El sistema de gestión de la calidad del artículo 17 y cómo sostiene todo lo demás
El SGC del art. 17 es la columna que une tu SGR del art. 9, la doc. del anexo IV y la conformidad del art. 43. La ISO 42001 lo apoya, pero no lo sustituye.
Si eres proveedor de un sistema de IA de alto riesgo, el sistema de gestión de la calidad (SGC) del artículo 17 no es un documento más del montón. Es la columna vertebral de la que cuelgan el resto de tus obligaciones: el sistema de gestión de riesgos del artículo 9, la documentación técnica del anexo IV, la vigilancia poscomercialización del artículo 72 y la evaluación de la conformidad del artículo 43 viven dentro de él o lo alimentan.
Esta página trata de relaciones, no de volver a enumerar los elementos legales. Para la lista cláusula a cláusula, consulta la referencia del artículo 17 y la guía de construcción del SGC enlazadas más abajo. Aquí la pregunta es: ¿dónde se sitúa el SGC en el engranaje, qué une y por qué la ISO/IEC 42001 es una ayuda pero no un sustituto de la evaluación de la conformidad del artículo 43? Una respuesta breve por adelantado: el SGC es tu sistema permanente de gobernanza; la evaluación de la conformidad es la prueba puntual de que operas bien ese sistema antes del lanzamiento.
Qué exige realmente el artículo 17 (la forma, no la lista)
El artículo 17 obliga a todo proveedor de un sistema de IA de alto riesgo a implantar un sistema de gestión de la calidad documentado —políticas, procedimientos e instrucciones por escrito— que garantice que el sistema se construye y se mantiene conforme a lo largo de su vida. El texto legal enumera los ámbitos que debe cubrir: una estrategia de cumplimiento normativo (incluida la de evaluación de la conformidad y la gestión de cambios), controles de diseño y desarrollo, ensayos y validación, gestión de datos, el sistema de gestión de riesgos, la vigilancia poscomercialización, la notificación de incidentes, la conservación de registros, la gestión de recursos y un marco de rendición de cuentas que asigna responsabilidades a la dirección y al personal.
Lo que conviene retener es que el artículo 17 es deliberadamente integrador. Varios de los ámbitos que enumera no los inventa el artículo 17: son otros artículos, nombrados de nuevo aquí para que el SGC sea el lugar donde se organizan, documentan y mantienen actualizados. El SGC es la carpeta; las obligaciones individuales son las páginas.
Cómo el SGC une las demás obligaciones
Lee el artículo 17 junto a las obligaciones que referencia y la arquitectura se hace clara. Cada fila siguiente es un deber jurídico distinto que el SGC debe abarcar y mantener coherente.
| Obligación | Artículo | Qué hace el SGC con ella |
|---|---|---|
| Sistema de gestión de riesgos | Art. 9 | El SGC aloja el proceso continuo del SGR y sus registros |
| Datos y gobernanza de datos | Art. 10 | Documenta cómo se gestionan los datos de entrenamiento/validación/prueba |
| Documentación técnica | Art. 11 / anexo IV | El SGC produce y mantiene el expediente del anexo IV |
| Conservación de registros / logs | Art. 12, 19 | Los procedimientos de registro y conservación viven en el SGC |
| Vigilancia poscomercialización | Art. 72 | El SGC aloja el plan de vigilancia y el circuito de retroalimentación |
| Notificación de incidentes graves | Art. 73 | Los procedimientos de notificación son un elemento del SGC |
| Evaluación de la conformidad | Art. 43 | El SGC es el sistema que la evaluación comprueba |
Así, el sistema de gestión de riesgos del artículo 9 es un proceso vivo e iterativo —identificar, evaluar, mitigar, repetir— y el SGC es donde ese proceso se define, se ejecuta y se evidencia. La documentación técnica del artículo 11 / anexo IV es un resultado que el SGC tiene la responsabilidad de generar y mantener exacto a medida que el sistema cambia. El plan de vigilancia poscomercialización del artículo 72 retroalimenta sus conclusiones hacia el SGR, y el SGC es el circuito que los conecta. Si aciertas con el SGC, estas dejan de ser obligaciones dispersas; si lo equivocas, se desincronizan.
El SGC frente a la evaluación de la conformidad del artículo 43
Esta es la distinción que más confunde a los proveedores, así que conviene precisarla.
El SGC (artículo 17) es un sistema permanente: la gobernanza continua que operas cada día para diseñar, construir, ensayar, vigilar y documentar un sistema de alto riesgo conforme. Nunca «se completa»: funciona durante toda la vida del producto.
La evaluación de la conformidad (artículo 43) es un procedimiento que ejecutas antes de introducir el sistema en el mercado o ponerlo en servicio, el término de la UE para demostrar, antes del lanzamiento, que el sistema cumple los requisitos del capítulo III. Para la mayoría de los sistemas del anexo III (puntos 2 a 8) es la vía de control interno del anexo VI, en la que te autoevalúas frente a los requisitos; para el anexo III, punto 1, biometría, es la vía del organismo notificado del anexo VII. Una evaluación superada te permite redactar la declaración UE de conformidad del artículo 47 y colocar el marcado CE del artículo 48, y después registrar conforme al artículo 49.
La relación: la evaluación de la conformidad comprueba que tu SGC y el sistema que gobierna cumplen los requisitos. El SGC es lo que se evalúa; la evaluación es el acto de verificarlo. No puedes superar la evaluación sin un SGC en funcionamiento, y el SGC no descarga por sí solo la evaluación: son dos obligaciones distintas que dependen una de la otra.
Dónde encaja la ISO/IEC 42001 y dónde se detiene
Un sistema de gestión de la IA certificado conforme a la ISO/IEC 42001 es genuinamente útil aquí. La estructura de sistema de gestión de la norma —políticas, roles, tratamiento del riesgo, vigilancia, mejora continua— encaja en buena medida con lo que pide el artículo 17, así que construir conforme a la 42001 te da una gran ventaja inicial para el SGC y un esqueleto de gobernanza reconocido.
Pero ten claro el límite: la ISO/IEC 42001 apoya el SGC; no equivale a la evaluación de la conformidad del artículo 43, y la certificación no es cumplimiento jurídico de la Ley de IA de la UE. La norma es un marco de gestión voluntario y horizontal; la Ley es Derecho vinculante con requisitos técnicos específicos (artículos 9 a 15), un procedimiento de conformidad definido (artículo 43), una declaración de conformidad legal (artículo 47) y el marcado CE (artículo 48). Un certificado 42001 no produce ninguno de ellos. Hasta que las normas armonizadas de la Ley se citen en el Diario Oficial, no puedes invocar una presunción de conformidad a partir de un certificado genérico de sistema de gestión. Trata la 42001 como andamiaje del SGC —valioso, pero no el edificio— y nunca como sustituto de la evaluación de la conformidad.
Ejemplo práctico: una pyme proveedora de IA de alto riesgo
Pfadwerk Analytics GmbH, una empresa de software de ~70 empleados y ~12 M€ de facturación, construye y vende un sistema de IA que criba candidatos a empleo: de lleno en el anexo III, punto 4, empleo, por tanto de alto riesgo, y Pfadwerk es el proveedor (artículo 16).
Cómo organiza el SGC su programa:
- El SGC fija una estrategia de cumplimiento normativo y un marco de rendición de cuentas: un responsable nombrado en la dirección, responsabilidades definidas para los equipos de ingeniería y de cumplimiento.
- Dentro de él se aloja el SGR del artículo 9, ejecutado de forma continua; los procedimientos de gobernanza de datos del artículo 10 para los datos de entrenamiento del modelo de cribado; la rutina que produce y actualiza el expediente técnico del anexo IV / artículo 11; y el plan de vigilancia poscomercialización del artículo 72 que retroalimenta los incidentes hacia el SGR y dispara la notificación del artículo 73 cuando se alcanzan los umbrales.
- Pfadwerk ya había buscado la ISO/IEC 42001, que le aportó la mayor parte de la estructura del SGC, pero su responsable de cumplimiento trata correctamente el certificado como prueba de apoyo, no como la evaluación de la conformidad.
- Antes del lanzamiento, Pfadwerk realiza la evaluación del artículo 43 por la vía de control interno del anexo VI (empleo está en los puntos 2 a 8, no es biometría), luego redacta la declaración de conformidad del artículo 47, coloca el marcado CE (artículo 48) y registra conforme al artículo 49.
Plazo: las obligaciones de alto riesgo independiente del anexo III se aplican desde el 2 de diciembre de 2027 conforme al Ómnibus Digital, con acuerdo político alcanzado en mayo de 2026 y ya adoptado por el Parlamento Europeo (16 de junio de 2026) y el Consejo (29 de junio de 2026); solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Pfadwerk planifica con el 2 de diciembre de 2027 y aprovecha el margen hasta esa fecha para reforzar el SGC, no para esperar.
Cómo ayuda Confir
Confir asigna cada elemento del SGC del artículo 17 a la obligación subyacente que organiza —el SGR del artículo 9, la documentación del anexo IV, el plan de vigilancia del artículo 72— y muestra la vía de evaluación de la conformidad que sigue tu sistema conforme al artículo 43, de modo que el SGC se lee como un programa conectado y no como una lista de verificación. Genera el expediente técnico del anexo IV y la declaración de conformidad del artículo 47 a partir de la misma evaluación estructurada, y mapea tus controles con la ISO/IEC 42001 manteniendo explícita la distinción: la norma apoya el SGC; no descarga la evaluación de la conformidad. La lógica es basada en reglas y reproducible, de modo que las mismas entradas siempre arrojan el mismo mapeo.
Preguntas frecuentes
¿Qué es el sistema de gestión de la calidad del artículo 17?
Es el sistema documentado de políticas, procedimientos e instrucciones que los proveedores de sistemas de IA de alto riesgo deben operar para mantener el sistema conforme a lo largo de su vida. El artículo 17 enumera los ámbitos que debe cubrir: estrategia de cumplimiento, diseño y desarrollo, ensayos, gestión de datos, el sistema de gestión de riesgos del artículo 9, la vigilancia poscomercialización del artículo 72, la conservación de registros y un marco de rendición de cuentas. Es esencialmente integrador: organiza y mantiene actualizadas varias obligaciones definidas en otros artículos, en lugar de inventarlas todas él mismo.
¿En qué se diferencia el SGC de la evaluación de la conformidad?
El SGC (artículo 17) es un sistema permanente que operas de forma continua para construir y mantener un sistema de alto riesgo conforme. La evaluación de la conformidad (artículo 43) es un procedimiento que ejecutas una vez antes de introducir el sistema en el mercado, para demostrar que cumple los requisitos. La evaluación comprueba el SGC y el sistema que gobierna; el SGC es lo que se evalúa. Necesitas ambos: un SGC en funcionamiento no descarga la evaluación, y la evaluación no puede superarse sin un SGC operativo por debajo.
¿Sustituye el SGC al sistema de gestión de riesgos del artículo 9?
No. El sistema de gestión de riesgos del artículo 9 es una obligación distinta y continua: identificar, evaluar y mitigar riesgos a lo largo de la vida del sistema. El SGC no lo sustituye; lo aloja. El artículo 17 nombra el sistema de gestión de riesgos como uno de los elementos que el SGC debe abarcar, de modo que el SGC se convierte en el lugar donde el proceso del artículo 9 se define, ejecuta, documenta y conecta con la vigilancia poscomercialización (artículo 72). Son dos obligaciones, con el SGR viviendo dentro del marco del SGC.
¿La certificación ISO/IEC 42001 satisface el artículo 17?
Apoya el SGC de forma sustancial, pero no satisface por sí sola la Ley de IA de la UE. La estructura de sistema de gestión de la ISO/IEC 42001 encaja en buena parte del artículo 17 y da a los proveedores una sólida ventaja inicial. Pero es una norma voluntaria y horizontal: no produce la evaluación de la conformidad del artículo 43, la declaración de conformidad del artículo 47 ni el marcado CE, y la certificación no es cumplimiento jurídico. Hasta que las normas armonizadas de la Ley se citen en el Diario Oficial, un certificado 42001 no da ninguna presunción de conformidad. Trátalo como andamiaje, no como el edificio.
¿Qué vía de evaluación de la conformidad aplica a un sistema de alto riesgo?
Depende de la categoría del anexo III. El anexo III, punto 1 (biometría), va por la vía del organismo notificado del anexo VII, con un tercero que evalúa el sistema. Los puntos 2 a 8 del anexo III —incluidos empleo, educación, servicios esenciales y los demás— van por la vía de control interno del anexo VI, en la que el proveedor se autoevalúa frente a los requisitos del capítulo III. Los sistemas integrados en productos del anexo I se canalizan por su legislación sectorial. El SGC sustenta la vía que aplique; la evaluación la verifica después.
¿Cuándo es aplicable la obligación del SGC?
El SGC forma parte de los requisitos del proveedor de alto riesgo que aplican cuando las obligaciones de alto riesgo independiente del anexo III entran en vigor: el 2 de diciembre de 2027 conforme al Ómnibus Digital, con acuerdo político alcanzado en mayo de 2026 y ya adoptado por el Parlamento Europeo (16 de junio de 2026) y el Consejo (29 de junio de 2026); solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Planifica con el 2 de diciembre de 2027, la fecha ya fijada, y usa el margen hasta entonces para construir bien el SGC en lugar de esperar.
¿Qué sanción aplica por no operar un SGC conforme?
Los incumplimientos de obligaciones del proveedor como el artículo 17 se sitúan en el tramo de 15 000 000 € o el 3 % de la facturación anual mundial total, la cuantía que sea mayor (artículo 99, apartado 4). Esa es la banda de la mayoría de los incumplimientos del proveedor y del responsable del despliegue de alto riesgo, no el tramo máximo de 35 M€ / 7 %, reservado a las prácticas prohibidas del artículo 5. Para los proveedores que sean pymes o empresas emergentes, el artículo 99, apartado 6, limita la multa a la menor entre el porcentaje y el importe fijo, una protección de proporcionalidad integrada en el régimen sancionador.
Guías relacionadas
- Ley de IA de la UE, artículo 17 (referencia legal)
- construir un sistema de gestión de la calidad de IA
- Sistema de gestión de riesgos del artículo 9
- Requisitos de documentación técnica del anexo IV
- Evaluación de la conformidad del artículo 43
- la evaluación de la conformidad explicada
- La ISO 42001 frente a la Ley de IA de la UE
- obligaciones del proveedor conforme a la Ley de IA de la UE
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →