El test del "componente de seguridad" bajo la Ley de IA (artículo 3(14))

Si tu IA es un "componente de seguridad", puede ser de alto riesgo con independencia de si aparece en el anexo III, y es probable que transcurra por un plazo distinto y un proceso de conformidad distinto de los sistemas del anexo III por los que la gente suele preocuparse. El desencadenante es una definición legal precisa del artículo 3(14) del Reglamento (UE) 2024/1689, y muerde en dos lugares: la vía de producto del artículo 6(1) para los productos del anexo I, y el punto 2 del anexo III (infraestructuras críticas). Esta página te da el test y un recorrido práctico.

La respuesta en una línea: un componente es un "componente de seguridad" cuando su fallo o funcionamiento defectuoso pone en peligro la salud y la seguridad de las personas o de los bienes. Si tu IA encaja en eso, compruebas el artículo 6(1) y el anexo III, punto 2, antes de concluir nada sobre el nivel de riesgo.

La definición del artículo 3(14)

El Ómnibus Digital, Reglamento (UE) 2026/1744 (en vigor desde el 27 de julio de 2026), reescribió el artículo 3(14) y lo acotó. En esencia, un componente de seguridad es ahora un componente de un producto o sistema que cumple una función de seguridad —su finalidad prevista es prevenir o mitigar riesgos para la salud y la seguridad de las personas o de los bienes— o cuyo fallo o funcionamiento defectuoso pone en peligro la salud y la seguridad de las personas o de los bienes.

Dos vertientes, cualquiera de las cuales basta:

• Cumple una función de seguridad: la finalidad prevista del componente es prevenir o mitigar riesgos para personas o bienes (un módulo de control de frenado, un corte por presión, una rutina de prevención de colisiones).
• Su fallo pone en peligro la salud, la seguridad o los bienes: aunque "mantener las cosas seguras" no sea su finalidad principal, si se avería y pone en peligro a personas o bienes, cumple los requisitos.

El test va sobre la consecuencia del fallo, no sobre si la palabra "seguridad" aparece en la ficha del producto. El Ómnibus añadió además tres reglas de acotación en el artículo 6:

• Artículo 6(1 bis): la IA usada únicamente para aspectos ajenos a la seguridad —asistencia al usuario, optimización del rendimiento, eficiencia del servicio, automatización, comodidad o control de calidad— no es un componente de seguridad.
• Artículo 6(1 ter): salvo que su fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad. Un módulo de IA que optimiza el rendimiento de una línea de producción sigue siendo un componente de seguridad si su funcionamiento defectuoso puede lesionar a un operario.
• Artículo 6(1 quater): un producto que necesita evaluación por terceros solo por riesgos ajenos a la salud y la seguridad (por ejemplo, espectro radioeléctrico o compatibilidad electromagnética) no cumple la segunda condición del artículo 6(1).

Dónde el test desencadena el alto riesgo

Vía 1 — artículo 6(1): componentes de seguridad de productos del anexo I

El artículo 6(1) vuelve un sistema de IA de alto riesgo cuando se cumplen ambas condiciones:

1. el sistema de IA es en sí mismo un producto, o es un componente de seguridad de un producto cubierto por la legislación de armonización de la Unión recogida en el anexo I; y
2. ese producto está obligado a someterse a una evaluación de la conformidad por terceros según esa legislación del anexo I antes de su introducción en el mercado.

El anexo I tiene dos secciones, y tras el Ómnibus importa en cuál cae tu producto:

• Sección A (productos sanitarios MDR/IVDR, ascensores, equipos radioeléctricos, juguetes, equipos a presión, EPI, entre otros): la IA componente de seguridad es de alto riesgo por el artículo 6(1) y los requisitos de la Ley de IA se integran en la evaluación de la conformidad propia del sector.
• Sección B (vehículos, aviación civil, ferrocarril, equipos marinos y, desde el Ómnibus, las máquinas del Reglamento (UE) 2023/1230, que salieron de la sección A): según el artículo 2(2) modificado, solo se aplican directamente el artículo 6(1), el artículo 60 bis y los artículos 102 a 112. Los requisitos de IA llegan a través de la legislación sectorial; en el caso de las máquinas, mediante actos delegados que modifican el anexo III del Reglamento de máquinas, aplicables a más tardar el 2 de agosto de 2028.

En ambos casos, un componente de seguridad de IA integrado en una máquina o un producto sanitario con marcado CE es de alto riesgo por el artículo 6(1), y viaja con el plazo y la vía de conformidad de ese sector, no con la vía del anexo III.

Para estos sistemas integrados en producto, el plazo es el 2 de agosto de 2028 (originalmente el 2 de agosto de 2027), fijado por el Ómnibus Digital, ya en vigor. La conformidad se evalúa a través de la legislación sectorial propia del producto, con los requisitos de IA integrados, no a través de una evaluación autónoma de la Ley de IA.

Vía 2 — anexo III, punto 2: infraestructuras críticas

El concepto de componente de seguridad también aparece dentro del anexo III. El punto 2 cubre los sistemas de IA destinados a usarse como componentes de seguridad en la gestión y operación de infraestructuras digitales críticas, del tráfico rodado, o en el suministro de agua, gas, calefacción o electricidad. Aquí el calificativo es el mismo test del artículo 3(14): la IA debe ser un componente de seguridad de esa infraestructura. Una IA de optimización de semáforos cuyo fallo pudiera causar colisiones está dentro del ámbito; una herramienta de analítica de facturación energética cuyo fallo solo produce facturas erróneas no lo está: su funcionamiento defectuoso no pone en peligro a personas ni bienes.

Los sistemas del anexo III, punto 2, siguen la pista autónoma del anexo III: el plazo es el 2 de diciembre de 2027 (originalmente el 2 de agosto de 2026), fijado por el Ómnibus Digital, y la conformidad es la vía de control interno del anexo VI.

Un recorrido de decisión

Trabájalo en orden para cualquier IA que sospeches que podría ser un componente de seguridad:

1. ¿El fallo pone en peligro a personas o bienes, o el componente cumple una función de seguridad? Si la respuesta es no a ambas, no es un componente de seguridad; clasifícalo de la forma habitual (finalidad prevista, artículo 5, casos de uso del anexo III). Si es sí, continúa.
2. ¿Está integrado en —o es en sí mismo— un producto del anexo I que necesita evaluación de la conformidad por terceros? Si la respuesta es sí → alto riesgo por el artículo 6(1); vía de conformidad sectorial (en la sección B, como las máquinas, los requisitos llegan por actos delegados sectoriales); 2 de agosto de 2028. Comprueba antes las acotaciones del artículo 6(1 bis) a (1 quater).
3. Si no es del anexo I, ¿es un componente de seguridad de una infraestructura crítica (infraestructura digital, tráfico rodado, agua/gas/calefacción/electricidad)? Si la respuesta es sí → alto riesgo por el anexo III, punto 2; control interno del anexo VI; 2 de diciembre de 2027.
4. ¿Ninguno de los dos? Es un componente de seguridad en el sentido cotidiano pero fuera de ambas vías de alto riesgo; termina la clasificación habitual: aún puede ser de riesgo limitado según el artículo 50 o mínimo.

Documenta el razonamiento en cada paso; el registro es tu prueba de diligencia si una autoridad de vigilancia del mercado lo pregunta.

Ejemplo práctico: Adriatic Robotics, unos 140 empleados, unos 26 M€ de facturación

Adriatic Robotics, un fabricante de Trieste, construye un módulo de visión con IA que detecta cuándo la mano de un trabajador entra en la zona de peligro de una prensa industrial y detiene la carrera. Vende la prensa, con el módulo integrado, como máquina con marcado CE.

Recorriendo el test:

1. ¿Función de seguridad / consecuencia del fallo? Sí: el trabajo entero del módulo es detener la prensa para proteger al operario; su fallo podría aplastar una mano. Es claramente un componente de seguridad del artículo 3(14).
2. ¿Producto del anexo I que necesita evaluación de la conformidad por terceros? La prensa cae bajo el Reglamento (UE) 2023/1230 de máquinas (anexo I), y esta clase de máquina requiere evaluación de la conformidad. Se cumplen ambas condiciones del artículo 6(1), y la exclusión del artículo 6(1 bis) no entra en juego: el módulo existe precisamente para proteger al operario.

Veredicto: el módulo de visión es de alto riesgo según el artículo 6(1). Como las máquinas están ahora en la sección B del anexo I, la Ley de IA no le impone directamente los artículos 8 a 17: los requisitos de alto riesgo llegarán como requisitos esenciales del propio Reglamento de máquinas, mediante actos delegados, y se evaluarán dentro de su procedimiento de conformidad. El plazo aplicable es el 2 de agosto de 2028. Adriatic, que construye y pone su marca a la máquina, es el fabricante y, en términos de la Ley de IA, el proveedor; una fábrica que compra y opera la prensa es el responsable del despliegue, aunque las obligaciones concretas de ambos llegarán a través del marco de máquinas. Cabe destacar que Adriatic no se va a buscar en el anexo III: la vía de producto lo zanja.

Cómo ayuda Confir

El motor basado en reglas de Confir ejecuta primero el test del artículo 3(14) —las vertientes de consecuencia del fallo y de función de seguridad— y después enruta un componente que cumple los requisitos hacia el artículo 6(1) (con el sector correcto del anexo I y el plazo del 2 de agosto de 2028) o hacia el anexo III, punto 2 (2 de diciembre de 2027), y registra qué regla se activó. La lógica es determinista: la misma entrada siempre devuelve la misma vía, plazo y ruta de conformidad, de modo que el resultado de componente de seguridad es auditable en lugar de una apreciación enterrada en una hoja de cálculo.

Preguntas frecuentes

¿Qué convierte un componente de IA en un "componente de seguridad" según la Ley de IA?

El artículo 3(14): un componente es un componente de seguridad si cumple una función de seguridad para un producto o sistema, o si su fallo o funcionamiento defectuoso pone en peligro la salud y la seguridad de las personas o de los bienes. Cualquiera de las dos vertientes basta. El test depende de la consecuencia del fallo, no de si el componente lleva la etiqueta de "seguridad": un módulo de eficiencia cuyo funcionamiento defectuoso puede lesionar a un operario cumple los requisitos. Desde el Ómnibus Digital, la IA usada únicamente para asistencia, eficiencia, automatización, comodidad o control de calidad no es un componente de seguridad, salvo que su fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad (artículo 6(1 bis) y (1 ter)).

¿Ser un componente de seguridad vuelve automáticamente mi IA de alto riesgo?

No por sí solo. Te obliga a comprobar dos vías. Si el componente está en un producto del anexo I que necesita evaluación de la conformidad por terceros, es de alto riesgo según el artículo 6(1). Si es un componente de seguridad de una infraestructura crítica (tráfico rodado, agua, gas, calefacción, electricidad, infraestructura digital), es de alto riesgo según el anexo III, punto 2. Un componente de seguridad fuera de ambas vías no es de alto riesgo solo por ese motivo.

¿Qué plazo se aplica a una IA componente de seguridad?

Depende de la vía. Un componente de seguridad integrado en un producto del anexo I sigue la vía de producto, con plazo el 2 de agosto de 2028. Un componente de seguridad de una infraestructura crítica según el anexo III, punto 2, sigue la pista autónoma, con plazo el 2 de diciembre de 2027. Ambas fechas las fijó el Ómnibus Digital, Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026.

¿Cómo se evalúa la conformidad de una IA componente de seguridad en un producto del anexo I?

A través de la legislación sectorial propia del producto —por ejemplo, el MDR o el IVDR en la sección A— con los requisitos de alto riesgo de la Ley de IA integrados en esa evaluación de la conformidad existente. No ejecutas una evaluación de la conformidad autónoma aparte de la Ley de IA; los requisitos de IA se incorporan al proceso de marcado CE por el que el producto ya pasa. Las máquinas pasaron con el Ómnibus Digital a la sección B: allí los requisitos de IA llegarán como requisitos esenciales del Reglamento de máquinas mediante actos delegados, aplicables a más tardar el 2 de agosto de 2028.

¿Toda IA en una infraestructura crítica es un componente de seguridad?

No. El anexo III, punto 2, solo atrapa la IA usada como componente de seguridad de la infraestructura, donde el fallo pone en peligro a personas o bienes o interrumpe el propio suministro. Una herramienta de analítica o de facturación cuyo funcionamiento defectuoso solo produce números erróneos no es un componente de seguridad y no es de alto riesgo según el punto 2. Aplica el test de consecuencia del fallo del artículo 3(14) antes de concluir.

¿Quién es el proveedor y quién el responsable del despliegue de una IA componente de seguridad?

La parte que desarrolla el sistema y lo introduce en el mercado con su propio nombre es el proveedor (artículo 16), normalmente el fabricante que integra el componente. La organización que usa el producto en sus operaciones es el responsable del despliegue (artículo 26). Ten en cuenta el artículo 25: un responsable del despliegue que modifica sustancialmente el sistema o le cambia la marca puede pasar a la condición de proveedor. En los productos de la sección B del anexo I, como las máquinas, esos deberes no se aplican directamente desde la Ley de IA: llegan a través de la legislación sectorial del producto.

Guías relacionadas

• Componente de seguridad
• Cómo clasificar tu sistema de IA
• ¿Mi IA es de alto riesgo?
• La exención del artículo 6(3) explicada
• Artículo 6 — clasificación de alto riesgo
• Casos de uso de alto riesgo del anexo III