Evaluación de conformidad en la IA

La evaluación de conformidad en la IA es un requisito legal clave para garantizar que los sistemas de IA de alto riesgo cumplen con las condiciones exigidas por el conocido como Reglamento sobre inteligencia artificial (RIA), antes de su comercialización o puesta en servicio en el mercado europeo.

Este proceso técnico-jurídico permite verificar que el sistema respeta los requisitos de seguridad, transparencia, supervisión humana y protección de derechos fundamentales. 

Su cumplimiento habilita a los proveedores para emitir la Declaración UE de Conformidad y aplicar el marcado CE.

Además, la evaluación de conformidad en la IA comienza en la fase de diseño o desarrollo, pero debe mantenerse actualizada durante todo el ciclo de vida del sistema, especialmente cuando se produzcan modificaciones relevantes. 

Es así como se convierte en una garantía estructural para todos los actores implicados: desde desarrolladores, comercializadores, autoridades, hasta usuarios.

En este artículo se analiza en profundidad qué implica este procedimiento, quiénes están obligados a realizarlo, qué modalidades existen y cuáles son las consecuencias jurídicas de su incumplimiento.

1.¿Qué es una evaluación de conformidad en el contexto del RIA?

La evaluación de conformidad es el procedimiento normativo que permite verificar, antes de su puesta en el mercado o en servicio, que un sistema de inteligencia artificial de alto riesgo cumple con todas las exigencias previstas por el RIA.

Constituye una pieza clave del marco europeo para garantizar que estos sistemas sean seguros, trazables, supervisables y respetuosos con los derechos fundamentales.

Tal como establece el propio Reglamento, “los proveedores de sistemas de IA de alto riesgo realizarán una evaluación de conformidad respecto de dichos sistemas con arreglo a los requisitos establecidos en el capítulo III antes de su comercialización o puesta en servicio” (art. 43.1 RIA).

Este precepto determina, además, que el procedimiento aplicable deberá realizarse conforme a lo dispuesto en el anexo VI, procedimiento de control interno, o en el anexo VII, procedimiento con intervención de organismo notificado, según corresponda a la naturaleza y clasificación del sistema.

El procedimiento abarca desde una comprobación técnica, a una verificación documental, organizativa y jurídica que debe alcanzar todo el ciclo de vida del sistema, desde su diseño hasta su despliegue operativo.

Incluye, entre otros elementos, la documentación técnica, el sistema de gestión de calidad, la supervisión humana significativa, la explicabilidad y la gobernanza de riesgos.

En artículos anteriores ya hemos analizado en profundidad los requisitos de un sistema de IA de alto riesgo para superar este umbral regulatorio.

En función de la naturaleza del sistema y de su clasificación normativa, la evaluación puede realizarse mediante un procedimiento de control interno por parte del proveedor, o requerir la intervención de un organismo notificado independiente.

En todos los casos, superar este proceso habilita la emisión de la Declaración UE de Conformidad y el marcado CE, que son condiciones indispensables para operar legalmente en el mercado interior europeo.

Lejos de ser un trámite formal, la evaluación de conformidad opera como una garantía sustantiva de legalidad y fiabilidad.

Su correcta ejecución permite acreditar el cumplimiento del RIA y se convierte en una salvaguarda jurídica frente a posibles sanciones, revisiones regulatorias o responsabilidades derivadas del uso del sistema.

2. ¿Qué sistemas de IA están sujetos a evaluación de conformidad?

El deber de realizar una evaluación de conformidad se aplica exclusivamente a los sistemas de inteligencia artificial clasificados como de alto riesgo, de acuerdo con los criterios definidos en el artículo 6 del RIA y las categorías descritas en su anexo III.

Estos sistemas se consideran de alto riesgo cuando, por su finalidad prevista y contexto de uso, pueden generar un impacto significativo sobre los derechos fundamentales, la salud, la seguridad o el bienestar de las personas.

El anexo III establece, a modo de listado normativo, diversas categorías de sistemas sujetos a este régimen, entre las que se incluyen, entre otros:

• Sistemas de identificación biométrica remota (en tiempo real o posterior) y vigilancia en espacios de acceso público.

• Sistemas que operen en infraestructuras críticas, como transporte, suministro de agua o energía.

