Artículo 31 — Requisitos aplicables a los organismos notificados (Reglamento de IA de la UE)

Artículo 31 del Reglamento (UE) 2024/1689 — Requisitos aplicables a los organismos notificados. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 31 del Reglamento (UE) 2024/1689 establece las condiciones que debe cumplir un organismo de evaluación de la conformidad antes de que un Estado miembro pueda notificarlo a la Comisión Europea como organismo competente para llevar a cabo evaluaciones de conformidad de terceros de sistemas de IA de alto riesgo.

El artículo impone requisitos en varias dimensiones. En primer lugar, el organismo debe estar establecido con arreglo al Derecho nacional y tener personalidad jurídica. En segundo lugar, debe ser independiente de los sistemas de IA que evalúa, de sus proveedores y de cualquier presión comercial, financiera o de otro tipo que pueda comprometer su juicio; ni el organismo ni su personal pueden ser el diseñador, desarrollador, fabricante, proveedor, instalador, comprador, propietario, usuario o responsable del mantenimiento de los sistemas de IA que evalúan. En tercer lugar, el organismo y su personal deben poseer la competencia técnica necesaria — incluida la experiencia pertinente en tecnologías de IA y prácticas de datos — y deben mantener dicha competencia mediante formación continua. En cuarto lugar, el organismo debe ser financieramente sólido y disponer de un seguro de responsabilidad adecuado. En quinto lugar, el organismo debe contar con procesos documentados para gestionar los conflictos de interés, para la confidencialidad de la información obtenida durante las evaluaciones y para proteger los intereses de los proveedores y de terceros. Por último, el organismo debe participar en actividades de coordinación a nivel de la Unión y cooperar con las autoridades de vigilancia del mercado y las autoridades de notificación.

Cuando un organismo notificado subcontrata tareas o recurre a una filial, debe garantizar que esas entidades cumplan los mismos requisitos y conserva la plena responsabilidad por su trabajo.

Qué significa esto en la práctica

El Artículo 31 va dirigido principalmente a los organismos de evaluación de la conformidad que aspiran al estatuto de organismo notificado, y a las autoridades de notificación nacionales responsables de evaluarlos y designarlos. No impone obligaciones directas a los proveedores de IA, pero sus requisitos configuran el ecosistema en el que los proveedores deben operar.

Para los organismos de evaluación de la conformidad, el cumplimiento del Artículo 31 implica llevar a cabo un ejercicio integral de preparación interna antes de solicitar la notificación. Esto incluye realizar una revisión estructural para verificar la independencia respecto de los proveedores y las cadenas de suministro, contratar o readiestrar al personal con experiencia práctica en aprendizaje automático, gobernanza de datos y el ámbito de aplicación específico de los sistemas de IA que se vayan a evaluar (por ejemplo, productos sanitarios, sistemas biométricos o infraestructuras críticas). Los organismos deben implantar sistemas de gestión documentados que abarquen la confidencialidad, los conflictos de interés y el aseguramiento de la calidad, y deben contratar un seguro de responsabilidad civil profesional adecuado.

Para los proveedores de IA de sistemas de alto riesgo que requieran una evaluación de conformidad de terceros en virtud del Artículo 43 — por ejemplo, sistemas enumerados en el Annex III para los que ninguna norma armonizada cubre la totalidad de los requisitos —, elegir un organismo notificado significa verificar que el organismo esté debidamente incluido en la base de datos NANDO y que su ámbito de notificación cubra el sector de aplicación de IA pertinente. Los proveedores también deben verificar los acuerdos de subcontratación del organismo y confirmar que los evaluadores filiales cumplan por sí mismos la normativa aplicable.

Las autoridades de notificación nacionales deben crear marcos de evaluación que examinen rigurosamente a los solicitantes con arreglo a cada criterio del Artículo 31 y deben establecer procedimientos de supervisión para verificar el cumplimiento continuo tras la notificación, dado que la satisfacción continuada de estos requisitos es condición para mantener el estatuto de organismo notificado.

Obligaciones clave

• Independencia e imparcialidad: El organismo notificado, su alta dirección y el personal responsable de llevar a cabo las tareas de evaluación de la conformidad no deben ser el diseñador, desarrollador, fabricante, proveedor ni usuario de los sistemas de IA que evalúan, y deben estar libres de cualquier influencia — comercial, financiera o de otro tipo — que pueda afectar a su objetividad.
• Competencia técnica: El organismo debe demostrar conocimientos y experiencia suficientes en tecnologías de IA, datos y gobernanza de datos, ciberseguridad y el ámbito de aplicación específico de los sistemas para cuya evaluación está notificado, y debe garantizar que el personal reciba formación continua para mantenerse al día con los avances tecnológicos.
• Personalidad jurídica y estabilidad financiera: El organismo debe ser una entidad legalmente constituida con arreglo al Derecho nacional y debe poder demostrar su solidez financiera y disponer de un seguro de responsabilidad adecuado que cubra sus actividades de evaluación.
• Sistemas de gestión documentados: El organismo debe contar con procedimientos documentados para la gestión de los conflictos de interés, la protección de la confidencialidad de la información comercialmente sensible y la gestión de las reclamaciones y recursos de los proveedores.
• Normas sobre subcontratación y filiales: Cuando las tareas sean subcontratadas o delegadas a una filial, el organismo notificado debe verificar que el subcontratista o la filial cumplan todos los requisitos del Artículo 31, debe informar al proveedor antes de la subcontratación y conserva la plena responsabilidad jurídica de los resultados.
• Cooperación y participación: El organismo notificado debe cooperar con las autoridades nacionales de vigilancia del mercado y las autoridades de notificación, y debe participar en los grupos de coordinación a nivel de la Unión establecidos para los organismos notificados en el marco del Reglamento de IA.

Relación con otros artículos

El Artículo 31 se encuadra en el Título III, Capítulo 4, que rige el marco completo de la autoridad de notificación y los organismos notificados. Debe leerse conjuntamente con el Artículo 28, que define las obligaciones de las autoridades de notificación, el Artículo 29, que establece los requisitos para las solicitudes de notificación y el procedimiento de notificación ante la Comisión, y el Artículo 30, que aborda el establecimiento y las funciones de las autoridades de notificación a nivel nacional.

En el ámbito posterior, el Artículo 31 se vincula directamente con el Artículo 33, que especifica las obligaciones operativas de los organismos notificados una vez designados — incluido su deber de llevar a cabo evaluaciones con arreglo a los Artículos 43 y 44 —, y con el Artículo 44, que rige los certificados emitidos por los organismos notificados y las condiciones para su suspensión o retirada. El Artículo 43 determina con precisión cuándo es obligatoria la evaluación de conformidad de terceros por un organismo notificado y cuándo el proveedor puede basarse en el control interno. El Artículo 49 sobre la declaración UE de conformidad y el Artículo 50 sobre el marcado CE son los resultados posteriores que dependen de un certificado válido del organismo notificado cuando este es exigible.

Calendario de cumplimiento

El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024. El Reglamento de IA de la UE se aplica en fases escalonadas:

• 2 de febrero de 2025: Comenzaron a aplicarse las prohibiciones relativas a las prácticas de IA de riesgo inaceptable (Título II).
• 2 de agosto de 2025: Pasaron a ser aplicables las normas sobre modelos de IA de uso general (Título VIII) y las obligaciones de gobernanza para los Estados miembros.
• 2 de agosto de 2026: Las principales obligaciones para los sistemas de IA de alto riesgo enumerados en el Annex III — incluidos los requisitos de evaluación de la conformidad en virtud del Artículo 43 y, por tanto, los requisitos operativos para los organismos notificados en virtud del Artículo 31 — pasan a ser plenamente aplicables.
• 2 de agosto de 2027: Plazo ampliado para determinados sistemas de IA de alto riesgo que también son componentes de seguridad de productos ya sujetos a la legislación de armonización de la Unión enumerada en el Annex I (como productos sanitarios y maquinaria).

En términos prácticos, los organismos de evaluación de la conformidad que deseen estar operativos el 2 de agosto de 2026 deben haber iniciado su proceso de solicitud con suficiente antelación a esa fecha, dado el tiempo necesario para la evaluación nacional y la notificación formal a la Comisión. Por ello, se esperaba que los Estados miembros tuvieran implantados sus marcos de autoridad de notificación y procedimientos de evaluación a más tardar a mediados de 2025.