Artículo 28 — Autoridades notificantes (Reglamento de IA de la UE)

Artículo 28 del Reglamento (UE) 2024/1689 — Autoridades notificantes. Texto oficial, interpretación práctica, obligaciones clave e implicaciones de cumplimiento.

Resumen del texto oficial

El Artículo 28 del Reglamento (UE) 2024/1689 (el Reglamento de IA de la UE) establece el marco de las autoridades notificantes, los organismos nacionales responsables de designar, supervisar y controlar los organismos de evaluación de la conformidad (organismos notificados) que evalúan los sistemas de IA de alto riesgo.

En virtud del Artículo 28, cada Estado miembro debe designar al menos una autoridad notificante responsable de: establecer y llevar a cabo los procedimientos necesarios para la evaluación y designación de los organismos de evaluación de la conformidad; notificar a dichos organismos a la Comisión Europea y a los demás Estados miembros; y llevar a cabo el seguimiento continuado de los organismos notificados para garantizar el cumplimiento continuo de los requisitos establecidos en el Artículo 31.

La autoridad notificante debe estar organizada de manera que se eviten los conflictos de interés con los organismos de evaluación de la conformidad que supervisa. Debe ser operativamente independiente de dichos organismos y contar con la competencia técnica y los recursos suficientes para desempeñar sus funciones de manera efectiva. Los Estados miembros pueden asignar la función de autoridad notificante a un organismo nacional existente —incluida una autoridad de vigilancia del mercado—, siempre que se cumplan los criterios de independencia necesarios.

El Artículo 28 exige además que las autoridades notificantes pongan a disposición del público información sobre sus procedimientos de evaluación y notificación, y que cooperen con la Comisión y las autoridades notificantes de los demás Estados miembros, incluso a través de la herramienta electrónica de notificación de la Comisión vinculada a la base de datos NANDO. Cualquier cambio en una notificación —incluida la suspensión, restricción o retirada— debe comunicarse con prontitud a través de dicho sistema.

Qué significa esto en la práctica

El Artículo 28 opera principalmente a nivel institucional de los Estados miembros, pero sus implicaciones prácticas repercuten en los proveedores de sistemas de IA de alto riesgo que requieren una evaluación de conformidad por terceros antes de ser comercializados en el mercado de la UE.

Para los gobiernos de los Estados miembros, la obligación inmediata es de carácter administrativo: cada uno debe designar o establecer formalmente una autoridad notificante y comunicar dicha designación a la Comisión. Los Estados miembros que dispongan de infraestructura existente de organismos notificados en virtud de la legislación de armonización sectorial (como la de los dispositivos médicos en virtud del Reglamento (UE) 2017/745, o la de la maquinaria en virtud de la Directiva 2006/42/CE) generalmente ampliarán o adaptarán dichas estructuras para cubrir los requisitos específicos de la IA.

Para los proveedores de sistemas de IA de alto riesgo, la autoridad notificante es el guardián del acceso a los organismos de evaluación de la conformidad acreditados. Si el sistema de un proveedor entra dentro de las categorías del Annex I que requieren una evaluación de conformidad por terceros obligatoria, el proveedor debe trabajar con un organismo notificado que haya sido formalmente designado por una autoridad notificante nacional y esté registrado en la base de datos NANDO. Los proveedores deben verificar que cualquier organismo de evaluación de la conformidad con el que trabajen tenga una notificación vigente y válida que cubra la categoría pertinente de sistemas de IA.

En la práctica, un proveedor que comercializa, por ejemplo, un sistema de categorización biométrica o un componente de seguridad basado en IA para maquinaria industrial en el mercado de la UE debe:

1. Identificar si su sistema activa una evaluación de conformidad obligatoria por terceros.
2. Seleccionar un organismo notificado registrado en NANDO en el ámbito pertinente.
3. Someterse al procedimiento de evaluación de la conformidad supervisado por dicho organismo.
4. Asegurarse de que el organismo notificado siga siendo válido a lo largo del ciclo de vida del producto.

La función de seguimiento de la autoridad notificante implica que, si un organismo notificado pierde su designación —debido a conclusiones de incumplimiento—, los certificados que haya emitido pueden verse afectados, lo que crea un riesgo de cumplimiento descendente para los proveedores que poseen dichos certificados.

Obligaciones clave

• Los Estados miembros deben designar una autoridad notificante: Cada Estado miembro está obligado a designar formalmente al menos un organismo nacional como autoridad notificante para los organismos de evaluación de la conformidad de la IA, y a comunicar dicha designación a la Comisión Europea.
• Requisito de independencia: La autoridad notificante debe estar organizada de manera que sea operativamente independiente de los organismos de evaluación de la conformidad que designa y supervisa, evitando cualquier conflicto de interés.
• Competencia y recursos: Las autoridades notificantes deben poseer la experiencia técnica, el personal y los recursos suficientes para llevar a cabo la evaluación, la designación y el seguimiento continuado de los organismos notificados con arreglo a los criterios del Artículo 31.
• Procedimientos transparentes: Las autoridades notificantes deben hacer públicos sus procedimientos de evaluación y notificación y deben utilizar la herramienta electrónica de notificación de la Comisión (vinculada a la base de datos NANDO) para todas las notificaciones, actualizaciones, suspensiones y retiradas.
• Seguimiento continuo: Las autoridades notificantes son responsables de la supervisión continua de los organismos notificados para garantizar que mantienen la competencia y el cumplimiento requeridos; deben investigar las reclamaciones y tomar medidas correctoras cuando se detecten deficiencias.
• Cooperación transfronteriza: Las autoridades notificantes deben cooperar entre sí y con la Comisión, compartiendo información relevante sobre la competencia y la conducta de los organismos notificados para mantener estándares consistentes en el mercado único.

Relación con otros artículos

El Artículo 28 es el fundamento estructural del Capítulo 4 (Título III) y debe leerse junto con los artículos que le siguen inmediatamente. El Artículo 29 especifica los requisitos detallados que las propias autoridades notificantes deben cumplir, incluidos los de independencia, imparcialidad y ausencia de conflictos de interés. El Artículo 30 regula el proceso de solicitud mediante el cual los organismos de evaluación de la conformidad buscan ser notificados, estableciendo qué información debe presentarse y ser evaluada por la autoridad notificante. El Artículo 31 establece los requisitos sustantivos que los organismos notificados deben cumplir para que se les otorgue o mantenga la designación.

En términos más amplios, el Artículo 28 se conecta con el Artículo 43, que especifica qué sistemas de IA de alto riesgo del Annex I están sujetos a la evaluación de conformidad obligatoria por terceros, haciendo que los organismos notificados y, por tanto, las autoridades notificantes, sean operativamente relevantes. El artículo también se vincula con el Artículo 74 y el marco más amplio de vigilancia del mercado: las autoridades notificantes y las autoridades de vigilancia del mercado pueden ser el mismo organismo, y su cooperación es esencial para una aplicación efectiva. La infraestructura de la base de datos NANDO a la que se hace referencia en el Artículo 28 sustenta las obligaciones de transparencia que rigen a lo largo de los capítulos sobre evaluación de la conformidad.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, activando un calendario de aplicación gradual con distintos plazos para las diferentes obligaciones.

El Artículo 28, como parte del marco institucional y de gobernanza para los organismos notificados, se encuadra en las disposiciones aplicables a los sistemas de IA de alto riesgo del Annex I (sistemas cubiertos por la legislación de armonización de la Unión). La infraestructura de evaluación de la conformidad —incluida la designación formal de las autoridades notificantes— debe estar operativa a tiempo para respaldar la aplicación de las obligaciones de alto riesgo.

Fechas de referencia clave:

• 1 de agosto de 2024 — El Reglamento entra en vigor; los Estados miembros comienzan los trabajos preparatorios sobre la designación de las autoridades.
• 2 de febrero de 2025 — Las prácticas de IA prohibidas del Artículo 5 pasan a ser aplicables; no hay impacto directo sobre el Artículo 28, pero marca el inicio de la aplicación gradual.
• 2 de agosto de 2025 — Las obligaciones relativas a los modelos GPAI (Título VIII) y las disposiciones de gobernanza pasan a ser aplicables; se espera orientación de la Comisión sobre los procedimientos de los organismos notificados.
• 2 de agosto de 2026 — Los sistemas de IA de alto riesgo del Annex III (sistemas autónomos de alto riesgo, por ejemplo, en los ámbitos del empleo, la educación y la aplicación de la ley) pasan a estar sujetos a las obligaciones plenas; las autoridades notificantes deben estar plenamente operativas antes de esta fecha como mínimo.
• 2 de agosto de 2027 — Los sistemas de IA de alto riesgo que son componentes de seguridad de productos ya cubiertos por la legislación de armonización de la Unión (sistemas del Annex I) pasan a estar plenamente sujetos a los requisitos de evaluación de la conformidad del Reglamento de IA; es la fecha en que la infraestructura de autoridades notificantes y organismos notificados en virtud del Artículo 28 debe estar plenamente operativa para las categorías de productos heredadas.

Los proveedores y las autoridades nacionales deben aprovechar el período 2024–2026 para identificar la autoridad notificante competente en el Estado miembro pertinente y confirmar que existen organismos notificados con el ámbito apropiado para su categoría de producto.