• Aplicaciones en educación y formación profesional, por ejemplo, en la evaluación automatizada de exámenes.

• Herramientas para selección de personal y gestión de relaciones laborales.

• Sistemas que determinen el acceso a servicios públicos o privados esenciales, como sanidad, crédito o vivienda.

• Aplicaciones utilizadas en la aplicación de la ley, administración de justicia o control migratorio.

La inclusión en esta categoría no depende de la denominación comercial del producto, sino de su finalidad prevista y del contexto en el que se despliegue.

Es por ello, que corresponde al proveedor realizar una evaluación inicial rigurosa para determinar si su sistema se encuentra bajo el ámbito del régimen de alto riesgo.

Una vez identificado como tal, el sistema queda sujeto a un conjunto de obligaciones reforzadas, entre ellas, la evaluación de conformidad previa a su comercialización o puesta en servicio.

Esta exigencia es indisponible y no puede ser sustituida por mecanismos equivalentes de autorregulación o revisión informal.

Además, el proveedor deberá mantener actualizada esta clasificación a lo largo del ciclo de vida del sistema, especialmente en caso de modificaciones funcionales, cambios en el contexto de uso o integración en entornos distintos a los inicialmente previstos, que se entenderán como modificaciones sustanciales.

El incumplimiento de este deber puede dar lugar a medidas de vigilancia reforzada, retirada del mercado o sanciones económicas relevantes.

3. ¿Quién debe realizarla y qué agentes intervienen?

La responsabilidad principal de llevar a cabo la evaluación de conformidad recae en el proveedor del sistema de IA de alto riesgo, según lo establecido en el artículo 43.1 del RIA.

A estos efectos, el proveedor se define como la persona física o jurídica que desarrolla o pone en el mercado un sistema de IA bajo su propio nombre o marca, o que asume la responsabilidad de su cumplimiento normativo.

Es el proveedor quien debe garantizar, antes de la comercialización o puesta en servicio del sistema, que se ha verificado el cumplimiento de los requisitos del capítulo III del RIA.

Para ello, debe aplicar uno de los procedimientos de evaluación establecidos por la normativa, elaborar la documentación técnica exigida y emitir, en su caso, la Declaración UE de Conformidad.

Junto al proveedor, pueden intervenir otros actores en el proceso, en función del tipo de procedimiento aplicable:

• Organismos notificados:

Son entidades independientes y acreditadas por las autoridades nacionales competentes para realizar tareas de evaluación de conformidad.

Su intervención es preceptiva cuando así lo exige el procedimiento establecido en el anexo VII del RIA, en particular en los supuestos recogidos en el artículo 43.1, párrafo segundo.

Esto incluye, de forma expresa, a los sistemas de identificación biométrica remota “en tiempo real” en espacios de acceso público, así como otros casos en los que el RIA exige un control reforzado debido a la complejidad técnica, el nivel de riesgo o el impacto potencial del sistema.

En estos supuestos, el organismo notificado actúa como tercero independiente acreditado por la autoridad nacional competente, revisando la documentación técnica, el sistema de gestión de calidad y los procedimientos de prueba antes de emitir el correspondiente certificado.

Los organismos notificados actúan con imparcialidad y están sometidos a requisitos de competencia técnica, confidencialidad e independencia, conforme al artículo 31 del RIA y al Derecho europeo en materia de evaluación de la conformidad.

• Autoridades competentes:

Si bien no participan directamente en el proceso de evaluación previa, las autoridades nacionales, como la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), tienen la facultad de supervisar el cumplimiento del procedimiento, solicitar acceso a la documentación técnica o requerir actualizaciones en la evaluación en caso de cambios relevantes en el sistema.

• Usuarios y desplegadores:

En principio no son responsables de la evaluación de conformidad, salvo que modifiquen el sistema de forma sustancial o lo pongan en servicio en condiciones distintas a las previstas, en cuyo caso podrían asumir las obligaciones del proveedor de acuerdo con el artículo 26 del RIA.

In fine, la evaluación de conformidad es una obligación jurídica atribuida al proveedor, que puede implicar la intervención de organismos notificados y que se realiza bajo la supervisión de las autoridades competentes.

La correcta identificación de los actores y su papel respectivo va a resultar esencial en el cumplimiento normativo del sistema y su posterior trazabilidad.

4. ¿Qué modalidades de evaluación prevé el RIA?

El RIA establece dos modalidades diferenciadas para llevar a cabo la evaluación de conformidad de los sistemas de IA de alto riesgo.

Por un lado el procedimiento de control interno y, de otro lado, el procedimiento con intervención de un organismo notificado. La aplicación de uno u otro dependerá de la clasificación del sistema, de su funcionalidad y el riesgo potencial asociado a su uso.

4.a) Procedimiento de control interno

Esta modalidad se recoge en el anexo VI del RIA y es aplicable a la mayoría de los sistemas de IA de alto riesgo, salvo que se encuentren expresamente excluidos por el artículo 43.1, párrafo segundo.

Bajo este procedimiento, es el propio proveedor quien debe verificar que el sistema cumple con todos los requisitos del capítulo III, sin necesidad de una validación externa.

El control interno exige que el proveedor:

• Elabore y conserve la documentación técnica completa del sistema.
• Implemente un sistema de gestión de calidad conforme al artículo 17 del RIA.
• Realice los ensayos, controles y validaciones necesarios para demostrar el cumplimiento.
• Supervise y actualice el sistema a lo largo de su ciclo de vida.

Una vez completado el procedimiento, el proveedor emite la Declaración UE de Conformidad y aplica el marcado CE.

4.b) Procedimiento con organismo notificado

Cuando el sistema de IA de alto riesgo se refiere a los casos descritos en el artículo 43.1, segundo párrafo, se exige una evaluación de conformidad más exigente, conforme al anexo VII del RIA.

En estos casos, debe intervenir un organismo notificado, acreditado por una autoridad nacional competente, que actúe como tercero independiente.

Este organismo revisará:

• La adecuación y suficiencia de la documentación técnica.
• La eficacia del sistema de gestión de calidad aplicado.
• Los procedimientos de diseño, control y prueba del sistema.

El organismo podrá realizar auditorías, solicitar información adicional o exigir las modificaciones antes de emitir el correspondiente certificado.

Ambos procedimientos tienen como finalidad última asegurar que los sistemas comercializados en la Unión cumplen con los principios de seguridad, transparencia y respeto a los derechos fundamentales.

La correcta elección del procedimiento aplicable es responsabilidad exclusiva del proveedor y debe justificarse documentalmente.

5. ¿Cuál es el procedimiento general de evaluación de conformidad?

Su estructura y contenido varían en función de si se aplica el control interno o si interviene un organismo notificado, pero en ambos casos debe seguirse una secuencia metodológica coherente, documentada y trazable.

A grandes rasgos, el procedimiento general comprende las siguientes fases:

5.1. Análisis del sistema y determinación del procedimiento aplicable

El proveedor debe identificar si su sistema se encuentra dentro del ámbito de alto riesgo conforme a los artículos 6 y 43 del RIA.

En función del tipo de sistema y su finalidad, se determinará si procede un control interno (anexo VI) o si es necesaria la intervención de un organismo notificado (anexo VII).

5.2. Elaboración de la documentación técnica

Es obligatorio generar una documentación técnica completa y actualizada que describa el sistema, sus componentes, el diseño, los métodos de prueba, los datos utilizados, las medidas de gobernanza y los mecanismos de control del cumplimiento.

Esta documentación debe permitir evaluar el sistema incluso sin necesidad de acceder directamente al código fuente o a los datos de entrenamiento.

5.3. Implementación del sistema de gestión de calidad

El artículo 17 del RIA exige que el proveedor cuente con un sistema de gestión de calidad que abarque procedimientos de diseño, control de versiones, revisión de riesgos, documentación, auditoría y gestión de reclamaciones.

Este sistema es clave para garantizar que el cumplimiento normativo se mantiene a lo largo de todo el ciclo de vida del sistema.

5.4. Revisión y verificación del cumplimiento

En el caso de control interno, el proveedor deberá verificar internamente que se han cumplido todos los requisitos legales y técnicos.

Si interviene un organismo notificado, será este quien realice la auditoría del sistema y del sistema de gestión de calidad, emitiendo un certificado en caso de superarse satisfactoriamente.

5.5. Emisión de la Declaración UE de Conformidad

Superado el procedimiento, el proveedor debe emitir la Declaración UE de Conformidad, un documento obligatorio que recoge la responsabilidad del cumplimiento legal del sistema y que habilita a colocar el marcado CE, paso imprescindible para la comercialización o puesta en servicio.

Este procedimiento debe realizarse antes de cualquier uso comercial o institucional del sistema, y mantenerse actualizado si el sistema sufre modificaciones sustanciales.

La trazabilidad, la documentación y el control continuo son esenciales para demostrar el cumplimiento ante cualquier requerimiento de las autoridades competentes.

6. ¿Qué documentación debe generarse?

Algo esencial en la evaluación de conformidad es que requiere de la elaboración y conservación de una documentación técnica estructurada y completa, que nos permita demostrar, en cualquier momento, que el sistema de IA de alto riesgo cumple con los requisitos.

Esta documentación debe estar disponible antes de la comercialización o puesta en servicio del sistema y, como hemos reiterado, mantenerse actualizada a lo largo de todo su ciclo de vida.

Asimismo, debe ser accesible ante requerimiento de las autoridades competentes, como la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) o la AI Office europea.

La estructura mínima de la documentación técnica está regulada en el anexo IV del RIA e incluye, entre otros, los siguientes elementos:

• Descripción general del sistema de IA: finalidad prevista, entorno de uso, arquitectura funcional, componentes y modos de operación.
• Evaluación de riesgos: identificación de los riesgos previsibles para la salud, la seguridad y los derechos fundamentales, y medidas adoptadas para mitigarlos.
• Diseño y desarrollo: especificaciones técnicas, métodos utilizados, decisiones de diseño relevantes, fases de validación y verificación.
• Datos utilizados: origen, calidad, representatividad y estrategias de mitigación de sesgos en los datos de entrenamiento, validación y prueba.
• Supervisión humana: mecanismos incorporados para garantizar la intervención humana significativa en el funcionamiento del sistema.
• Transparencia y explicabilidad: información accesible sobre el funcionamiento del sistema, instrucciones de uso y limitaciones conocidas.
• Sistema de gestión de calidad: descripción de los procesos organizativos aplicados para asegurar el cumplimiento continuo con el RIA.
• Procedimiento de evaluación de conformidad aplicado: especificación del procedimiento seguido (anexo VI o VII), resultados obtenidos y, en su caso, certificado emitido por organismo notificado.
• Declaración UE de Conformidad: firmada por el proveedor, en la que se declara que el sistema cumple con todos los requisitos legales aplicables.

Además de esta documentación técnica, el proveedor debe conservar un expediente actualizado del sistema, que incluya versiones sucesivas, medidas correctivas adoptadas y resultados de revisiones internas o externas.

La calidad y la correcta cumplimentación de esta documentación permite, además de demostrar el cumplimiento normativo, actuar como mecanismo de trazabilidad, facilitando futuras auditorías, revisiones regulatorias o evaluaciones posteriores a la puesta en servicio.

7. ¿Cuándo debe actualizarse o repetirse una evaluación de conformidad?

El cumplimiento normativo en materia de IA no finalizará con la puesta en el mercado del sistema, ya que, el RIA establece un principio de vigilancia activa, que obliga a los proveedores a mantener sus sistemas conforme a derecho durante su ciclo de vida operativa.

Cualquier modificación sustancial en el funcionamiento del sistema, en sus datos de entrenamiento, en la finalidad para la que ha sido diseñado o en su contexto de uso, puede alterar las condiciones bajo las cuales fue evaluado inicialmente.

En tales casos, el artículo 43.4 del RIA impone la revisión y, si procede, la repetición del procedimiento de evaluación de conformidad, a fin de asegurar que el sistema sigue respetando los requisitos del capítulo III.

Este deber de actualización opera principalmente en los siguientes escenarios:

• Transformaciones técnicas o funcionales que alteren el comportamiento del sistema, ya sea en su lógica algorítmica, arquitectura o nivel de autonomía.
• Cambios en el entorno de despliegue, como su aplicación en sectores o sobre colectivos distintos a los inicialmente previstos.
• Modificaciones normativas que introduzcan nuevos requisitos de cumplimiento o reinterpretaciones sustanciales por parte de las autoridades competentes.
• Resultados adversos en el seguimiento post-comercialización, tales como desviaciones no previstas, riesgos emergentes, reclamaciones de usuarios o hallazgos de auditoría.

Asimismo, el RIA advierte que un sistema modificado sustancialmente tras su puesta en servicio puede considerarse un nuevo sistema, lo que activaría automáticamente la necesidad de repetir el procedimiento de evaluación, emitir una nueva Declaración de Conformidad y aplicar un nuevo marcado CE.

No obstante, el artículo 43.4, párrafo segundo, del RIA aclara que no se considerará modificación sustancial aquella derivada del funcionamiento o de procesos de aprendizaje automático que ya estuvieran previstos y evaluados en la evaluación inicial de conformidad.

Para que esta exclusión sea aplicable, tales procesos deben estar descritos en la documentación técnica y contemplados en el sistema de gestión de calidad del proveedor, garantizando que el comportamiento resultante se mantiene dentro de los límites evaluados inicialmente.

De cualquier forma, ignorar esta obligación expondrá al proveedor a múltiples riesgos legales: desde la pérdida de la validez de la conformidad, la inmovilización del sistema por las autoridades de supervisión, la suspensión del producto o incluso sanciones económicas de elevada cuantía.

Por tanto, garantizar la actualización dinámica de la evaluación de conformidad es una responsabilidad jurídica ineludible que refuerza la fiabilidad del sistema, su legitimidad regulatoria y su aceptación social.

8. ¿Qué implicaciones tiene no cumplir con este requisito?

Como hemos anticipado, incumplir este requisito constituye una infracción grave del RIA, con consecuencias que afectan tanto al plano jurídico como a la viabilidad comercial y reputacional del sistema.

Desde el punto de vista normativo, los artículos 99 y siguientes, en particular el artículo 101, establecen un régimen sancionador específico para los incumplimientos relativos a la evaluación, documentación y comercialización de sistemas de IA.

En los casos más graves, como la comercialización o puesta en servicio de un sistema de alto riesgo sin evaluación de conformidad válida, las sanciones pueden alcanzar hasta 35 millones de euros o el 7 % del volumen de negocio anual mundial del ejercicio fiscal anterior, aplicándose la cantidad que resulte mayor.

Más allá de las sanciones económicas, las autoridades competentes, como la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) o la AI Office de la Comisión Europea, pueden adoptar medidas restrictivas inmediatas.

Entre ellas se incluyen:

• La retirada del sistema del mercado o su inmovilización.
• La prohibición de su uso en la Unión Europea.
• La suspensión de actividades asociadas a su comercialización o puesta en servicio.

Estas medidas pueden ser impuestas incluso en ausencia de daño efectivo, si se constata que el sistema se ha desplegado sin cumplir las garantías mínimas de seguridad, fiabilidad o respeto a los derechos fundamentales.

Asimismo, la falta de evaluación de conformidad invalida la Declaración UE de Conformidad y el marcado CE, lo que impide la distribución legal del sistema en el mercado europeo. En consecuencia, cualquier uso posterior carece de cobertura jurídica y puede derivar en responsabilidad contractual, administrativa o incluso penal, dependiendo del daño causado.

En el plano reputacional, el incumplimiento genera desconfianza institucional, pérdida de legitimidad frente a usuarios y clientes, y exposición mediática negativa. En sectores especialmente sensibles, como salud, justicia, seguridad pública o educación, esta falta de diligencia puede comprometer la viabilidad del sistema a medio y largo plazo.

Este procedimiento constituye una piedra angular del modelo regulador europeo en inteligencia artificial. Asegura que los sistemas que acceden al mercado cumplen con los requisitos técnicos, además de confirmar que han sido evaluados en términos de seguridad, derechos fundamentales y fiabilidad.

Cumplir con esta obligación es un requisito estructural que vincula directamente la legitimidad del sistema con su trazabilidad jurídica y social. En el actual ecosistema regulado, omitir la evaluación de conformidad equivale a comprometer la integridad del producto y la confianza de todos los actores implicados en su desarrollo y despliegue.

9. ¿Cómo se articula esta evaluación con otras obligaciones del RIA?

La evaluación de conformidad no es una obligación aislada dentro del marco del Reglamento de Inteligencia Artificial (RIA). Al contrario, se articula de forma sistemática con múltiples disposiciones normativas que configuran un modelo de gobernanza integral, basado en el principio de cumplimiento proactivo y continuo. Esta evaluación opera como una herramienta vertebradora que conecta los requisitos técnicos, las garantías jurídicas y los mecanismos de supervisión.

En primer lugar, la evaluación de conformidad verifica el cumplimiento de todos los requisitos del capítulo III del RIA, incluyendo:

• La gestión del riesgo (art. 9),
• La calidad de los datos (art. 10),
• La documentación técnica (art. 11),
• La transparencia (art. 13),
• La supervisión humana (art. 14),
• La robustez y ciberseguridad (art. 15), entre otros.

Cada uno de estos requisitos debe estar integrado en el sistema de IA desde su fase de diseño, y su cumplimiento debe quedar reflejado en la documentación técnica que forma parte del expediente de conformidad. Por tanto, la evaluación no se limita a una verificación ex post, sino que se proyecta sobre todo el ciclo de vida del sistema y obliga a estructurar procesos de control desde el inicio.

Asimismo, la evaluación de conformidad está estrechamente vinculada con la declaración UE de conformidad y el marcado CE, regulados en los artículos 48 a 50. Sin una evaluación válida, no puede emitirse la declaración ni colocarse el marcado, lo que impide legalmente la comercialización del sistema en el mercado europeo.

También debe articularse con el sistema de gestión de calidad (art. 17), que asegura la capacidad organizativa del proveedor para garantizar el cumplimiento normativo de forma constante, incluso tras la comercialización.

Por otro lado, la evaluación de conformidad puede verse complementada, en determinados casos, con otras obligaciones específicas del RIA, como:

• La evaluación de impacto relativa a los derechos fundamentales (FRIA), regulada en el artículo 27 del RIA, es exigible a determinados usuarios de sistemas de IA de alto riesgo, especialmente cuando se trate de autoridades y organismos del sector público, así como a ciertos operadores privados que actúen en contextos de interés público definidos por la norma. Esta evaluación se centra en analizar las posibles consecuencias del uso del sistema sobre los derechos fundamentales, y aunque es independiente de la evaluación de conformidad del proveedor, sus conclusiones deben ser coherentes con la documentación técnica y los resultados de dicha evaluación para garantizar un cumplimiento normativo integrado.
• Los registros de sistemas de alto riesgo (arts. 60–62), donde la información contenida en la documentación técnica debe ser coherente con los datos aportados a las plataformas europeas de trazabilidad.
• Las obligaciones de seguimiento post-comercialización y notificación de incidentes (arts. 61–64), que exigen revisar y adaptar la evaluación de conformidad si se detectan riesgos no previstos, desviaciones técnicas o incidentes significativos.

La coordinación entre estas obligaciones es esencial para evitar duplicidades, omisiones o incoherencias normativas. El proveedor debe concebir la evaluación de conformidad no como un trámite administrativo, sino como una arquitectura jurídica transversal, que conecta el cumplimiento técnico, la responsabilidad legal y la supervisión institucional del sistema de IA.

El procedimiento de evaluación de conformidad representa uno de los pilares estructurales del marco europeo de regulación de la inteligencia artificial. Lejos de ser una exigencia meramente técnica, configura una herramienta jurídica esencial para garantizar que los sistemas de IA de alto riesgo cumplen con las condiciones mínimas de seguridad, trazabilidad, transparencia y respeto a los derechos fundamentales.

Su correcta aplicación exige una comprensión integral del RIA, así como una adecuada coordinación con otras obligaciones normativas, desde la documentación técnica hasta la supervisión post-comercialización. El diseño, desarrollo y despliegue de sistemas de IA en la Unión Europea requiere, por tanto, una aproximación estructurada, diligente y jurídicamente solvente.

Contar con abogados expertos en inteligencia artificial es clave para asegurar el cumplimiento del RIA y anticipar riesgos legales en entornos altamente regulados.