Artículo 9 del Reglamento (UE) 2024/1689 — Sistema de gestión de riesgos. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.
Resumen del texto oficial
El Artículo 9 del Reglamento (UE) 2024/1689 impone un sistema de gestión de riesgos obligatorio y continuo a los proveedores de sistemas de IA de alto riesgo durante todo el ciclo de vida del sistema. La disposición exige que el sistema de gestión de riesgos consista en un proceso iterativo integrado en el desarrollo y la operación del sistema de IA de alto riesgo, actualizado regularmente a la luz de la nueva información obtenida durante la vigilancia poscomercialización.
En concreto, el Artículo 9 exige a los proveedores: (a) identificar y analizar todos los riesgos conocidos y razonablemente previsibles asociados al sistema de IA de alto riesgo; (b) estimar y evaluar los riesgos que puedan materializarse cuando el sistema se utilice de acuerdo con su finalidad prevista y en condiciones de uso indebido razonablemente previsible; (c) evaluar los riesgos derivados de los datos disponibles y del comportamiento de las personas que interactúan con el sistema; y (d) adoptar medidas de gestión de riesgos apropiadas basadas en este análisis.
Las medidas de gestión de riesgos deben ser tales que cualquier riesgo residual asociado a cada peligro, así como el riesgo residual global del sistema de IA de alto riesgo, se considere aceptable. El Artículo 9 también especifica que deben realizarse pruebas para identificar las medidas apropiadas, y que dichas pruebas deben realizarse con respecto a métricas definidas y umbrales probabilísticos. Se requiere especial atención cuando es probable que el sistema interactúe con niños u otros grupos vulnerables. La información derivada de la experiencia de los responsables del despliegue debe retroalimentarse en el proceso de gestión de riesgos del proveedor del sistema.
Lo que esto significa en la práctica
El Artículo 9 es uno de los requisitos operativamente más exigentes del Título III del Reglamento de IA de la UE. Se aplica a cualquier entidad jurídica que califique como proveedor de un sistema de IA de alto riesgo — es decir, la entidad que desarrolla el sistema o lo hace desarrollar y lo comercializa o pone en servicio bajo su propio nombre o marca.
En términos prácticos, el cumplimiento requiere establecer un marco documentado de gestión de riesgos antes de que el sistema se comercialice. No se trata de un ejercicio de verificación: el reglamento exige un proceso iterativo que persiste durante toda la vida del producto, lo que significa que la documentación de gestión de riesgos debe evolucionar a medida que el sistema se actualiza, se vuelve a entrenar o se despliega en nuevos contextos.
Un sistema de gestión de riesgos conforme incluirá típicamente: un procedimiento estructurado de identificación de riesgos que cubra tanto el uso previsto como los escenarios de uso indebido plausibles; una matriz de estimación de riesgos que evalúe la probabilidad y la gravedad del daño; un catálogo de medidas de mitigación con justificación documentada de su selección; pruebas formales previas a la comercialización con respecto a métricas definidas; y un mecanismo para absorber la retroalimentación poscomercialización — incluidos los datos de incidentes proporcionados por los responsables del despliegue — de vuelta en el análisis de riesgos en curso.
Por ejemplo, un proveedor de una herramienta de calificación crediticia basada en IA clasificada como de alto riesgo en virtud del Anexo III debe documentar cómo el modelo podría producir resultados discriminatorios, qué medidas técnicas y organizativas reducen ese riesgo y cómo los datos de rendimiento en el mundo real desencadenarán una reevaluación. Un sistema de IA utilizado en un contexto médico debe abordar adicionalmente el mayor deber de diligencia cuando están implicados usuarios vulnerables. Los resultados de la gestión de riesgos alimentan directamente la documentación técnica requerida por el Artículo 11 y la evaluación de conformidad en virtud de los Artículos 43 a 44.
Obligaciones clave
- Establecer y mantener un sistema de gestión de riesgos continuo que cubra todo el ciclo de vida del sistema de IA de alto riesgo, desde el diseño hasta el desmantelamiento, actualizado a la luz de los datos de vigilancia poscomercialización.
- Identificar todos los riesgos conocidos y razonablemente previsibles, incluidos los riesgos derivados del uso indebido razonablemente previsible, de la interacción con otros sistemas y del contexto sociotécnico del despliegue.
- Estimar y evaluar los riesgos con respecto a su probabilidad de ocurrencia y la gravedad del daño potencial, teniendo en cuenta la finalidad prevista y las categorías de personas que probablemente se vean afectadas, incluidos los grupos vulnerables y los niños.
- Adoptar medidas de gestión de riesgos que reduzcan los riesgos identificados a un nivel residual aceptable; cuando las medidas técnicas sean insuficientes, deben complementarse con medidas organizativas o informativas.
- Realizar pruebas previas a la comercialización utilizando métricas definidas y umbrales probabilísticos apropiados al propósito previsto, para validar que las medidas seleccionadas son eficaces y que el riesgo residual es aceptable.
- Integrar la retroalimentación de la vigilancia poscomercialización de los responsables del despliegue y los usuarios finales en el proceso continuo de gestión de riesgos, garantizando que el sistema sigue respondiendo a la evidencia del mundo real sobre daños o casi accidentes.
Relación con otros artículos
El Artículo 9 ocupa el centro del marco de requisitos del Capítulo 2 y está estructuralmente vinculado a varias otras disposiciones. Depende del Artículo 6 y el Anexo III para su ámbito de aplicación: solo los sistemas que califican como de alto riesgo están sujetos a sus obligaciones. Los resultados del proceso del Artículo 9 alimentan directamente el Artículo 11 (documentación técnica), que exige a los proveedores demostrar que existe un sistema de gestión de riesgos conforme y que se ha aplicado.
El Artículo 9 también está estrechamente conectado al Artículo 10 (datos y gobernanza de datos), ya que la calidad de los datos de entrenamiento, validación y prueba afecta materialmente al perfil de riesgo que debe gestionarse. El Artículo 13 (transparencia y suministro de información) exige que determinada información relacionada con los riesgos se comunique a los responsables del despliegue, y el Artículo 14 (supervisión humana) especifica medidas que frecuentemente sirven como herramientas de mitigación de riesgos de primera línea en virtud del Artículo 9. El Artículo 26 impone obligaciones posteriores a los responsables del despliegue para supervisar el uso en el mundo real e informar de la información relevante a los proveedores, cerrando el circuito de retroalimentación que el Artículo 9 requiere. Por último, el Artículo 72 (vigilancia poscomercialización) formaliza los mecanismos de recopilación de datos que sostienen el proceso iterativo de gestión de riesgos a lo largo del tiempo.
Calendario de cumplimiento
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024. El Artículo 9, como requisito fundamental del Capítulo 2 aplicable a los sistemas de IA de alto riesgo, sigue el calendario general de cumplimiento para las obligaciones del Título III:
- 1 de agosto de 2024 — El Reglamento entra en vigor; comienza el período de transición de 24 meses para la mayoría de las obligaciones de alto riesgo.
- 2 de febrero de 2025 — Las prohibiciones sobre las prácticas de IA de riesgo inaceptable (Artículo 5) pasan a ser aplicables. El Artículo 9 aún no se aplica.
- 2 de agosto de 2025 — Las normas sobre modelos de IA de uso general (Título VIII) pasan a ser aplicables. El Artículo 9 todavía no es obligatorio para la mayoría de los sistemas de alto riesgo.
- 2 de diciembre de 2026 — El Artículo 9 pasa a ser plenamente aplicable a los sistemas de IA de alto riesgo enumerados en el Anexo III (sistemas de IA en áreas como educación, empleo, servicios esenciales, aplicación de la ley, migración y administración de justicia). Los proveedores deben tener un sistema de gestión de riesgos conforme en vigor para esta fecha.
- 2 de agosto de 2027 — Plazo ampliado para los sistemas de IA de alto riesgo que son componentes de seguridad de productos ya cubiertos por la legislación de armonización de la Unión existente enumerada en el Anexo I (por ejemplo, maquinaria, dispositivos médicos, aviación civil).
Los proveedores que están desarrollando o adquiriendo sistemas de IA de alto riesgo deben tratar el 2 de diciembre de 2026 como su plazo límite para la preparación del cumplimiento del Artículo 9, incorporando marcos de gestión de riesgos en sus procesos de desarrollo con suficiente antelación para permitir el tiempo necesario para las pruebas, la documentación y la evaluación de conformidad.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Los proveedores de sistemas de IA de alto riesgo tal como se definen en el Artículo 6 y el Anexo III del Reglamento (UE) 2024/1689 están obligados a establecer y mantener un sistema de gestión de riesgos antes de comercializar su sistema o ponerlo en servicio.
El sistema debe identificar y analizar los riesgos conocidos y razonablemente previsibles, estimar y evaluar los riesgos que puedan surgir durante el uso, adoptar medidas apropiadas de gestión de riesgos y garantizar que los riesgos residuales se consideren aceptables conforme al reglamento.
No. El Artículo 9 exige un proceso continuo e iterativo que se desarrolla a lo largo de todo el ciclo de vida del sistema de IA de alto riesgo, incluida la vigilancia poscomercialización. El sistema debe actualizarse a medida que surja nueva información sobre los riesgos.
El Artículo 9 exige explícitamente a los proveedores que tengan en cuenta los riesgos derivados del uso indebido razonablemente previsible — no solo el uso previsto. Esto significa que los proveedores deben analizar las formas plausibles en que el sistema podría utilizarse incorrectamente o de mala fe y mitigar esos riesgos en consecuencia.
El Artículo 9(7) exige que se definan y realicen procedimientos de prueba para identificar las medidas de gestión de riesgos más apropiadas. Las pruebas deben realizarse con respecto a métricas previamente definidas y umbrales probabilísticos adecuados al propósito previsto, y deben tener lugar antes de la comercialización.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.