17. cikk — Minőségirányítási rendszer (az EU MI-rendelete)

Az (EU) 2024/1689 rendelet 17. cikke — Minőségirányítási rendszer. Hivatalos szöveg, gyakorlati értelmezés, főbb kötelezettségek és a megfelelésre gyakorolt hatások.

A hivatalos szöveg összefoglalója

Az (EU) 2024/1689 rendelet 17. cikke előírja, hogy a nagy kockázatú MI-rendszerek szolgáltatói az ilyen rendszerek forgalomba hozatala vagy üzembe helyezése előtt minőségirányítási rendszert (MIR) vezessenek be. Az MIR-t szisztematikus, rendezett módon kell dokumentálni, és az MI-rendszer életciklusának minden szakaszát le kell fednie.

A rendelet kimondja, hogy az MIR-nek legalább a következőket kell lefednie: a szolgáltató szabályozási megfelelési stratégiáját, beleértve a megfelelőségértékelési eljárásokat; az MI-rendszer tervezéséhez, tervezésellenőrzéséhez és ellenőrzéséhez alkalmazott technikákat, eljárásokat és szisztematikus intézkedéseket; az adatok megszerzésére, gyűjtésére, elemzésére, felcímkézésére, tárolására, szűrésére, bányászatára, összesítésére és megőrzésére kiterjedő adatkezelési eljárásokat; a 9. cikkben előírt kockázatkezelési rendszert; a 72. cikkel összhangban lévő forgalomba hozatal utáni megfigyelési rendszer kialakítását és működtetését; a 73. cikknek megfelelő incidens-bejelentési eljárásokat; az illetékes hatóságokkal, bejelentett szervezetekkel és más érintett üzemeltetőkkel való kommunikáció kezelését; a nyilvántartás-megőrzési rendszereket és eljárásokat; az erőforrás-gazdálkodást, ideértve az ellátási lánccal kapcsolatos intézkedéseket; valamint egy elszámoltathatósági keretrendszert, amely dokumentálja a szervezeten belüli felelősségeket.

Ha a szolgáltatók természetes személyek vagy a 2003/361/EK bizottsági ajánlás szerinti mikrovállalkozások, a Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el az egyszerűsített MIR-megállapodások engedélyezésére, elismerve az arányosság elvét, amely végigvonul a rendeleten.

Gyakorlati jelentősége

Minden olyan szervezet számára, amely nagy kockázatú MI-rendszert fejleszt vagy helyez az EU piacára, a 17. cikk azt jelenti, hogy a megfelelés nem lehet egyszeri, a kibocsátás pillanatában elvégzett feladat. Be kell ágyazódnia egy élő szervezeti rendszerbe, amely a termék teljes életciklusát irányítja — a kezdeti tervezési döntésektől az üzembe helyezésen, megfigyelésen át a végső kivonásig.

Konkrétan, a szolgáltatónak bizonyítania kell, hogy minden egyes szakaszban dokumentált eljárások léteznek és azokat be is tartják. Egy egészségügyi MI-szolgáltató például nem egyszerűen betaníthat egy modellt és benyújthatja azt megfelelőségértékelésre. A szervezetnek igazolnia kell, hogy az adatbeszerzés dokumentált irányítási szabályokat követett, hogy a tervezési döntéseket kockázati szempontok szerint felülvizsgálták, hogy a felügyeleti felelősségeket kiosztották és rögzítették, és hogy létezik egy mechanizmus az üzembe helyezés utáni incidensek észlelésére és bejelentésére.

Az MIR-követelmény azt jelenti, hogy a megfelelés ugyanúgy szervezeti és eljárási kihívás, mint technikai. Az ISO 9001 vagy ágazatspecifikus irányítási keretek — például az orvostechnikai eszközökre vonatkozó ISO 13485 — alapján működő vállalatok jelentős átfedéseket fognak találni, de még mindig szükségük lesz arra, hogy meglévő rendszereiket kifejezetten leképezzék az MI-rendelet követelményeire ahelyett, hogy egyenértékűséget feltételeznének.

A kisebb szolgáltatók részesülnek az arányossági rendelkezésből: a mikrovállalkozások jogosultak lehetnek a Bizottság által kiadott végrehajtási jogi aktusok szerinti egyszerűsített megállapodásokra. Ez azonban nem mentesíti őket az alapvető anyagi kötelezettségek alól; kizárólag a kötelezettségek dokumentálásának és kezelésének formájára lehet hatása.

Gyakorlatilag a szolgáltatóknak az MIR-t kell tekinteniük a központi gerincnek, amelyből az összes többi megfelelési dokumentum — technikai dokumentáció, kockázati nyilvántartások, forgalomba hozatal utáni megfigyelési tervek, incidensnapló — keletkezik és amellyel ezeket irányítják.

Főbb kötelezettségek

• Dokumentált minőségirányítási rendszer kialakítása a nagy kockázatú MI-rendszer forgalomba hozatala vagy üzembe helyezése előtt, az életciklus összes fázisára kiterjedően.
• A 9. cikk által előírt kockázatkezelési eljárások integrálása az MIR-be, biztosítva, hogy a kockázatok azonosítása, értékelése és csökkentése szisztematikus és nyomon követhető legyen.
• Az adatkezelési gyakorlatok dokumentálása, amely kiterjed a megszerzésre, felcímkézésre, feldolgozásra, tárolásra és megőrzésre, összhangban a 10. cikk adatirányítási követelményeivel.
• A 11. cikkben és a IV. mellékletben meghatározott technikai dokumentáció fenntartása MIR-kimenetként, naprakészen és hozzáférhetően tartva azt a megfelelőségértékelés és piacfelügyelet céljára.
• Forgalomba hozatal utáni megfigyelési és incidens-bejelentési eljárások megvalósítása az MIR-keretrendszeren belül, összhangban a 72. és 73. cikkel.
• Elszámoltathatósági struktúrák, szerepek és felelősségek meghatározása és dokumentálása az egész szervezeten belül, beleértve az ellátási lánc felügyeletét, ahol harmadik féltől származó komponensek járulnak hozzá az MI-rendszerhez.

Kapcsolat más cikkekkel

A 17. cikk a III. cím 3. fejezetében megállapított nagy kockázatú MI-rendszer megfelelési rezsim szervezeti gerince. Anyagi tartalmát több összefonódó kötelezettségből meríti: a 9. cikk kockázatkezelési rendszere, a 10. cikk adatra és adatirányításra vonatkozó követelményei, valamint a 11. cikk technikai dokumentációs rezsimje közvetlenül meghatározza, hogy az MIR-nek mit kell lefednie és mit kell előállítania.

Az MIR-nek támogatnia kell a 43. és 44. cikk szerinti megfelelőségértékelési eljárásokat is, mivel az általa generált dokumentáció képezi a bejelentett szervezetek vagy önértékelési folyamatok által felülvizsgált elsődleges bizonyítékot. A 72. cikk (forgalomba hozatal utáni megfigyelés) és a 73. cikk (súlyos incidensek bejelentése) szerinti üzembe helyezés utáni kötelezettségeket be kell ágyazni az MIR eljárásaiba ahelyett, hogy különálló eseti tevékenységként kezelnék őket.

A 26. cikk a felhasználókra különálló, de a szolgáltatók MIR-kötelezettségeit kiegészítő kötelezettségeket ró ki. Ott, ahol a szolgáltatók és a felhasználók átfednek — például ha egy szervezet belső nagy kockázatú MI-rendszert fejleszt és vezet be —, a 17. cikk szerinti MIR-t a 26. cikk felhasználói kötelezettségeivel együtt kell olvasni a teljes lefedettség biztosítása érdekében.

Megfelelési ütemterv

Az EU MI-rendelete 2024. augusztus 1-jén lépett hatályba az Európai Unió Hivatalos Lapjában való közzétételét követően. Rendelkezéseinek alkalmazása fokozatos:

• 2025. február — Alkalmazandóvá váltak a nem elfogadható kockázatú MI-gyakorlatokra vonatkozó tilalmak (5. cikk).
• 2025. augusztus — Alkalmazandóvá váltak az általános célú MI-modellekre vonatkozó kötelezettségek (VIII. cím).
• 2026. augusztus 2. — A 17. cikk alkalmazandóvá válik a III. mellékletben felsorolt nagy kockázatú MI-rendszerek szolgáltatóira (biometria, kritikus infrastruktúra, oktatás, foglalkoztatás, alapvető szolgáltatások, bűnüldözés, migráció és igazságszolgáltatás igazgatása területén működő rendszerek).
• 2027. augusztus 2. — A 17. cikk alkalmazandóvá válik az I. melléklet (az orvostechnikai eszközökre, gépekre és repülőtéri berendezésekre vonatkozó uniós harmonizációs jogszabályoknak már alávetett termékekben lévő MI-összetevők) hatálya alá tartozó nagy kockázatú MI-rendszerek szolgáltatóira.

Azok a szolgáltatók, akiknek rendszerei az említett dátumok előtt már a piacon vannak, részesülnek a 111. cikk szerinti átmeneti rendelkezésekből, amelyek elhalaszthatják a teljes MIR-megfelelési kötelezettségeket a lényeges módosításokra és a folyamatban lévő megfelelőségértékelési ciklusokra vonatkozó feltételekre figyelemmel. A szervezeteknek jóval az alkalmazandó határidő előtt kell megkezdeniük az MIR tervezését és hiányelemzéseket, hogy lehetőséget adjanak a belső validálásra, a szükséges esetekben a bejelentett szervezettel való együttműködésre és az iteratív finomításra, mielőtt a kötelezettség alkalmazandóvá válik.