Marcado CE para sistemas IA alto riesgo

El marcado CE para sistemas de IA de alto riesgo acredita que el producto cumple con las exigencias técnicas y jurídicas del Reglamento de Inteligencia Artificial (RIA).

En la Unión Europea, este distintivo es obligatorio para poder comercializar o poner en servicio un sistema IA clasificado como de alto riesgo.

Su obtención exige superar la Evaluación de conformidad, emitir la Declaración UE de Conformidad y aplicar el marcado CE según los artículos 43 y 48–50 del RIA.

Sirve como una garantía de que el sistema respeta los principios de seguridad, transparencia y protección de derechos fundamentales.

1. ¿Qué es el marcado CE para sistemas IA alto riesgo en el contexto del RIA?

En el contexto del RIA, el marcado CE es la señal oficial que indica que un sistema de IA de alto riesgo cumple con los requisitos establecidos por la normativa europea. Este distintivo, reconocido en todos los Estados miembros, permite la libre circulación y comercialización del producto en el mercado interior europeo.

El marcado CE representa una declaración del proveedor de que el sistema ha sido diseñado, desarrollado y evaluado conforme a las disposiciones del RIA, en especial las recogidas en el capítulo III y en los anexos VI o VII, según el procedimiento que corresponda. Supone que se han verificado aspectos esenciales como la gestión del riesgo, la calidad y gobernanza de los datos, la supervisión humana, la transparencia y la ciberseguridad.

En la práctica, este marcado actúa como pasaporte regulatorio para los sistemas de IA de alto riesgo.

Su presencia en el producto o en su documentación técnica acredita que ha superado la evaluación de conformidad exigida por el artículo 43 del RIA y que está listo para ser puesto en el mercado o en servicio dentro de la Unión Europea.

2. Relación entre el marcado CE y la evaluación de conformidad

En el marco del RIA, la evaluación de conformidad es el proceso jurídico-técnico mediante el cual se verifica que un sistema de IA de alto riesgo cumple todos los requisitos aplicables del reglamento antes de su comercialización o puesta en servicio.

Este procedimiento, regulado en el artículo 43, puede implicar control interno o intervención de un organismo notificado, según el caso, y finaliza con un resultado binario: conforme o no conforme.

Superar la evaluación de conformidad habilita al proveedor para emitir la Declaración UE de Conformidad: un documento legal firmado en el que el proveedor asume la responsabilidad exclusiva de que el sistema cumple plenamente el RIA.

Esta declaración es una manifestación formal y jurídicamente vinculante, pero todavía es interna en el sentido de que, aunque debe conservarse y poder presentarse a las autoridades, no es por sí misma un distintivo visible para el mercado.

El marcado CE es la proyección pública de esa conformidad: un símbolo reconocido en toda la Unión Europea que solo puede colocarse una vez emitida la Declaración UE de Conformidad. Su colocación significa que el sistema ha superado la evaluación de conformidad y que el proveedor mantiene ese estatus de forma continua.

El artículo 48 prevé que, en los sistemas proporcionados digitalmente, este marcado pueda adoptar forma digital y estar fácilmente accesible desde la interfaz del sistema, garantizando su visibilidad y autenticidad.

Mientras la evaluación de conformidad y la Declaración UE de Conformidad representan la verificación y la asunción legal de responsabilidad, el marcado CE actúa como señal externa y verificable que permite a autoridades, clientes y usuarios identificar de inmediato un sistema conforme.

El artículo 49 obliga a mantener esta coherencia en todo momento, y el artículo 50 prohíbe su uso si el sistema pierde la conformidad.

En síntesis, la evaluación de conformidad acredita el cumplimiento, la Declaración UE de Conformidad lo formaliza jurídicamente, y el marcado CE lo hace visible y reconocible en todo el mercado europeo, cerrando así el círculo de garantía legal y técnica que exige el RIA.

3. ¿Qué sistemas de IA requieren marcado CE? Ámbito de aplicación y clasificación

El marcado CE es exigible para los sistemas de IA clasificados como de alto riesgo.

El RIA define dos vías de clasificación (acumulativas con el resto de requisitos) en su artículo 6: a) sistemas de IA que sean componente de seguridad de productos regulados por la legislación de armonización de la UE listada en el anexo I; b) sistemas de IA autónomos incluidos en las categorías del anexo III.

En ambos supuestos, el marcado CE sólo procederá tras superar la evaluación de conformidad prevista en el capítulo III.

3.1. Sistemas integrados en productos sujetos a normativa de armonización (art. 6.1.a RIA)

Cuando la IA actúa como componente de seguridad de un producto regido por normas de armonización de la UE (anexo I), ese sistema queda automáticamente clasificado como alto riesgo. La conformidad debe demostrarse en el marco del RIA y del régimen sectorial del producto; el marcado CE del producto acredita el cumplimiento conjunto. En la práctica, el fabricante del producto suele asumir también el rol de proveedor del sistema de IA a efectos del RIA.

3.2. Sistemas autónomos listados en el anexo III (art. 6.1.b RIA)

Determinadas finalidades y contextos de uso sitúan al sistema de IA en alto riesgo por su potencial impacto sobre salud, seguridad o derechos fundamentales. El anexo III incluye, entre otras, categorías como: identificación biométrica remota, gestión de infraestructuras críticas, educación y evaluación, empleo y gestión laboral, acceso a servicios esenciales, aplicación de la ley, administración de justicia y gestión de migración, asilo y fronteras. Estos sistemas requieren evaluación de conformidad bajo el RIA y, superada, llevan marcado CE.

3.3. Exclusiones y no elegibilidad para marcado CE

Los sistemas prohibidos (riesgo inaceptable) no pueden introducirse en el mercado ni ponerse en servicio; por definición no son elegibles para marcado CE. Los sistemas de riesgo limitado o mínimo no están sujetos a evaluación de conformidad bajo el RIA y, en consecuencia, no llevan marcado CE por esta norma (sin perjuicio de otros marcos aplicables).

3.4. Dinámica de actualización del anexo III (art. 7 RIA)

La Comisión puede actualizar el anexo III mediante actos delegados cuando la evidencia técnica y social lo justifique. El artículo 7 fija criterios objetivos (gravedad y probabilidad del daño, alcance y reversibilidad del impacto, número de personas potencialmente afectadas, contexto de uso y grado de autonomía), garantizando que el perímetro de sistemas sujetos a marcado CE pueda evolucionar con la tecnología y los riesgos.

Si el sistema encaja en el artículo 6.1.a (componente de seguridad de un producto del anexo I) o en alguna categoría del anexo III, el camino regulatorio es claro: evaluación de conformidad del capítulo III y, superada, marcado CE antes de la comercialización o puesta en servicio en la UE.

4. Procedimiento para obtener el marcado CE: fases y requisitos esenciales

El marcado CE es la señal visible de que la tecnología ha superado un proceso de verificación exigente y que cumple las garantías legales, técnicas y de seguridad que impone la normativa europea.

Para llegar a él, el proveedor debe seguir una secuencia ordenada de pasos, cada uno con su propósito específico:

4.1. Elección del procedimiento de evaluación

El primer paso consiste en decidir si el sistema puede certificarse mediante un control interno del propio proveedor o si es necesaria la intervención de un organismo acreditado externo. Esta elección depende de factores como el tipo de sistema, el contexto en el que se usará y el nivel de riesgo que puede implicar para las personas. No es una decisión arbitraria: debe apoyarse en una valoración previa bien documentada.

Elegir el procedimiento adecuado optimizará los plazos y los costes, así como reducirá la probabilidad de incidencias posteriores que puedan retrasar el acceso al mercado o implicar reevaluaciones que supongan elevados costes.

4.2. Preparación de la documentación técnica

Una vez definido el procedimiento, es imprescindible preparar un expediente técnico completo. Este documento actúa como la “radiografía” del sistema: describe su diseño, arquitectura, funcionamiento, datos utilizados, pruebas realizadas y medidas para minimizar riesgos. Su objetivo es que, con esa información, cualquier autoridad o entidad evaluadora pueda verificar la conformidad del sistema sin tener que acceder al código o a información sensible.

Una documentación técnica sólida se convierte en el principal activo de defensa frente a inspecciones, reclamaciones o incidentes, y facilita la adaptación del sistema ante cambios regulatorios o tecnológicos.

4.3. Declaración de conformidad

Cuando se supera la evaluación, el proveedor emite una declaración formal en la que asume la responsabilidad de que su sistema cumple la normativa. Es un documento vinculante que no solo habilita para usar el marcado CE, sino que también funciona como compromiso público ante clientes, usuarios y autoridades.

Emitir esta declaración supone asumir responsabilidad legal directa, por eso, un proceso riguroso previo asegura la conformidad inicial y protege la reputación, minimizando a su vez la exposición a sanciones severas futuras.

4.4. Colocación del marcado CE

El último paso es colocar el marcado CE de manera visible y legible. En productos físicos se graba o imprime directamente, mientras que en sistemas ofrecidos digitalmente se incorpora en la propia interfaz para que el usuario pueda acceder fácilmente a la información de conformidad. Su presencia es mucho más que un trámite visual: simboliza que el sistema está autorizado para operar en el mercado europeo y que el proveedor asume la plena responsabilidad de su seguridad y legalidad.

La correcta colocación del marcado CE refuerza la confianza del mercado y de las autoridades; cualquier error formal puede derivar en dudas sobre la conformidad, con un impacto inmediato en la credibilidad y en las ventas.

En conjunto, estas fases convierten el marcado CE en una credencial de confianza que avala tanto la calidad técnica como la responsabilidad legal del sistema de IA, fortaleciendo su reputación y facilitando su aceptación en un entorno regulado.

5. Obligaciones posteriores a la colocación del marcado CE

Colocar el marcado CE marca el fin de una parte del cumplimiento normativo y el momento de inicio de una etapa igualmente crítica: la vigilancia y el mantenimiento de la conformidad durante todo el ciclo de vida operativo del sistema.

Una vez en el mercado, el proveedor debe garantizar que el sistema sigue funcionando en las condiciones en que fue evaluado y que no se han introducido cambios que puedan alterar su seguridad, fiabilidad o respeto a los derechos fundamentales.

Esto implica establecer procesos internos de seguimiento, recopilación de incidencias y revisión periódica de riesgos. Entre las principales obligaciones destacan:

• Vigilancia postcomercialización:
  Implementar mecanismos para detectar desviaciones, fallos o usos no previstos. Esto incluye supervisar el comportamiento del sistema en entornos reales, identificar posibles impactos adversos y actuar de forma preventiva ante cualquier señal de riesgo.
• Notificación de incidentes graves:
  Si el sistema provoca o contribuye a causar un perjuicio grave para la salud, la seguridad o los derechos fundamentales, el proveedor debe informar sin demora a las autoridades competentes. La rapidez y transparencia en esta comunicación son esenciales para minimizar daños y preservar la confianza.
• Gestión de modificaciones sustanciales:
  Cualquier cambio importante en la funcionalidad, datos, lógica algorítmica o contexto de uso puede requerir una nueva evaluación de conformidad. Ignorar este deber no solo expone a sanciones, sino que también puede invalidar el marcado CE.
• Actualización de la documentación técnica:
  Toda la información que respalda la conformidad debe mantenerse al día, reflejando las versiones más recientes del sistema, las correcciones aplicadas y los resultados de las evaluaciones continuas.

El marcado CE es un compromiso vivo y cumplir con estas obligaciones posteriores evitará riesgos legales y sanciones, además de reforzar la credibilidad del sistema y la confianza de los usuarios, los clientes y las autoridades.

6. Supuestos de pérdida o retirada del marcado CE y consecuencias jurídicas

El marcado CE solamente se mantiene mientras el sistema de IA de alto riesgo conserva las condiciones legales y técnicas que motivaron su concesión.

Existen varios supuestos frecuentes que pueden llevar a su pérdida o retirada por parte de las autoridades competentes:

• Modificaciones sustanciales no evaluadas: cambios significativos en el diseño, arquitectura, algoritmos o datos de entrenamiento que alteren el comportamiento del sistema y que no hayan sido objeto de una nueva evaluación de conformidad.
• Uso en contextos no previstos: despliegue del sistema en ámbitos o para finalidades distintas a las autorizadas, lo que puede modificar su nivel de riesgo o generar impactos no evaluados.
• Incumplimiento de obligaciones postcomercialización: falta de ejecución de los planes de seguimiento, omisión de notificación de incidentes graves o ausencia de actualización de la documentación técnica.
• Falta de mantenimiento de los requisitos de calidad y seguridad: degradación de la robustez, la ciberseguridad o la supervisión humana significativa, detectada en auditorías o inspecciones.
• Información técnica falsa o incompleta: detección de que la documentación presentada en la evaluación de conformidad contenía datos incorrectos, engañosos o insuficientes.
• Incumplimiento reiterado de requerimientos de la autoridad: negativa a facilitar información, documentación o acceso a auditorías, lo que impide verificar la conformidad continua.

Cuando concurre alguno de estos supuestos, las autoridades pueden ordenar la retirada inmediata del marcado CE, prohibiendo la comercialización y uso del sistema hasta que se subsanen las deficiencias y se repita el procedimiento de evaluación.

En cuanto a las consecuencias jurídicas, la retirada del marcado CE invalida automáticamente la Declaración UE de Conformidad y deja sin cobertura legal cualquier despliegue del sistema en la Unión Europea.

Ello puede derivar en la retirada del producto del mercado, la inmovilización de unidades ya instaladas y la apertura de procedimientos sancionadores, que incluyen multas significativas, así como un grave impacto reputacional y la pérdida de confianza de clientes, socios y autoridades.

Las infracciones más graves, como comercializar un sistema de alto riesgo sin evaluación de conformidad válida o mantener en el mercado un sistema con marcado CE inválido, pueden acarrear multas de hasta 35 millones de euros o el 7 % del volumen de negocio anual global de la empresa infractora, aplicándose el importe mayor. Infracciones de menor gravedad pueden alcanzar los 15 millones de euros o el 3 %, y las leves hasta 7,5 millones de euros o el 1 %.

7. Coordinación del marcado CE con otras obligaciones del RIA

El marcado CE es el resultado visible de la conformidad, pero no puede entenderse como un proceso independiente. En el marco del RIA, su obtención y mantenimiento están intrínsecamente vinculados a otras obligaciones clave que se deben cumplir en paralelo.

Evaluación de Impacto en los Derechos Fundamentales (FRIA):

La evaluación FRIA es un requisito previo y complementario a la evaluación de conformidad para determinados sistemas de IA. Aporta una visión centrada en los posibles efectos del sistema sobre los derechos fundamentales, algo que no siempre cubre por completo la verificación técnica. La información y conclusiones de la FRIA alimentan la documentación técnica exigida para el marcado CE, asegurando que el sistema no solo cumple requisitos técnicos, sino también salvaguardas éticas y jurídicas.

Sistema de gestión de calidad:

El RIA exige que los proveedores de IA de alto riesgo cuenten con un sistema de gestión de calidad robusto, que abarque desde el diseño y desarrollo hasta la post-comercialización. Este sistema no es un simple requisito documental: sirve para garantizar que los procesos que llevaron a la conformidad inicial se mantienen y mejoran con el tiempo. La ausencia de un sistema de calidad eficaz puede poner en riesgo el marcado CE, ya que las auditorías periódicas pueden detectar desviaciones que obliguen a su retirada.

Registros europeos de sistemas de IA:

Antes de su comercialización o puesta en servicio, muchos sistemas de IA de alto riesgo deben inscribirse en el registro europeo correspondiente. Esta inscripción, gestionada por la Comisión Europea, proporciona transparencia y trazabilidad, permitiendo a las autoridades y al público identificar el sistema, su proveedor y su estado de conformidad.

El marcado CE y el registro se complementan: uno certifica el cumplimiento, el otro lo hace visible en un repositorio oficial accesible.

En conjunto, la coordinación entre el marcado CE, la FRIA, el sistema de gestión de calidad y la inscripción en registros europeos es lo que consolida el marco de seguridad jurídica y técnica del RIA.

No cumplir alguna de estas piezas puede comprometer tanto la conformidad inicial, como poner en riesgo la permanencia del sistema en el mercado europeo.

El marcado CE en los sistemas de IA de alto riesgo es mucho más que un requisito legal para acceder al mercado europeo.

Representa un compromiso continuado con la seguridad, la transparencia y el respeto a los derechos fundamentales. Su obtención no es un fin en sí mismo, sino el inicio de un proceso constante de control y mejora que exige rigor técnico, la vigilancia postcomercialización y la capacidad para adaptarse a cambios normativos y tecnológicos.

En un entorno regulado tan exigente como el que establece el RIA, las empresas que gestionan el marcado CE como parte de una estrategia global de cumplimiento, integrándolo con la gestión de calidad, la evaluación de impacto en derechos fundamentales y la inscripción en registros oficiales,  reducen su exposición a riesgos legales y sanciones, así como, fortalecen su posición competitiva y su reputación en el mercado.

Contar con abogados expertos en inteligencia artificial es clave para asegurar el cumplimiento del RIA y anticipar riesgos legales en entornos altamente regulados.