Artículo 44 — Certificados (Reglamento de IA de la UE)

Artículo 44 del Reglamento (UE) 2024/1689 — Certificados. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El artículo 44 del Reglamento (UE) 2024/1689 establece las normas que rigen los certificados emitidos por organismos notificados en relación con la evaluación de conformidad de los sistemas de IA de alto riesgo. En virtud de este artículo, los certificados emitidos por organismos notificados deben redactarse en una de las lenguas oficiales del Estado miembro de la UE en el que esté establecido el organismo notificado, o en una lengua aceptable para dicho organismo.

El artículo establece un período máximo de validez de cuatro años para cualquier certificado emitido, con posibilidad de renovación tras una nueva evaluación de conformidad. Los organismos notificados están obligados a llevar registros de todos los certificados que emitan, incluidos los que hayan sido denegados, suspendidos o retirados. Estos registros deben ponerse a disposición de las autoridades nacionales competentes cuando lo soliciten.

El artículo 44 dispone además que cuando un organismo notificado suspenda, restrinja o retire un certificado, debe notificarlo a la autoridad de vigilancia del mercado pertinente del Estado miembro en el que esté establecido el proveedor, así como a los demás organismos notificados que operen en el marco de los mismos procedimientos de evaluación de conformidad. La Comisión Europea también debe ser informada cuando los certificados afecten a sistemas con implicaciones transfronterizas.

Cabe destacar que el artículo establece un principio de reconocimiento mutuo: los certificados emitidos por organismos notificados en un Estado miembro son válidos en toda la Unión Europea sin necesidad de una nueva certificación, lo que sustenta el funcionamiento del mercado único de la UE para los sistemas de IA de alto riesgo.

Qué significa esto en la práctica

El artículo 44 es fundamental para la administración práctica de la evaluación de conformidad por terceros para los sistemas de IA de alto riesgo contemplados en el Anexo III del Reglamento de IA de la UE. Afecta directamente a los proveedores de sistemas de IA de alto riesgo que están obligados a someterse a una evaluación de conformidad por un organismo notificado en lugar de realizar una autoevaluación.

Para los proveedores, el límite máximo de validez de cuatro años implica que el acceso continuado al mercado depende de una recertificación periódica. Los proveedores deben hacer un seguimiento de las fechas de vencimiento de los certificados e iniciar los procedimientos de renovación con antelación suficiente para evitar lagunas en el estado de conformidad que impedirían la comercialización legal. Un certificado suspendido o retirado exige una acción inmediata: el sistema no puede comercializarse ni ponerse en servicio hasta que se resuelva la situación.

Para los organismos notificados, el artículo impone estrictas obligaciones de mantenimiento de registros y notificación. Cualquier decisión desfavorable —denegación, restricción, suspensión o retirada— debe comunicarse sistemáticamente a las autoridades nacionales y a los organismos notificados homólogos, garantizando una aplicación coordinada en toda la UE.

Ejemplo concreto: Un proveedor de un sistema de IA de identificación biométrica certificado en Alemania por un organismo notificado alemán puede comercializar legalmente ese sistema en Francia, España y en todos los demás Estados miembros de la UE sin necesidad de obtener certificados nacionales separados. Sin embargo, si el organismo notificado comprueba durante la vigilancia que el sistema ya no cumple los requisitos de los artículos 9 a 15 y suspende el certificado, el proveedor debe detener inmediatamente la distribución en toda la UE y notificarlo a los usuarios finales.

El principio de reconocimiento mutuo es una medida práctica de facilitación del comercio, pero supone importantes riesgos comerciales para el mantenimiento de un único certificado en vigor.

Obligaciones clave

• Los certificados deben tener un período de validez definido que no supere los cuatro años; la renovación requiere una nueva evaluación de conformidad que demuestre el cumplimiento continuo de los requisitos aplicables.
• Los organismos notificados deben mantener registros completos de todos los certificados emitidos, denegados, suspendidos, restringidos o retirados, y poner esos registros a disposición de las autoridades nacionales competentes cuando lo soliciten.
• Las decisiones desfavorables sobre certificados deben notificarse de forma inmediata a la autoridad nacional de vigilancia del mercado pertinente, a los demás organismos notificados que operen en el marco de los mismos procedimientos y, cuando proceda, a la Comisión Europea.
• Los proveedores deben cesar sus actividades en el mercado si se suspende o retira un certificado, hasta que se restablezca la conformidad y se obtenga un certificado válido.
• El reconocimiento mutuo se aplica en toda la UE: un certificado emitido por cualquier organismo notificado debidamente designado en un Estado miembro es válido en todos los Estados miembros sin requisitos de recertificación.
• Los certificados deben redactarse en una lengua del Estado miembro del organismo notificado emisor o en otra lengua oficial de la UE acordada mutuamente, garantizando la accesibilidad para las autoridades nacionales.

Relación con otros artículos

El artículo 44 se encuentra en el Título III, Capítulo 5 (Normas, evaluación de conformidad, certificados y registro) y debe leerse en estrecha relación con las disposiciones que lo rodean. El artículo 43 define los procedimientos de evaluación de conformidad aplicables —incluidas las condiciones en las que la intervención de un organismo notificado de terceros es obligatoria y no opcional— estableciendo el proceso previo que el artículo 44 rige en lo que respecta a la gestión de certificados.

Los artículos 31 a 39 definen los requisitos que los propios organismos notificados deben cumplir para ser designados, y las obligaciones que asumen como organismos de evaluación de conformidad acreditados. La integridad del régimen de certificados del artículo 44 depende en su totalidad de la competencia de esos organismos.

Los artículos 9 a 15 establecen los requisitos sustantivos para los sistemas de IA de alto riesgo —gestión de riesgos, gobernanza de datos, transparencia, supervisión humana, exactitud y solidez— con arreglo a los cuales se evalúan los certificados. Un certificado en virtud del artículo 44 es esencialmente la atestación de un organismo notificado de que se cumplen esas disposiciones.

El artículo 45 aborda los procedimientos de recurso disponibles para los proveedores cuando un organismo notificado deniega, suspende o retira un certificado, proporcionando el complemento procedimental a las normas sustantivas del artículo 44. El artículo 51 regula las obligaciones de registro que siguen a la certificación, vinculando los certificados a la base de datos de la UE de sistemas de IA de alto riesgo.

Calendario de cumplimiento

El artículo 44 pasó a formar parte del Derecho de la UE con la entrada en vigor del Reglamento (UE) 2024/1689 el 2 de agosto de 2024. Sin embargo, su aplicación práctica se rige por el calendario de aplicación gradual:

• 2 de febrero de 2025 — Comenzaron a aplicarse las disposiciones sobre prácticas de IA prohibidas (Título II). El artículo 44 aún no era operativo.
• 2 de agosto de 2025 — Comenzaron a aplicarse las normas sobre modelos de IA de uso general (Título VIII) y las obligaciones de gobernanza.
• 2 de diciembre de 2026 — El artículo 44 entra plenamente en vigor para la mayoría de los sistemas de IA de alto riesgo enumerados en el Anexo III, incluidos los de ámbitos como la educación, el empleo, los servicios esenciales, la aplicación de la ley y la gestión de fronteras. Los proveedores que comercialicen o pongan en servicio dichos sistemas deben contar con un certificado válido cuando se exija la evaluación de conformidad por terceros.
• 2 de agosto de 2027 — Plazo ampliado para los sistemas de IA de alto riesgo cubiertos por la legislación de la UE vigente sobre seguridad de productos (sistemas del Anexo I), concediendo a esos sectores tiempo adicional para adaptar las relaciones existentes con organismos notificados y los marcos de conformidad al nuevo régimen de certificados de la Ley de IA.

Los proveedores que prevean necesitar un certificado en virtud del artículo 44 deben ponerse en contacto con los organismos notificados bastante antes del plazo de diciembre de 2026, dada la demanda esperada de capacidad de evaluación y el tiempo necesario para llevar a cabo una evaluación de conformidad exhaustiva en virtud de los artículos 9 a 15.