La IA de los vehículos autónomos al amparo de la Ley de IA de la UE: la vía de clasificación del Anexo I
IA de vehículos autónomos: de alto riesgo a través de la vía de homologación del Artículo 6, apartado 1/Anexo I, con conformidad integrada y un plazo del 2 de agosto de 2028.
Esta página reside en la carpeta «annex-iii», pero la base jurídica correcta para la IA de seguridad de los vehículos autónomos y de los ADAS no es el Anexo III. Es el Artículo 6, apartado 1, combinado con el Anexo I del Reglamento (UE) 2024/1689. Esa distinción condiciona cada obligación, cada plazo y cada procedimiento de conformidad que viene después — por eso conviene enunciarla con claridad antes que cualquier otra cosa.
Por qué importa la vía de clasificación
La Ley de IA de la UE clasifica los sistemas de IA en niveles de riesgo por dos vías distintas:
- Artículo 6, apartado 1, + Anexo I: IA que es un componente de seguridad de un producto cubierto por la legislación de armonización de productos de la UE, cuando ese producto ya requiere una evaluación de la conformidad por terceros. De alto riesgo a través de la vía del producto.
- Artículo 6, apartado 2, + Anexo III: sistemas de IA enumerados por ámbito de caso de uso (contratación, calificación crediticia, biometría, infraestructuras críticas, etc.). De alto riesgo a través de la vía del sistema de IA autónomo.
Un sistema de IA que controla la dirección, el frenado o la prevención de colisiones en un vehículo de motor no entra en absoluto en el Anexo III. Entra en el nivel de alto riesgo a través del Artículo 6, apartado 1, porque es un componente de seguridad de un producto — el vehículo — cubierto por el Reglamento (UE) 2018/858 (el marco de homologación de tipo de los vehículos de motor) y el Reglamento (UE) 2019/2144 (el Reglamento General de Seguridad, que exige sistemas como el frenado de emergencia autónomo, la asistencia al mantenimiento del carril y la asistencia inteligente de velocidad). Esos reglamentos exigen una evaluación de la conformidad por terceros antes de que un vehículo pueda introducirse en el mercado de la UE. Se cumplen ambas condiciones del Artículo 6, apartado 1.
La consecuencia práctica: los requisitos de la Ley de IA se integran en el proceso de homologación de tipo existente, no se administran como una evaluación de la conformidad específica de la IA aparte. No hay un procedimiento autónomo del Artículo 43 con arreglo al Anexo VI o al Anexo VII para estos sistemas. La autoridad de homologación de tipo y sus servicios técnicos evalúan el cumplimiento de los requisitos del Capítulo III de la Ley de IA (Artículos 9 a 15) como parte de la homologación más amplia del vehículo.
El plazo de cumplimiento también difiere. En virtud del Ómnibus Digital (acuerdo político alcanzado el 7 de mayo de 2026, adopción formal prevista antes del 2 de agosto de 2026), los sistemas autónomos de alto riesgo del Anexo III deben cumplir desde el 2 de diciembre de 2027, pero los sistemas de IA de alto riesgo integrados en productos del Anexo I — incluida la IA de seguridad de los vehículos — deben cumplir desde el 2 de agosto de 2028. Si está desarrollando o certificando hoy IA de ADAS o de conducción autónoma, el 2 de agosto de 2028 es su fecha límite firme.
Qué cuenta como IA de seguridad de los vehículos
El Reglamento (UE) 2019/2144 exige un conjunto de sistemas avanzados de seguridad de los vehículos — entre ellos: el frenado de emergencia autónomo (AEB), la asistencia al mantenimiento del carril (LKA), la asistencia inteligente de velocidad (ISA), la vigilancia de la somnolencia y la atención del conductor, y la detección en marcha atrás. Cuando cualquiera de estas funciones la presta un sistema de IA, se aplica el Artículo 6, apartado 1, de la Ley de IA de la UE.
La prueba es si el sistema de IA funciona como componente de seguridad del vehículo. Un algoritmo que ajusta la posición del reposacabezas probablemente no sea un componente de seguridad en el sentido pertinente. Un algoritmo que decide si aplicar el frenado de emergencia total, y cuándo, manifiestamente lo es. La línea no siempre es nítida, pero la pregunta funcional — ¿crearía directamente un fallo de este sistema de IA un riesgo de muerte o de lesiones graves? — proporciona el filtro práctico.
ADAS frente a autonomía plena: la vía del Artículo 6, apartado 1, se aplica a todo el espectro. Un sistema ADAS de nivel 2 que proporciona mantenimiento del carril y control de crucero adaptativo en un automóvil de serie, un sistema de conducción automatizada de nivel 4 para una ruta urbana definida y la pila de percepción de un vehículo autónomo de transporte de mercancías están todos sujetos a la misma base jurídica si funcionan como componentes de seguridad de vehículos que requieren homologación de tipo con arreglo al Derecho de la UE.
La IA de gestión del tráfico a nivel de infraestructura es una cuestión distinta. La IA operada por autoridades públicas para gestionar los semáforos, la tarificación de la congestión o el enrutamiento de emergencias puede entrar en el punto 2 del Anexo III (infraestructuras críticas) en lugar de en la vía del producto del Anexo I. Las obligaciones son similares en el fondo, pero la vía procedimental difiere — ese sistema está sujeto al proceso autónomo del Anexo III y al plazo del 2 de diciembre de 2027, no a la integración en la homologación de tipo que aquí se describe. Consulte la guía de IA de infraestructuras críticas del Anexo III para esa vía.
Quién es el proveedor
Con arreglo al Artículo 3 de la Ley de IA de la UE, el proveedor es la entidad que desarrolla e introduce el sistema de IA en el mercado o lo pone en servicio con su propio nombre o marca. Para la IA de seguridad de los vehículos, suele ser:
- El fabricante del vehículo (OEM) si desarrolló el sistema de IA internamente y lo integra en un vehículo que introduce en el mercado.
- El proveedor de sistemas de nivel 1 (Tier-1) si desarrolla el sistema de IA — digamos, una pila de frenado de emergencia autónomo — y lo suministra a los OEM como componente o sistema con nombre, bajo su propia marca. En ese caso, el proveedor es el proveedor del sistema de IA; el OEM es, en efecto, un responsable del despliegue de ese sistema dentro del vehículo que fabrica.
El límite importa porque el proveedor soporta las obligaciones más pesadas: el sistema de gestión de riesgos del Artículo 9, la documentación técnica del Artículo 11 y del Anexo IV, el plan de vigilancia poscomercialización del Artículo 72 y el deber de notificación de incidentes graves del Artículo 73 a las autoridades de vigilancia del mercado.
El Artículo 25 afina el análisis: un distribuidor, importador o responsable del despliegue se convierte en proveedor si introduce un sistema de alto riesgo en el mercado con su propio nombre, lo modifica sustancialmente o cambia su finalidad prevista. Un OEM que toma el módulo de percepción de un proveedor y lo integra con su propia lógica de decisión para crear un sistema con un uso previsto materialmente diferente debe solicitar asesoramiento jurídico sobre si esa integración constituye una modificación sustancial.
El conjunto de obligaciones para los proveedores
Sistema de gestión de riesgos — Artículo 9
Un sistema de gestión de riesgos documentado debe funcionar de forma continua a lo largo de todo el ciclo de vida del sistema de IA. Para la IA de seguridad de los vehículos, esto significa la identificación sistemática de los modos de fallo — degradación de los sensores, fallos de reconocimiento de casos límite, interacciones de las actualizaciones de software, condiciones adversarias — y criterios documentados de aceptación del riesgo. El sistema de gestión de riesgos del Artículo 9 complementa, pero no es idéntico, a los procesos de seguridad funcional con arreglo a la norma ISO 26262 (vehículos de carretera) y a la norma ISO/PAS 21448 (SOTIF — seguridad de la funcionalidad prevista). Se espera que existan ambos; la Ley de IA exige que la lógica de gestión de riesgos esté documentada en el expediente técnico de una forma que la autoridad de homologación de tipo pueda evaluar.
Datos y gobernanza de datos — Artículo 10
Los datos de entrenamiento, validación y prueba deben estar sujetos a prácticas de gobernanza que aborden la pertinencia, la representatividad y la ausencia de errores. Para la IA de percepción entrenada con datos de cámara, radar o lidar, el análisis del Artículo 10 debe cubrir: la diversidad geográfica (las condiciones de la carretera en el sur de España difieren de las de Finlandia), la representación de casos límite (peatones con poca visibilidad, ciclistas sin casco, carga inusual en las carreteras) y la calidad del etiquetado de datos. Toda limitación conocida del conjunto de datos debe documentarse y deben enunciarse sus implicaciones para el rendimiento del sistema — no esconderse bajo la alfombra.
Documentación técnica — Artículo 11 y Anexo IV
El Anexo IV especifica nueve áreas de contenido: descripción general del sistema e historial de versiones; arquitectura de diseño detallada y características de los datos de entrenamiento; mecanismos de vigilancia y control; métricas de rendimiento y su adecuación; documentación de gestión de riesgos; descripción de los cambios a lo largo del ciclo de vida; lista de normas armonizadas aplicadas; copia de la declaración UE de conformidad; y plan de vigilancia poscomercialización. Esta documentación constituye el expediente técnico presentado como parte de la homologación de tipo del vehículo. Los servicios técnicos que evalúan el vehículo la revisarán junto con la documentación de seguridad funcional exigida por los reglamentos existentes.
Conservación: la documentación técnica debe conservarse durante diez años desde que el sistema se introduce en el mercado (Artículo 18).
Supervisión humana — Artículo 14
El Artículo 14 exige que los proveedores diseñen sus sistemas de alto riesgo de modo que la supervisión humana sea posible y eficaz. En el contexto del vehículo, esto se expresa como requisitos de conductor en el bucle (driver-in-the-loop). El sistema debe diseñarse de modo que el conductor reciba información clara sobre lo que el sistema está haciendo y no haciendo (Artículo 13, que cubre la información a los responsables del despliegue y, por extensión, a los conductores a través de la interfaz del sistema), pueda reconocer cuándo el sistema opera en el límite de sus capacidades y pueda intervenir y reanudar el control manual en un marco temporal que no cree un nuevo peligro para la seguridad.
El marco de la CEPE sobre vehículos automatizados/autónomos — en particular los reglamentos del WP.29 — se cruza aquí. El Reglamento n.º 157 de la CEPE sobre sistemas de mantenimiento automatizado del carril, por ejemplo, especifica requisitos de petición de transición y de maniobra de riesgo mínimo que operacionalizan la supervisión del conductor a nivel funcional. El cumplimiento de esas normas técnicas será una prueba pertinente para el Artículo 14, aunque no lo sustituye: la Ley de IA pregunta específicamente sobre la supervisión de la lógica de decisión del sistema de IA, no solo sobre el comportamiento general del vehículo.
Exactitud, robustez y ciberseguridad — Artículo 15
El Artículo 15 exige que los sistemas de IA de alto riesgo alcancen niveles adecuados de exactitud, robustez y ciberseguridad. Para la IA de percepción y de decisión de los vehículos:
- Exactitud: el rendimiento de la detección de objetos debe especificarse, validarse y documentarse frente a escenarios de prueba definidos. El conjunto de prueba debe cubrir los casos límite que importan para la seguridad vial — oclusión parcial, condiciones meteorológicas adversas, degradación de la calzada — no solo las condiciones nominales.
- Robustez: el sistema debe mantener un rendimiento adecuado bajo variaciones de la entrada, degradación de los sensores y condiciones adversarias. Las curvas de degradación del rendimiento deben documentarse.
- Ciberseguridad: aquí es donde el Artículo 15 se cruza directamente con los Reglamentos R155 (sistema de gestión de la ciberseguridad de los vehículos) y R156 (gestión de las actualizaciones de software) de la CEPE. El R155 exige a los OEM gestionar los ciberriesgos a lo largo del ciclo de vida del vehículo, incluidos sus componentes de IA; el R156 rige las actualizaciones de software por aire (OTA). La Ley de IA de la UE añade el requisito de documentar las medidas de ciberseguridad en el expediente técnico como parte del cumplimiento del sistema de IA. No son duplicativos: el R155 se centra en el sistema de gestión de la ciberseguridad a nivel del vehículo; el Artículo 15 se centra en las propiedades del propio sistema de IA.
Vigilancia poscomercialización — Artículo 72
Los proveedores deben establecer y mantener un sistema de vigilancia poscomercialización que recopile y analice activamente los datos operativos para detectar la degradación del rendimiento, los problemas de seguridad y los nuevos riesgos no anticipados en el momento de la evaluación inicial. Para la IA de los vehículos, esto alimenta directamente las obligaciones de vigilancia del mercado con arreglo al Reglamento (UE) 2018/858: las autoridades de homologación de tipo realizan la vigilancia del mercado sobre los vehículos en servicio, y los problemas graves de seguridad relacionados con la IA entrarán en ese perímetro de vigilancia.
La interacción es deliberada: la vigilancia poscomercialización del Artículo 72 por parte del proveedor alimenta datos que pueden desencadenar medidas correctoras o, en casos graves, obligaciones de notificación del Artículo 73. El marco de homologación de tipo tiene sus propios mecanismos de retirada y subsanación; las obligaciones de la Ley de IA se superponen, y el plan de vigilancia del Artículo 72 forma parte del expediente técnico revisado en la homologación de tipo.
Notificación de incidentes graves — Artículo 73
Los proveedores deben notificar los incidentes graves — definidos en el Artículo 3, apartado 49 — a la autoridad de vigilancia del mercado del Estado miembro donde se produjo el incidente. Los plazos del Artículo 73 son: a más tardar 15 días desde que se tenga conocimiento del incidente (estándar); 2 días cuando el incidente implique una infracción generalizada o una perturbación grave e irreversible de las infraestructuras críticas; 10 días cuando una persona haya fallecido. Estos plazos son independientes de las obligaciones de retirada del vehículo y de notificación de incidentes con arreglo al Reglamento (UE) 2018/858, aunque en la práctica un OEM tendrá que gestionar ambos flujos de notificación de forma conjunta.
La evaluación de la conformidad: integración, no duplicación
El Artículo 43, apartado 3, de la Ley de IA de la UE establece directamente que, para los sistemas de IA de alto riesgo cubiertos por la legislación de armonización del Anexo I, el proveedor debe seguir el procedimiento de evaluación de la conformidad exigido por esa legislación. Los requisitos del Capítulo III de la Ley de IA (Artículos 9 a 15) se aplican y forman parte de esa evaluación. Un organismo notificado al amparo de la legislación de productos pertinente tiene derecho a evaluar el cumplimiento de los requisitos de la Ley de IA como parte del mismo procedimiento, siempre que cumpla los requisitos de la Ley de IA para los organismos notificados.
Para los vehículos de motor, esto significa que el proceso de homologación de tipo con arreglo al Reglamento (UE) 2018/858 es la evaluación de la conformidad a efectos de la Ley de IA. El fabricante del vehículo no realiza una evaluación de la conformidad de la Ley de IA aparte; demuestra el cumplimiento de los Artículos 9 a 15 a través de la documentación técnica que presenta a la autoridad de homologación, que luego evalúa el servicio técnico.
Hay un matiz: el Reglamento (UE) 2018/858 y el Reglamento (UE) 2019/2144 se sitúan en la Sección B del Anexo I — la sección de «otra legislación de armonización», a diferencia de la legislación del Nuevo Marco Legislativo de la Sección A. El Artículo 43, apartado 3, se refiere a la Sección A. Eso significa que el requisito de evaluación de la conformidad obligatoria por terceros debe encontrarse directamente en el reglamento aplicable. El Reglamento (UE) 2019/2144 sí exige la homologación de tipo por terceros para los sistemas que rige — lo que satisface la segunda condición del Artículo 6, apartado 1. El enfoque de evaluación integrada del Artículo 43, apartado 3, se aplica por la misma lógica: los requisitos de la Ley de IA discurren a través de la puerta de la homologación de tipo.
La conclusión: los proveedores de IA de los vehículos no registran sus sistemas en la base de datos de la UE para sistemas de IA de alto riesgo con arreglo al Artículo 49 (esa obligación de registro se aplica a los sistemas del Anexo III, no a los sistemas del Artículo 6, apartado 1). Sí necesitan elaborar una declaración UE de conformidad con arreglo al Artículo 47 que cubra los requisitos de la Ley de IA, como parte del paquete de homologación de tipo.
Obligaciones del responsable del despliegue
Los operadores de flotas, los proveedores de servicios de vehículos autónomos y otros que despliegan IA de seguridad de los vehículos en un contexto profesional soportan obligaciones del responsable del despliegue con arreglo al Artículo 26. Deberes clave:
- Operar el sistema únicamente dentro de su uso previsto y de su envolvente de rendimiento documentada. Utilizar un sistema ADAS fuera de su dominio operativo de diseño definido — por ejemplo, en condiciones no cubiertas por sus datos de validación — es un fallo de cumplimiento.
- Implementar las medidas de supervisión humana descritas por el proveedor. Si las instrucciones del sistema exigen que los conductores permanezcan atentos y en condiciones de reanudar el control, el responsable del despliegue debe formar a los conductores y hacer cumplir ese requisito.
- Vigilar el rendimiento del sistema en uso, compararlo con las referencias documentadas por el proveedor y señalar al proveedor los riesgos o fallos de funcionamiento con arreglo al Artículo 26.
- Conservar los registros durante al menos seis meses con arreglo al Artículo 26.
Las obligaciones del Artículo 73 del responsable del despliegue son más estrechas que las del proveedor: los responsables del despliegue señalan los incidentes graves al proveedor (y, cuando sea necesario, a la autoridad competente), pero el deber principal de notificación a las autoridades recae en el proveedor. Un OEM que opera su propia flota de vehículos — una configuración habitual en los servicios de robotaxi — es proveedor y responsable del despliegue simultáneamente.
El mapa de solapamiento regulatorio
La IA de seguridad de los vehículos se sitúa en la intersección de cuatro regímenes regulatorios. Ninguno de ellos sustituye a los demás; se superponen.
| Requisito | Instrumento principal | Se aplica a |
|---|---|---|
| Gestión de riesgos de la IA, documentación técnica, supervisión | Ley de IA de la UE, Arts. 9 a 15 | Proveedor del sistema de IA |
| Homologación de tipo del vehículo, vigilancia del mercado | Reglamento (UE) 2018/858 | OEM / fabricante del vehículo |
| Mandatos de sistemas de seguridad (AEB, LKA, ISA, etc.) | Reglamento (UE) 2019/2144 | OEM |
| Gestión de la ciberseguridad | R155 de la CEPE | OEM + cadena de suministro |
| Gestión de las actualizaciones de software | R156 de la CEPE | OEM |
Los requisitos específicos de la IA de la Ley de IA de la UE se evalúan a través de la puerta de la homologación de tipo. El cumplimiento de los R155 y R156 de la CEPE es una prueba pertinente para las afirmaciones de ciberseguridad y de actualización de software del Artículo 15 — pero la Ley de IA le pide que documente las propiedades del sistema de IA específicamente, no que se limite a certificar un sistema de gestión.
Qué hace Confir aquí
El reto de cumplimiento para la IA de seguridad de los vehículos es principalmente un problema de documentación y estructuración. Las obligaciones jurídicas son claras; la dificultad es montar el expediente técnico del Anexo IV de una forma que sea internamente coherente, cubra las nueve áreas de documentación y sea defendible ante un servicio técnico de homologación de tipo que puede estar evaluando el cumplimiento de la IA por primera vez.
El motor de clasificación de Confir — determinista y basado en reglas, no generado por IA — confirma la vía del Artículo 6, apartado 1, y delimita el conjunto de obligaciones: los Artículos 9, 10, 11/Anexo IV, 13, 14, 15, 18, 47, 72 y 73 se aplican todos; la evaluación de la conformidad autónoma del Anexo VI/VII del Artículo 43 no. A partir de ahí, Confir estructura el paquete de documentación técnica — las nueve áreas del Anexo IV, la declaración de conformidad del Artículo 47 y el esquema del plan de vigilancia poscomercialización del Artículo 72 — en un expediente listo para imprimir que un equipo jurídico o de ingeniería puede rellenar con contenido específico del sistema.
Sin consultores. Sin una implementación de seis meses.
Sanciones
El incumplimiento de los requisitos de alto riesgo — incluidos los Artículos 9 a 15 y las obligaciones del proveedor del Artículo 16 — conlleva una multa máxima de 15 millones de euros o el 3 % del volumen de negocios anual mundial, si esta última cifra es mayor (Artículo 99, apartado 4). Para las empresas emergentes y las empresas por debajo de los umbrales de las pymes, el Artículo 99, apartado 6, limita la multa al menor del porcentaje o el importe fijo.
Las acciones de vigilancia del mercado con arreglo al Reglamento (UE) 2018/858 pueden discurrir en paralelo — incluidas la retirada de la homologación de tipo, la suspensión del acceso al mercado y la retirada obligatoria — cuando un vehículo o componente no cumple su especificación homologada.
Preguntas frecuentes
¿La IA de los vehículos autónomos se clasifica con arreglo al Anexo III de la Ley de IA de la UE?
No. La IA que funciona como componente de seguridad de un vehículo de motor que requiere homologación de tipo de la UE es de alto riesgo con arreglo al Artículo 6, apartado 1, combinado con el Anexo I de la Ley de IA de la UE — no con arreglo al Anexo III. El punto 2 del Anexo III (infraestructuras críticas) puede aplicarse a la IA utilizada por autoridades públicas para la gestión del tráfico, pero esa es una categoría de sistema aparte.
¿Cuál es el plazo de cumplimiento para la IA de seguridad de los vehículos?
2 de agosto de 2028. En virtud del Ómnibus Digital (acuerdo político, mayo de 2026), la IA de alto riesgo integrada en productos cubiertos por la legislación de armonización de la UE (Anexo I) debe cumplir desde el 2 de agosto de 2028 — no la fecha del 2 de diciembre de 2027 que se aplica a los sistemas autónomos del Anexo III.
¿Exige la Ley de IA una evaluación de la conformidad aparte para la IA de seguridad de los vehículos?
No. Con arreglo al Artículo 43, apartado 3, los requisitos de la Ley de IA se integran en la evaluación de la conformidad de la homologación de tipo existente. No hay un procedimiento autónomo de control interno del Anexo VI ni de organismo notificado del Anexo VII por encima de la homologación de tipo. El cumplimiento de los Artículos 9 a 15 se demuestra a través de la documentación técnica presentada a la autoridad de homologación de tipo.
¿Necesitan los proveedores de IA de los vehículos registrarse en la base de datos de la UE?
La obligación de registro del Artículo 49 en la base de datos de la UE se aplica a los sistemas de alto riesgo del Anexo III. Los sistemas de la vía del producto del Anexo I no están sujetos al mismo requisito de registro. Los proveedores deben igualmente elaborar la declaración de conformidad del Artículo 47 como parte de la homologación de tipo.
¿Cómo se relaciona la ciberseguridad del R155 de la CEPE con el Artículo 15 de la Ley de IA de la UE?
Se solapan, pero no son idénticos. El R155 exige a los OEM tener un sistema de gestión de la ciberseguridad (CSMS) certificado que cubra la cadena de suministro y el ciclo de vida del vehículo. El Artículo 15 de la Ley de IA de la UE exige que el propio sistema de IA alcance una ciberseguridad adecuada — que cubra medidas contra el envenenamiento del modelo, las entradas adversarias y el acceso no autorizado. El cumplimiento del R155 es una prueba de apoyo sólida para el Artículo 15, pero las propiedades de ciberseguridad específicas del sistema de IA deben igualmente documentarse en el expediente técnico del Anexo IV.
¿Qué ocurre si un proveedor de nivel 1 desarrolla el sistema de IA y el OEM lo integra?
El proveedor de nivel 1 es el proveedor del sistema de IA si introduce el sistema en el mercado con su propio nombre. El OEM es un responsable del despliegue de ese sistema (además de ser el fabricante del vehículo sujeto a las obligaciones de homologación de tipo). Si el OEM modifica sustancialmente el sistema de IA o cambia su finalidad prevista durante la integración, el Artículo 25 puede convertir al OEM en el proveedor de ese sistema modificado — una cuestión que debe abordarse en el contrato de suministro.
Guías relacionadas
- guía de cumplimiento para empresas
- criterios de clasificación de alto riesgo del Artículo 6
- obligaciones de gestión de riesgos del Artículo 9
- marco de clasificación de riesgo
- requisitos de la metodología de evaluación de riesgos
- marco de evaluación de sistemas de IA de alto riesgo
- casos de uso de alto riesgo del Anexo III
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 7 días.
Empieza la prueba gratuita →