Lo esencial
- La evaluación de la conformidad es el procedimiento con el que un proveedor demuestra que un sistema de IA de alto riesgo cumple los requisitos del capítulo III, sección 2, del Reglamento de IA antes de llegar al mercado.
- El artículo 43 abre dos vías: el control interno del anexo VI, o el examen del sistema de gestión de la calidad y de la documentación técnica por un organismo notificado conforme al anexo VII.
- Solo el punto 1 del anexo III, la biometría, puede derivar en un organismo notificado. Los puntos 2 a 8 se autoevalúan.
- El ómnibus digital trasladó al 2 de diciembre de 2027 el plazo de los sistemas autónomos de alto riesgo, y al 2 de agosto de 2028 el de la IA integrada en productos regulados.
- No se ha citado ninguna norma armonizada en el Diario Oficial ni se ha designado ningún organismo notificado, de modo que hoy nadie puede invocar la presunción de conformidad.
Qué es realmente una evaluación de la conformidad
La evaluación de la conformidad no nació con la inteligencia artificial. El mercado único europeo la emplea desde hace décadas para responder a una sola pregunta: ¿cumple este producto las normas que le son aplicables? La Comisión Europea la considera una pieza básica de la libre circulación de mercancías, y la CEI la define como el conjunto de actividades que demuestran el cumplimiento de requisitos especificados.
Son actividades familiares para cualquiera que haya certificado un producto: ensayo, inspección, auditoría, validación y verificación, y certificación. Por encima se sitúa la acreditación, que confirma que el organismo que ensaya o certifica es a su vez competente. El ANSI National Accreditation Board sigue la misma clasificación.
El segundo eje se refiere a quién realiza la comprobación. En la evaluación de primera parte es el proveedor quien revisa su propio producto y emite una declaración. En la de segunda parte lo revisa el comprador. En la de tercera parte interviene un organismo independiente. La mayor parte de la legislación de producto de la Unión combina las tres formas y reserva la intervención externa para las categorías en las que equivocarse sale caro.
Un sistema de IA, sin embargo, rompe el esquema en un punto. No existe muestra física que llevar al banco de ensayo. Una evaluación de la conformidad sobre software que aprende no puede inspeccionar un objeto terminado, así que inspecciona el proceso y el registro documental: cómo se diseñó el sistema, con qué datos se entrenó, cómo se probó, qué riesgos se identificaron y cómo se trataron, y por qué vía puede intervenir una persona. Esa es la razón por la que la versión del Reglamento de IA se parece más a una auditoría de sistema de gestión que a un ensayo de producto, y por la que favorece a las organizaciones que ya cuentan con un programa estructurado de cumplimiento normativo en IA.
¿La necesita siquiera? El filtro del artículo 6
Antes de elegir vía conviene determinar si la obligación resulta aplicable. Muchos equipos se dan por afectados y levantan un expediente que no deben. Otros se consideran fuera del ámbito y nunca documentan el razonamiento, lo que ya constituye por sí mismo un incumplimiento.
Productos del anexo I y sistemas autónomos del anexo III
El artículo 6 abre dos puertas al alto riesgo. Su apartado 1 alcanza a la IA que es componente de seguridad de un producto ya regulado por la legislación de armonización de la Unión recogida en el anexo I, o que constituye ella misma ese producto: productos sanitarios, máquinas, ascensores o juguetes, siempre que dicha legislación ya exija una evaluación por terceros. El apartado 2, junto con el anexo III, cubre ocho ámbitos autónomos: biometría, infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración y administración de justicia.
La distinción tiene consecuencias comerciales inmediatas. Si se sitúa usted en el mundo del anexo I, el artículo 43, apartado 3, inserta los requisitos de IA en el procedimiento de evaluación de la conformidad que su sector ya recorre. No aparece un segundo procedimiento, sino contenido nuevo dentro de uno existente. Si se sitúa en el mundo del anexo III, el procedimiento del Reglamento de IA es todo el procedimiento.
La excepción del artículo 6.3 y el límite de la elaboración de perfiles
El artículo 6, apartado 3, es la salida de emergencia, y resulta más estrecha de lo que sugieren casi todos los resúmenes. Un sistema del anexo III no se considera de alto riesgo cuando no plantea un riesgo importante de perjuicio para la salud, la seguridad o los derechos fundamentales de las personas físicas, siempre que cumpla al menos una de cuatro condiciones: realizar una tarea de procedimiento limitada; mejorar el resultado de una actividad humana ya finalizada; detectar patrones de decisión o desviaciones respecto de patrones anteriores sin sustituir ni influir en la valoración humana en ausencia de una revisión adecuada; o realizar una tarea preparatoria de una evaluación encuadrada en el anexo III.
Una regla prevalece sobre las cuatro. Un sistema que efectúa elaboración de perfiles de personas físicas es siempre de alto riesgo, por muy limitada o preparatoria que parezca la tarea. Los equipos que construyen funciones de ordenación de candidaturas o de puntuación de clientes se equivocan aquí con frecuencia, y por eso la regulación de la IA en recursos humanos deja fuera de juego a tantos proveedores.
La excepción tampoco sale gratis. Quien la invoca debe documentar su valoración antes de la introducción en el mercado o de la puesta en servicio, y registrar el sistema. En ambos supuestos se produce un entregable de cumplimiento. La única cuestión es si se trata de un expediente técnico completo o de una nota de exención motivada.
Las dos vías de evaluación de la conformidad del artículo 43
El artículo 43 es breve, y sus cuatro primeros apartados responden a casi todas las preguntas prácticas.
Anexo VI: el control interno
El control interno es autoevaluación. El proveedor comprueba que su sistema de gestión de la calidad se ajusta al artículo 17, contrasta la documentación técnica con los requisitos del capítulo III, sección 2, y verifica que el diseño y la vigilancia poscomercialización concuerdan con esa documentación. No interviene ningún tercero. Después el proveedor redacta la declaración, coloca el marcado y registra el sistema.
El control interno no rebaja el listón. Aplica el mismo criterio, con menos lectores.
Anexo VII: sistema de gestión de la calidad y documentación técnica
El anexo VII incorpora a un organismo notificado a lo largo de cinco secciones. Este valora si el sistema de gestión de la calidad satisface el artículo 17 y si sigue siendo adecuado y eficaz en su funcionamiento. Después examina la documentación técnica frente a la sección 2, y puede ir más lejos: exigir pruebas adicionales, realizar sus propios ensayos, acceder a los conjuntos de datos de entrenamiento, validación y prueba y, previa solicitud motivada, a los propios modelos entrenados.
La aprobación no es un acto aislado. El organismo realiza auditorías de vigilancia periódicas, y el proveedor debe comunicarle las modificaciones previstas para que decida entre una certificación complementaria y un nuevo examen completo.
Quién puede elegir realmente
Es el punto que con más frecuencia se enuncia de forma imprecisa. El artículo 43, apartado 1, se refiere exclusivamente al punto 1 del anexo III, es decir, a los sistemas biométricos. Esos proveedores pueden optar entre el anexo VI y el anexo VII cuando hayan aplicado normas armonizadas o especificaciones comunes. Si tales normas no existen, se han aplicado solo en parte, o el proveedor no ha aplicado las especificaciones comunes disponibles, la vía del anexo VII pasa a ser obligatoria.
El artículo 43, apartado 2, cubre los puntos 2 a 8 del anexo III y no deja margen: esos proveedores siguen el procedimiento de control interno del anexo VI, sin intervención de organismo notificado. Si su sistema puntúa créditos, corrige exámenes, filtra currículos o realiza triaje de urgencias, ningún organismo independiente lo dará por bueno. Lo firma usted.
Dos matices conviene retener. Primero, cuando un sistema de alto riesgo esté destinado a ser puesto en servicio por autoridades policiales, de inmigración o de asilo, o por instituciones de la Unión, es la autoridad de vigilancia del mercado la que actúa como organismo notificado. Segundo, el artículo 43, apartado 6, permite a la Comisión extender por acto delegado la vía del anexo VII a los puntos 2 a 8, ponderando la eficacia del control interno frente a la capacidad disponible de los organismos notificados. La autoevaluación de hoy no tiene garantizado seguir siéndolo.
Las pruebas que examina una evaluación de la conformidad
Sea cual sea la vía, la lista de lectura es la misma. Una evaluación de la conformidad se alimenta de los entregables que el capítulo III, sección 2, ya obliga a mantener.
- Artículo 9, un sistema de gestión de riesgos que abarque todo el ciclo de vida, con riesgos identificados, medidas adoptadas y juicio sobre el riesgo residual. Ahí es donde una práctica disciplinada de gestión de riesgos de IA se amortiza.
- Artículo 10, datos y gobernanza de datos: procedencia, pertinencia, representatividad y examen de sesgos de los conjuntos de entrenamiento, validación y prueba.
- Artículo 11 y anexo IV, la documentación técnica, elaborada antes de la introducción en el mercado y mantenida al día. Es el entregable más voluminoso y el de plazo más largo, y por eso la documentación de sistemas de IA merece un frente de trabajo propio.
- Artículo 12, registro automático de acontecimientos durante toda la vida del sistema.
- Artículo 13, transparencia e instrucciones de uso que permitan al responsable del despliegue interpretar y utilizar la salida.
- Artículo 14, supervisión humana incorporada al diseño, obligación distinta de la decisión operativa entre human in the loop y human on the loop.
- Artículo 15, exactitud, solidez y ciberseguridad, con métricas declaradas.
- Artículo 17, el sistema de gestión de la calidad que enlaza todo lo anterior en políticas, procedimientos y responsabilidades documentadas.
Al releer la lista aparece una constante. Nada de esto puede fabricarse retrospectivamente en las semanas previas a un examen. Las pruebas de gobernanza de datos se recogen mientras se ensamblan los datos. Las decisiones sobre riesgo se consignan cuando se toman. Una evaluación de la conformidad no crea el cumplimiento: lo fotografía.
Qué se firma al final
Tres actos formales cierran la evaluación de la conformidad, cada uno con su propio artículo.
El artículo 47 exige una declaración UE de conformidad, redactada para cada sistema de alto riesgo, conservada durante diez años desde la introducción en el mercado o la puesta en servicio y facilitada a las autoridades nacionales competentes cuando la soliciten. Al firmarla, el proveedor asume la responsabilidad del cumplimiento.
El artículo 48 regula el marcado CE, sujeto a los principios generales del artículo 30 del Reglamento (CE) n.º 765/2008. Debe colocarse de manera visible, legible e indeleble o, cuando la naturaleza del sistema no lo permita, en el embalaje o en la documentación adjunta. En los sistemas suministrados por vía digital solo se admite un marcado CE digital si resulta fácilmente accesible desde la interfaz o mediante un código legible por máquina. Cuando haya intervenido un organismo notificado, su número de identificación sigue al marcado y deja constancia visible de la vía seguida.
El artículo 49 y el anexo VIII imponen el registro en la base de datos de la UE antes de la introducción en el mercado, incluso para los proveedores que hayan concluido, al amparo del artículo 6, apartado 3, que su sistema del anexo III no es de alto riesgo. Como el registro es un acto público, conviene tratar la ficha como comunicación externa y no como un formulario.
La infraestructura que aún no existe
Aquí está el punto que omiten los artículos mejor posicionados, y que cambia el aspecto de un plan sensato.
La vía del anexo VII depende de los organismos notificados. Según la información disponible en la primavera de 2026, todavía no se había designado ningún organismo para la evaluación de la conformidad conforme al Reglamento de IA, con procedimientos de designación en marcha en varios Estados miembros y con la base de datos NANDO de la Comisión en proceso de ampliación a las notificaciones sobre IA. La capacidad, cuando llegue, será limitada y compartida en toda la Unión.
La vía del anexo VI depende, para resultar practicable, de las normas armonizadas. La Comisión encomendó el mandato a CEN y CENELEC en mayo de 2023 y lo modificó en junio de 2025 para alinearlo con el texto definitivo. Los trabajos incumplieron su objetivo de agosto de 2025 y, a mediados de 2026, ningún entregable del JTC 21 había sido citado en el Diario Oficial, que es el paso del que deriva la presunción de conformidad. CEN y CENELEC respondieron con un paquete excepcional de medidas que autoriza la publicación directa tras un voto de encuesta favorable, con el fin de alcanzar disponibilidad hacia finales de 2026. El panorama de normalización sigue el estado de los trabajos, y las preguntas frecuentes de la propia Comisión reconocen la tensión de plazos.
Superponga ambos elementos y el callejón sin salida se hace visible. El artículo 43, apartado 1, empuja a los proveedores de biometría hacia un organismo notificado precisamente cuando no se aplican normas armonizadas, y no aplicarlas es hoy la única opción posible. Entretanto, todo proveedor encuadrado en los puntos 2 a 8 debe autoevaluarse frente al texto legal desnudo, sin una norma que lo traduzca en criterios verificables.
La respuesta razonable no es esperar. Construya ya el expediente del anexo IV, ejecute el procedimiento del anexo VI como ensayo general frente a la sección 2 y anote las brechas, vigile las citas en el Diario Oficial para invocar la presunción en cuanto esté disponible y, si opera en biometría, abra pronto el diálogo con los organismos candidatos. Mientras tanto, alinear sus controles con ISO/IEC 42001 y el Reglamento de IA sigue siendo el sustituto más eficaz disponible.
Cuándo hay que repetirlo todo
Una evaluación de la conformidad no es definitiva. El artículo 43, apartado 4, exige una nueva siempre que un sistema de alto riesgo sufra una modificación sustancial, con independencia de que el sistema modificado se distribuya de nuevo o siga en uso por el responsable del despliegue actual.
La excepción contenida en ese mismo apartado merece diseñarse desde el principio. Los cambios predeterminados por el proveedor y documentados en la documentación técnica en el momento de la evaluación inicial no constituyen modificaciones sustanciales, tampoco en los sistemas que siguen aprendiendo tras su introducción en el mercado. Esa única frase es la base jurídica sobre la que un modelo actualizado de forma continua permanece conforme entre un examen y otro. Implica además que el margen de cambio debe escribirse en el expediente desde el inicio, de manera deliberada y amplia, porque todo lo que quede fuera desencadena una repetición completa.
Bajo el anexo VII la obligación es continua y no puntual. El proveedor informa al organismo notificado de las modificaciones previstas en el sistema de gestión de la calidad aprobado o en las especificaciones del sistema, y el organismo decide si basta una certificación complementaria o hace falta un nuevo examen. Junto a ello se sitúan las auditorías de vigilancia periódicas, y por eso la monitorización continua del cumplimiento importa más que un esfuerzo final hacia una fecha de lanzamiento.
El nuevo calendario y los próximos doce meses
Todos los artículos de la competencia sobre esta materia siguen citando el 2 de agosto de 2026. Esa fecha ya no es correcta.
El Reglamento (UE) 2026/1744, ómnibus digital sobre IA, fue respaldado por el Parlamento Europeo el 16 de junio de 2026 con 423 votos a favor, 57 en contra y 174 abstenciones, recibió la aprobación definitiva del Consejo el 29 de junio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026, seis días antes del plazo original. Las obligaciones de los sistemas autónomos de alto riesgo del anexo III se aplican ahora desde el 2 de diciembre de 2027, con un aplazamiento de dieciséis meses. La IA integrada en productos del anexo I pasa al 2 de agosto de 2028. Las prácticas prohibidas, en vigor desde el 2 de febrero de 2025, y las obligaciones sobre IA de uso general permanecen sin cambios. El cuadro completo figura en nuestra guía operativa del Reglamento de IA y en el panorama normativo de 2026.
Dieciséis meses parecen generosos hasta que se secuencia el trabajo. Clasificar conforme al artículo 6 y dejar el razonamiento por escrito. Levantar el sistema de gestión de la calidad del artículo 17, examinado en ambas vías. Reunir el anexo IV, que en un sistema de cierta complejidad se mide en trimestres y no en semanas. Realizar un análisis de brechas requisito por requisito frente a la sección 2. Decidir la vía y, si es el anexo VII, asegurar un organismo. Solo entonces preparar la declaración, el marcado y la ficha de registro. Los equipos que lean la nueva fecha como un alivio y no como un calendario llegarán a ella con un expediente incompleto, y eso es justamente lo que una evaluación de la conformidad está diseñada para sacar a la luz.
Preguntas frecuentes
¿Qué significa evaluación de la conformidad?
La evaluación de la conformidad es el proceso mediante el cual se demuestra que un producto, servicio, sistema, proceso o persona cumple los requisitos de una norma o disposición determinada. Abarca ensayo, inspección, auditoría, validación y verificación, y certificación, y puede realizarla el propio proveedor, el comprador o un tercero independiente. La acreditación se sitúa por encima y confirma la competencia del organismo evaluador.
¿Qué son las evaluaciones de la conformidad aplicadas a la IA?
Conforme al Reglamento de IA, se trata del procedimiento que un proveedor debe completar antes de introducir en el mercado un sistema de IA de alto riesgo, para demostrar que satisface los requisitos del capítulo III, sección 2. A diferencia de un ensayo de producto, examina documentación y procesos: gestión de riesgos, gobernanza de datos, documentación técnica, registro de acontecimientos, transparencia, supervisión humana, exactitud y sistema de gestión de la calidad.
¿Necesito un organismo notificado para mi sistema de alto riesgo?
Probablemente no. Conforme al artículo 43, apartado 2, los sistemas de alto riesgo encuadrados en los puntos 2 a 8 del anexo III siguen el control interno del anexo VI sin organismo notificado alguno. Solo los sistemas biométricos del punto 1 pueden requerirlo, y sobre todo cuando las normas armonizadas o las especificaciones comunes no se hayan aplicado plenamente. Los sistemas cubiertos por la legislación de producto del anexo I siguen el procedimiento sectorial ya existente.
¿Qué diferencia hay entre el anexo VI y el anexo VII?
El anexo VI es control interno: el proveedor verifica por su cuenta el sistema de gestión de la calidad y la documentación técnica frente a los requisitos y firma la declaración. El anexo VII añade un organismo notificado independiente que valora el sistema de gestión de la calidad, examina la documentación técnica, puede pedir pruebas adicionales, ensayos, conjuntos de datos e incluso los modelos entrenados, y después realiza auditorías de vigilancia periódicas.
¿Caduca una evaluación de la conformidad?
El Reglamento de IA no fija una caducidad al examen en sí, aunque tampoco se trata de un estado permanente. Bajo el anexo VII el organismo notificado realiza auditorías periódicas y debe ser informado de las modificaciones previstas, y conforme al artículo 43, apartado 4, cualquier modificación sustancial desencadena un nuevo examen. La declaración de conformidad debe conservarse diez años.
¿Qué ocurre si reentreno o actualizo el modelo?
Depende de si el cambio estaba previsto. El artículo 43, apartado 4, excluye de la noción de modificación sustancial los cambios predeterminados por el proveedor y documentados en la documentación técnica en el momento de la evaluación inicial, que es lo que permite a los sistemas que siguen aprendiendo mantenerse conformes. Los cambios que excedan ese margen documentado son modificaciones sustanciales y exigen un nuevo examen.
Conclusión
El aplazamiento de dieciséis meses cambió el plazo, no el trabajo. En el Reglamento de IA, la evaluación de la conformidad es un ejercicio de lectura realizado sobre un expediente que usted debe poseer de todos modos, y el expediente es el verdadero entregable. Los proveedores de los puntos 2 a 8 del anexo III firmarán su propia declaración sin ningún organismo externo que detecte un registro de riesgos endeble o una trazabilidad de datos insuficiente, con lo que el rigor interno pasa a ser el único control. Quienes operan en biometría se enfrentan a un ecosistema de evaluación por terceros todavía en construcción, donde el puesto en la cola contará. En ambos casos, lo que determina el resultado ocurre ahora, en la manera de recoger las pruebas, y no en diciembre de 2027. Para un punto de partida estructurado, nuestro marco de gobernanza de la IA conecta estas obligaciones con los controles que generan las pruebas.