprimento do Artigo 17 perante as autoridades, os fornecedores devem poder apresentar um SGQ documentado que cubra os treze aspetos mínimos. O incumprimento desta obrigação é considerado uma infração grave, suscetível de sanções de até 15 milhões de euros ou 3% do volume de negócios anual mundial, o que for maior, segundo o Artigo 99.

A checklist a seguir permite verificar a existência dos elementos obrigatórios. Não substitui o aconselhamento jurídico, mas serve como ferramenta de autoavaliação inicial para identificar lacunas na documentação.

A autoavaliação da checklist pode entender-se como uma revisão inicial de cobertura e de ordem documental. Uma resposta afirmativa só é útil se existir documentação localizável que sustente a resposta e que permita identificar o procedimento correspondente; marcar «Sim» sem essa base não ajuda a detetar lacunas. Da mesma forma, uma resposta negativa sinaliza um assunto que convém rever, mas não determina por si só a avaliação jurídica da situação.

As perguntas incluídas cobrem alguns pontos visíveis do sistema, não substituem a revisão completa dos treze aspetos mínimos descritos no Artigo 17. Portanto, a tabela deve ler-se junto com a enumeração anterior e não como uma lista exaustiva de requisitos. Para que a verificação seja consistente, convém contrastar a estratégia de conformidade, a documentação escrita, a gestão de dados, as responsabilidades e a proporcionalidade com o conjunto do SGQ.

A referência às sanções deve manter-se dentro do seu alcance: o incumprimento das obrigações do fornecedor pode dar lugar às multas indicadas no Artigo 99, mas a checklist não calcula uma sanção nem permite antecipar o resultado de uma atuação concreta. Além disso, a proporcionalidade não significa que o rigor seja opcional. A ferramenta serve para ordenar uma revisão preliminar da documentação e reconhecer possíveis carências, sem substituir a análise jurídica que corresponda ao caso.

Continue a explorar

Correções e transparência

Se encontrar informação incorreta ou desatualizada, envie-nos a página e a fonte que devemos rever.