La Ley de IA de la UE para biotecnología y farma: tres vías, no una
La IA biotech se bifurca en tres: productos sanitarios de alto riesgo vía MDR/IVDR, I+D pura excluida y apoyo clínico que puede ser anexo III.
Depende de qué sea la IA, y la IA biotecnológica se bifurca en tres vías bajo el Reglamento (UE) 2024/1689, la Ley de IA de la UE. La IA que es —o va integrada en— un producto sanitario o un producto de diagnóstico in vitro toma la vía de productos: es de alto riesgo según el artículo 6(1) porque el MDR (Reglamento (UE) 2017/745) y el IVDR (Reglamento (UE) 2017/746) figuran en el anexo I, con una conformidad que se canaliza a través del régimen de productos sanitarios y un plazo del 2 de agosto de 2028. La IA de descubrimiento de fármacos e I+D pura puede quedar por completo fuera de la Ley gracias a la exclusión de investigación y desarrollo científicos del artículo 2. Y la IA de apoyo a la decisión clínica que no sea un producto sanitario regulado puede aterrizar en la vía autónoma del anexo III. Acierta con la vía y todo lo demás encaja; fállala y construyes el programa equivocado contra el plazo equivocado.
Esta guía distingue las tres. El error más común en farma es tratar toda la IA como un único bloque: o se asume que el régimen de productos sanitarios lo engulle todo, o se asume que la investigación es vía libre. Ninguna de las dos cosas se sostiene. Empieza por cómo la clasificación del artículo 6 separa la vía de productos de la autónoma.
Vía 1: IA de productos sanitarios y diagnóstico in vitro — la vía de productos vía MDR/IVDR
Si un sistema de IA es en sí mismo un producto sanitario, o es componente de seguridad de uno, es de alto riesgo según el artículo 6(1), porque el MDR 2017/745 y el IVDR 2017/746 están en el anexo I, sección A: las normas de seguridad de productos de la UE con su propia maquinaria de evaluación de la conformidad. Es el territorio del software como producto sanitario (SaMD): algoritmos de diagnóstico, IA que interpreta imágenes médicas, software de diagnóstico in vitro que analiza una muestra para fundamentar una decisión clínica, IA que gobierna o supervisa un dispositivo terapéutico.
Cómo funciona realmente la conformidad
La Ley de IA no impone una segunda evaluación de la conformidad paralela sobre el régimen de productos. Se integra en él. Para un sistema de IA de alto riesgo según el artículo 6(1) que ya requiere una evaluación de la conformidad por organismo notificado bajo el MDR/IVDR, los requisitos de la Ley de IA se demuestran a través de esa única evaluación integrada: el organismo notificado valora los requisitos de alto riesgo de la Ley de IA como parte de la vía de conformidad del producto sanitario. La guía de productos sanitarios de la Comisión Europea (la guía de interacción del MDCG) aborda precisamente este solapamiento para que los fabricantes no acaben con dos procesos desconectados. Los efectos prácticos:
- El plazo es el 2 de agosto de 2028: la fecha de los productos del anexo I según el artículo 6(1), no la fecha autónoma del 2 de diciembre de 2027.
- Quien evalúa es el organismo notificado de productos sanitarios, trabajando con el procedimiento del MDR/IVDR.
- La documentación técnica se integra en el expediente técnico del producto en lugar de constituir un paquete del anexo IV aparte construido desde cero.
Los requisitos sustantivos de los artículos 9 a 15 siguen aplicándose —gestión de riesgos, gobernanza de datos, documentación técnica, registros, transparencia, supervisión humana, precisión y solidez— pero proyectados sobre, y satisfechos en gran medida a través de, el régimen de productos que el fabricante ya gestiona. El proveedor suele ser el fabricante del producto según el artículo 16; el hospital o laboratorio que opera el sistema es el responsable del despliegue según el artículo 26. Consulta IA sanitaria y productos sanitarios y la IA de imagen médica.
Vía 2: IA de descubrimiento de fármacos e I+D pura — la exclusión del artículo 2
Es la vía que la mayoría de empresas biotecnológicas esperan que aplique, y para la investigación genuina a menudo aplica. El artículo 2 excluye del ámbito de la Ley de IA los sistemas y modelos de IA desarrollados y puestos en servicio con el único fin de la investigación y el desarrollo científicos, y la Ley no se aplica a la actividad de investigación, prueba o desarrollo de sistemas de IA antes de su introducción en el mercado o puesta en servicio (salvo las pruebas en condiciones reales).
Para una empresa biotecnológica que hace identificación de dianas, generación de moléculas, predicción de estructuras de proteínas, cribado in silico o análisis ómico puramente para I+D interna, esta exclusión puede dejar la actividad por completo fuera de la Ley. Es una excepción real y significativa: la IA de descubrimiento de fármacos usada únicamente para avanzar en la investigación, y que aún no es un producto introducido en el mercado, es una candidata sólida a la exclusión de I+D del artículo 2.
Dónde termina la exclusión
La exclusión va de finalidad y fase, no de materia. Deja de aplicarse cuando:
- La IA se introduce en el mercado o se pone en servicio como producto: en ese momento se evalúa según el artículo 6 como cualquier otro sistema.
- La actividad va más allá de la investigación y entra en pruebas en condiciones reales, que la Ley no exime específicamente.
- El mismo modelo se reutiliza de la investigación interna a una herramienta clínica o comercial.
Así, el motor de descubrimiento que criba compuestos internamente puede estar excluido hoy, mientras que el algoritmo de diagnóstico que esa misma empresa comercialice mañana es de pleno alto riesgo por la vía de productos. Documenta la finalidad y la fase; reevalúa en el momento de la conversión en producto. Consulta el ámbito y las exclusiones del artículo 2.
Vía 3: apoyo a la decisión clínica que no es un producto sanitario — anexo III
Entre las dos vías claras hay un caso intermedio. Parte de la IA de apoyo a la decisión clínica (ADC) no está regulada como producto sanitario; por ejemplo, cierto software que apoya a un facultativo sin realizar por sí mismo una determinación diagnóstica o terapéutica de nivel de producto, según las reglas de cualificación del MDR. Cuando tal sistema no es un producto, no toma la vía de productos del artículo 6(1), pero aún puede ser de alto riesgo por la vía autónoma si su finalidad prevista encaja en un ámbito del anexo III.
El punto de enganche más relevante del anexo III es el punto 5, letra a): IA utilizada por o en nombre de autoridades públicas para evaluar la admisibilidad a servicios públicos esenciales, incluida la asistencia sanitaria. Una ADC desplegada en un sistema de salud público para determinar el acceso a la atención o la prioridad de triaje puede caer aquí. La clasificación depende de la finalidad prevista específica y del contexto de despliegue, y es genuinamente caso por caso: la frontera entre «producto» (vía 1), «ADC sin ser producto pero del anexo III» (vía 3) y «ADC sin ser producto ni anexo III» exige una evaluación cuidadosa y documentada. Cuando una herramienta de ADC no es ni un producto ni un uso del anexo III, puede ser de riesgo mínimo o limitado, conservando aún los deberes de alfabetización del artículo 4 y los de transparencia del artículo 50 que correspondan.
Los deberes horizontales en todo el sector
Dos obligaciones se aplican con independencia de la vía. La alfabetización en IA del artículo 4 —en vigor desde el 2 de febrero de 2025 y aplicable a toda IA— exige que científicos, facultativos y personal que operan sistemas de IA tengan un nivel de competencia suficiente y documentado. La transparencia del artículo 50 aplica cuando una empresa biotecnológica o farmacéutica opera un chatbot de cara al paciente o a la investigación (información del 50(1)) o publica contenido sintético (50(2)/50(4), marcado de contenido desde el 2 de agosto de 2026; hasta el 2 de diciembre de 2026 para sistemas generativos ya introducidos en el mercado antes). Y el RGPD rige los datos de salud —datos de categoría especial según el artículo 9 del RGPD— de principio a fin, como régimen paralelo que el estatus de riesgo mínimo no desactiva.
Ejemplo práctico: una empresa biotecnológica en fase clínica clasifica su IA
Considera Helixa Therapeutics, una empresa biotecnológica española en fase clínica de unos 130 empleados y alrededor de 25 millones de euros de financiación anual. Opera cuatro sistemas de IA: un motor generativo de diseño de moléculas usado únicamente para descubrimiento interno de fármacos, un algoritmo de IA de análisis de imagen integrado en un diagnóstico de acompañamiento que comercializa bajo el IVDR, una herramienta de apoyo a la decisión clínica pilotada en un hospital público para priorizar pacientes en un programa de tratamiento, y un cribador de selección para contratar personal de laboratorio.
Llevar cada sistema a una vía y a un nivel
El motor de diseño de moléculas se usa únicamente para I+D interna y no se introduce en el mercado, así que es una candidata sólida a la exclusión de I+D científica del artículo 2: fuera del ámbito de la Ley mientras siga siendo solo investigación; Helixa documenta la finalidad y se compromete a reevaluar si alguna vez se convierte en producto. El algoritmo de imagen del diagnóstico de acompañamiento es de alto riesgo vía artículo 6(1) porque va integrado en un producto IVDR: la vía de productos, con conformidad integrada a través del organismo notificado del IVDR, plazo 2 de agosto de 2028; Helixa es el proveedor según el artículo 16. El piloto de apoyo a la decisión clínica, desplegado en un hospital público para priorizar pacientes en un servicio sanitario esencial, se evalúa como de alto riesgo por la vía autónoma según el anexo III, punto 5, letra a), sujeto a la fecha del 2 de diciembre de 2027 (Ómnibus Digital, en vigor desde el 27 de julio de 2026). El cribador de selección es de alto riesgo según el anexo III, punto 4: la vía ordinaria de contratación.
El resultado: tres vías en una sola empresa
Helixa aterriza en las tres vías más el caso de contratación: un sistema excluido por el artículo 2 (diseño de moléculas), un sistema de alto riesgo por la vía de productos hasta el 2 de agosto de 2028 (el diagnóstico IVDR) y dos sistemas de alto riesgo autónomos del anexo III hasta el 2 de diciembre de 2027 (la ADC del hospital público y el cribador de selección). La lección es que la IA biotecnológica casi nunca se sitúa en una sola vía, y el error más caro sería asumir que el régimen de productos sanitarios cubre el piloto de ADC, o que «es investigación» cubre el diagnóstico comercializado. Como pyme, Helixa se beneficia del límite de multas del artículo 99(6) (el menor entre el porcentaje o el importe fijo) y de tasas de evaluación de la conformidad proporcionadas según el artículo 62.
El mapa de vías y niveles de la IA biotecnológica
| Uso de IA en biotech / farma | Vía | Nivel | Plazo |
|---|---|---|---|
| IA que es / va en un producto sanitario o diagnóstico in vitro | Artículo 6(1) / anexo I (MDR/IVDR) | Alto riesgo | 2 ago 2028 |
| IA pura de descubrimiento de fármacos / I+D interna | Exclusión del artículo 2 (si es solo investigación) | Fuera de ámbito (evaluar) | Ninguno mientras esté excluida |
| Apoyo a la decisión clínica, no producto, acceso a salud pública | Artículo 6(2) / anexo III 5(a) | Alto riesgo (evaluar) | 2 dic 2027 |
| Apoyo a la decisión clínica, no producto, no anexo III | No listado | Mínimo–limitado | Artículo 4 / artículo 50 |
| IA de laboratorio / selección de personal | Artículo 6(2) / anexo III pt 4 | Alto riesgo | 2 dic 2027 |
La disciplina que define todo: un producto va por el MDR/IVDR al 2 de agosto de 2028; la investigación genuina puede estar excluida por el artículo 2; la ADC que no es producto y la contratación van por el anexo III, cada una evaluada según su finalidad específica.
Sanciones, con el límite para pymes
Las infracciones de obligaciones de alto riesgo se sitúan en hasta 15.000.000 € o el 3 % del volumen de negocios anual total mundial, lo que sea mayor, según el artículo 99(4). Las prácticas prohibidas del artículo 5 acarrean hasta 35.000.000 € o el 7 % según el artículo 99(3). Suministrar información incorrecta o engañosa a las autoridades llega hasta 7.500.000 € o el 1 % según el artículo 99(5). Para pymes y empresas emergentes, el artículo 99(6) limita la multa al menor de los dos. El MDR/IVDR llevan sus propios regímenes sancionadores separados; nunca confundas los niveles de la Ley de IA con la propia aplicación de los reglamentos de productos. Consulta las sanciones del artículo 99.
Plazos y cómo ayuda Confir
Las fechas que rigen la IA biotecnológica
Para la IA de productos y diagnóstico in vitro según el artículo 6(1), las obligaciones de alto riesgo se aplican desde el 2 de agosto de 2028: la fecha de los productos del anexo I. Los sistemas del anexo III que no son producto (ADC de salud pública, contratación) se aplican desde el 2 de diciembre de 2027, fecha fijada por el Ómnibus Digital, adoptado en junio de 2026. El aplazamiento es derecho vigente —voto del Parlamento Europeo el 16 de junio de 2026, adopción del Consejo el 29 de junio de 2026; Reglamento (UE) 2026/1744 publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026—; las fechas son fechas de calendario fijas y no dependen de la disponibilidad de normas, como preveía la propuesta de la Comisión de noviembre de 2025. Las nuevas fechas del aplazamiento —2 de diciembre de 2027 para el anexo III y 2 de agosto de 2028 para el anexo I— ya son de referencia. La alfabetización del artículo 4 aplica desde el 2 de febrero de 2025; el artículo 50, desde el 2 de agosto de 2026. Consulta ¿está aplazada la Ley de IA?.
Qué hace Confir
Confir registra cada sistema de IA biotecnológica y lo clasifica según los artículos 2, 5 y 6, separando los sistemas de la vía de productos del artículo 6(1) (MDR/IVDR, 2 de agosto de 2028) de los candidatos a la exclusión de investigación del artículo 2 y de los sistemas autónomos del anexo III, y señalando el momento en que un modelo de investigación se convierte en producto y termina la exclusión. Aplica el filtro del artículo 6(3), deriva los roles de proveedor o responsable del despliegue y ensambla la documentación del artículo 11 / anexo IV que se proyecta sobre el expediente técnico del producto o se sostiene por sí sola, según exija la vía.
El motor es determinista y basado en reglas: la misma entrada produce el mismo resultado, mostrando la regla que se activó, de modo que una decisión de vía —incluida la valoración producto-frente-a-ADC-frente-a-investigación que rige todo el programa— es reproducible y defendible ante una auditoría, lo que importa en un sector donde el mismo sistema puede cambiar de vía a medida que avanza hacia el mercado. Confir cruza con la ISO/IEC 42001 y el RGPD, pero no sustituye la propia evaluación de la conformidad del MDR/IVDR.
Guías relacionadas
- Clasificación de alto riesgo del artículo 6
- Ámbito y exclusiones del artículo 2
- IA sanitaria y productos sanitarios
- IA de imagen médica según el anexo III
- La vía de evaluación de la conformidad
- Cumplimiento de IA en sanidad
- Cumplimiento de IA en farma
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →