Artículo 40 del Reglamento de IA: normas armonizadas y la presunción de conformidad
El artículo 40 del RIA presume conforme un sistema de alto riesgo que cumple normas armonizadas. Cómo funciona y por qué aún no es utilizable.
Aún no puedes usarlo. Esa es la realidad cruda del artículo 40 del Reglamento (UE) 2024/1689 a mediados de 2026: el mecanismo jurídico existe, pero las normas técnicas de las que depende no se han publicado, así que ningún proveedor de IA de alto riesgo puede ahora mismo apoyarse en él. El artículo 40 es la presunción de conformidad — la regla por la que un sistema de IA de alto riesgo que cumple normas armonizadas se presume que satisface los requisitos correspondientes. Esta guía explica cómo se ata esa presunción, por qué las normas siguen en desarrollo y cómo planificar un expediente técnico en torno a normas que aún no existen.
Este es el mecanismo jurídico, no el procedimiento ni la definición. El artículo 43 es el procedimiento de evaluación de la conformidad que usa la presunción; la entrada del glosario norma armonizada (definición) es el término. Este artículo trata de la propia presunción.
Qué hace realmente el artículo 40
El artículo 40(1) establece que un sistema de IA de alto riesgo que cumple normas armonizadas — o partes pertinentes de ellas — cuyas referencias se han publicado en el Diario Oficial de la Unión Europea se presume conforme con los requisitos correspondientes del capítulo III, sección 2 (artículos 9 a 15), en la medida en que esas normas los cubran.
Esa presunción es el espinazo práctico de la demostración del cumplimiento. El capítulo III, sección 2, establece obligaciones abiertas: tu sistema de gestión de riesgos debe ser "adecuado", tu gobernanza de datos "pertinente" y "representativa", tu ciberseguridad "adecuada". Sin un punto de referencia, la adecuación es un juicio que debes defender desde primeros principios. Una norma armonizada publicada convierte "cumplir los requisitos" en "cumplir una especificación técnica conocida y prevalidada" — algo mucho más fácil de evidenciar y mucho más difícil de rechazar por un regulador.
El artículo 40(1) también extiende la presunción a los modelos de IA de uso general (GPAI) que cumplan normas armonizadas que cubran las obligaciones pertinentes del capítulo V. La normalización de GPAI está en una fase aún más temprana que el trabajo de alto riesgo, así que trátalo como un elemento de hoja de ruta, no como una vía utilizable hoy. Confir no comercializa el cumplimiento de proveedor de GPAI como completo; está en la hoja de ruta.
Qué es una norma armonizada — y cómo llega a existir
Una norma armonizada es una norma europea (EN) desarrollada por CEN, CENELEC o ETSI a petición de la Comisión Europea. El Reglamento de IA se apoya en la definición del Reglamento (UE) n.º 1025/2012 — el Reglamento de Normalización —, que es la fuente del término en toda la legislación de armonización de la UE.
El proceso discurre en cuatro pasos:
- La Comisión emite una petición de normalización (un mandato) a las organizaciones europeas de normalización.
- CEN, CENELEC o ETSI desarrollan la norma mediante un proceso multilateral — industria, mundo académico, sociedad civil, organismos nacionales.
- La Comisión evalúa la norma resultante frente a la petición.
- Si queda satisfecha, la Comisión publica la referencia en el Diario Oficial. Solo en ese momento la norma adquiere efecto jurídico para la presunción.
Para el Reglamento de IA, CEN y CENELEC están desarrollando las normas bajo la petición de normalización M/606, emitida para apoyar los requisitos de alto riesgo. El mecanismo de petición es la estructura a vigilar; no hay fecha confirmada de publicación de las referencias, y una norma en borrador en circulación es, a lo sumo, una orientación técnica útil.
El punto crítico: la mera existencia de una norma no crea la presunción. La publicación de la referencia en el Diario Oficial es el activador. Hasta que eso ocurra, cumplir un borrador no te compra nada en términos jurídicos.
Cómo funciona la presunción de conformidad en la práctica
Cumplir una norma armonizada publicada significa que los requisitos que esa norma aborda se presumen satisfechos. No tienes que volver a probar de forma independiente cada requisito del capítulo III, sección 2 que la norma cubre — la norma hace ese trabajo por ti.
Importan tres mecánicas:
- "O partes de ellas". El artículo 40 te permite aplicar solo las secciones pertinentes de una norma y reclamar la presunción únicamente para los requisitos que esas secciones cubren. Los requisitos no cubiertos siguen necesitando evidencia separada en tu expediente técnico del artículo 11 / anexo IV.
- El alcance es requisito por requisito. Una norma que cubre la gobernanza de datos (artículo 10) y la transparencia hacia los responsables del despliegue (artículo 13) no extiende la presunción a la ciberseguridad (artículo 15) si la norma calla sobre ella. No hay un aprobado en bloque para todo el sistema.
- La presunción es rebatible. Es un punto de partida jurídico, no un absoluto. Una autoridad de vigilancia del mercado que halle una no conformidad real puede impugnarla — pero la carga de demostrar un incumplimiento recae en la autoridad, no en ti. Ese desplazamiento de la carga es el valor comercial de la presunción.
Voluntaria en la ley, la vía por defecto en la práctica
Las normas armonizadas son voluntarias. Ningún proveedor está obligado a aplicarlas. Puedes demostrar la conformidad por cualquier medio técnicamente adecuado.
En la práctica, sin embargo, la presunción las convierte en la vía más barata y más defendible jurídicamente. Un marco de evidencia fundamentado en una EN publicada es mucho más difícil de rechazar por un regulador o un organismo notificado que una metodología propietaria a medida que tú inventaste y ahora tienes que justificar línea por línea.
La interacción con el artículo 43 afina esto para los sistemas biométricos. Para la biometría del anexo III, punto 1, aplicar plenamente normas armonizadas que cubran todos los requisitos del capítulo III, sección 2, abre una elección entre la vía de control interno del anexo VI y la vía de organismo notificado del anexo VII. Sin esas normas, el anexo VII es obligatorio. El detalle de la vía pertenece a la guía de las vías de evaluación de la conformidad del artículo 43; el punto aquí es simplemente por qué un proveedor querría las normas: amplían tus opciones y reducen el coste de tu evaluación.
Artículo 40 frente al artículo 41: normas armonizadas frente a especificaciones comunes
Dos instrumentos pueden generar una presunción de conformidad. El artículo 41 permite a la Comisión adoptar especificaciones comunes por acto de ejecución cuando no existen normas armonizadas, son insuficientes, o hay preocupaciones urgentes de seguridad o de derechos fundamentales. Una especificación común es un sustituto legislativo de una norma armonizada ausente o inadecuada, y lleva su propia presunción.
| Dimensión | Artículo 40 — norma armonizada | Artículo 41 — especificación común |
|---|---|---|
| Base jurídica | Artículo 40, Reglamento (UE) 2024/1689 | Artículo 41, Reglamento (UE) 2024/1689 |
| Quién la redacta | CEN / CENELEC / ETSI, multilateral | Comisión Europea, por acto de ejecución |
| Activador del efecto jurídico | Referencia publicada en el Diario Oficial | El acto de ejecución entra en vigor |
| Cuándo se usa | La vía por defecto | Tapa-huecos cuando faltan normas o son inadecuadas |
| Influencia del proveedor | Alta — puedes dar forma a la norma en el proceso | Baja — la Comisión la redacta |
Una vez que se publica una norma armonizada para los mismos requisitos, sustituye a la especificación común para los proveedores que la aplican. La conclusión operativa: si quieres dar forma a lo que significa "conformidad" en términos técnicos, tienes mucha más influencia dentro del proceso de CEN y CENELEC que sobre una especificación común redactada por la Comisión y entregada terminada.
La brecha de 2026: normas todavía en desarrollo
A mediados de 2026, no se ha dado ninguna fecha confirmada para la publicación de las referencias del Diario Oficial de las normas armonizadas del Reglamento de IA bajo M/606. La consecuencia es directa: aún no puedes apoyarte en la presunción del artículo 40.
Eso choca con el calendario. Las obligaciones de alto riesgo para los sistemas autónomos del anexo III fijan el 2 de agosto de 2026 en el texto. Un aplazamiento acordado al 2 de diciembre de 2027 figura en el Ómnibus Digital (acuerdo político del 6-7 de mayo de 2026; COREPER en torno al 13 de mayo), adoptado por el Parlamento Europeo (16 de junio de 2026) y por el Consejo (29 de junio de 2026). Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, así que el 2 de diciembre de 2027 es ya la fecha asentada.
Así que las obligaciones pueden morder antes de que lleguen las normas que se supone que las facilitan. Tienes tres opciones realistas mientras las referencias están pendientes:
- Participa en el proceso abierto del comité de CEN/CENELEC a través de tu organismo nacional de normalización, para que la norma refleje cómo funcionan de hecho sistemas como el tuyo.
- Vigila y aplica las especificaciones comunes del artículo 41 si y cuando la Comisión las publique para tapar la brecha.
- Construye el marco de evidencia del artículo 11 / anexo IV directamente frente a los requisitos, cruzando referencias con normas adyacentes disponibles — ISO/IEC 42001 sistemas de gestión de IA e ISO/IEC 27001 para la seguridad de la información — aceptando que estas no llevan la presunción del artículo 40.
El paquete de documentación técnica debe ensamblarse con independencia de la disponibilidad de las normas. La única cuestión abierta es qué evidencia rellena cada sección hasta que una norma armonizada defina qué significa "adecuado".
Ejemplo práctico: una fintech que planifica en torno a normas pendientes
Clarivault es un proveedor de puntuación de crédito de 90 personas con sede en Dublín, que da servicio a prestamistas en Irlanda, Alemania y España. Su modelo puntúa la solvencia de consumidores, lo que lo sitúa de lleno en el anexo III, punto 5(b) (solvencia y puntuación crediticia) conforme al artículo 6(2) — de alto riesgo, y en la vía de control interno del anexo VI porque el punto 5(b) no es biometría.
Como aún no hay publicada ninguna referencia de norma armonizada, Clarivault no puede reclamar hoy la presunción del artículo 40. Así que construye su evidencia del anexo IV directamente frente a los artículos 9, 10, 13, 14 y 15. Cruza cada control con los controles del sistema de gestión ISO/IEC 42001 que ya ha implementado, documentando con claridad que esa correspondencia apoya su evidencia pero no invoca la presunción.
Clarivault asigna un responsable de vigilancia de normas para monitorizar el avance de M/606 y cualquier especificación común del artículo 41. Estructura el expediente técnico de forma modular, de modo que cuando se publique una referencia, las secciones conformes puedan intercambiarse para reclamar la presunción para los requisitos que esas secciones cubren — sin reconstruir el expediente desde cero.
Su postura de planificación es honesta: trabaja hacia la fecha asentada del 2 de diciembre de 2027 (Ómnibus Digital adoptado; solo falta la publicación en el Diario Oficial), y documenta de forma transparente cada juicio de "conformidad adecuada". A falta de una norma publicada, el razonamiento transparente sobre por qué su evidencia elegida es adecuada es la única posición defendible. Tiempo de antelación realista hasta un expediente completo y listo para el intercambio: de ocho a doce semanas, con el cuello de botella en la evidencia de sesgo y solidez de los artículos 10 y 15.
Qué significa esto para tu hoja de ruta de cumplimiento
Trata las normas armonizadas como la vía de destino, no como una dependencia actual. Diseña el expediente técnico de modo que las normas publicadas puedan adoptarse de forma incremental, sección a sección, a medida que las referencias aparezcan en el Diario Oficial.
Mapea cada requisito del capítulo III, sección 2, con su fuente de evidencia ahora. Señala explícitamente cuáles de esas fuentes son juicios provisionales a la espera de una norma armonizada, de modo que cuando una se publique sepas exactamente qué secciones revisar. La estructura permanece estable; solo cambia la evidencia detrás de las secciones señaladas.
Mantén la vigilancia sobre M/606 y sobre el artículo 41. La primera referencia publicada para cualquier requisito que abordes es el momento en que tu defendibilidad mejora materialmente — es cuando un juicio abierto se convierte en una presunción.
Cómo ayuda Confir
La evaluación de Confir mapea tus áreas de cumplimiento con los artículos concretos — 9, 10, 11, 13, 14 y 15 — que las normas armonizadas acabarán cubriendo, y produce un paquete de documentación técnica del anexo IV más una declaración de conformidad del artículo 47 / anexo V. Como la correspondencia está estructurada por requisito, puedes ver de un vistazo qué secciones descansan sobre una norma publicada y cuáles sobre un juicio documentado. A medida que se publican referencias, la correspondencia se actualiza mientras la estructura subyacente permanece estable, de modo que adoptar una norma no significa reconstruir el expediente.
El motor es determinista y basado en reglas — sin inferencia de modelos, sin alucinaciones. La misma entrada produce siempre la misma correspondencia de requisitos y la misma estructura de documentación, que es lo que hace defendible el resultado cuando una autoridad pregunta cómo se alcanzó una conclusión.
Guías relacionadas
- norma armonizada (definición)
- vías de evaluación de la conformidad del artículo 43
- sistema de gestión de la calidad del artículo 17
- resumen de la evaluación de la conformidad
- ISO/IEC 42001 sistemas de gestión de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →