Source: OJ L, 2024/1689, 12.7.2024 · Consolidated text

Article 17 Système de gestion de la qualité

Summary What does Article 17 of the AI act regulation say?

This article sets out the requirement for providers of high-risk AI systems to establish and maintain a quality management system.

It is a detailed and operational article, laying out a comprehensive list of what that system must cover — from design and development controls, to data management, risk management, post-market monitoring, incident reporting, and internal accountability structures.

The article connects directly to other obligations in the regulation, notably the risk management system under Article 9 and the post-market monitoring and serious incident reporting obligations under Articles 72 and 73, effectively acting as the organisational backbone that ties those requirements together.

Important points:

Implement a quality management system covering the full lifecycle of the high-risk AI system, documented through written policies, procedures and instructions.
The implementation must be proportionate to the size of the organisation, though the required level of rigour and protection must still be met regardless of size.
Providers already subject to quality management obligations under sectoral Union law, including financial institutions governed by Union financial services law, may satisfy most of this article's requirements by complying with those existing frameworks, with the exception of the risk management, post-market monitoring, and serious incident reporting elements.

Springlex's summary of the article is a reading aid, not a substitute for the legal text.

1. Les fournisseurs de systèmes d’IA à haut risque mettent en place un système de gestion de la qualité garantissant le respect du présent règlement. Ce système est documenté de manière méthodique et ordonnée sous la forme de politiques, de procédures et d’instructions écrites, et comprend au moins les aspects suivants:
  1. une stratégie de respect de la réglementation, notamment le respect des procédures d’évaluation de la conformité et des procédures de gestion des modifications apportées aux systèmes d’IA à haut risque;
  2. des techniques, procédures et actions systématiques destinées à la conception des systèmes d’IA à haut risque ainsi qu’au contrôle et à la vérification de cette conception;
  3. des techniques, procédures et actions systématiques destinées au développement des systèmes d’IA à haut risque ainsi qu’au contrôle et à l’assurance de leur qualité;
  4. des procédures d’examen, de test et de validation à exécuter avant, pendant et après le développement du système d’IA à haut risque, ainsi que la fréquence à laquelle elles doivent être réalisées;
  5. des spécifications techniques, notamment des normes, à appliquer et, lorsque les normes harmonisées pertinentes ne sont pas appliquées intégralement, ou ne couvrent pas toutes les exigences pertinentes énoncées à la section 2, les moyens à utiliser pour faire en sorte que le système d’IA à haut risque satisfasse auxdites exigences;
  6. les systèmes et procédures de gestion des données, notamment l’acquisition, la collecte, l’analyse, l’étiquetage, le stockage, la filtration, l’exploration, l’agrégation, la conservation des données et toute autre opération concernant les données qui est effectuée avant la mise sur le marché ou la mise en service de systèmes d’IA à haut risque et aux fins de celles-ci;
  7. le système de gestion des risques prévu à l’article 9;
  8. l’élaboration, la mise en œuvre et le fonctionnement d’un système de surveillance après commercialisation conformément à l’article 72;
  9. les procédures relatives au signalement d’un incident grave conformément à l’article 73;
  10. la gestion des communications avec les autorités nationales compétentes, les autres autorités compétentes, y compris celles fournissant ou facilitant l’accès aux données, les organismes notifiés, les autres opérateurs, les clients ou d’autres parties intéressées;
  11. les systèmes et procédures de conservation de tous les documents et informations pertinents;
  12. la gestion des ressources, y compris les mesures liées à la sécurité d’approvisionnement;
  13. un cadre de responsabilisation définissant les responsabilités de l’encadrement et des autres membres du personnel en ce qui concerne tous les aspects énumérés dans le présent paragraphe.
▼M1ModificationReplacedParagraph 2 replaced by Regulation (EU) 2026/1744, Article 1(11). Published in the Official Journal 24 July 2026.▲
1. La mise en œuvre des aspects visés au paragraphe 1 est proportionnée à la taille de l'organisation du fournisseur, en particulier si le fournisseur est une PME, y compris une jeune pousse, ou une petite entreprise à moyenne capitalisation. Les fournisseurs respectent, en tout état de cause, le degré de rigueur et le niveau de protection requis afin de garantir que leurs systèmes d'IA à haut risque sont conformes au présent règlement.
1. Les fournisseurs de systèmes d’IA à haut risque qui sont soumis à des obligations relatives aux systèmes de gestion de la qualité, ou liées à l’exercice d’une fonction équivalente en vertu de la législation sectorielle pertinente de l’Union peuvent inclure les aspects énumérés au paragraphe 1 dans les systèmes de gestion de la qualité conformément à ladite législation.
1. Si les fournisseurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l’Union sur les services financiers, la conformité avec les règles relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues dans la législation pertinente de l’Union sur les services financiers vaut respect de l’obligation de mettre en place un système de gestion de la qualité, à l’exception du paragraphe 1, points g), h) et i) du présent article. À cette fin, toute norme harmonisée visée à l’article 40 est prise en considération.

Table of contents

Springlex and this text is meant purely as a documentation tool and has no legal effect. No liability is assumed for its content. The authentic version of this act is the one published in the Official Journal of the European Union.

Relevant recitals