Artículo 40 del Reglamento (UE) 2024/1689 — Normas armonizadas y resultados de normalización. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.
Resumen del texto oficial
El artículo 40 del Reglamento (UE) 2024/1689 establece el papel de las normas armonizadas en la demostración de conformidad con los requisitos aplicables a los sistemas de IA de alto riesgo en virtud del Reglamento de IA de la UE. Cuando los proveedores de sistemas de IA de alto riesgo aplican normas armonizadas — o partes pertinentes de las mismas — cuyas referencias han sido publicadas en el Diario Oficial de la Unión Europea, se presume que dichos sistemas cumplen los requisitos del título III, capítulo 3, en la medida en que dichos requisitos estén cubiertos por las normas armonizadas aplicables.
El artículo faculta a la Comisión Europea para emitir solicitudes de normalización a las organizaciones europeas de normalización (CEN, CENELEC y ETSI) de conformidad con el Reglamento (UE) n.º 1025/2012 sobre normalización europea. Estas solicitudes orientan a las OEN para que desarrollen normas armonizadas que operacionalicen los requisitos sustantivos del Reglamento.
El artículo 40 también aborda situaciones en las que las normas armonizadas aún no existen o sus referencias no han sido publicadas. En tales casos, la Comisión puede adoptar especificaciones comunes en virtud del artículo 41, garantizando que los proveedores dispongan de una vía técnica definida para demostrar la conformidad incluso en ausencia de normas armonizadas formales.
La disposición establece una distinción clara entre la aplicación voluntaria de normas y el cumplimiento obligatorio de los requisitos legales subyacentes. La aplicación de una norma armonizada no es obligatoria, pero proporciona una presunción de conformidad refutable, lo que reduce la carga probatoria para los proveedores durante los procedimientos de evaluación de conformidad realizados en virtud de los artículos 43 y 44.
Qué significa esto en la práctica
Para los proveedores de sistemas de IA de alto riesgo, el artículo 40 es una herramienta de cumplimiento central. En lugar de construir un argumento técnico completamente a medida sobre cómo se satisface cada requisito legal, los proveedores pueden alinear sus sistemas con las normas armonizadas publicadas y beneficiarse de la presunción de conformidad. Esto simplifica considerablemente el proceso de evaluación de conformidad, especialmente para los sistemas sujetos a evaluación por terceros a cargo de organismos notificados.
En la práctica, un proveedor que desarrolla un dispositivo médico basado en IA que entra dentro del ámbito del Annex I del Reglamento consultaría el Diario Oficial para identificar qué normas armonizadas se han publicado para los requisitos pertinentes — por ejemplo, normas relativas a la gestión de riesgos, la calidad de los datos o la ciberseguridad. La implementación de dichas normas como parte del diseño del sistema y del proceso de gestión de la calidad permite al proveedor afirmar la conformidad con los artículos correspondientes del Reglamento sin necesidad de que el organismo notificado verifique de forma independiente el cumplimiento desde principios básicos.
Para los proveedores que opten por no aplicar normas armonizadas — o cuando aún no exista ninguna norma aplicable — la carga recaerá sobre ellos para documentar, a través de expedientes técnicos y evidencias de evaluación de conformidad, cómo se logra el nivel equivalente de protección. Esta es una vía viable pero más exigente, que requiere una estrecha colaboración con el organismo notificado y potencialmente pruebas y documentación más extensas.
Los importadores y los responsables del despliegue deben verificar que los proveedores cuyos sistemas comercializan o ponen en servicio han identificado y aplicado correctamente las normas pertinentes, ya que esto afecta a la validez de la declaración UE de conformidad y del marcado CE.
El impacto práctico del artículo 40 crecerá progresivamente a medida que madure la cartera de normalización. En los primeros compases de la aplicación del Reglamento, habrá un número limitado de normas armonizadas disponibles, lo que exigirá una mayor dependencia de las especificaciones comunes y las evaluaciones técnicas a medida.
Obligaciones clave
- Identificar las normas armonizadas aplicables: Los proveedores de sistemas de IA de alto riesgo deben supervisar el Diario Oficial de la Unión Europea para conocer las referencias publicadas de normas armonizadas pertinentes para su sistema y los requisitos del título III, capítulo 3.
- Aplicar las normas para activar la presunción de conformidad: Cuando un proveedor opte por ampararse en la presunción de conformidad, la norma armonizada debe aplicarse en su totalidad para los requisitos que cubre; la aplicación parcial no extiende la presunción a los elementos no cubiertos.
- Documentar la aplicación de las normas en la documentación técnica: La documentación técnica exigida en virtud del artículo 11 y el Annex IV debe identificar claramente qué normas armonizadas se han aplicado y cómo se corresponden con los requisitos legales pertinentes.
- Abordar las lagunas cuando no existan normas: Cuando ninguna norma armonizada cubra un requisito específico, los proveedores deben demostrar la conformidad por medios alternativos, incluidas las especificaciones comunes adoptadas en virtud del artículo 41 o evidencias técnicas independientes, y deben documentar este enfoque en su expediente de evaluación de conformidad.
- Mantenerse al corriente de las normas actualizadas o retiradas: Cuando una norma armonizada sea revisada o su referencia sea retirada del Diario Oficial, los proveedores deben evaluar si su documentación de cumplimiento existente sigue siendo válida y actualizar sus sistemas y expedientes técnicos en consecuencia.
- Participar en los procesos de normalización: Los proveedores, especialmente los de sectores con aplicaciones de IA en rápida evolución, deben participar en los organismos de normalización pertinentes y en los grupos de trabajo del sector para garantizar que las normas emergentes reflejen la práctica técnica real y respalden vías de cumplimiento significativas.
Relación con otros artículos
El artículo 40 actúa como puente procedimental entre los requisitos sustantivos del título III, capítulo 3 (artículos 9–15 y 17) y los procedimientos de evaluación de conformidad del capítulo 5. Debe leerse junto con el artículo 41, que prevé especificaciones comunes adoptadas por la Comisión como alternativa cuando las normas armonizadas están ausentes o son insuficientes. El artículo 43 regula los procedimientos de evaluación de conformidad en los que se invoca la presunción creada por el artículo 40, y el artículo 44 regula el papel de los organismos notificados en las evaluaciones de terceros.
El artículo también se conecta con el artículo 11 y el Annex IV sobre documentación técnica, dado que la evidencia de la aplicación de normas debe figurar en el expediente técnico, y con el artículo 17 sobre sistemas de gestión de la calidad, que deben incorporar procesos para identificar y aplicar las normas pertinentes. El artículo 48, que regula la declaración UE de conformidad, es el instrumento posterior a través del cual el proveedor afirma formalmente la presunción de conformidad establecida en virtud del artículo 40. Para los proveedores de modelos de IA de propósito general, la normalización se trata por separado en virtud del título VIII; el artículo 40 se aplica específicamente a los sistemas de IA de alto riesgo en virtud del título III.
Calendario de cumplimiento
El artículo 40 entró en vigor el 1 de agosto de 2024, fecha en la que el Reglamento de IA de la UE fue publicado en el Diario Oficial de la Unión Europea y se convirtió en derecho vinculante. Sin embargo, su aplicación práctica está ligada a la implantación gradual de las obligaciones:
- Agosto de 2024: El Reglamento entra en vigor; los mandatos de normalización a CEN, CENELEC y ETSI comienzan o se aceleran.
- Febrero de 2025: Las prácticas de IA prohibidas en virtud del artículo 5 pasan a ser aplicables; el artículo 40 no se ve directamente implicado en esta fase.
- Agosto de 2025: Las obligaciones para los modelos de IA de propósito general en virtud del título VIII pasan a ser aplicables; el artículo 40 sigue siendo específico para los sistemas de IA de alto riesgo y no regula las normas para modelos de propósito general.
- Diciembre de 2026: Los sistemas de IA de alto riesgo enumerados en el Annex III (distintos de los cubiertos por la legislación de productos del Annex I) deben cumplir los requisitos del título III. Los proveedores deben haber identificado y aplicado las normas armonizadas pertinentes en esta fecha; donde haya normas publicadas disponibles, deben haberse completado las evaluaciones de conformidad basadas en ellas.
- Agosto de 2027: Los sistemas de IA de alto riesgo integrados en productos regulados por la legislación sectorial del Annex I (dispositivos médicos, maquinaria, aviación, etc.) deben cumplir los requisitos. Se espera que la cobertura completa por normas armonizadas esté más desarrollada en esta fecha, aunque los proveedores no deben asumir una cobertura completa y deben planificar teniendo en cuenta las posibles lagunas.
Se recomienda encarecidamente a los proveedores que supervisen las solicitudes de normalización de la Comisión y los programas de trabajo de CEN-CENELEC JTC 21 (el comité técnico conjunto para la normalización en materia de IA) para anticipar qué normas estarán disponibles y cuándo, lo que permitirá planificar los calendarios de cumplimiento en consecuencia.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
El artículo 40 establece que las normas armonizadas adoptadas por las organizaciones europeas de normalización (OEN) — CEN, CENELEC y ETSI — crean una presunción de conformidad con los requisitos del Reglamento de IA de la UE para los sistemas de IA de alto riesgo. Los proveedores que aplican estas normas pueden demostrar el cumplimiento sin necesidad de llevar a cabo una evaluación de conformidad independiente completa para los requisitos cubiertos por la norma.
No. El cumplimiento de las normas armonizadas es voluntario. Sin embargo, la aplicación de normas armonizadas cuyas referencias hayan sido publicadas en el Diario Oficial de la Unión Europea desencadena una presunción de conformidad con los requisitos correspondientes del Reglamento de IA de la UE. Los proveedores que opten por medios alternativos de cumplimiento deberán demostrar la equivalencia mediante su documentación técnica y la evaluación de conformidad.
Cuando no existe ninguna norma armonizada o su referencia aún no ha sido publicada en el Diario Oficial, los proveedores pueden basarse en especificaciones comunes adoptadas por la Comisión Europea en virtud del artículo 41, o demostrar el cumplimiento por otros medios técnicos. La Comisión está facultada para solicitar a los organismos de normalización que desarrollen normas para requisitos específicos donde existan lagunas.
Las normas armonizadas son desarrolladas por las organizaciones europeas de normalización: CEN (Comité Europeo de Normalización), CENELEC (Comité Europeo de Normalización Electrotécnica) y ETSI (Instituto Europeo de Normas de Telecomunicaciones). Actúan en respuesta a solicitudes de normalización (mandatos) emitidas por la Comisión Europea, a menudo en coordinación con organismos internacionales de normalización como ISO e IEC.
Las normas armonizadas pueden cubrir cualquiera o todos los requisitos para los sistemas de IA de alto riesgo establecidos en el capítulo 3 del título III del Reglamento de IA de la UE, incluidos los requisitos sobre sistemas de gestión de riesgos (artículo 9), datos y gobernanza de datos (artículo 10), documentación técnica (artículo 11), mantenimiento de registros (artículo 12), transparencia (artículo 13), supervisión humana (artículo 14), exactitud, robustez y ciberseguridad (artículo 15) y sistemas de gestión de la calidad (artículo 17).
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.