Articolo 17: Sistema di gestione della qualità
1.
I fornitori di sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) istituiscono un sistema di gestione della qualità che garantisce la conformità al presente regolamento. Tale sistema è documentato in modo sistematico e ordinato sotto forma di politiche, procedure e istruzioni scritte e comprende almeno gli aspetti seguenti:
(a)
una strategia per la conformità normativa, compresa la conformità alle procedure di valutazione della conformitàvalutazione della conformitàla procedura atta a dimostrare se i requisiti di cui al capo III, sezione 2, relativi a un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) sono stati soddisfattiArticle 3(20) e alle procedure per la gestione delle modifiche dei sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2);
(b)
le tecniche, le procedure e gli interventi sistematici da utilizzare per la progettazione, il controllo della progettazione e la verifica della progettazione del sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2);
(c)
le tecniche, le procedure e gli interventi sistematici da utilizzare per lo sviluppo e per il controllo e la garanzia della qualità del sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2);
(d)
le procedure di esame, prova e convalida da effettuare prima, durante e dopo lo sviluppo del sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) e la frequenza con cui devono essere effettuate;
(e)
le specifiche tecniche, comprese le norme, da applicare e, qualora le pertinenti norme armonizzate non siano applicate integralmente, o non includano tutti i requisiti pertinenti di cui alla sezione 2, i mezzi da usare per garantire che il sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) sia conforme a tali requisiti;
(f)
i sistemi e le procedure per la gestione dei dati, compresa l'acquisizione, la raccolta, l'analisi, l'etichettatura, l'archiviazione, la filtrazione, l'estrazione, l'aggregazione, la conservazione dei dati e qualsiasi altra operazione riguardante i dati effettuata prima e ai fini dell'immissione sul mercatoimmissione sul mercatola prima messa a disposizione di un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) o di un modello di IA per finalità generali sul mercato dell'UnioneArticle 3(9) o della messa in serviziomessa in serviziola fornitura di un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) direttamente al deployerdeployeruna persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un'attività personale non professionaleArticle 3(4) per il primo uso o per uso proprio nell'Unione per la finalità previstafinalità previstal'uso di un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) previsto dal fornitorefornitoreuna persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuitoArticle 3(3), compresi il contesto e le condizioni d'uso specifici, come dettagliati nelle informazioni comunicate dal fornitorefornitoreuna persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuitoArticle 3(3) nelle istruzioni per l'uso, nel materiale promozionale o di vendita e nelle dichiarazioni, nonché nella documentazione tecnicaArticle 3(12)Article 3(11) di sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2);
(g)
il sistema di gestione dei rischi di cui all'articolo 9;
(h)
la predisposizione, l'attuazione e la manutenzione di un sistema di monitoraggio successivo all'immissione sul mercatoimmissione sul mercatola prima messa a disposizione di un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) o di un modello di IA per finalità generali sul mercato dell'UnioneArticle 3(9)sistema di monitoraggio successivo all'immissione sul mercatoimmissione sul mercatola prima messa a disposizione di un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) o di un modello di IA per finalità generali sul mercato dell'UnioneArticle 3(9)tutte le attività svolte dai fornitori di sistemi di IA al fine diraccogliere e analizzare l'esperienza maturata tramite l'uso dei sistemi di IA che immettono sul mercato o che mettono in servizio, al fine di individuare eventuali necessità di immediate azioni correttive o preventiveArticle 3(25) a norma dell'articolo 72;
(i)
le procedure relative alla segnalazione di un incidente graveincidente graveun incidente o malfunzionamento di un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) che, direttamente o indirettamente, causa una delle conseguenze seguenti:Article 3(49) a norma dell'articolo 73;
(j)
la gestione della comunicazione con le autorità nazionali competenti, altre autorità pertinenti, comprese quelle che forniscono o sostengono l'accesso ai dati, gli organismi notificati, altri operatori, clienti o altre parti interessate;
(k)
i sistemi e le procedure per la conservazione delle registrazioni e di tutte le informazioni e la documentazione pertinenti;
(l)
la gestione delle risorse, comprese le misure relative alla sicurezza dell'approvvigionamento;
(m)
un quadro di responsabilità che definisca le responsabilità della dirigenza e di altro personale per quanto riguarda tutti gli aspetti elencati nel presente paragrafo.
2.
L'attuazione degli aspetti di cui al paragrafo 1 è proporzionata alle dimensioni dell'organizzazione del fornitorefornitoreuna persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuitoArticle 3(3), in particolare se questo è una PMI, anche nel caso di una start-up, o una piccola impresa a media capitalizzazione. I fornitori rispettano, in ogni caso, il grado di rigore e il livello di protezione necessari per garantire la conformità dei loro sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) al presente regolamento.L'attuazione degli aspetti di cui al paragrafo 1 è proporzionata alle dimensioni dell'organizzazione del fornitorefornitoreuna persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuitoArticle 3(3). I fornitori rispettano, in ogni caso, il grado di rigore e il livello di protezione necessari per garantire la conformità dei loro sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) al presente regolamento.
3.
I fornitori di sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) soggetti agli obblighi relativi ai sistemi di gestione della qualità o a una funzione equivalente a norma del pertinente diritto settoriale dell'Unione possono includere gli aspetti elencati al paragrafo 1 nell'ambito dei sistemi di gestione della qualità stabiliti a norma di tale diritto.
4.
Per i fornitori che sono istituti finanziari soggetti a requisiti in materia di governance, dispositivi o processi interni stabiliti a norma del diritto dell'Unione in materia di servizi finanziari, l'obbligo di istituire un sistema di gestione della qualità, ad eccezione del paragrafo 1, lettere g), h) e i), del presente articolo, si considera soddisfatto se sono soddisfatte le regole sui dispositivi o i processi di governance interna a norma del pertinente diritto dell'Unione in materia di servizi finanziari. A tal fine, si tiene conto delle norme armonizzate di cui all'articolo 40.