Artículo 32 — Presunción de conformidad de los organismos notificados (Reglamento de IA de la UE)

Artículo 32 del Reglamento (UE) 2024/1689 — Presunción de conformidad de los organismos notificados. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 32 del Reglamento (UE) 2024/1689 establece una presunción de conformidad para los organismos notificados que apliquen normas armonizadas adoptadas en virtud del Derecho de la Unión Europea. En concreto, cuando un organismo de evaluación de la conformidad demuestra su conformidad con los criterios establecidos en las normas armonizadas — o con las partes pertinentes de dichas normas — cuyas referencias hayan sido publicadas en el Diario Oficial de la Unión Europea, se presume que dicho organismo cumple los requisitos establecidos en el Artículo 31 en la medida en que las normas armonizadas aplicables cubran dichos requisitos.

El Artículo 31 establece los criterios sustantivos que debe cumplir un organismo de evaluación de la conformidad antes de que la autoridad de notificación de un Estado miembro pueda notificarlo a la Comisión Europea: independencia, competencia técnica, imparcialidad, solidez financiera, cobertura de responsabilidad, obligaciones de confidencialidad y estructuras de gobernanza interna adecuadas. El Artículo 32 crea una vía probatoria simplificada mediante la cual un organismo puede demostrar el cumplimiento de dichos criterios a través de referencias a normas armonizadas publicadas, en lugar de requerir una evaluación caso por caso de cada criterio desde los principios básicos.

La presunción es rebatible y condicional: se aplica únicamente en la medida en que las normas armonizadas en cuestión cubran efectivamente los requisitos pertinentes del Artículo 31. Cuando existan lagunas — ya sea porque no se haya publicado ninguna norma o porque una norma no aborde un requisito particular —, la conformidad debe demostrarse mediante otras pruebas. El artículo funciona así como un atajo de conformidad dentro de un marco más amplio de responsabilidad sustantiva, manteniendo la integridad del sistema de organismos notificados al tiempo que reduce la fricción administrativa para los organismos de evaluación bien gobernados.

Qué significa esto en la práctica

El Artículo 32 es principalmente relevante para los organismos de evaluación de la conformidad que solicitan el estatuto de organismo notificado en virtud del Reglamento de IA de la UE y para las autoridades de notificación nacionales que evalúan sus solicitudes.

Para un organismo de evaluación de la conformidad que desee actuar como organismo notificado para sistemas de IA de alto riesgo, la vía práctica en virtud del Artículo 32 es en principio sencilla: identificar las normas armonizadas cuyas referencias la Comisión ha publicado en el Diario Oficial, demostrar la conformidad con dichas normas — normalmente mediante la acreditación por un organismo nacional de acreditación que opere con arreglo al Reglamento (CE) n.º 765/2008 — y beneficiarse de la presunción cuando la autoridad de notificación revise la solicitud en virtud del Artículo 28 y siguientes.

En la práctica, la norma armonizada más relevante para los organismos de evaluación de la conformidad que operen en el ámbito de la IA probablemente sea ISO/IEC 17065 (para organismos de certificación de productos) o ISO/IEC 17020 (para organismos de inspección), junto con cualquier norma armonizada específica de IA que la Comisión elabore y referencie en virtud del Artículo 40. Hasta que se publiquen normas armonizadas específicas de IA, los organismos deben basarse en las normas existentes y demostrar cómo se corresponden con los criterios del Artículo 31.

Para las autoridades de notificación — los organismos nacionales designados en virtud del Artículo 28 —, el Artículo 32 simplifica la carga de evaluación. Cuando un organismo de evaluación de la conformidad presente certificados de acreditación válidos con arreglo a normas armonizadas publicadas, la autoridad podrá considerar que los requisitos cubiertos se cumplen sin necesidad de verificar de forma independiente cada criterio. Esto no elimina las obligaciones de supervisión: las autoridades de notificación conservan deberes de seguimiento en virtud del Artículo 33 y deben actuar si un organismo notificado deja posteriormente de mantener el cumplimiento.

Para los proveedores de sistemas de IA de alto riesgo, el Artículo 32 tiene relevancia indirecta: sustenta la confianza en que los organismos notificados que evalúan sus sistemas han sido verificados con arreglo a normas rigurosas y públicamente conocidas.

Obligaciones clave

• Un organismo de evaluación de la conformidad que desee beneficiarse de la presunción del Artículo 32 debe demostrar la conformidad efectiva con las normas armonizadas publicadas, no meramente alegarla — la acreditación por un organismo nacional de acreditación es la vía estándar para acreditar esta conformidad.
• La presunción se aplica únicamente en la medida en que las normas armonizadas cubran los requisitos específicos del Artículo 31 en cuestión; los organismos deben acreditar por separado el cumplimiento de los requisitos no contemplados por las normas disponibles.
• Las autoridades de notificación deben reconocer la presunción al evaluar las solicitudes de notificación, pero conservan el derecho y el deber de refutarla si existen indicios de incumplimiento de los requisitos subyacentes del Artículo 31.
• Los organismos notificados deben mantener la conformidad continua con las normas armonizadas aplicables durante todo el período de notificación, no solo en el momento de la evaluación inicial.
• Cuando la Comisión aún no haya publicado referencias a normas armonizadas pertinentes en el Diario Oficial, los organismos de evaluación de la conformidad deben demostrar el cumplimiento de los requisitos del Artículo 31 mediante pruebas alternativas y verificables.
• La Comisión debe publicar referencias a las normas armonizadas pertinentes en el Diario Oficial de la Unión Europea para que el mecanismo de presunción del Artículo 32 sea operativamente disponible.

Relación con otros artículos

El Artículo 32 no puede leerse de forma aislada del marco del Capítulo 4 circundante. Su referente directo es el Artículo 31, que enumera los requisitos sustantivos para los organismos notificados; el Artículo 32 aborda únicamente el mecanismo probatorio para satisfacer dichos requisitos y carece de contenido sustantivo propio.

El Artículo 28 establece las autoridades de notificación responsables de evaluar y notificar a los organismos de evaluación de la conformidad, y dichas autoridades son los principales actores que aplican o deniegan la presunción del Artículo 32 durante los procedimientos de notificación regulados por los Artículos 29 y 30.

El Artículo 33 rige las obligaciones operativas de los organismos notificados una vez designados, incluidos los deberes de cooperación con las autoridades de notificación que son pertinentes cuando la presunción debe mantenerse en el tiempo. El Artículo 40 — que establece el régimen de normas armonizadas para el Reglamento de IA en sentido más amplio — es el mecanismo por el que la Comisión elabora y referencia las normas en que se basa el Artículo 32.

Más allá del Capítulo 4, el Artículo 43 es relevante porque especifica los procedimientos de evaluación de la conformidad que los organismos notificados deben llevar a cabo para los sistemas de IA de alto riesgo; la competencia y gobernanza de dichos organismos, validadas mediante los Artículos 31 y 32, determina directamente la credibilidad de esas evaluaciones.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial de la Unión Europea el 12 de julio de 2024. El Artículo 32, situado en el Título III, Capítulo 4, pertenece a las disposiciones que rigen la infraestructura para la supervisión de los sistemas de IA de alto riesgo y no se encuadra en los primeros tramos de aplicación.

Las prácticas de IA prohibidas en virtud del Artículo 5 pasaron a ser aplicables el 2 de febrero de 2025. Las obligaciones relativas a los modelos de IA de uso general del Título VIII pasaron a ser aplicables el 2 de agosto de 2025. Las obligaciones más directamente vinculadas al Artículo 32 — el régimen completo de evaluación de la conformidad de los sistemas de IA de alto riesgo, incluido el marco de organismos notificados — pasan a ser aplicables progresivamente a partir del 2 de agosto de 2026 para los sistemas de alto riesgo enumerados en el Annex III, con una prórroga adicional hasta el 2 de agosto de 2027 para determinados sistemas de IA de alto riesgo ya sujetos a la legislación de armonización de la Unión enumerada en el Annex I.

Los organismos de evaluación de la conformidad que tengan la intención de actuar como organismos notificados en virtud del Reglamento de IA deben haber iniciado sus procesos de acreditación y notificación con suficiente antelación a agosto de 2026, ya que el procedimiento de notificación en virtud de los Artículos 28 a 30 implica la evaluación por la autoridad nacional, la notificación a la Comisión y un período de espera antes de que el organismo pueda llevar a cabo legalmente evaluaciones de conformidad. Las autoridades de notificación nacionales deben garantizar que sus marcos de evaluación reflejen las normas armonizadas publicadas a medida que estén disponibles, para que el mecanismo de presunción del Artículo 32 sea operativamente funcional cuando el régimen de alto riesgo se aplique plenamente.