¿Qué vía de evaluación de la conformidad se aplica a tu IA de alto riesgo? (artículo 43)
Guía de decisión del artículo 43: autoevaluación del anexo VI para casi todo el anexo III, organismo notificado (anexo VII) para biometría, vía sectorial.
Antes de que un sistema de IA de alto riesgo pueda introducirse en el mercado de la Unión, su proveedor debe completar una evaluación de la conformidad: el término de la UE para demostrar, antes del lanzamiento, que un sistema cumple los requisitos de alto riesgo. El artículo 43 del Reglamento (UE) 2024/1689 establece qué vía sigues, y para la mayoría de los proveedores la respuesta es tranquilizadora: te autoevalúas. Pero no para todos, y equivocarte de vía cuesta meses. Esta página es una guía de decisión: tres preguntas que fijan tu vía.
Para distinguir entre elegir la vía (esta página) y recorrer la lista de comprobación de pruebas, consulta la plantilla de lista de comprobación de la evaluación de la conformidad, que detalla qué exige cada vía. Esta página responde a la pregunta previa: qué vía, para empezar.
La respuesta en un párrafo
La mayoría de la IA autónoma de alto riesgo (anexo III, puntos 2 a 8) usa el control interno del anexo VI: el proveedor se autoevalúa, sin tercero. La biometría (anexo III, punto 1) puede requerir la evaluación por organismo notificado del anexo VII. La IA que es un componente de seguridad de un producto ya regulado por el Derecho de la UE (anexo I) discurre por el procedimiento de conformidad sectorial de ese producto conforme al artículo 43(3). Tres vías; tres desencadenantes.
Paso 1: ¿tu sistema es de alto riesgo por el anexo I o por el anexo III?
La primera bifurcación es por qué el sistema es de alto riesgo.
- Vía del anexo I (integrado en producto). Si la IA es un componente de seguridad de —o es ella misma— un producto cubierto por la legislación de armonización de la UE enumerada en el anexo I (productos sanitarios (MDR/IVDR), máquinas, ascensores, vehículos, juguetes, etc.), entonces conforme al artículo 43(3) la evaluación de conformidad de la IA se integra en el procedimiento de conformidad sectorial existente de ese producto. No ejecutas una evaluación exclusiva de IA; los requisitos de la Ley de IA se verifican dentro del régimen de evaluación —de tercero o de autoevaluación— que tu producto ya usa. Estos sistemas llevan el plazo posterior del 2 de agosto de 2028.
- Vía del anexo III (autónomo). Si el sistema es de alto riesgo porque cae bajo una de las ocho áreas de casos de uso del anexo III —biometría, infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración, justicia—, pasa al Paso 2. Estos llevan el plazo del 2 de diciembre de 2027 (fecha ya adoptada por el Ómnibus Digital; véase la salvedad).
Paso 2: ¿es del anexo III, punto 1 (biometría)?
Entre los puntos del anexo III, el punto 1 (biometría) es la excepción.
- Sí, punto 1 (biometría). El proveedor debe usar el procedimiento del anexo VII —evaluación por organismo notificado— cuando no se hayan aplicado normas armonizadas, o solo en parte. Un organismo notificado es un organismo independiente de evaluación de la conformidad acreditado por la UE que revisa tu documentación técnica (art. 11 / anexo IV) y tu sistema de gestión de la calidad (art. 17). Si existen normas armonizadas completas y las aplicas, puede abrirse una vía interna, pero cuenta con el organismo notificado. Este es el único punto del anexo III que arrastra de forma habitual a un tercero.
- No (puntos 2 a 8). Pasa al Paso 3.
Paso 3: el valor por defecto, control interno del anexo VI
Para los puntos 2 a 8 del anexo III —todo lo que no es biometría—, el proveedor ejecuta el procedimiento de control interno del anexo VI. Es autoevaluación: el proveedor verifica el sistema frente a los requisitos de alto riesgo (artículos 9 a 15), elabora la documentación técnica (artículo 11 / anexo IV), comprueba que el sistema de gestión de la calidad (artículo 17) está implantado, firma la declaración UE de conformidad del artículo 47 (contenido según el anexo V) y coloca el marcado CE conforme al artículo 48. Ningún organismo externo da el visto bueno.
Esta es la vía que sigue la mayoría de los proveedores pyme. Es exigente —el expediente técnico es trabajo de verdad—, pero no requiere reservar un organismo notificado, y tú controlas el calendario.
| Por qué el sistema es de alto riesgo | Vía | Artículo / anexo | ¿Tercero? |
|---|---|---|---|
| Anexo III, punto 1 (biometría), normas no aplicadas plenamente | Organismo notificado | Anexo VII (art. 43) | Sí |
| Anexo III, puntos 2 a 8 | Control interno | Anexo VI (art. 43) | No |
| Componente de seguridad de un producto del anexo I | Procedimiento sectorial de producto | Art. 43(3) | Según la ley sectorial |
Lo que la evaluación de la conformidad no es
Tres trampas que conviene nombrar:
- La norma ISO/IEC 42001 y el NIST AI RMF no son la evaluación de la conformidad. Son marcos de sistema de gestión y de riesgos que apoyan tus pruebas; no equivalen al procedimiento del artículo 43 ni constituyen cumplimiento legal por sí solos.
- La EIDF (artículo 27) no es la evaluación de la conformidad. La EIDF es la evaluación de impacto sobre los derechos fundamentales del responsable del despliegue; la evaluación de la conformidad es la prueba previa a la comercialización del proveedor. Actor distinto, artículo distinto.
- Una reevaluación se desencadena por una modificación sustancial. Conforme al artículo 3(23), una modificación sustancial de un sistema de alto riesgo después de su comercialización lo devuelve por la evaluación de la conformidad. Las actualizaciones rutinarias dentro de la finalidad prevista declarada por lo general no lo hacen.
La salvedad sobre el plazo
El aplazamiento del régimen de alto riesgo autónomo al 2 de diciembre de 2027 ya está adoptado: el Parlamento Europeo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Planifica con el 2 de diciembre de 2027 para los sistemas autónomos de alto riesgo del anexo III (y el 2 de agosto de 2028 para los sistemas integrados en productos del anexo I), fechas ya fijadas.
Ejemplo práctico: un proveedor SaaS calcula su vía
Lernpfad GmbH —una empresa edtech alemana ficticia de 55 personas (~9 M€ de facturación)— comercializa una herramienta de IA que califica las respuestas de exámenes de los estudiantes, usada por universidades para puntuar.
- Paso 1. La herramienta no está integrada en un producto del anexo I; es software autónomo. Cae bajo el anexo III, punto 3 (educación y formación profesional: IA usada para evaluar los resultados del aprendizaje). Por tanto: vía del anexo III, plazo del 2 de diciembre de 2027.
- Paso 2. No es biometría (punto 1). Así que no hay organismo notificado por la causa de la biometría.
- Paso 3. Valor por defecto: control interno del anexo VI. Lernpfad se autoevalúa frente a los artículos 9 a 15, construye el expediente técnico del artículo 11 / anexo IV, implanta el sistema de gestión de la calidad del artículo 17, firma la declaración de conformidad del artículo 47 y coloca el marcado CE conforme al artículo 48: sin organismo externo.
El veredicto: Lernpfad se autoevalúa. Como pyme, su exposición sancionadora está limitada a la cifra inferior conforme al artículo 99(6), y se beneficia de tasas de conformidad proporcionadas para pymes conforme al artículo 62. Un proveedor de control biométrico de exámenes en el mismo edificio se enfrentaría en cambio a la vía del organismo notificado: mismo plazo, margen muy distinto.
Cómo ayuda Confir
El paso de clasificación de Confir calcula por qué un sistema es de alto riesgo —integrado en producto del anexo I frente al anexo III y, dentro del anexo III, si es biometría del punto 1— y a continuación nombra la vía de conformidad: control interno del anexo VI, organismo notificado del anexo VII o el procedimiento sectorial del artículo 43(3). Después reúne las pruebas de la vía: el paquete técnico del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V. El motor es determinista y basado en reglas: la misma entrada produce la misma vía, con el artículo decisivo citado.
Guías relacionadas
- La evaluación de la conformidad, explicada
- Artículo 43: evaluación de la conformidad
- Pasos de la evaluación de la conformidad
- Plantilla de lista de comprobación de la evaluación de la conformidad
- Organismo notificado: qué es
- Plantilla de documentación técnica del anexo IV
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →