Article 17 IA Act : Système de gestion de la qualité

Explication de l’article

L’article 17 du Règlement européen sur l’intelligence artificielle (IA Act) impose aux fournisseurs de systèmes d’IA à haut risque de mettre en place un système de gestion de la qualité. Celui-ci doit leur permettre d’organiser leurs activités, de contrôler leurs procédures et de démontrer que leurs systèmes respectent les exigences du règlement.

L’objectif est d’intégrer la conformité dans l’ensemble du cycle de vie du système d’IA : de sa conception et de son développement jusqu’à sa mise sur le marché, puis à son suivi et à la gestion des incidents.

Le système de gestion de la qualité doit être documenté de manière structurée, au moyen de politiques, de procédures et d’instructions écrites. L’article 17 précise les éléments qu’il doit couvrir.

1. Définir une stratégie de conformité réglementaire

Le paragraphe 1, point a), impose au fournisseur de définir une stratégie permettant d’assurer le respect de la réglementation.

Cette stratégie doit notamment prévoir les procédures d’évaluation de la conformité et les modalités de gestion des modifications apportées au système d’IA à haut risque.

Le fournisseur doit donc organiser les contrôles nécessaires avant la mise sur le marché et déterminer comment les changements techniques ou fonctionnels seront examinés. Une modification importante ne doit pas être mise en œuvre sans évaluer ses conséquences sur la conformité du système.

2. Encadrer la conception et le développement du système

Les points b) et c) exigent des méthodes et des procédures systématiques pour concevoir, développer et contrôler la qualité du système. Le fournisseur doit notamment organiser :

le contrôle et la vérification des choix de conception ;
les procédures de développement ;
le contrôle de la qualité et l’assurance qualité ;
les méthodes permettant de vérifier que le système répond aux exigences prévues.

L’objectif est de ne pas limiter la conformité à une vérification effectuée à la fin du développement. Elle doit être intégrée dès les premières étapes du projet.

3. Organiser les tests et la validation

Le point d) impose de prévoir des procédures d’examen, de test et de validation avant, pendant et après le développement du système, ainsi que la fréquence de ces contrôles.

Le fournisseur doit déterminer quels tests sont nécessaires, à quel moment ils doivent être réalisés et comment leurs résultats sont analysés.

Ces procédures permettent notamment d’identifier des défauts, des écarts de performance ou des risques avant que le système soit utilisé dans un contexte réel.

4. Définir les spécifications techniques applicables

Le point e) prévoit que le système de gestion de la qualité doit inclure les spécifications techniques pertinentes, notamment les normes à appliquer.

Lorsque les normes harmonisées pertinentes ne sont pas intégralement appliquées ou ne couvrent pas toutes les exigences applicables, le fournisseur doit définir les moyens permettant de garantir la conformité du système.

Le recours à une norme ne dispense donc pas automatiquement de vérifier le respect de toutes les exigences de l’IA Act.

5. Organiser la gestion des données

Le point f) exige des procédures de gestion des données couvrant notamment leur acquisition, leur collecte, leur analyse, leur étiquetage, leur stockage, leur filtrage, leur exploration, leur agrégation et leur conservation.

Ces procédures concernent les opérations effectuées avant la mise sur le marché ou la mise en service du système, ainsi que celles réalisées à cette fin.

Cette exigence complète l’article 10, qui porte sur la gouvernance et la qualité des données. Elle vise à garantir que leur traitement est organisé, contrôlé et cohérent avec les objectifs de conformité du système.

6. Intégrer la gestion des risques

Le point g) impose d’inclure dans le système de gestion de la qualité le dispositif de gestion des risques prévu à l’article 9.

Le fournisseur doit donc organiser l’identification, l’évaluation et le traitement des risques liés au système d’IA à haut risque, ainsi que le suivi de l’efficacité des mesures mises en œuvre.

La gestion des risques doit être intégrée aux procédures internes et rester cohérente avec les évolutions du système.

7. Prévoir le suivi après la mise sur le marché

Le point h) exige l’élaboration, la mise en œuvre et le fonctionnement d’un système de surveillance après commercialisation conformément à l’article 72.

La conformité ne s’arrête pas lorsque le système est mis sur le marché. Le fournisseur doit organiser le suivi de son fonctionnement afin de recueillir et d’analyser les informations pertinentes et d’identifier d’éventuels problèmes.

Le système de gestion de la qualité doit donc prévoir comment ces informations seront traitées et comment les enseignements tirés du suivi seront intégrés aux procédures internes.

8. Organiser le signalement des incidents graves

Le point i) impose de prévoir des procédures relatives au signalement des incidents graves, conformément à l’article 73.

Le fournisseur doit déterminer comment les incidents seront identifiés, documentés, examinés et signalés aux autorités compétentes dans les conditions prévues par le règlement.

Des procédures claires permettent d’éviter que les incidents soient traités de manière improvisée et facilitent la mise en œuvre des mesures nécessaires.

9. Encadrer les communications et la conservation des documents

Le point j) exige des procédures pour gérer les communications avec les autorités nationales compétentes, les autres autorités concernées, les organismes notifiés, les autres opérateurs, les clients et les autres parties intéressées.

Le point k) prévoit des systèmes et des procédures permettant de conserver les documents et informations pertinents.

Ces dispositions contribuent à la traçabilité de la conformité et facilitent les échanges avec les autorités lorsqu’elles demandent des informations ou procèdent à un contrôle.

10. Gérer les ressources et définir les responsabilités

Le point l) prévoit une gestion des ressources, notamment des mesures liées à la sécurité d’approvisionnement.

Le point m) exige un cadre de responsabilisation qui définit les responsabilités de la direction et des autres membres du personnel pour l’ensemble des aspects du système de gestion de la qualité.

Le fournisseur doit donc préciser qui est responsable des différentes activités, qui effectue les contrôles et qui intervient lorsqu’un problème est identifié.

L’article 17 n’impose pas la création d’un poste spécifique de responsable de l’IA ou d’un comité de gouvernance particulier. Il exige en revanche que les responsabilités soient clairement définies et que les procédures nécessaires soient effectivement mises en place.

11. Adapter le système à la taille de l’organisation

Le paragraphe 2 prévoit que la mise en œuvre du système de gestion de la qualité doit être proportionnée à la taille de l’organisation du fournisseur, en particulier lorsqu’il s’agit d’une PME, d’une jeune pousse ou d’une petite entreprise à moyenne capitalisation (SMC).

Cette proportionnalité permet d’adapter l’organisation, les procédures et les moyens mobilisés aux caractéristiques de l’entreprise.

Toutefois, elle ne permet pas de réduire le niveau de protection requis ni de renoncer aux exigences nécessaires pour garantir la conformité du système d’IA à haut risque.

12. Tenir compte des systèmes de qualité déjà existants

Le paragraphe 3 permet aux fournisseurs déjà soumis à des obligations relatives à un système de gestion de la qualité, ou à une fonction équivalente, au titre d’une législation sectorielle pertinente de l’Union européenne d’intégrer les aspects de l’article 17 dans ce système existant.

Cette possibilité évite de multiplier inutilement les dispositifs de gestion lorsque plusieurs réglementations s’appliquent au même produit ou à la même activité.

Le paragraphe 4 prévoit une règle particulière pour les établissements financiers soumis aux exigences de gouvernance interne prévues par la législation européenne sur les services financiers. Le respect des règles pertinentes peut valoir respect de l’obligation de mettre en place un système de gestion de la qualité, à l’exception des points g), h) et i) du paragraphe 1, relatifs à la gestion des risques, à la surveillance après commercialisation et au signalement des incidents graves.

Ces obligations particulières restent donc applicables.

Notions clés à comprendre

Système de gestion de la qualité (QMS) : Ensemble organisé de politiques, de procédures, d’instructions et de responsabilités permettant de garantir que les activités liées au système d’IA sont réalisées conformément aux exigences applicables.

Approche cycle de vie : Le QMS doit couvrir toutes les phases : conception, développement, tests, mise sur le marché, surveillance post-commercialisation et mise à jour.

Fournisseur de système d’IA à haut risque : Acteur responsable de la mise sur le marché ou de la mise en service du système sous son nom ou sa marque, dans les conditions prévues par la définition de l’IA Act. C’est à lui qu’incombe l’obligation prévue à l’article 17.

Assurance qualité : Ensemble des méthodes et des contrôles destinés à vérifier que les processus de conception et de développement permettent d’obtenir un système conforme aux exigences prévues.

Gestion des risques : Démarche prévue à l’article 9 visant à identifier, évaluer, traiter et suivre les risques liés au système d’IA à haut risque.

Surveillance après commercialisation : Processus permettant au fournisseur de recueillir et d’analyser des informations sur le fonctionnement du système après sa mise sur le marché ou sa mise en service, conformément à l’article 72.

Incident grave : Événement répondant à la définition prévue par l’IA Act, notamment lorsqu’il entraîne certaines conséquences graves pour la santé, la sécurité ou les droits fondamentaux. Les obligations de signalement sont encadrées par l’article 73.

Cadre de responsabilisation : Organisation qui précise les rôles et responsabilités de la direction et des membres du personnel dans la mise en œuvre et le suivi du système de gestion de la qualité.

Proportionnalité : Principe permettant d’adapter l’organisation du système de gestion de la qualité à la taille du fournisseur, sans diminuer le niveau de conformité et de protection exigé par le règlement.

Amélioration continue : Le QMS doit être révisé régulièrement pour intégrer les retours d’expérience, incidents, évolutions technologiques ou réglementaires.

Exemple pratique

Une entreprise développe un système d’IA à haut risque destiné à aider les établissements de santé à analyser des informations médicales afin de contribuer à la détection de certaines anomalies.

Pour respecter l’article 17, le fournisseur met en place un système de gestion de la qualité documenté, qui couvre les différentes étapes du développement et du suivi du système.

Il commence par définir les responsabilités des équipes techniques, juridiques et qualité. Il formalise ensuite les procédures de conception et de développement, les contrôles des données utilisées et les tests permettant de vérifier les performances du système.

Avant la mise sur le marché, il prévoit une procédure d’évaluation de la conformité et conserve les documents pertinents. Il définit également la manière dont les modifications du logiciel seront examinées afin de déterminer si elles peuvent affecter la conformité.

Après la mise sur le marché, le fournisseur organise le suivi du système. Si des informations révèlent des erreurs récurrentes ou des performances insuffisantes dans certaines situations, elles sont analysées selon les procédures prévues. Le fournisseur peut alors décider de mesures correctives et, si les conditions légales sont réunies, effectuer le signalement requis.

Enfin, il définit les responsabilités de chaque équipe et prévoit une procédure de communication avec les autorités compétentes.

Si l’entreprise est une PME, elle peut adapter l’organisation de ses procédures à ses ressources. Elle doit toutefois conserver un dispositif suffisamment rigoureux pour démontrer que le système respecte les exigences de l’IA Act.

Cet exemple montre que le système de gestion de la qualité ne se limite pas à un dossier administratif : il structure les décisions, les contrôles et les responsabilités tout au long du cycle de vie du système.

Vous ne savez pas comment mettre en place un système de gestion de la qualité pour votre IA ?

L’article 17 impose un système complet documenté couvrant tout le cycle de vie : risques, données, incidents et surveillance post-commercialisation.

Créer mon système qualité avec un expert

Texte original de l’IA Act

Article 17 – Système de gestion de la qualité

1. Les fournisseurs de systèmes d’IA à haut risque mettent en place un système de gestion de la qualité garantissant le respect du présent règlement. Ce système est documenté de manière méthodique et ordonnée sous la forme de politiques, de procédures et d’instructions écrites, et comprend au moins les aspects suivants:

a) une stratégie de respect de la réglementation, notamment le respect des procédures d’évaluation de la conformité et des procédures de gestion des modifications apportées aux systèmes d’IA à haut risque;

b) des techniques, procédures et actions systématiques destinées à la conception des systèmes d’IA à haut risque ainsi qu’au contrôle et à la vérification de cette conception;

c) des techniques, procédures et actions systématiques destinées au développement des systèmes d’IA à haut risque ainsi qu’au contrôle et à l’assurance de leur qualité;

d) des procédures d’examen, de test et de validation à exécuter avant, pendant et après le développement du système d’IA à haut risque, ainsi que la fréquence à laquelle elles doivent être réalisées;

e) des spécifications techniques, notamment des normes, à appliquer et, lorsque les normes harmonisées pertinentes ne sont pas appliquées intégralement, ou ne couvrent pas toutes les exigences pertinentes énoncées à la section 2, les moyens à utiliser pour faire en sorte que le système d’IA à haut risque satisfasse auxdites exigences;

f) les systèmes et procédures de gestion des données, notamment l’acquisition, la collecte, l’analyse, l’étiquetage, le stockage, la filtration, l’exploration, l’agrégation, la conservation des données et toute autre opération concernant les données qui est effectuée avant la mise sur le marché ou la mise en service de systèmes d’IA à haut risque et aux fins de celles-ci;

g) le système de gestion des risques prévu à l’article 9;

h) l’élaboration, la mise en œuvre et le fonctionnement d’un système de surveillance après commercialisation conformément à l’article 72;

i) les procédures relatives au signalement d’un incident grave conformément à l’article 73;

j) la gestion des communications avec les autorités nationales compétentes, les autres autorités compétentes, y compris celles fournissant ou facilitant l’accès aux données, les organismes notifiés, les autres opérateurs, les clients ou d’autres parties intéressées;

k) les systèmes et procédures de conservation de tous les documents et informations pertinents;

l) la gestion des ressources, y compris les mesures liées à la sécurité d’approvisionnement;

m) un cadre de responsabilisation définissant les responsabilités de l’encadrement et des autres membres du personnel en ce qui concerne tous les aspects énumérés dans le présent paragraphe.

2. La mise en œuvre des aspects visés au paragraphe 1 est proportionnée à la taille de l’organisation du fournisseur, en particulier si le fournisseur est une PME, y compris une jeune pousse, ou une petite entreprise à moyenne capitalisation. Les fournisseurs respectent, en tout état de cause, le degré de rigueur et le niveau de protection requis afin de garantir que leurs systèmes d’IA à haut risque sont conformes au présent règlement.

3. Les fournisseurs de systèmes d’IA à haut risque qui sont soumis à des obligations relatives aux systèmes de gestion de la qualité, ou liées à l’exercice d’une fonction équivalente en vertu de la législation sectorielle pertinente de l’Union peuvent inclure les aspects énumérés au paragraphe 1 dans les systèmes de gestion de la qualité conformément à ladite législation.

4. Si les fournisseurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l’Union sur les services financiers, la conformité avec les règles relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues dans la législation pertinente de l’Union sur les services financiers vaut respect de l’obligation de mettre en place un système de gestion de la qualité, à l’exception du paragraphe 1, points g), h) et i) du présent article. À cette fin, toute norme harmonisée visée à l’article 40 est prise en considération.

Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.

Perspectives avec d’autres textes

Perspectives européennes

Le RGPD

Le règlement général sur la protection des données (RGPD) complète l’article 17 lorsqu’un système d’IA traite des données à caractère personnel.

L’article 5 du RGPD fixe les principes fondamentaux du traitement, notamment la licéité, la minimisation et l’exactitude. L’article 24 concerne la responsabilité du responsable du traitement, tandis que l’article 32 impose des mesures de sécurité adaptées aux risques.

Le système de gestion de la qualité peut faciliter la coordination entre les procédures de conformité à l’IA Act et celles relatives à la protection des données. Il ne remplace toutefois ni les obligations propres au RGPD ni les documents spécifiques exigés par celui-ci.

La réglementation européenne sur les dispositifs médicaux

Le règlement (UE) 2017/745 relatif aux dispositifs médicaux impose des exigences spécifiques aux fabricants de dispositifs médicaux. Selon le produit concerné, ces exigences peuvent inclure un système de gestion de la qualité et des procédures de surveillance.

Lorsqu’un dispositif médical intègre un système d’IA à haut risque, le fournisseur doit examiner les exigences applicables au titre des deux règlements. L’article 17, paragraphe 3, permet, dans les conditions prévues, d’intégrer les aspects de l’IA Act au système de qualité déjà exigé par la législation sectorielle.

Cette coordination doit permettre de couvrir toutes les obligations applicables, sans présumer que le respect d’un seul règlement suffit à démontrer la conformité à l’ensemble des textes.

Les normes harmonisées et la qualité

L’article 17, paragraphe 1, point e), fait référence aux spécifications techniques et aux normes pertinentes. Les normes de management de la qualité, telles que la norme ISO 9001 lorsqu’elle est adaptée au contexte, peuvent aider une organisation à structurer ses procédures.

Toutefois, l’existence d’une certification ISO 9001 ne démontre pas, à elle seule, la conformité d’un système d’IA à l’IA Act. Le fournisseur doit vérifier les exigences spécifiques du règlement et les normes harmonisées pertinentes effectivement applicables.

La réglementation européenne des services financiers

Les établissements financiers sont soumis à des exigences spécifiques de gouvernance et de contrôle interne en vertu de la législation européenne applicable à leurs activités.

L’article 17, paragraphe 4, tient compte de ce cadre en prévoyant une règle particulière pour certains établissements financiers. Il maintient néanmoins des obligations spécifiques concernant la gestion des risques, la surveillance après commercialisation et le signalement des incidents graves.

Perspectives françaises

La loi Informatique et Libertés et la CNIL

En France, la loi Informatique et Libertés du 6 janvier 1978 complète le RGPD. Lorsqu’un système d’IA traite des données personnelles, les acteurs concernés doivent déterminer leurs rôles respectifs et respecter les obligations applicables en matière de licéité, de transparence, de sécurité et de droits des personnes.

Un système de gestion de la qualité bien organisé peut faciliter le suivi des responsabilités et des mesures de conformité. Il ne remplace cependant pas les obligations propres au droit des données personnelles.

La CNIL est compétente pour contrôler le respect des règles de protection des données relevant de son champ d’intervention. Les questions relatives à la conformité de l’IA Act doivent également être examinées au regard de la répartition des compétences prévue par le cadre européen et national.

Le Code de la santé publique pour les systèmes médicaux

Lorsqu’un système d’IA est destiné à un usage médical, les dispositions pertinentes du Code de la santé publique et la réglementation européenne sur les dispositifs médicaux peuvent également s’appliquer.

Le fournisseur doit donc coordonner ses procédures de qualité avec les exigences sectorielles pertinentes. Cette démarche est particulièrement importante pour les tests, la gestion des modifications, la surveillance du fonctionnement et le traitement des incidents.

Mettre en place un système de gestion de la qualité complet pour votre IA peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.

Menu IA Act