Artikel 17 — Kvalitetsstyringssystem (EU's AI-forordning)

Artikel 17 i forordning (EU) 2024/1689 — Kvalitetsstyringssystem. Officiel tekst, praktisk fortolkning, centrale forpligtelser og implikationer for overholdelse.

Resumé af den officielle tekst

Artikel 17 i forordning (EU) 2024/1689 kræver, at udbydere af højrisiko-AI-systemer indfører et kvalitetsstyringssystem (KSS), inden sådanne systemer bringes i omsætning eller tages i brug. KSS skal dokumenteres på en systematisk og ordentlig måde og skal dække alle stadier af AI-systemets livscyklus.

Forordningen præciserer, at KSS som minimum skal adressere: udbyderens strategi for overholdelse af lovgivningen, herunder procedurer for overensstemmelsesvurdering; de teknikker, procedurer og systematiske handlinger, der anvendes til design, designkontrol og verifikation af AI-systemet; datahåndteringsprocedurer, der dækker dataindsamling, -opsamling, -analyse, -mærkning, -lagring, -filtrering, -udvinding, -aggregering og -opbevaring; risikostyringssystemet som fastsat i artikel 9; etablering og gennemførelse af systemet til overvågning efter markedsføring i overensstemmelse med artikel 72; procedurer for hændelsesrapportering i overensstemmelse med artikel 73; håndtering af kommunikation med kompetente myndigheder, bemyndigede organer og andre relevante operatører; systemer og procedurer for registrering; ressourcestyring herunder forsyningskæderelaterede foranstaltninger; og en ansvarsramme, der dokumenterer ansvarsforhold i hele organisationen.

Hvor udbydere er fysiske personer eller mikrovirksomheder som defineret i Kommissionens henstilling 2003/361/EF, er Kommissionen bemyndiget til at vedtage gennemførelsesretsakter, der tillader forenklede KSS-ordninger, idet proportionalitetsprincippet, der gennemsyrer forordningen, anerkendes.

Hvad dette betyder i praksis

For enhver organisation, der udvikler eller bringer et højrisiko-AI-system i omsætning på EU-markedet, betyder artikel 17, at overholdelse ikke kan være en engangsøvelse, der udføres på tidspunktet for lanceringen. Det skal være indlejret i et levende organisatorisk system, der styrer hele produktets livscyklus — fra de første designbeslutninger over udrulning, overvågning og til eventuel udfasning.

Konkret skal en udbyder kunne dokumentere, at der findes dokumenterede procedurer, og at de følges på hvert trin. En udbyder af AI til sundhedssektoren kan for eksempel ikke blot træne en model og indsende den til overensstemmelsesvurdering. Organisationen skal vise, at dataindsamlingen fulgte dokumenterede governance-regler, at designvalg blev gennemgået i forhold til risikokriterier, at ansvarsområder for tilsyn er tildelt og registreret, og at der findes en mekanisme til at opdage og rapportere hændelser efter udrulning.

KSS-kravet betyder, at overholdelse er lige så meget en organisatorisk og proceduremæssig udfordring som en teknisk. Virksomheder, der allerede opererer under ISO 9001 eller sektorspecifikke ledelsesrammer — såsom ISO 13485 inden for medicinsk udstyr — vil finde betydelige overlap, men vil stadig skulle kortlægge deres eksisterende systemer eksplicit i forhold til AI-forordningens krav frem for at antage ækvivalens.

Mindre udbydere drager fordel af proportionalitetsbestemmelsen: mikrovirksomheder kan kvalificere sig til forenklede ordninger under gennemførelsesretsakter udstedt af Kommissionen. Dette fritager dem imidlertid ikke fra de underliggende materielle forpligtelser; det kan kun påvirke den form, hvori disse forpligtelser dokumenteres og administreres.

I praksis bør udbydere behandle KSS som den centrale rygrad, hvorfra alle andre overholdelses-artefakter — teknisk dokumentation, risikoregistre, planer for overvågning efter markedsføring, hændelseslogge — genereres og styres.

Centrale forpligtelser

• Etablere et dokumenteret kvalitetsstyringssystem inden et højrisiko-AI-system bringes i omsætning eller tages i brug, der dækker alle livscyklusfaser.
• Integrere de risikostyringsprocedurer, der kræves af artikel 9, i KSS, og sikre, at risikoidentifikation, -evaluering og -begrænsning er systematisk og sporbar.
• Dokumentere datahåndteringspraksis, der dækker indsamling, mærkning, behandling, lagring og opbevaring, i overensstemmelse med datahåndteringskravene i artikel 10.
• Vedligeholde den tekniske dokumentation specificeret i artikel 11 og bilag IV som et KSS-output og holde den opdateret og tilgængelig med henblik på overensstemmelsesvurdering og markedsovervågning.
• Implementere procedurer for overvågning efter markedsføring og hændelsesrapportering inden for KSS-rammen i overensstemmelse med henholdsvis artikel 72 og 73.
• Definere og dokumentere ansvarsstrukturer, roller og ansvar på tværs af organisationen, herunder forsyningskædetilsyn, hvor tredjepartskomponenter bidrager til AI-systemet.

Forholdet til andre artikler

Artikel 17 fungerer som den organisatoriske rygrad i overholdelses-regimet for højrisiko-AI-systemer, der er etableret i afsnit III, kapitel 3. Den henter sit materielle indhold fra flere indbyrdes sammenhængende forpligtelser: risikostyringssystemet i artikel 9, data- og datagovernance-kravene i artikel 10 og den tekniske dokumentationsordning i artikel 11 bidrager alle direkte til, hvad KSS skal dække og producere.

KSS skal også understøtte overensstemmelsesvurderingsprocedurerne i artikel 43 og 44, da den dokumentation, det genererer, udgør det primære bevis, der gennemgås af bemyndigede organer eller selvvurderingsprocesser. Forpligtelser efter udrulning i henhold til artikel 72 (overvågning efter markedsføring) og artikel 73 (rapportering af alvorlige hændelser) skal være indlejret i KSS-procedurer snarere end administreret som separate ad hoc-aktiviteter.

Artikel 26 pålægger brugere pligter, der er adskilte fra, men komplementære til KSS-forpligtelserne for udbydere. Hvor udbydere og brugere overlapper — for eksempel hvor en organisation både udvikler og udrullker et højrisiko-AI-system internt — skal artikel 17's KSS læses i sammenhæng med artikel 26's brugerforpligtelser for at sikre fuld dækning.

Overholdelses-tidslinje

EU's AI-forordning trådte i kraft den 1. august 2024 efter offentliggørelse i Den Europæiske Unions Tidende. Anvendelsen af dens bestemmelser er faseinddelt:

• Februar 2025 — Forbud mod AI-praksisser med uacceptabel risiko (artikel 5) blev anvendelige.
• August 2025 — Forpligtelser vedrørende AI-modeller til generelle formål (afsnit VIII) blev anvendelige.
• 2. august 2026 — Artikel 17 bliver anvendelig for udbydere af højrisiko-AI-systemer opført i bilag III (systemer inden for områder som biometri, kritisk infrastruktur, uddannelse, beskæftigelse, væsentlige tjenester, retshåndhævelse, migration og retspleje).
• 2. august 2027 — Artikel 17 bliver anvendelig for udbydere af højrisiko-AI-systemer, der er reguleret af bilag I (AI-komponenter i produkter, der allerede er underlagt EU-harmoniseringslovgivning såsom medicinsk udstyr, maskiner og luftfartsudstyr).

Udbydere, hvis systemer allerede er på markedet inden disse datoer, drager fordel af overgangsordninger i henhold til artikel 111, som kan udsætte fulde KSS-overholdelses-forpligtelser med forbehold for betingelser vedrørende væsentlige ændringer og igangværende overensstemmelsesvurderingscyklusser. Organisationer bør begynde KSS-design og gap-vurderinger i god tid inden den gældende frist for at muliggøre intern validering, inddragelse af bemyndiget organ, hvor det kræves, og iterativ forfining inden forpligtelsen træder i kraft.