Artículo 36 — Cambios en las notificaciones (Ley de IA de la UE)

Artículo 36 del Reglamento (UE) 2024/1689 — Cambios en las notificaciones. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 36 del Reglamento (UE) 2024/1689 (la Ley de IA de la UE) establece las obligaciones que se aplican cuando la situación de un organismo notificado cambia después de que se haya concedido la notificación inicial. Se encuadra en el Título III, Capítulo 4, que regula el marco para las autoridades notificantes y los organismos notificados que intervienen en la evaluación de la conformidad de los sistemas de IA de alto riesgo.

El artículo exige que los organismos notificados informen puntualmente a su respectiva autoridad notificante de cualquier cambio que sea relevante para su condición de notificado. Dichos cambios incluyen alteraciones de la forma jurídica o la titularidad, modificaciones de la estructura organizativa o del personal clave responsable de las actividades de evaluación de la conformidad, cambios en el ámbito técnico para el que fue notificado el organismo y cualquier circunstancia que pueda afectar a la capacidad continua del organismo para cumplir los requisitos establecidos en el Artículo 33.

Tras recibir la notificación de dichos cambios, la autoridad notificante debe evaluar si el organismo notificado sigue cumpliendo los requisitos aplicables. Cuando la evaluación revele un incumplimiento, la autoridad notificante está facultada para restringir, suspender o retirar la notificación, de manera proporcional a la gravedad de la deficiencia identificada. La autoridad notificante también debe mantener informadas a la Comisión y a los demás Estados miembros a través de los canales de notificación establecidos, garantizando que la información actualizada sea accesible en toda la Unión. Este mecanismo de supervisión continua está concebido para garantizar que solo los organismos competentes y conformes ejerzan responsabilidades de evaluación de la conformidad durante todo su período de designación.

Qué significa esto en la práctica

El Artículo 36 crea una obligación de cumplimiento viva y continua para los organismos notificados — el deber de notificar no termina en el momento en que un organismo recibe su designación. Toda organización que ostente la condición de organismo notificado en virtud de la Ley de IA de la UE debe mantener procesos internos capaces de detectar y escalar los cambios materiales en sus circunstancias, y debe actuar sobre esos procesos sin demora.

En términos prácticos, un organismo notificado debe establecer activadores internos que señalen automáticamente los cambios sujetos a notificación: por ejemplo, una fusión o adquisición que afecte a la titularidad, la salida de un evaluador principal con cualificaciones técnicas clave, la incorporación o supresión de categorías de sistemas de IA del ámbito operativo del organismo o la aparición de un conflicto de intereses con un cliente de evaluación de la conformidad.

Los equipos de cumplimiento de los organismos notificados deben mapear estos eventos desencadenantes y asignar una responsabilidad interna clara en materia de notificación a la autoridad notificante. La notificación debe ser oportuna — no retrospectiva —, lo que significa que los organismos no pueden esperar a un ciclo de revisión anual para revelar un cambio que se produjo meses antes.

Para las autoridades notificantes — generalmente organismos nacionales de vigilancia del mercado o de acreditación — el Artículo 36 exige que dispongan de un proceso de recepción estructurado para las notificaciones de cambios y un procedimiento de evaluación documentado para evaluar el cumplimiento continuo. Cuando un organismo notificado no comunica por propia iniciativa un cambio material, la autoridad notificante conserva el derecho a investigar y actuar sobre la base de la información recibida de otras fuentes, incluidas la Comisión o los Estados miembros homólogos.

Los proveedores de sistemas de IA de alto riesgo que dependen de un organismo notificado determinado para su evaluación de la conformidad deben supervisar la base de datos NANDO para detectar cualquier restricción o suspensión que afecte al organismo elegido, ya que dichos cambios podrían interrumpir o invalidar su vía de certificación.

Obligaciones clave

• Los organismos notificados deben informar inmediatamente a su autoridad notificante de cualquier cambio en las circunstancias que pueda afectar a su cumplimiento de los requisitos del Artículo 33, incluidos los cambios en la situación jurídica, la titularidad, la estructura organizativa, el ámbito técnico o el personal clave.
• Las autoridades notificantes deben reevaluar al organismo notificado al recibir una notificación de cambio y determinar si el organismo sigue satisfaciendo todos los requisitos aplicables.
• Las autoridades notificantes deben restringir, suspender o retirar la notificación cuando la reevaluación revele que el organismo ya no cumple las condiciones en virtud de las cuales fue designado, aplicando medidas proporcionales a la gravedad del incumplimiento.
• Las autoridades notificantes deben comunicar a la Comisión Europea y a los demás Estados miembros, sin demora indebida, cualquier cambio en la notificación de un organismo, incluidas restricciones, suspensiones y retiradas.
• La base de datos de notificaciones de la Comisión (NANDO) debe mantenerse actualizada para reflejar el ámbito real y válido de la designación de cada organismo notificado, garantizando la transparencia y la seguridad jurídica en todo el Mercado Único.
• Los organismos notificados deben mantener disposiciones de gobernanza interna suficientes para identificar y escalar los cambios sujetos a notificación de forma continua, en lugar de tratar la notificación como un evento único.

Relación con otros artículos

El Artículo 36 no puede leerse de forma aislada; forma parte de un marco coherente establecido en todo el Capítulo 4 del Título III. Los requisitos fundamentales que un organismo notificado debe seguir cumpliendo se establecen en el Artículo 33 (Requisitos relativos a los organismos notificados), que define la línea de base con respecto a la cual se evalúa cualquier cambio. El procedimiento de notificación inicial — del que el Artículo 36 representa el homólogo en materia de gestión del cambio — está establecido por el Artículo 34 (Procedimiento de notificación) y el Artículo 35 (Números de identificación y listas de organismos notificados).

El Artículo 36 también se conecta con el Artículo 37 (Impugnación de la competencia de los organismos notificados), que proporciona el mecanismo mediante el cual la Comisión o los Estados miembros pueden plantear preocupaciones acerca de la competencia o el cumplimiento de un organismo — un proceso que puede desencadenarse precisamente cuando un cambio comunicado en virtud del Artículo 36 suscita dudas. De forma más amplia, apoya la arquitectura de vigilancia del mercado y aplicación de los Artículos 74 a 83, ya que un organismo notificado que opere fuera del ámbito válido de su notificación podría menoscabar la integridad de las evaluaciones de la conformidad que ha emitido.

Calendario de cumplimiento

La Ley de IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial de la Unión Europea. El Artículo 36, como parte del marco institucional y de gobernanza para la evaluación de la conformidad, se encuadra en las disposiciones que se aplican a partir del 2 de agosto de 2026 — la fecha general de aplicación para la mayoría de las obligaciones del Reglamento, incluidas las que rigen los sistemas de IA de alto riesgo del Anexo III.

Las obligaciones de los organismos notificados y las autoridades notificantes en virtud del Capítulo 4 están por tanto activas desde esa fecha, lo que significa que cualquier organismo designado como organismo notificado en virtud de la Ley de IA de la UE a partir de agosto de 2026 queda inmediatamente sujeto a los requisitos de notificación de cambios del Artículo 36. Los organismos notificados en virtud de la legislación sectorial anterior que estén haciendo la transición a la designación en virtud de la Ley de IA de la UE deben integrar el cumplimiento del Artículo 36 en su planificación de la transición con suficiente antelación respecto al plazo de agosto de 2026.

Para los sistemas de IA de alto riesgo cubiertos por el Anexo I (legislación sobre seguridad de los productos), la infraestructura de evaluación de la conformidad pertinente — incluidas las obligaciones del Artículo 36 — se alinea con la fecha de aplicación gradual de agosto de 2027 aplicable a esas categorías de productos. Los proveedores que dependan de organismos notificados para la certificación de sistemas del Anexo I deben verificar la validez continua de la designación de su organismo notificado a medida que se aproxime ese plazo.