Evaluación de la conformidad de la Ley de IA: los pasos para ejecutarla
Ejecuta la evaluación de la conformidad del sistema de alto riesgo por la vía de control interno del anexo VI (art. 43): seis pasos, responsables y checklist.
Explotas un sistema de IA de alto riesgo, has confirmado que te corresponde a ti certificarlo y la vía del organismo notificado del anexo VII no se te aplica. Entonces tu evaluación de la conformidad son seis pasos, ejecutados en orden y por ti —el proveedor— bajo el procedimiento de control interno del anexo VI del artículo 43. Ningún auditor externo firma nada. Pones en marcha el sistema de gestión de la calidad, construyes el expediente técnico, lo verificas frente a los requisitos de alto riesgo, compruebas que el expediente coincide con lo que construiste, redactas la declaración y, por último, marcas y registras el sistema. Esta página recorre esos seis pasos para un sistema independiente del anexo III.
Antes de empezar: confirma que el sistema es de alto riesgo y que la vía es la tuya
La evaluación de la conformidad solo se exige para los sistemas de alto riesgo. Confirma primero la clasificación, porque todo el procedimiento que sigue es esfuerzo perdido si el sistema no queda dentro del alcance.
El alto riesgo surge por una de dos vías (artículo 6)
Un sistema es de alto riesgo bien porque es un componente de seguridad de un producto regulado del anexo I, o el producto mismo (artículo 6(1) — la vía de producto), bien porque es un sistema independiente en uno de los casos de uso del anexo III (artículo 6(2)). La mayoría de la IA empresarial general no es ni una cosa ni la otra: bots de soporte, herramientas de productividad, generación de contenido, modelos de descubrimiento de fármacos y automatización administrativa no son de alto riesgo. Ahí las obligaciones realistas son la alfabetización en IA del artículo 4, la transparencia del artículo 50 cuando el resultado llega a terceros y una gobernanza de datos ordinaria; no una evaluación de la conformidad. No ejecutes este procedimiento sobre un sistema que no lo necesita.
Esta página recorre la vía por defecto del sistema independiente del anexo III
El artículo 43(1) fija el régimen por defecto para los sistemas independientes del anexo III: la vía de control interno del anexo VI, ejecutada por el proveedor sin organismo notificado. Esa es la vía que se ejecuta a continuación. Dos excepciones que conviene señalar de entrada.
Primera: ciertos sistemas biométricos del anexo III, punto 1 deben usar la vía del organismo notificado del anexo VII según el artículo 43(1), salvo que el proveedor haya aplicado las normas armonizadas en su totalidad (o que esas normas no existan o cubran los requisitos solo en parte). Si estás en la senda biométrica, este checklist no es el tuyo: consulta la sección final.
Segunda: para la vía de producto del anexo I, el artículo 43(3) canaliza la evaluación a través del acto sectorial correspondiente en lugar de ejecutarla como procedimiento independiente de la Ley de IA. Y la salvedad del artículo 2(2) implica que los productos de la sección B del anexo I (vehículos de motor, aviación, ferrocarril, marítimo) toman directamente solo el artículo 6(1), el artículo 60 bis y los artículos 102 a 112. Esta página asume un sistema independiente del anexo III, que toma directamente el conjunto completo de obligaciones del capítulo III.
Confirma tu rol primero
Las obligaciones del proveedor siguen al proveedor. Pero un responsable del despliegue, un distribuidor o un importador se convierte en proveedor según el artículo 25 —y hereda cada paso de abajo— si pone su nombre o marca en un sistema de alto riesgo, hace una modificación sustancial o cambia la finalidad prevista de modo que el sistema pase a ser de alto riesgo. Decide quién es el proveedor antes de que nadie monte un expediente.
Paso 1 — Pon en marcha el sistema de gestión de la calidad (artículo 17)
El sistema de gestión de la calidad es la base que la evaluación comprueba, así que va primero, no al final. El artículo 17 exige un sistema documentado que cubra la estrategia de cumplimiento normativo, los controles de diseño y desarrollo, la gestión de datos, el sistema de gestión de riesgos del artículo 9, la vigilancia poscomercialización, la notificación de incidentes del artículo 73 y el mantenimiento de registros.
Entregable: políticas y procedimientos del SGC por escrito, cada uno con un responsable nombrado. El artículo 17(2) permite que el sistema sea proporcionado al tamaño de la organización, de modo que una empresa de 180 personas no necesita el aparato de una multinacional.
La secuencia compensa después. El SGC produce y mantiene la mayor parte de la evidencia del anexo IV, así que construirlo primero convierte el expediente técnico en un subproducto, no en una carrera contrarreloj. La misma obligación se aplica a los importadores y a otros que se conviertan en proveedores según el artículo 25.
Paso 2 — Construye la documentación técnica del anexo IV (artículo 11)
El artículo 11 exige que la documentación técnica se redacte antes de que el sistema se introduzca en el mercado y se mantenga actualizada. El anexo IV enumera el contenido en nueve áreas: descripción del sistema y finalidad prevista, especificaciones de diseño, proceso de desarrollo, datos y gobernanza de datos, entrenamiento y pruebas, métricas de rendimiento, sistema de gestión de riesgos y plan poscomercialización.
Entregable: un único expediente técnico montado sobre la estructura de nueve áreas del anexo IV.
Este paso es montaje, no evaluación. El expediente reúne la evidencia; el paso 3 es donde compruebas si demuestra el cumplimiento. Mantén el control de versiones: el artículo 11 exige que el expediente siga vigente, así que es un documento vivo atado al SGC.
Paso 3 — Verifica el expediente frente a los requisitos del capítulo III, sección 2 (artículos 9-15)
Este es el núcleo sustantivo del control interno del anexo VI. Compruebas que el sistema cumple realmente cada requisito de alto riesgo del capítulo III, sección 2:
- Artículo 9 — sistema de gestión de riesgos
- Artículo 10 — datos y gobernanza de datos
- Artículo 11 — documentación técnica
- Artículo 12 — registro y conservación de logs
- Artículo 13 — transparencia e información a los responsables del despliegue
- Artículo 14 — supervisión humana
- Artículo 15 — precisión, solidez y ciberseguridad
El control interno del anexo VI significa que el propio proveedor verifica que el SGC se ajusta al artículo 17 y que la documentación técnica demuestra el cumplimiento de estos siete requisitos. No hay evaluador externo en esta vía: la verificación te corresponde a ti y la respaldas tú.
Cuando el sistema aplica normas armonizadas o especificaciones comunes, documenta la conformidad con ellas; esa documentación es la evidencia de que se cumplen los requisitos de la sección 2. Entregable: una verificación documentada requisito por requisito que asocie cada obligación de los artículos 9-15 a la evidencia del expediente técnico, con cada brecha registrada y cerrada antes de continuar.
Paso 4 — Comprueba la coherencia entre diseño-desarrollo y poscomercialización
El anexo VI exige que el proveedor verifique que el diseño y el desarrollo del sistema, y su vigilancia poscomercialización del artículo 72, son coherentes con la documentación técnica. El expediente debe describir el sistema real, no uno idealizado.
Confirma dos cosas. Que el plan de vigilancia poscomercialización del artículo 72 existe y está referenciado en la documentación técnica. Y que la vía de notificación de incidentes graves del artículo 73 está integrada en el SGC, de modo que la notificación sea un proceso vivo y no un párrafo que nadie posee.
Entregable: una comprobación interna de coherencia firmada que confirme que lo que se construyó, lo que está documentado y lo que se vigilará coinciden. Esto cierra el bucle antes de redactar la declaración. Firmar una declaración sobre un expediente incoherente es el error evitable más habitual de esta vía.
Paso 5 — Redacta la declaración UE de conformidad (artículo 47)
Una vez que la verificación y la comprobación de coherencia se superan, el proveedor redacta una declaración UE de conformidad por escrito según el artículo 47, que contiene la información establecida en el anexo V, y la conserva durante diez años tras la introducción del sistema en el mercado o su puesta en servicio.
La declaración es la afirmación legal propia del proveedor de que el sistema cumple los requisitos del capítulo III, sección 2. Nombra al proveedor, identifica el sistema y referencia los requisitos y las normas aplicadas. Entregable: una declaración del artículo 47 fechada y firmada, con el contenido del anexo V.
Lee el artículo 47(4) antes de firmar: al redactar la declaración, el proveedor asume la responsabilidad del cumplimiento. No es un trámite de presentación: es el documento al que te exigirá rendir cuentas una autoridad de vigilancia del mercado.
Paso 6 — Coloca el marcado CE (artículo 48) y registra en la base de datos de la UE (artículos 49 y 71)
Coloca el marcado CE según el artículo 48 para acreditar que el sistema de alto riesgo es conforme. En los sistemas exclusivamente digitales, el marcado puede colocarse de forma digital cuando sea fácilmente accesible.
Registra el sistema en la base de datos de la UE antes de introducirlo en el mercado o ponerlo en servicio. El artículo 49 fija la obligación de registro del proveedor, y el artículo 71 rige la base de datos de los sistemas de alto riesgo enumerados en el anexo III. Entregable: marcado CE colocado y una inscripción de registro completa en la base de datos de la UE, con los datos del registro mantenidos al día.
El orden importa. El marcado CE y el registro llegan solo después de firmar la declaración; son los puntos finales de cara al público de una evaluación por lo demás interna. Marcar un sistema antes de que exista la declaración invierte el procedimiento.
Cuándo se aplica en su lugar la vía del organismo notificado del anexo VII
La vía de autoevaluación del anexo VI es la opción por defecto para los sistemas independientes del anexo III, pero no todo sistema de alto riesgo la obtiene.
El artículo 43(1) exige la vía del organismo notificado del anexo VII para ciertos sistemas biométricos del anexo III, punto 1 en los que el proveedor no ha aplicado las normas armonizadas en su totalidad —o cuando tales normas no existen o cubren los requisitos solo en parte. El anexo VII añade la evaluación externa del SGC y de la documentación técnica por un organismo notificado: un proceso distinto y más largo que este checklist no cubre.
Por separado, el artículo 43(4) reinicia la evaluación. Un sistema de alto riesgo que se modifica sustancialmente debe someterse a una nueva evaluación de la conformidad, con independencia de la vía utilizada originalmente. Ten claro cuál es tu vía antes de empezar: ejecutar el anexo VI cuando el anexo VII es obligatorio deja el sistema no conforme pese a un paquete interno completo.
Ejemplo resuelto: una empresa de software de RR. HH. de 180 personas
Meridian People Systems es una empresa de 180 personas que provee un sistema de IA independiente que criba candidatos a un puesto y los clasifica para los reclutadores. Ese caso de uso es de alto riesgo según el anexo III, punto 4(a) (empleo y gestión de los trabajadores), de modo que es un sistema independiente del anexo III que toma directamente el conjunto completo de obligaciones del capítulo III —no un producto del anexo I. Confirma la clasificación de alto riesgo, confirma que no está en la senda biométrica del anexo III, punto 1, por lo que no se requiere organismo notificado, y ejecuta la vía del anexo VI.
Meridian recorre los seis pasos con responsables nombrados y plazos:
- Paso 1 (artículo 17): el responsable de cumplimiento pone en marcha el SGC, escalado al tamaño de Meridian según el artículo 17(2).
- Paso 2 (artículo 11, anexo IV): ingeniería monta el expediente técnico a medida que el SGC genera evidencia.
- Paso 3 (artículos 9-15): cumplimiento e ingeniería registran una verificación requisito por requisito; afloran dos brechas (detalle de logging incompleto bajo el artículo 12 y una descripción endeble de la supervisión humana bajo el artículo 14) y ambas se cierran.
- Paso 4 (anexo VI, artículo 72): el responsable de calidad firma la comprobación de coherencia tras confirmar que el plan poscomercialización coincide con el sistema entregado.
- Paso 5 (artículo 47, anexo V): el directivo responsable redacta y firma la declaración.
- Paso 6 (artículos 48, 49, 71): el responsable regulatorio coloca el marcado CE y completa el registro en la base de datos de la UE.
Como Meridian es una pyme, el artículo 99(6) limita cualquier multa administrativa al menor de los dos importes pertinentes, y el artículo 17(2) le permitió escalar el SGC en lugar de sobredimensionarlo. El resultado realista no es un certificado en la pared: es un paquete interno que una autoridad de vigilancia del mercado puede solicitar y revisar, producido como subproducto del SGC en lugar de como un proyecto puntual.
Los seis pasos de un vistazo: artículo, entregable y responsable
| Paso | Artículo / Anexo | Entregable | Responsable |
|---|---|---|---|
| 1 — Sistema de gestión de la calidad | Artículo 17 | SGC documentado | Responsable de cumplimiento |
| 2 — Documentación técnica | Artículo 11, anexo IV | Expediente técnico montado | Ingeniería |
| 3 — Verificación de requisitos | Artículos 9-15 | Mapeo de verificación, brechas cerradas | Cumplimiento + ingeniería |
| 4 — Comprobación de coherencia | Anexo VI, artículo 72 | Registro de coherencia firmado | Responsable de calidad |
| 5 — Declaración de conformidad | Artículo 47, anexo V | Declaración UE firmada | Directivo responsable |
| 6 — Marcado CE y registro | Artículos 48, 49, 71 | Marcado colocado + inscripción en base de datos | Responsable regulatorio |
Plazos. El texto original decía 2 de agosto de 2026 para los sistemas independientes de alto riesgo del anexo III (artículo 6(2)). El Ómnibus Digital, que aplaza esto al 2 de diciembre de 2027, ya está adoptado: alcanzó acuerdo político el 6-7 de mayo de 2026 (el COREPER confirmó el texto en torno al 13 de mayo de 2026), el pleno del Parlamento Europeo lo votó el 16 de junio de 2026 y el Consejo lo adoptó el 29 de junio de 2026. Se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026, así que el 2 de diciembre de 2027 es ya la fecha asentada.
Sanciones. Las infracciones de las obligaciones de alto riesgo acarrean multas administrativas de hasta 15 000 000 € o el 3 % del volumen de negocios anual total mundial, lo que sea mayor (artículo 99(4)). Facilitar información incorrecta o engañosa a las autoridades acarrea hasta 7 500 000 € o el 1 % (artículo 99(5)). Según el artículo 99(6), las pymes y las empresas emergentes están limitadas al menor entre el porcentaje y el importe fijo, pero una declaración ausente o inválida deja igualmente el sistema no conforme. Esta tabla sirve también como el checklist imprimible en torno al cual se construye el procedimiento.
Cómo ayuda Confir
Ejecutar la vía del anexo VI significa producir los registros del SGC del artículo 17, el expediente técnico del anexo IV, el mapeo de verificación de los artículos 9-15, la comprobación de coherencia y la declaración del artículo 47 —y mantenerlos coherentes. El motor de síntesis de Confir es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, así que clasifica el sistema (lógica del artículo 6 y del anexo III), deriva el rol de proveedor según el artículo 25 y genera el paquete del anexo IV listo para imprimir y la declaración del anexo V a partir de tus respuestas de admisión. Mismas entradas, misma salida, siempre; la regla que se activó es legible para humanos en el registro de auditoría, que es exactamente lo que pide una solicitud de vigilancia del mercado.
Guías relacionadas
- las dos vías del artículo 43
- qué es la evaluación de la conformidad
- el checklist de requisitos del anexo IV
- plantilla de documentación técnica del anexo IV
- la declaración de conformidad del artículo 47
- redactar la declaración UE de conformidad
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →