Artículo 43 — Evaluación de conformidad (Reglamento UE de IA)

Artículo 43 del Reglamento (UE) 2024/1689 — Evaluación de conformidad. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del Texto Oficial

El Artículo 43 del Reglamento (UE) 2024/1689 establece los procedimientos de evaluación de conformidad que los proveedores de sistemas de IA de alto riesgo deben seguir antes de comercializar un sistema o ponerlo en servicio en la Unión Europea.

Para los sistemas de IA de alto riesgo cubiertos por la legislación de armonización de la Unión enumerada en el Anexo I — como los productos sujetos a la Directiva de Maquinaria, el Reglamento de Productos Sanitarios o las normas de seguridad de la aviación civil — se aplica el procedimiento de evaluación de conformidad correspondiente a esa legislación sectorial, complementado por los requisitos del Capítulo 2 del Título III del Reglamento de IA. Cuando la legislación sectorial no exija la participación de terceros, el proveedor debe seguir el procedimiento de control interno establecido en el Anexo VI del Reglamento de IA.

Para los sistemas de IA de alto riesgo enumerados en el Anexo III, el Artículo 43 establece dos vías. Por defecto, los proveedores siguen el procedimiento de control interno del Anexo VI. No obstante, cuando el sistema implique la identificación biométrica en tiempo real o remota a posteriori de personas físicas (distintas de las excluidas por el Artículo 6(3)), o cuando no exista una norma armonizada que cubra todos los requisitos pertinentes y no se haya adoptado ninguna especificación común, la evaluación debe ser realizada por un organismo notificado de conformidad con el Anexo VII.

Todo sistema de IA de alto riesgo que sufra una modificación sustancial después de haber recibido una declaración UE de conformidad o un certificado debe ser sometido a una nueva evaluación de conformidad. El artículo confirma también que los organismos notificados deben ser notificados a la Comisión y a las autoridades de los Estados miembros antes de realizar las evaluaciones, y que los certificados emitidos siguen siendo válidos salvo que se retiren.

Qué Significa Esto en la Práctica

Para la mayoría de los proveedores de sistemas de IA de alto riesgo enumerados en el Anexo III — que abarcan ámbitos como la selección de personal, la educación, la calificación crediticia, la gestión de infraestructuras críticas y la administración de justicia — el Artículo 43 significa que la autoevaluación interna es la vía de conformidad predeterminada. El sistema de gestión de calidad del proveedor, la documentación técnica y los registros de conformidad deben estar en orden antes de que se firme la declaración de conformidad y se coloque el marcado CE. No se requiere ningún auditor externo a menos que el sistema pertenezca a una de las categorías que exigen la intervención de un organismo notificado.

Para los proveedores cuyos sistemas estén sujetos a la legislación sectorial del Anexo I — por ejemplo, un sistema de IA integrado en un producto sanitario de clase IIb o en equipos de aviación de seguridad crítica — la evaluación de conformidad del Reglamento de IA se superpone al procedimiento sectorial ya aplicable. En la práctica, esto implica la intervención del organismo notificado ya designado en virtud del Reglamento de Productos Sanitarios o de la autoridad aeronáutica competente, garantizando que dicho organismo sea también competente para evaluar los requisitos específicos de la IA.

El desencadenante operativamente más significativo del Artículo 43 es la obligación de repetir la evaluación de conformidad tras una modificación sustancial. Los equipos de desarrollo y los responsables de producto deben, por tanto, incorporar un control formal de gestión de cambios en su ciclo de vida de desarrollo de IA: cualquier actualización que altere el uso previsto, las características de rendimiento o el perfil de riesgo del sistema debe evaluarse frente a la definición de modificación sustancial antes de su implantación.

Los importadores y distribuidores no son ellos mismos responsables de realizar la evaluación de conformidad, pero deben verificar que el proveedor ha completado el procedimiento y que la documentación está disponible. Los operadores que actúen en sectores regulados deben solicitar confirmación de la vía de evaluación aplicable como parte de la diligencia debida con los proveedores.

Obligaciones Clave

• Seleccionar la vía de evaluación correcta: Los proveedores deben determinar si su sistema de IA de alto riesgo está sujeto a la legislación sectorial del Anexo I o al Anexo III, y aplicar el procedimiento correspondiente (control interno según el Anexo VI, o evaluación por organismo notificado según el Anexo VII cuando sea obligatorio).
• Realizar la evaluación antes de la comercialización: La evaluación de conformidad debe completarse y la declaración UE de conformidad debe firmarse antes de que el sistema se comercialice en el mercado de la Unión o se ponga en servicio — no de forma retroactiva.
• Recurrir a un organismo notificado cuando sea necesario: Los sistemas que impliquen identificación biométrica remota en tiempo real para las fuerzas del orden, o cuando no exista ninguna norma armonizada aplicable y ninguna especificación común cubra todos los requisitos, requieren una evaluación por terceros a cargo de un organismo notificado acreditado.
• Integrar la evaluación de IA con los procedimientos sectoriales: Para los productos del Anexo I, la evaluación de conformidad específica de la IA debe alinearse con — e integrarse, en la medida de lo posible, en — la evaluación de conformidad sectorial existente, utilizando el mismo organismo notificado cuando sea competente.
• Reevaluar tras una modificación sustancial: Cualquier modificación sustancial de un sistema de IA de alto riesgo que ya haya superado la evaluación de conformidad activa una nueva evaluación obligatoria antes de que el sistema modificado pueda implantarse o comercializarse.
• Mantener la documentación para la revisión post-comercialización: Los proveedores deben conservar la documentación técnica, los registros del sistema de gestión de calidad y la declaración de conformidad durante diez años después de que el sistema se comercialice, y ponerlos a disposición de las autoridades nacionales competentes cuando lo soliciten.

Relación con Otros Artículos

El Artículo 43 no puede interpretarse de forma aislada. Es la expresión procedimental de los requisitos sustantivos establecidos en los Artículos 8 a 15 (Capítulo 2 del Título III), que definen las normas técnicas y de gobernanza que deben cumplir los sistemas de IA de alto riesgo — incluidas la gestión de riesgos, la gobernanza de datos, la transparencia, la supervisión humana, la precisión y la robustez en materia de ciberseguridad. La definición de qué constituye un sistema de IA de alto riesgo — y que, por tanto, activa el Artículo 43 — está establecida por el Artículo 6 en conjunción con los Anexos I y III.

El procedimiento de control interno al que se hace referencia en el Artículo 43 se detalla en el Anexo VI, mientras que el procedimiento del organismo notificado se establece en el Anexo VII. El Artículo 44 regula los certificados emitidos por los organismos notificados tras una evaluación según el Anexo VII, incluidas las condiciones de suspensión y retirada. El Artículo 45 aborda las obligaciones de los organismos notificados durante la evaluación. El Artículo 47 regula la declaración UE de conformidad que los proveedores deben redactar al completar el procedimiento. El Artículo 48 vincula la finalización de la evaluación de conformidad al derecho a colocar el marcado CE según el Artículo 49.

Para los proveedores cuyos sistemas también tengan la consideración de modelos de IA de uso general con riesgo sistémico, la interacción con las obligaciones del Título VIII debe considerarse junto con el Artículo 43.

Calendario de Cumplimiento

El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial de la Unión Europea el 12 de julio de 2024.

El Artículo 43 no se aplica de inmediato a todos los sistemas de IA de alto riesgo. El calendario de aplicación gradual establecido por el Artículo 113 implica que:

• 2 de febrero de 2025 — Las prohibiciones sobre prácticas de IA de riesgo inaceptable (Título II) se volvieron aplicables. El Artículo 43 aún no estaba en vigor.
• 2 de agosto de 2025 — Las obligaciones relativas a los modelos de IA de uso general (Título VIII) se volvieron aplicables. Las obligaciones de evaluación de conformidad establecidas en el Artículo 43 todavía no estaban en vigor para la mayoría de los sistemas de alto riesgo.
• 2 de agosto de 2026 — El Artículo 43 pasa a ser plenamente aplicable a los proveedores de sistemas de IA de alto riesgo enumerados en el Anexo III (sistemas de IA de alto riesgo independientes en ámbitos como la biometría, el empleo, la educación y las infraestructuras críticas).
• 2 de agosto de 2027 — Plazo a partir del cual las obligaciones, incluida la evaluación de conformidad, se aplican a los sistemas de IA de alto riesgo integrados en productos del Anexo I que ya están regulados por la legislación de armonización de la Unión y fueron comercializados antes de agosto de 2026.

Los proveedores deben tratar el plazo de agosto de 2026 como la fecha de cumplimiento operativa para la planificación interna, garantizando que los sistemas de gestión de calidad, la documentación técnica y los procedimientos de evaluación estén operativos con suficiente antelación.