Artigo 17.º: Sistema de gestão da qualidade
1.
Os prestadores de sistemas de IA de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado devem criar um sistema de gestão da qualidade que assegure a conformidade com o presente regulamento. Esse sistema deve estar documentado de maneira sistemática e ordenada, sob a forma de políticas, procedimentos e instruções escritos, e incluir, no mínimo, os seguintes aspetos:
(a)
Uma estratégia para o cumprimento da regulamentação, incluindo a observância de procedimentos de avaliação da conformidadeavaliação da conformidadeo processo de demonstrar se estão preenchidos os requisitos relacionados com um sistema de IAsistema de IAum sistema baseado em máquinas concebido para funcionar com níveis de autonomia variáveis, e que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, e com base nos dados de entrada que recebe, infere a forma de gerar resultados, tais como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuaisArticle 3(1) de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado estabelecidos no capítulo III, secção 2Article 3(20) e de procedimentos de gestão de modificações do sistema de IAsistema de IAum sistema baseado em máquinas concebido para funcionar com níveis de autonomia variáveis, e que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, e com base nos dados de entrada que recebe, infere a forma de gerar resultados, tais como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuaisArticle 3(1) de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado;
(b)
Técnicas, procedimentos e ações sistemáticas a utilizar para a conceção, controlo da conceção e verificação da conceção do sistema de IAsistema de IAum sistema baseado em máquinas concebido para funcionar com níveis de autonomia variáveis, e que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, e com base nos dados de entrada que recebe, infere a forma de gerar resultados, tais como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuaisArticle 3(1) de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado;
(c)
Técnicas, procedimentos e ações sistemáticas a utilizar para o desenvolvimento, controlo da qualidade e garantia da qualidade do sistema de IAsistema de IAum sistema baseado em máquinas concebido para funcionar com níveis de autonomia variáveis, e que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, e com base nos dados de entrada que recebe, infere a forma de gerar resultados, tais como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuaisArticle 3(1) de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado;
(d)
Procedimentos de exame, teste e validação a realizar antes, durante e após o desenvolvimento do sistema de IAsistema de IAum sistema baseado em máquinas concebido para funcionar com níveis de autonomia variáveis, e que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, e com base nos dados de entrada que recebe, infere a forma de gerar resultados, tais como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuaisArticle 3(1) de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado e a frequência com a qual têm de ser realizados;
(e)
Especificações técnicas, incluindo normas, a aplicar e, se as normas harmonizadas em causa não forem aplicadas na íntegra, ou não abrangerem todos os requisitos pertinentes estabelecidos na secção 2, os meios a usar para assegurar que o sistema de IAsistema de IAum sistema baseado em máquinas concebido para funcionar com níveis de autonomia variáveis, e que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, e com base nos dados de entrada que recebe, infere a forma de gerar resultados, tais como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuaisArticle 3(1) de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado cumpra esses requisitos;
(f)
Sistemas e procedimentos de gestão de dados, incluindo aquisição de dados, recolha de dados, análise de dados, rotulagem de dados, armazenamento de dados, filtragem de dados, prospeção de dados, agregação de dados, conservação de dados e qualquer outra operação relativa aos dados que seja realizada antes e para efeitos da colocação no mercadocolocação no mercadoa primeira disponibilização de um sistema de IAsistema de IAum sistema baseado em máquinas concebido para funcionar com níveis de autonomia variáveis, e que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, e com base nos dados de entrada que recebe, infere a forma de gerar resultados, tais como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuaisArticle 3(1) ou de um modelo de IA de finalidade geral no mercado da UniãoArticle 3(9) ou colocação em serviçocolocação em serviçoo fornecimento, diretamente ao responsável pela implantação ou para utilização própria, de um sistema de IAsistema de IAum sistema baseado em máquinas concebido para funcionar com níveis de autonomia variáveis, e que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, e com base nos dados de entrada que recebe, infere a forma de gerar resultados, tais como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuaisArticle 3(1) para a primeira utilização na União com a finalidade previstafinalidade previstaa utilização a que o prestadorprestadoruma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que desenvolva, ou mande desenvolver, um sistema de IA ou um modelo de IA de finalidade geral e o coloque no mercado, ou coloque o sistema de IA em serviço sob o seu próprio nome ou a sua própria marca, a título oneroso ou gratuitoArticle 3(3) destina o sistema de IAsistema de IAum sistema baseado em máquinas concebido para funcionar com níveis de autonomia variáveis, e que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, e com base nos dados de entrada que recebe, infere a forma de gerar resultados, tais como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuaisArticle 3(1), incluindo o contexto específico e as condições de utilização, conforme especificado nas informações facultadas pelo prestadorprestadoruma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que desenvolva, ou mande desenvolver, um sistema de IA ou um modelo de IA de finalidade geral e o coloque no mercado, ou coloque o sistema de IA em serviço sob o seu próprio nome ou a sua própria marca, a título oneroso ou gratuitoArticle 3(3) nas instruções de utilização, nos materiais e declarações promocionais ou de venda, bem como na documentação técnicaArticle 3(12)Article 3(11) de sistemas de IA de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado;
(g)
O sistema de gestão de riscos a que se refere o artigo 9.º;
(h)
O estabelecimento, aplicação e manutenção de um sistema de acompanhamento pós-comercializaçãosistema de acompanhamento pós-comercializaçãotodas as atividades empreendidas pelos prestadores de sistemas de IA para recolher e analisar dados sobre a experiência adquirida com a utilização de sistemas de IA por eles colocados no mercado ou colocados em serviço, com vista a identificar a eventual necessidade de aplicar imediatamente as eventuais medidas corretivas ou preventivas necessáriasArticle 3(25), nos termos do artigo 72.º;
(i)
Procedimentos de comunicação de um incidente graveincidente gravequalquer incidente ou anomalia num sistema de IAsistema de IAum sistema baseado em máquinas concebido para funcionar com níveis de autonomia variáveis, e que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, e com base nos dados de entrada que recebe, infere a forma de gerar resultados, tais como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuaisArticle 3(1) que, direta ou indiretamente, tenha alguma das seguintes consequências:Article 3(49) em conformidade com o artigo 73.º;
(j)
A gestão da comunicação com autoridades nacionais competentes, outras autoridades pertinentes, incluindo as que disponibilizam ou apoiam o acesso a dados, organismos notificados, outros operadores, clientes ou outras partes interessadas;
(k)
Sistemas e procedimentos de manutenção de registos de toda a documentação e informação pertinente;
(l)
Gestão de recursos, incluindo medidas relacionadas com a segurança do aprovisionamento;
(m)
Um regime que defina as responsabilidades do pessoal com funções de gestão e do restante pessoal no atinente a todos os aspetos elencados no presente número.
2.
A aplicação dos aspetos referidos no n.º 1 deve ser proporcionada à dimensão da organização do prestadorprestadoruma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que desenvolva, ou mande desenvolver, um sistema de IA ou um modelo de IA de finalidade geral e o coloque no mercado, ou coloque o sistema de IA em serviço sob o seu próprio nome ou a sua própria marca, a título oneroso ou gratuitoArticle 3(3), nomeadamente se o prestadorprestadoruma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que desenvolva, ou mande desenvolver, um sistema de IA ou um modelo de IA de finalidade geral e o coloque no mercado, ou coloque o sistema de IA em serviço sob o seu próprio nome ou a sua própria marca, a título oneroso ou gratuitoArticle 3(3) for uma PME, nomeadamente uma empresa em fase de arranque, ou uma pequena empresa de média capitalizaçãopequena empresa de média capitalizaçãouma pequena empresa de média capitalização na aceção do ponto 2 do anexo da Recomendação (UE) 2025/1099Article 3(14b). Os prestadores devem, em qualquer caso, respeitar o grau de rigor e o nível de proteção necessários para garantir a conformidade dos seus sistemas de IA de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado com o presente regulamento.A aplicação dos aspetos referidos no n.º 1 deve ser proporcionada à dimensão da organização do prestadorprestadoruma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que desenvolva, ou mande desenvolver, um sistema de IA ou um modelo de IA de finalidade geral e o coloque no mercado, ou coloque o sistema de IA em serviço sob o seu próprio nome ou a sua própria marca, a título oneroso ou gratuitoArticle 3(3). Os prestadores devem, em qualquer caso, respeitar o grau de rigor e o nível de proteção necessários para garantir a conformidade dos seus sistemas de IA de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado com o presente regulamento.
3.
Os prestadores de sistemas de IA de riscoriscoa combinação da probabilidade de ocorrência de danos com a gravidade desses danosArticle 3(2) elevado sujeitos a obrigações relativas aos sistemas de gestão da qualidade ou a uma função equivalente nos termos da legislação setorial aplicável da União podem incluir os aspetos enumerados no n.º 1 como parte dos sistemas de gestão da qualidade estabelecidos nos termos dessa legislação.
4.
Para os prestadores que sejam instituições financeiras sujeitas a requisitos em matéria de governação, mecanismos ou processos internos nos termos do direito da União no domínio dos serviços financeiros, considera-se que a obrigação de criar um sistema de gestão da qualidade, com exceção do n.º 1, alíneas g), h) e i) do presente artigo, é satisfeita mediante o cumprimento das regras em matéria de governação, mecanismos ou processos internos nos termos do direito da União aplicável no domínio dos serviços financeiros. Para o efeito, devem ser tidas em conta as eventuais normas harmonizadas a que se refere o artigo 40.º.