Sistema de gestión de riesgos: definición en la Ley de IA
El sistema de gestión de riesgos del artículo 9 es el proceso continuo para identificar, estimar, evaluar y mitigar el riesgo de la IA de alto riesgo.
Un sistema de gestión de riesgos bajo la Ley de IA de la UE es un proceso continuo e iterativo —no un documento— que el proveedor de un sistema de IA de alto riesgo debe establecer, implementar, documentar y mantener a lo largo de todo el ciclo de vida del sistema para identificar, estimar, evaluar y mitigar los riesgos razonablemente previsibles que plantea para la salud, la seguridad y los derechos fundamentales (artículo 9(1) a (2), Reglamento (UE) 2024/1689).
Los intereses protegidos los fija la ley: salud, seguridad y derechos fundamentales. La obligación recae sobre el proveedor, no sobre el responsable del despliegue, y solo se vincula a los sistemas clasificados como sistemas de IA de alto riesgo según el artículo 6 y el anexo III. Esta entrada define el término y el bucle iterativo; para el recorrido legal completo, consulta el artículo 9 de la Ley de IA de la UE.
El bucle iterativo: identificar, estimar, evaluar, mitigar
Los cuatro pasos del artículo 9(2)
El artículo 9(2) establece los pasos recurrentes que el sistema debe ejecutar:
- (a) identificar y analizar los riesgos conocidos y razonablemente previsibles que el sistema puede plantear para la salud, la seguridad o los derechos fundamentales;
- (b) estimar y evaluar los riesgos que pueden surgir cuando el sistema se usa conforme a su finalidad prevista, y en condiciones de uso indebido razonablemente previsible;
- (c) evaluar otros riesgos que puedan surgir del análisis de los datos de seguimiento posterior a la comercialización recabados según el artículo 72;
- (d) adoptar medidas de gestión de riesgos adecuadas y específicas diseñadas para abordar los riesgos detectados.
El uso indebido razonablemente previsible es una entrada explícita, no una ocurrencia tardía: no puedes acotar el análisis solo a la finalidad prevista.
Por qué es continuo, no puntual
El bucle se ejecuta a lo largo de todo el ciclo de vida —diseño, desarrollo, despliegue y poscomercialización— y se revisa y actualiza de forma sistemática (artículo 9(2)). Los datos de campo y las pruebas de seguimiento se reincorporan, de modo que el sistema nunca «termina». Cada paso del artículo 9(2) tiene un desencadenante y produce un artefacto de trabajo:
| Paso del artículo 9(2) | Desencadenante | Artefacto resultante |
|---|---|---|
| (a) Identificar y analizar riesgos | Sistema nuevo, cambio de diseño, nuevo contexto de uso | Registro de riesgos / registro de peligros |
| (b) Estimar y evaluar (uso previsto + uso indebido previsible) | Riesgo identificado | Evaluación de riesgos puntuada |
| (c) Evaluar datos poscomercialización | Señal de seguimiento del artículo 72 | Evaluación de riesgos actualizada |
| (d) Adoptar medidas de gestión de riesgos | Riesgo residual inaceptable | Cambios de diseño, controles, instrucciones de uso |
La aceptabilidad del riesgo residual y el papel de las pruebas
Juzgar el riesgo residual
Las medidas de mitigación deben ser tales que el riesgo residual pertinente de cada peligro identificado, y el riesgo residual global del sistema, se juzguen aceptables (artículo 9(5)). El riesgo residual es lo que queda tras aplicar las medidas.
El artículo 9(5) prescribe una jerarquía de medidas, por orden:
- eliminar o reducir los riesgos mediante el diseño en la medida en que sea técnicamente viable;
- cuando un riesgo no pueda eliminarse, aplicar medidas adecuadas de mitigación y control;
- facilitar información y, cuando proceda, formación a los responsables del despliegue.
Se trabaja descendiendo por esta jerarquía; no se salta a las instrucciones de uso para un peligro que podría haberse eliminado por diseño.
Probar para verificar que las medidas funcionan
Las pruebas son el mecanismo de verificación. Los sistemas de alto riesgo se prueban para identificar las medidas de gestión de riesgos más adecuadas y específicas, y para garantizar que el sistema rinde de forma coherente para su finalidad prevista frente a parámetros y umbrales probabilísticos definidos previamente (artículo 9(6) a (8)). Los criterios de rendimiento que las pruebas comprueban provienen de la precisión, solidez y ciberseguridad (artículo 15).
Un deber específico: al implementar el sistema de gestión de riesgos, el proveedor debe considerar si es probable que el sistema de IA de alto riesgo afecte negativamente a personas menores de 18 años o, cuando proceda, a otros grupos vulnerables (artículo 9(9)).
En qué se diferencia del SGC y de la EIDF
Sistema de gestión de riesgos frente a sistema de gestión de la calidad
El sistema de gestión de riesgos es un componente con nombre propio dentro de un marco más amplio. El proveedor debe implantar un sistema de gestión de la calidad según el artículo 17, y el artículo 17(1)(g) lista expresamente el sistema de gestión de riesgos del artículo 9 como parte de él. Trata el sistema de gestión de la calidad como el paraguas de gobernanza global —documentación, control de cambios, rendición de cuentas— y el sistema de gestión de riesgos como el bucle de riesgo específico y continuo que opera dentro de él.
Sistema de gestión de riesgos frente a la EIDF
La evaluación de impacto relativa a los derechos fundamentales (EIDF) del artículo 27 es una obligación separada, que corresponde a ciertos responsables del despliegue de sistemas de alto riesgo, no al proveedor. Evalúa los efectos sobre los derechos fundamentales de desplegar un sistema en un contexto dado, antes de usarlo. Distinto titular, distinta pregunta, distinto desencadenante.
| Instrumento | Base jurídica | Quién | Qué es |
|---|---|---|---|
| Sistema de gestión de riesgos | Artículo 9 | Proveedor | Proceso de riesgo continuo de ciclo de vida |
| Sistema de gestión de la calidad | Artículo 17 | Proveedor | Paraguas de gobernanza global |
| EIDF | Artículo 27 | Ciertos responsables del despliegue | Evaluación de derechos fundamentales antes del despliegue |
Mantener separados estos tres es lo que evita que un programa de cumplimiento duplique esfuerzos o deje un hueco.
Cómo ayuda Confir
Confir estructura el bucle del artículo 9 para que los cuatro pasos, la jerarquía de riesgo residual y la conexión con el artículo 17 se sigan como un único flujo de trabajo conectado, en vez de como documentos dispersos. Su motor determinista y basado en reglas asocia cada riesgo identificado con sus medidas de mitigación y revela dónde los datos poscomercialización deberían reabrir una evaluación —la misma lógica cada vez, sin inferencia de modelos, sin alucinaciones—. Como el razonamiento es reproducible, el resultado se ajusta a las exigencias probatorias del artículo 9: puedes mostrar a las autoridades la base documentada de cada juicio de riesgo residual y volver a ejecutarlo cuando el sistema cambie.
Preguntas frecuentes
¿Qué es un sistema de gestión de riesgos bajo la Ley de IA de la UE?
Es un proceso continuo e iterativo que el proveedor de un sistema de IA de alto riesgo debe establecer, implementar, documentar y mantener a lo largo de todo el ciclo de vida del sistema. Según el artículo 9 del Reglamento (UE) 2024/1689, identifica, estima, evalúa y mitiga los riesgos razonablemente previsibles que el sistema plantea para la salud, la seguridad y los derechos fundamentales. Es un proceso vivo, no un documento puntual, revisado y actualizado de forma sistemática a medida que el sistema y sus datos de seguimiento evolucionan.
¿Es el sistema de gestión de riesgos lo mismo que el sistema de gestión de la calidad?
No. El sistema de gestión de riesgos del artículo 9 es un componente con nombre propio dentro del sistema de gestión de la calidad, más amplio, que el proveedor debe implantar según el artículo 17. El artículo 17(1)(g) lista expresamente el proceso del artículo 9 como parte del sistema de gestión de la calidad. Piensa en el sistema de gestión de la calidad como el paraguas de gobernanza global que cubre documentación, control de cambios y rendición de cuentas, mientras que el sistema de gestión de riesgos es el bucle de riesgo específico y continuo que opera dentro de él.
¿Qué significa «riesgo residual» en el artículo 9?
El riesgo residual es el riesgo que queda tras aplicar las medidas de mitigación. El artículo 9(5) exige que, para cada peligro identificado y para el sistema en su conjunto, ese riesgo restante se juzgue aceptable. Los proveedores recorren una jerarquía: eliminar o reducir los riesgos mediante el diseño cuando sea viable, aplicar medidas de control para los que no puedan eliminarse, y facilitar información y formación a los responsables del despliegue. Las pruebas del artículo 9(6) a (8) verifican que las medidas elegidas alcanzan de hecho un nivel aceptable.
¿En qué se diferencia el sistema de gestión de riesgos de una EIDF?
Tienen titulares y finalidades distintos. El sistema de gestión de riesgos (artículo 9) es una obligación del proveedor: un proceso continuo, a lo largo del ciclo de vida, que cubre los riesgos para la salud, la seguridad y los derechos fundamentales de un sistema de alto riesgo. La evaluación de impacto relativa a los derechos fundamentales, o EIDF (artículo 27), es una obligación separada de ciertos responsables del despliegue, centrada específicamente en los efectos sobre los derechos fundamentales de desplegar ese sistema en un contexto dado. Uno lo ejecuta el proveedor a lo largo del ciclo de vida; el otro lo ejecuta el responsable del despliegue antes de usarlo.
¿Quién tiene que mantener un sistema de gestión de riesgos?
El proveedor de un sistema de IA de alto riesgo —un sistema clasificado como de alto riesgo según el artículo 6 y las categorías del anexo III—. La obligación recae sobre quien introduce el sistema en el mercado o lo pone en servicio bajo su propio nombre o marca. Ten en cuenta que, según el artículo 25, un responsable del despliegue, distribuidor o importador puede convertirse en proveedor (por ejemplo, al modificar sustancialmente un sistema o renombrarlo), momento en el que la obligación de gestión de riesgos del artículo 9 se les transfiere.
Términos relacionados
- Artículo 9 de la Ley de IA de la UE — la mecánica legal completa del sistema de gestión de riesgos.
- sistema de gestión de la calidad — el paraguas de gobernanza del artículo 17 dentro del que se sitúa el proceso del artículo 9.
- sistema de IA de alto riesgo — la clasificación del artículo 6 y el anexo III que activa la obligación.
- precisión, solidez y ciberseguridad (artículo 15) — los criterios de rendimiento que verifican las pruebas de gestión de riesgos.
- gestión de riesgos de IA — cómo encaja el bucle de riesgo en el programa de cumplimiento más amplio.
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →