Sistema de gestión de la calidad: definición según la Ley de IA de la UE
Sistema de gestión de la calidad (SGC), art. 17 Ley de IA UE: las políticas documentadas que un proveedor de IA de alto riesgo debe mantener. 13 elementos.
Conforme al Reglamento (UE) 2024/1689, un sistema de gestión de la calidad (SGC) es el sistema documentado de políticas, procedimientos e instrucciones que un proveedor de un sistema de IA de alto riesgo debe implantar y mantener para asegurar el cumplimiento continuo a lo largo del ciclo de vida del sistema. Es el tejido conector del cumplimiento de alto riesgo: el marco que ata el diseño, la gestión de datos, la gestión de riesgos, la vigilancia, el mantenimiento de registros y la rendición de cuentas en un único conjunto auditable. Esta entrada define el término; las guías enlazadas más abajo cubren cómo construir uno.
La definición de la Ley de IA de la UE
Qué significa el término
La base jurídica es el artículo 17. Un proveedor debe establecer, documentar y mantener un sistema de gestión de la calidad antes de introducir un sistema de alto riesgo en el mercado. La obligación la debe el proveedor conforme al artículo 16 y se vincula a la entidad jurídica responsable: no puede externalizarse hasta desentenderse. El artículo 17(1) exige que el SGC se documente "de manera sistemática y ordenada en forma de políticas, procedimientos e instrucciones por escrito"; la práctica informal o el saber hacer tácito no satisfacen el artículo.
Dónde se sitúa en la Ley
El SGC es el marco de gestión dentro del cual viven la mayoría de las demás obligaciones de alto riesgo. Gobierna el sistema de gestión de riesgos del artículo 9, la gobernanza de datos del artículo 10, el proceso de documentación técnica del artículo 11, la vigilancia poscomercialización del artículo 72 y la notificación de incidentes graves del artículo 73: cuando cualquiera de ellos necesita un procedimiento documentado, el procedimiento pertenece al SGC.
Qué debe cubrir el SGC
El artículo 17(1) no da discrecionalidad para omitir ningún elemento: cada uno de los trece subapartados de abajo debe existir como una política, un procedimiento o una instrucción documentados.
Los elementos del artículo 17(1), de un vistazo
| Art. 17(1) | Elemento | Vinculado |
|---|---|---|
| (a) | Estrategia de cumplimiento normativo, incl. evaluación de la conformidad y modificaciones | Art. 43 |
| (b) | Técnicas de diseño, control del diseño y verificación | — |
| (c) | Técnicas de desarrollo, control y aseguramiento de la calidad | — |
| (d) | Procedimientos de examen, prueba y validación | — |
| (e) | Especificaciones técnicas y normas aplicadas | Arts. 40-41 |
| (f) | Sistemas y procedimientos de gestión de datos | Art. 10 |
| (g) | El sistema de gestión de riesgos | Art. 9 |
| (h) | Vigilancia poscomercialización | Art. 72 |
| (i) | Procedimientos de notificación de incidentes graves | Art. 73 |
| (j) | Comunicación con autoridades y organismos notificados | — |
| (k) | Sistemas y procedimientos de mantenimiento de registros | Art. 12 |
| (l) | Gestión de recursos, incl. seguridad del suministro | — |
| (m) | Marco de rendición de cuentas para la dirección y el personal | — |
Esto es un resumen del ámbito, no el recorrido completo: la guía del artículo 17 trata cada elemento de uno en uno.
SGC frente al sistema de gestión de riesgos del artículo 9
El SGC es el todo; el artículo 9 es una parte
La confusión más habitual es tratar el SGC y el sistema de gestión de riesgos del artículo 9 como alternativas. No lo son. El SGC es el contenedor; el sistema de gestión de riesgos es un componente dentro de él, incorporado por el artículo 17(1)(g). El artículo 9 es el proceso continuo e iterativo para identificar, evaluar y mitigar los riesgos para la salud, la seguridad y los derechos fundamentales a lo largo del ciclo de vida. El SGC es el marco más amplio que también gobierna el diseño, los datos, las pruebas, la vigilancia, los registros y la rendición de cuentas. Ambos deben ser coherentes y referenciarse mutuamente, pero no son la misma obligación: un auditor esperará los dos.
No es lo mismo que la documentación técnica
Una segunda confusión es mezclar el SGC con la documentación técnica del artículo 11 / anexo IV. El SGC posee y gobierna los procedimientos; el expediente técnico es un registro en un momento concreto que esos procedimientos producen: obligaciones distintas, mantenidas por separado.
Proporcionado al tamaño del proveedor
La regla de la proporcionalidad
El artículo 17(2) exige que el SGC sea proporcionado al tamaño de la organización del proveedor: un proveedor pequeño puede documentarlo de forma más ligera que una gran empresa. Pero la proporcionalidad gobierna con qué exhaustividad se documenta cada elemento, no si aparece: los trece aspectos del artículo 17(1) siguen siendo obligatorios con independencia del número de empleados; simplemente pueden ser más breves.
Conforme al artículo 17(3), los proveedores ya sujetos a obligaciones de SGC bajo otra norma sectorial de la Unión pueden integrar los aspectos específicos de IA en ese sistema existente en lugar de construir uno paralelo.
Marcos que ayudan
ISO/IEC 42001 —la norma de sistemas de gestión de IA— es una base estructural útil que se alinea con muchos elementos del artículo 17, pero no es, por sí sola, prueba de cumplimiento del artículo 17: la certificación no crea ninguna presunción de conformidad, y los requisitos de la Ley de IA siguen rigiendo. Úsala como andamiaje, no como sustituto: véase sistema de gestión de IA ISO/IEC 42001 para cómo se corresponden ambos.
Plazo y sanciones
Cuándo se aplica la obligación
La obligación del SGC se aplica cuando se aplican las obligaciones de alto riesgo. Tal como se promulgó, los sistemas de alto riesgo del anexo III (artículo 6(2)) se aplican desde el 2 de agosto de 2026 y los sistemas integrados en productos del anexo I (artículo 6(1)) desde el 2 de agosto de 2027. El Digital Omnibus, adoptado en junio de 2026 (Parlamento Europeo el 16 de junio, Consejo el 29 de junio), fija estas fechas en el 2 de diciembre de 2027 y el 2 de agosto de 2028.
El mecanismo de "parar el reloj" condicionado a las normas se rechazó.
Coste del incumplimiento
El incumplimiento del artículo 17 se sitúa en el nivel del artículo 99(4): multas de hasta 15 M€ o el 3 % del volumen de negocios anual total a escala mundial, el que sea mayor. Para las pymes y las empresas emergentes, el artículo 99(6) limita cada multa al menor entre el importe fijo o el porcentaje.
Cómo ayuda Confir
La evaluación estructurada de Confir se corresponde directamente con los elementos del artículo 17(1), de modo que puedas ver cuáles de los trece aspectos están documentados, cuáles son débiles y cuáles faltan. Ensambla la documentación técnica del anexo IV que esos procedimientos producen. El motor de síntesis es determinista y basado en reglas, sin inferencia de modelos ni alucinaciones.
Preguntas frecuentes
¿Qué es un sistema de gestión de la calidad según la Ley de IA de la UE?
Conforme al artículo 17 del Reglamento (UE) 2024/1689, un sistema de gestión de la calidad (SGC) es el sistema documentado de políticas, procedimientos e instrucciones por escrito que un proveedor de un sistema de IA de alto riesgo debe implantar y mantener para asegurar el cumplimiento a lo largo de su ciclo de vida. Cubre la estrategia de cumplimiento normativo, el diseño y las pruebas, la gestión de datos, el sistema de gestión de riesgos del artículo 9, la vigilancia poscomercialización, el mantenimiento de registros, la gestión de recursos y un marco de rendición de cuentas. Debe existir antes de que el sistema se introduzca en el mercado.
¿Qué debe incluir un sistema de gestión de la calidad del artículo 17?
El artículo 17(1) enumera trece aspectos que el SGC debe abordar por escrito: una estrategia de cumplimiento normativo, incluida la evaluación de la conformidad y las modificaciones; técnicas de diseño, desarrollo y prueba; las especificaciones técnicas y normas aplicadas; procedimientos de gestión de datos; el sistema de gestión de riesgos del artículo 9; la vigilancia poscomercialización del artículo 72; la notificación de incidentes graves del artículo 73; la comunicación con autoridades y organismos notificados; el mantenimiento de registros; la gestión de recursos, incluida la seguridad del suministro; y un marco de rendición de cuentas para la dirección y el personal. Ninguno de ellos puede omitirse.
¿Es el SGC lo mismo que el sistema de gestión de riesgos del artículo 9?
No. El SGC es el marco de gestión más amplio; el sistema de gestión de riesgos del artículo 9 es un componente dentro de él, incorporado por el artículo 17(1)(g). El artículo 9 es el proceso continuo e iterativo para identificar y mitigar los riesgos para la salud, la seguridad y los derechos fundamentales a lo largo del ciclo de vida. El SGC envuelve ese proceso junto con los controles de diseño, la gestión de datos, las pruebas, la vigilancia y la rendición de cuentas. El artículo 9 es la parte; el SGC es el todo, y ambos deben documentarse y referenciarse mutuamente.
¿Tiene que tener el SGC el mismo tamaño para todos los proveedores?
No. El artículo 17(2) exige que el SGC sea proporcionado al tamaño de la organización del proveedor, de modo que un proveedor más pequeño puede documentarlo de forma más concisa que una gran empresa. La proporcionalidad gobierna con qué exhaustividad se documenta cada elemento, no si aparece: los trece aspectos del artículo 17(1) siguen siendo obligatorios. El artículo 17(3) también permite a los proveedores ya sujetos a un SGC sectorial bajo otra norma de la Unión integrar en él los aspectos específicos de IA en lugar de construir un sistema paralelo.
¿Quién tiene que tener un sistema de gestión de la calidad y para cuándo?
La obligación recae sobre el proveedor de un sistema de IA de alto riesgo (artículo 16), y el SGC debe estar implantado antes de que el sistema se introduzca en el mercado. Tal como se promulgó, las obligaciones de alto riesgo del anexo III se aplican desde el 2 de agosto de 2026; el Digital Omnibus acordado en mayo de 2026 aplazaría esto al 2 de diciembre de 2027, pero a fecha de junio de 2026 ese aplazamiento ya está adoptado, pendiente de publicación en el Diario Oficial de la UE. El incumplimiento se sitúa en el nivel del artículo 99(4): hasta 15 M€ o el 3 % del volumen de negocios mundial.
Términos relacionados
- Requisitos del sistema de gestión de la calidad del artículo 17
- Cómo construir un sistema de gestión de la calidad de IA
- El sistema de gestión de riesgos del artículo 9
- Sistema de IA de alto riesgo
- Sistema de gestión de IA ISO/IEC 42001
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →