Artículo 45 — Obligaciones de información de los organismos notificados (Reglamento de IA de la UE)

Artículo 45 del Reglamento (UE) 2024/1689 — Obligaciones de información de los organismos notificados. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El artículo 45 del Reglamento (UE) 2024/1689 establece obligaciones de información específicas que incumben a los organismos notificados a lo largo del ciclo de vida de sus actividades de evaluación de la conformidad relativas a los sistemas de IA de alto riesgo enumerados en el Anexo III y, cuando proceda, en el Anexo II.

En virtud del artículo 45, los organismos notificados están obligados a informar a la autoridad notificante — el organismo nacional responsable de designarlos y supervisarlos — de todas las evaluaciones de la conformidad realizadas, incluidas aquellas rechazadas o retiradas antes de su conclusión. Esta obligación de transparencia se extiende a las circunstancias que puedan afectar al ámbito de aplicación, las condiciones o la validez continuada de la notificación, como cambios en la estructura, la titularidad, la competencia o los recursos del organismo.

Los organismos notificados deben comunicar adicionalmente a su autoridad notificante cualquier solicitud de información recibida de las autoridades de vigilancia del mercado, lo que permite una supervisión coordinada más allá de las fronteras nacionales. También están obligados a informar de las reclamaciones, los recursos y otra información pertinente relativa a los sistemas de IA de alto riesgo que han evaluado, a petición o por iniciativa propia cuando el asunto sea de importancia para la acción regulatoria.

El artículo 45 prevé además que los organismos notificados intercambiarán información entre sí y con la Comisión sobre asuntos relacionados con los resultados negativos de las evaluaciones de la conformidad, estableciendo así un mecanismo de intercambio colectivo de conocimientos. Esto impide que los proveedores busquen evaluadores más indulgentes tras recibir una evaluación rechazada de un organismo notificado — práctica a veces denominada «compra de certificados».

El artículo constituye una piedra angular de la infraestructura de responsabilidad del sistema de organismos notificados, garantizando que las autoridades nacionales y la Comisión mantengan una supervisión genuina sobre cómo se realizan las evaluaciones de la conformidad en toda la Unión.

Lo que esto significa en la práctica

Para los organismos notificados, el artículo 45 introduce una cultura de divulgación continua y proactiva que va mucho más allá de la simple emisión o denegación de certificados. En términos operativos, un organismo notificado debe establecer procedimientos internos para registrar e informar de todos los eventos significativos a su autoridad notificante nacional, incluso cuando esos eventos no den lugar a un certificado formal.

Consideremos un escenario en el que un proveedor de un sistema de IA de alto riesgo utilizado en la selección de personal presenta documentación para una evaluación de la conformidad, pero el organismo notificado identifica lagunas críticas en la documentación técnica y en el sistema de gestión de riesgos. Incluso si el proveedor retira la solicitud antes de que se emita una denegación formal, el artículo 45 exige que el organismo notificado informe de esta retirada. La autoridad notificante y, a través de los mecanismos de intercambio de información, otros organismos notificados quedan así alertados de que un sistema no conforme puede volver a presentarse en otro lugar para su evaluación.

Del mismo modo, si una autoridad de vigilancia del mercado — como un regulador nacional de protección de los consumidores — se pone en contacto con un organismo notificado para solicitar información sobre un sistema previamente evaluado que ha causado daños, el organismo notificado debe informar a su autoridad notificante de esa solicitud. Esto crea un rastro documental que permite una respuesta regulatoria coordinada.

Los organismos notificados también deben revisar continuamente sus acuerdos internos de recursos y competencias. Si determinan que su dotación de personal o su capacidad técnica ya no cubre determinadas categorías de sistemas de IA, deben notificar este cambio con prontitud para que pueda ajustarse el ámbito de su designación — protegiendo la integridad del mercado al impedir evaluaciones en áreas donde el organismo carece de experiencia genuina.

Para los proveedores, este marco significa que una evaluación rechazada o retirada no es un evento confidencial. Por tanto, es aconsejable realizar una debida diligencia antes de contratar a un organismo notificado.

Obligaciones clave

• Informar sobre evaluaciones rechazadas y retiradas: Los organismos notificados deben informar a la autoridad notificante de cualquier evaluación de la conformidad rechazada o retirada por el proveedor antes de su conclusión, incluidos los motivos cuando puedan determinarse.
• Divulgar circunstancias que afectan al ámbito de aplicación: Cualquier cambio en la situación jurídica, la titularidad, el personal directivo, la estructura organizativa o la competencia técnica del organismo que pudiera afectar a su notificación debe comunicarse a la autoridad notificante sin demora indebida.
• Compartir información con otros organismos notificados: Los organismos notificados están obligados a intercambiar información sobre resultados negativos de evaluación y asuntos relacionados con otros organismos notificados homólogos y con la Comisión, impidiendo así la compra de certificados en toda la Unión.
• Informar de los contactos regulatorios: La recepción de solicitudes de información de las autoridades de vigilancia del mercado, las autoridades nacionales competentes u otros organismos reguladores debe divulgarse a la autoridad notificante, lo que permite una supervisión coordinada.
• Comunicar reclamaciones y recursos: Las reclamaciones significativas, los recursos contra las decisiones de evaluación y la información posterior a la comercialización relativa a los sistemas de IA evaluados deben comunicarse previa solicitud o de forma proactiva cuando proceda.
• Mantener la disponibilidad para auditorías: Los organismos notificados deben poner a disposición de la autoridad notificante toda la documentación, los registros y las pruebas pertinentes de sus actividades de evaluación para apoyar el seguimiento continuo de su designación.

Relación con otros artículos

El artículo 45 opera dentro de una densa red de disposiciones que regulan el sistema de organismos notificados en virtud del Título III, Capítulo 5. Es inseparable del artículo 33, que establece las obligaciones y requisitos generales que deben cumplir los organismos notificados para obtener y mantener su designación, y del artículo 34, que establece las normas sobre filiales y subcontratación que afectan a la transparencia organizativa.

El proceso de notificación y designación regulado por los artículos 35 y 36 proporciona el contexto institucional del artículo 45: la autoridad notificante que recibe información en virtud del artículo 45 es el mismo organismo que puede suspender o retirar una notificación en virtud del artículo 35 si la información divulgada revela incumplimiento.

El artículo 44 (certificados de conformidad) y el artículo 46 (excepción de los procedimientos de evaluación de la conformidad) deben leerse junto con el artículo 45, ya que establecen los resultados del proceso de evaluación de la conformidad cuya integridad están destinadas a proteger las obligaciones de información del artículo 45.

En el ámbito de la vigilancia del mercado, los artículos 74 a 76 dependen implícitamente de los flujos de información creados por el artículo 45 para funcionar eficazmente, al igual que los mecanismos de coordinación que implican al Consejo Europeo de Inteligencia Artificial (EAIB) establecido en virtud del artículo 65.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial de la Unión Europea (OJ L 2024/1689, 12 de julio de 2024). El artículo 45 se enmarca en las disposiciones aplicables a los sistemas de IA de alto riesgo en virtud del Título III.

El calendario de aplicación por fases es el siguiente:

• 1 de agosto de 2024 — Entrada en vigor; comienzan las obligaciones preparatorias para los Estados miembros y la Comisión.
• 2 de febrero de 2025 — Se hicieron aplicables las prácticas prohibidas de IA (Título II, artículo 5).
• 2 de agosto de 2025 — Se hicieron aplicables las obligaciones relativas a los modelos GPAI (Título VIII) y las disposiciones de gobernanza; se esperaba que los procesos de designación de organismos notificados estuvieran avanzados operativamente en esta fecha.
• 2 de agosto de 2026 — El artículo 45, junto con el conjunto completo de obligaciones del Título III, Capítulo 5, relativas a los organismos notificados y las evaluaciones de la conformidad para los sistemas de IA de alto riesgo enumerados en el Anexo III, se vuelve plenamente aplicable. Los organismos notificados deben cumplir plenamente sus obligaciones de información a partir de esta fecha.
• 2 de agosto de 2027 — Plazo ampliado para determinados sistemas de IA de alto riesgo cubiertos por la legislación de armonización de la Unión vigente enumerada en el Anexo II, Sección 1, lo que da a los fabricantes de esos sectores regulados tiempo adicional para adaptar los procesos de evaluación de la conformidad.

Las organizaciones que busquen la designación como organismos notificados deben tener sus procedimientos de gestión de la información y divulgación establecidos con bastante antelación al plazo de agosto de 2026 para garantizar que puedan demostrar el cumplimiento desde el primer día de plena aplicación.