Evaluación de la conformidad: el artículo 43 de la Ley de IA de la UE
Evaluación de la conformidad (art. 43): control interno (anexo VI) frente a organismo notificado (anexo VII), antes del marcado CE. Solo alto riesgo.
La evaluación de la conformidad es el procedimiento mediante el cual el proveedor de un sistema de IA de alto riesgo demuestra, antes de introducirlo en el mercado, que cumple los requisitos de la Ley de IA de la UE. En términos llanos: es la forma en que la Ley te obliga a probar que tu sistema cumple las reglas antes de poder venderlo o ponerlo en servicio. El procedimiento vive en el Artículo 43 del Reglamento (UE) 2024/1689, y solo se aplica a los sistemas de alto riesgo —ni los prohibidos ni los de riesgo limitado o mínimo pasan por él—.
Es un deber del proveedor (Artículo 16), no del responsable del despliegue. Y conviene fijar un límite desde el principio: ni la ISO/IEC 42001 ni el marco NIST AI RMF equivalen a la evaluación de la conformidad del Artículo 43. Ayudan a prepararla, pero no la sustituyen ni bastan por sí solos para acreditar el cumplimiento legal.
Las dos vías del artículo 43
El Artículo 43 fija dos procedimientos posibles, y cuál corresponde depende del tipo de sistema de alto riesgo.
Control interno (Anexo VI). Es la autoevaluación: el proveedor verifica por sí mismo que el sistema cumple, comprueba que su sistema de gestión de la calidad y su documentación técnica están en regla, y asume la responsabilidad. No interviene un tercero. Esta es la vía para la mayoría de los sistemas de alto riesgo: todos los de los puntos 2 a 8 del Anexo III —entre otros, empleo, educación, solvencia, servicios esenciales, garantía del cumplimiento del Derecho, migración o justicia—.
Organismo notificado (Anexo VII). Es la evaluación por un tercero independiente y acreditado —un organismo notificado—, que examina tanto el sistema de gestión de la calidad como la documentación técnica antes de emitir un certificado. Esta vía, más exigente, se reserva a los sistemas de biometría del punto 1 del Anexo III, y solo en los supuestos en que el proveedor no haya aplicado normas armonizadas (o estas no existan o no las haya seguido). Cuando hay normas armonizadas y el proveedor las aplica plenamente, incluso parte de la biometría puede pasar por control interno.
| Vía | Anexo | A qué sistemas aplica |
|---|---|---|
| Control interno | Anexo VI | Puntos 2 a 8 del Anexo III (mayoría) |
| Organismo notificado | Anexo VII | Biometría del punto 1, sin normas armonizadas aplicadas |
La regla mental: la inmensa mayoría de los sistemas de alto riesgo se autoevalúan por control interno; el organismo notificado es la excepción para la biometría de identificación, precisamente porque es el ámbito más sensible.
Qué viene después: marcado CE y declaración
La evaluación de la conformidad no es el final del camino, sino su penúltimo paso. Una vez superada, el proveedor:
- Redacta la declaración UE de conformidad (Artículo 47), un documento en el que afirma, bajo su responsabilidad, que el sistema cumple. Su contenido está fijado en el Anexo V.
- Coloca el marcado CE (Artículo 48), la marca visible de que el sistema ha pasado el procedimiento y puede circular en el mercado de la Unión.
- Registra el sistema en la base de datos de la UE (Artículo 49) antes de introducirlo en el mercado.
El orden importa: primero la evaluación de la conformidad (Artículo 43), después la declaración (Artículo 47) y el marcado CE (Artículo 48). El marcado CE sin una evaluación de la conformidad válida detrás es una marca sin respaldo.
La reevaluación tras una modificación sustancial
La conformidad no se acredita una sola vez para siempre. Si el sistema de alto riesgo sufre una modificación sustancial —un cambio que afecta a su cumplimiento de los requisitos o que altera su finalidad prevista—, debe someterse a una nueva evaluación de la conformidad. El concepto de modificación sustancial se define en el Artículo 3, punto 23. Esto tiene una consecuencia que sorprende a muchos proveedores: actualizar un modelo de forma que cambie su comportamiento frente a los requisitos puede reabrir el procedimiento, no basta con la evaluación inicial.
Un ejemplo concreto
Tomemos Fintech Duero S.L., una empresa española de unos 70 empleados y unos 18 millones de euros de facturación que ha desarrollado, bajo su propia marca, un sistema de IA que puntúa la solvencia de solicitantes de microcréditos. Eso entra en el Anexo III, punto 5, letra b (evaluación de la solvencia), y es de alto riesgo. Como lo introduce en el mercado bajo su nombre, Fintech Duero es proveedor (Artículo 16).
¿Qué vía le corresponde? La puntuación de solvencia es el punto 5 del Anexo III, dentro del rango de los puntos 2 a 8 —de modo que la vía es el control interno del Anexo VI: Fintech Duero autoevalúa el cumplimiento, sin necesidad de un organismo notificado—. El procedimiento concreto: completar la documentación técnica del Artículo 11 / Anexo IV, verificar su sistema de gestión de la calidad, evaluar la conformidad con arreglo al Anexo VI, redactar la declaración del Artículo 47 (contenido del Anexo V), colocar el marcado CE del Artículo 48 y registrar el sistema bajo el Artículo 49 —todo antes de su lanzamiento, con plazo el 2 de diciembre de 2027 (aplazamiento ya adoptado; pendiente solo de su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026)—. Si más adelante reentrenara el modelo de un modo que altere su comportamiento de puntuación, tendría que reevaluar. La ISO/IEC 42001 que ya implementa le facilita la documentación, pero no sustituye a este procedimiento.
Cómo ayuda Confir
Saber qué vía del Artículo 43 corresponde empieza por clasificar bien el sistema y la función. El motor basado en reglas de Confir registra cada sistema de IA, lo clasifica con arreglo a los Artículos 5 y 6 según la lógica del Anexo III, deriva la función (proveedor o responsable del despliegue) e indica si la vía es el control interno (Anexo VI) o el organismo notificado (Anexo VII). Genera además el paquete de documentación técnica del Artículo 11 / Anexo IV y la declaración de conformidad del Artículo 47 / Anexo V. La lógica es determinista: la misma descripción del sistema produce la misma vía y la misma documentación, de forma reproducible y auditable.
Términos relacionados
- Artículo 43: evaluación de la conformidad: el texto y las dos vías
- Evaluación de la conformidad: guía operativa: cómo recorrer el procedimiento
- Procedimiento de evaluación de la conformidad: visión de conjunto del proceso
- Organismo de evaluación de la conformidad: qué es un organismo notificado
- Organismo notificado: el tercero acreditado del Anexo VII
- Marcado CE: la marca que sigue a la evaluación
- Declaración de conformidad: el documento del Artículo 47 / Anexo V
- Sistema de IA de alto riesgo: la categoría que requiere este procedimiento
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →