Artículo 42 — Presunción de conformidad con determinados requisitos (Reglamento de IA de la UE)

Artículo 42 del Reglamento (UE) 2024/1689 — Presunción de conformidad con determinados requisitos. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El artículo 42 del Reglamento (UE) 2024/1689 (el Reglamento de IA de la UE) establece un mecanismo conocido como presunción de conformidad. En virtud de este mecanismo, un sistema de IA de alto riesgo que haya sido desarrollado y probado de conformidad con normas armonizadas —o partes de las mismas— cuyas referencias hayan sido publicadas en el Diario Oficial de la Unión Europea se presume conforme con los requisitos establecidos en el capítulo 2 del título III del Reglamento, en la medida en que dichas normas armonizadas cubran esos requisitos.

La misma presunción se aplica cuando un proveedor demuestra conformidad con especificaciones comunes adoptadas por la Comisión Europea en virtud del artículo 41 del Reglamento, nuevamente en la medida en que dichas especificaciones comunes aborden los requisitos aplicables.

La presunción es condicional y proporcional: opera únicamente con respecto a los requisitos que la norma armonizada o la especificación común cubra efectivamente. Cuando una norma o especificación solo abarca parte de un requisito, la presunción de conformidad se aplica exclusivamente a esa parte. Los proveedores siguen siendo responsables de demostrar la conformidad con los requisitos no abordados por la norma o la especificación mediante otros medios adecuados.

Este artículo refleja el enfoque europeo general en materia de regulación de productos, que se reproduce en mecanismos de presunción similares presentes en la legislación de armonización de la Unión vigente (por ejemplo, la Directiva de Maquinaria y la Directiva de Equipos Radioeléctricos), e integra el Reglamento de IA en el establecido Nuevo Marco Legislativo.

Qué significa esto en la práctica

Para los proveedores de sistemas de IA de alto riesgo, el artículo 42 crea una vía de cumplimiento práctica que reduce tanto el coste como la complejidad de demostrar la conformidad. En lugar de construir desde cero argumentos técnicos a medida para cada requisito aplicable, un proveedor puede alinear sus procesos de desarrollo y prueba con las normas armonizadas publicadas y apoyarse en la presunción resultante para satisfacer a las autoridades de vigilancia del mercado y a los organismos notificados.

En términos concretos, una empresa que desarrolle un dispositivo médico impulsado por IA clasificado como de alto riesgo en virtud del anexo III revisaría las normas armonizadas publicadas por la Comisión Europea tras los mandatos de normalización emitidos a organismos como CEN-CENELEC. Cuando dichas normas han sido publicadas en el Diario Oficial, la empresa documenta su conformidad con ellas —por ejemplo, en lo que respecta a los requisitos de gobernanza de datos, transparencia o robustez— y lo registra en su documentación técnica conforme a lo exigido por el artículo 11 y el anexo IV.

Cuando las normas armonizadas todavía no están disponibles —lo que sigue siendo una limitación real dada la novedad del Reglamento—, los proveedores pueden recurrir en su lugar a las especificaciones comunes adoptadas por la Comisión al amparo del artículo 41 como vía equivalente a la presunción.

Es importante señalar que la presunción no elimina la obligación de llevar a cabo una evaluación de la conformidad en virtud del artículo 43. Simplifica la base probatoria de esa evaluación. Los equipos internos de cumplimiento, los asesores jurídicos y los organismos notificados deben tratar el artículo 42 como un atajo estructurado dentro de la arquitectura más amplia de evaluación de la conformidad, no como una exención de la misma. Los proveedores deben mantener una vigilancia actualizada de las normas armonizadas recién publicadas, ya que las vías de cumplimiento evolucionarán significativamente durante el período de implantación gradual.

Obligaciones clave

• Supervisar las normas armonizadas publicadas: Los proveedores deben rastrear activamente el Diario Oficial de la Unión Europea en busca de referencias a normas armonizadas que cubran los requisitos del capítulo 2, título III, y actualizar su documentación técnica en consecuencia cuando se publiquen normas nuevas o revisadas.
• Alinear el desarrollo y las pruebas con las normas aplicables: Para invocar la presunción, el sistema de IA debe haber sido desarrollado y probado de conformidad con la norma armonizada o la especificación común pertinente. Una alineación parcial solo activa una presunción parcial.
• Documentar la conformidad con las normas en la documentación técnica: Las pruebas de conformidad con la norma armonizada o la especificación común deben constar en la documentación técnica exigida conforme al artículo 11 y el anexo IV, con suficiente detalle para permitir su reconstrucción y verificación.
• Identificar y abordar las lagunas no cubiertas por las normas: Cuando una norma armonizada o una especificación común no cubre íntegramente un requisito del capítulo 2, los proveedores deben demostrar la conformidad con la parte no cubierta mediante medios técnicos o de procedimiento alternativos, documentados y defendibles ante las autoridades de vigilancia del mercado.
• Estar preparado para la rebatición: La presunción no es absoluta. Los proveedores deben conservar pruebas subyacentes suficientes —resultados de pruebas, registros de gobernanza de datos, registros de supervisión humana— para acreditar la conformidad si la presunción es impugnada por un organismo notificado o una autoridad nacional.
• Considerar las especificaciones comunes del artículo 41 como solución alternativa: Cuando no se haya publicado ni mandatado ninguna norma armonizada, los proveedores deben evaluar si están disponibles especificaciones comunes emitidas por la Comisión Europea al amparo del artículo 41 y aplicarlas para asegurar una posición jurídica equivalente en virtud del artículo 42.

Relación con otros artículos

El artículo 42 se sitúa en la intersección de la arquitectura de normalización y evaluación de la conformidad del Reglamento y no puede leerse de forma aislada.

Depende directamente del artículo 41 (especificaciones comunes), que proporciona la vía alternativa a la presunción cuando las normas armonizadas están ausentes o son incompletas. La presunción activada por el artículo 42 alimenta directamente el artículo 43 (procedimientos de evaluación de la conformidad), que determina la vía procesal —control interno o participación de terceros— que debe seguir un proveedor.

Los requisitos respecto de los cuales se presume la conformidad se enuncian en los artículos 9 a 15 (capítulo 2, título III), que abarcan la gestión de riesgos, la gobernanza de datos, la documentación técnica, la transparencia, la supervisión humana, la precisión, la robustez y la ciberseguridad. El artículo 11 y el anexo IV regulan la documentación técnica en la que debe registrarse la conformidad con las normas.

El artículo 40 (normas armonizadas) es la contraparte previa en la cadena: describe cómo se emiten los mandatos de normalización y cómo las normas armonizadas adquieren su condición en virtud del Reglamento. El artículo 42 es, por tanto, el efecto jurídico subsiguiente del artículo 40.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024 (veinte días después de su publicación en el Diario Oficial el 12 de julio de 2024). La aplicación de sus disposiciones es gradual:

• 2 de febrero de 2025 — Las prohibiciones sobre las prácticas de IA de riesgo inaceptable (artículo 5) pasaron a ser aplicables.
• 2 de agosto de 2025 — Las normas sobre los modelos de IA de propósito general (título VIII) y las obligaciones de gobernanza pasaron a ser aplicables.
• 2 de agosto de 2026 — Las obligaciones para los sistemas de IA de alto riesgo enumerados en el anexo III que no sean componentes de seguridad de productos ya cubiertos por la legislación de armonización de la Unión pasan a ser aplicables. El artículo 42 es directamente relevante a partir de esta fecha para la mayoría de los proveedores de sistemas de alto riesgo.
• 2 de agosto de 2027 — Los sistemas de IA de alto riesgo que sean componentes de seguridad de productos cubiertos por la legislación de armonización de la Unión vigente (la categoría «sectorial» del anexo II) deben cumplir los requisitos.

En lo que respecta específicamente al artículo 42, el calendario práctico está también determinado por los mandatos de normalización de la Comisión Europea a CEN-CENELEC y ETSI. A mediados de 2026, las normas armonizadas en el marco del Reglamento de IA aún no están completamente publicadas; los proveedores deben seguir de cerca el Diario Oficial y el programa de trabajo de normalización de la Comisión. Hasta que no estén disponibles normas armonizadas para un determinado requisito, el recurso a las especificaciones comunes del artículo 41 constituye la principal vía alternativa.