Artículo 35 — Números de identificación y listas de organismos notificados (Reglamento de IA de la UE)

Artículo 35 del Reglamento (UE) 2024/1689 — Números de identificación y listas de organismos notificados. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El artículo 35 del Reglamento (UE) 2024/1689 (el Reglamento de IA de la UE) establece el marco administrativo y de transparencia que rige la identificación y la inscripción pública de los organismos notificados que operan en virtud del reglamento. El artículo impone obligaciones principalmente a la Comisión Europea y a las autoridades de notificación de los Estados miembros.

En virtud del artículo 35, la Comisión está obligada a asignar un número de identificación a cada organismo notificado. Fundamentalmente, cuando un organismo es notificado en virtud de más de un acto de la Unión, recibe un único número de identificación, lo que garantiza la coherencia en todos los instrumentos legislativos. Además, la Comisión está obligada a publicar y mantener una lista de acceso público de todos los organismos notificados, incluidos sus números de identificación y las actividades para las que han sido notificados. Esta lista debe mantenerse actualizada.

Los Estados miembros tienen una obligación complementaria: deben informar a la Comisión de cualquier cambio en el estado de un organismo notificado, incluida la concesión de nuevas notificaciones y cualquier restricción, suspensión o retirada de las notificaciones existentes. A continuación, la Comisión es responsable de reflejar esos cambios en la lista pública sin demora indebida.

El artículo forma parte del capítulo 4 del título III, que rige la arquitectura general de la notificación: quién puede evaluar la conformidad de los sistemas de IA de alto riesgo, en qué condiciones y con qué supervisión. El artículo 35 aborda específicamente la capa de identificación y visibilidad de esa arquitectura, garantizando que el mercado —incluidos los proveedores que buscan evaluación, los operadores de uso posterior y las autoridades nacionales— pueda identificar de forma fiable qué organismos están autorizados, para qué ámbito y si esa autorización sigue vigente.

Lo que esto significa en la práctica

El artículo 35 tiene implicaciones operativas directas para tres categorías de actores: proveedores de sistemas de IA de alto riesgo, los propios organismos notificados y las autoridades nacionales de notificación.

Para los proveedores que buscan una evaluación de conformidad por terceros en virtud del Annex VI o la ruta completa del sistema de gestión de la calidad, el artículo 35 proporciona el mecanismo de verificación principal. Antes de contratar a un organismo notificado, un proveedor debe consultar la base de datos NANDO de la Comisión para confirmar que el organismo posee una notificación válida en virtud del Reglamento de IA de la UE, que abarca la categoría de producto específica o el tipo de sistema de IA en cuestión. Recurrir a un organismo cuya notificación ha caducado, sido suspendida o nunca se ha extendido formalmente al ámbito del Reglamento de IA crea una brecha de cumplimiento que podría invalidar un certificado de evaluación de conformidad.

Para los organismos notificados, el artículo 35 crea una obligación indirecta de cooperar con su autoridad de notificación nacional para garantizar que cualquier cambio en su ámbito operativo o en su estado de autorización se comunique puntualmente a los niveles superiores. Un organismo que amplíe su ámbito de evaluación —por ejemplo, añadiendo una nueva categoría de alto riesgo como los sistemas de categorización biométrica— no puede actuar legítimamente en ese ámbito ampliado hasta que la notificación haya sido actualizada y reflejada en la lista de la Comisión.

Para las autoridades nacionales de notificación, la obligación es de carácter procedimental, pero con consecuencias: los cambios en el estado de un organismo deben comunicarse a la Comisión con prontitud. Los retrasos crean una ventana en la que la lista pública es inexacta, lo que puede inducir a error a los proveedores o socavar las acciones de vigilancia del mercado emprendidas por las autoridades de otros Estados miembros.

En términos concretos, un equipo jurídico o de cumplimiento que se prepara para una evaluación de conformidad debe incluir en su lista de verificación un paso que coteje el número de identificación del organismo notificado seleccionado en NANDO, verifique que el ámbito de la notificación coincide con la clasificación de riesgo del sistema y compruebe que no aparezcan restricciones ni suspensiones en ese registro.

Obligaciones clave

• La Comisión Europea debe asignar un único número de identificación a cada organismo notificado, coherente en todos los actos de la Unión en virtud de los cuales opera dicho organismo.
• La Comisión debe publicar y mantener una lista de acceso público y actualizada de todos los organismos notificados, incluidos sus números de identificación y el ámbito notificado.
• Los Estados miembros y sus autoridades de notificación deben informar a la Comisión sin demora indebida de cualquier concesión, restricción, suspensión o retirada de una notificación.
• La Comisión debe actualizar la lista pública para reflejar los cambios en el estado del organismo notificado sin demora indebida tras la notificación de los Estados miembros.
• Los organismos notificados no pueden actuar más allá de su ámbito notificado; cualquier ampliación del ámbito requiere una actualización formal de la notificación antes de que el organismo pueda realizar evaluaciones bajo ese ámbito ampliado.
• Los proveedores deben verificar, antes de contratar a un organismo notificado, que la inscripción actual del organismo en la base de datos de la Comisión cubre la actividad pertinente y que su situación sigue siendo válida.

Relación con otros artículos

El artículo 35 no puede leerse de forma aislada; forma parte de un marco coherente dentro del capítulo 4 del título III.

El artículo 28 define los requisitos que deben cumplir las propias autoridades de notificación —los organismos nacionales responsables de establecer y llevar a cabo los procedimientos de notificación—, proporcionando la base institucional de la que dependen los flujos de notificación del artículo 35. El artículo 29 establece los requisitos detallados de solicitud que debe cumplir un organismo de evaluación de la conformidad antes de poder ser notificado, mientras que el artículo 30 rige el procedimiento de notificación propiamente dicho, incluida la comunicación formal a la Comisión que da lugar a una inscripción en virtud del artículo 35. El artículo 31 aborda la presunción de conformidad de los organismos notificados certificados en virtud de las normas armonizadas pertinentes.

Desde el punto de vista operativo, el artículo 35 se vincula con los artículos 43 y 44, que rigen los procedimientos de evaluación de conformidad de los sistemas de IA de alto riesgo y los certificados resultantes —documentos cuya validez es inseparable de la situación del organismo emisor debidamente inscrito en virtud del artículo 35. El artículo 74 (vigilancia del mercado) también se basa en las inscripciones precisas del artículo 35, ya que las autoridades que coordinan la supervisión transfronteriza necesitan identificar qué organismo expidió un determinado certificado y si ese organismo sigue autorizado.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial. Su aplicación es escalonada:

• 2 de febrero de 2025 — Las prohibiciones de las prácticas de IA de riesgo inaceptable (Título II) pasaron a ser aplicables.
• 2 de agosto de 2025 — Las disposiciones sobre modelos de IA de uso general (Título VIII) y las obligaciones de gobernanza pasaron a ser aplicables.
• 2 de agosto de 2026 — La mayor parte del Título III, incluido el marco de organismos notificados del capítulo 4, pasa a ser plenamente aplicable para los sistemas de IA de alto riesgo enumerados en el Annex III, excepto los cubiertos por el plazo ampliado que se indica a continuación.
• 2 de agosto de 2027 — Plazo ampliado para los sistemas de IA de alto riesgo cubiertos por la legislación de armonización de la Unión existente enumerada en el Annex I (por ejemplo, maquinaria, productos sanitarios), lo que concede a esos sectores tiempo adicional para integrar los requisitos de evaluación de conformidad del Reglamento de IA en los flujos de trabajo de certificación existentes.

El artículo 35, como parte de la infraestructura de organismos notificados, adquiere relevancia operativa en paralelo con la aplicación de los requisitos de evaluación de conformidad del capítulo 4. Los Estados miembros y la Comisión deben garantizar que los procedimientos de notificación, la asignación de números de identificación y la base de datos pública estén plenamente operativos antes de la fecha de agosto de 2026, para que los proveedores de sistemas de IA de alto riesgo puedan contratar organismos notificados conformes desde el momento en que sean aplicables las obligaciones de evaluación de conformidad obligatorias.