El sistema de gestión de riesgos (artículo 9)
El sistema de gestión de riesgos del artículo 9: un proceso continuo e iterativo durante todo el ciclo de vida; mitigación, riesgo residual y pruebas.
El artículo 9 del Reglamento (UE) 2024/1689 es la primera obligación de fondo que asume el proveedor de un sistema de IA de alto riesgo, y la que sostiene a todas las demás. No es un informe que se redacta una vez y se archiva: es un proceso continuo e iterativo que se establece, se aplica, se documenta y se mantiene durante todo el ciclo de vida del sistema. La documentación técnica del anexo IV, la evaluación de la conformidad del artículo 43 y la vigilancia poscomercialización del artículo 72 se apoyan, todas, en lo que el sistema de gestión de riesgos produce. Si esta pieza es débil, el resto del expediente lo será.
La idea central, en una frase: identifica los riesgos que tu sistema plantea para la salud, la seguridad y los derechos fundamentales; redúcelos hasta donde sea razonablemente posible; prueba que las medidas funcionan; y vuelve a empezar cada vez que el sistema, su uso o los datos cambien.
Qué exige el artículo 9, paso a paso
El proceso del artículo 9 tiene una estructura reconocible:
- Identificación y análisis de riesgos conocidos y razonablemente previsibles. Los riesgos para la salud, la seguridad y los derechos fundamentales que el sistema puede plantear cuando se usa conforme a su finalidad prevista.
- Estimación y evaluación de los riesgos que pueden surgir tanto del uso previsto como del uso indebido razonablemente previsible —no solo del uso "correcto", sino del que cabe anticipar.
- Evaluación de otros riesgos que puedan aparecer a partir del análisis de los datos de la vigilancia poscomercialización (artículo 72): el proceso se realimenta con lo que ocurre en producción.
- Adopción de medidas de gestión de riesgos adecuadas y específicas para abordar los riesgos identificados.
Las medidas de gestión se aplican en un orden de prioridad: primero eliminar o reducir el riesgo mediante un diseño y un desarrollo adecuados; después, cuando el riesgo no pueda eliminarse, aplicar medidas de mitigación y control; y, por último, proporcionar información y formación a los responsables del despliegue. La supervisión humana del artículo 14 y la precisión y solidez del artículo 15 son, en buena medida, donde aterrizan estas medidas.
Riesgo residual: el concepto que más se descuida
Ningún sistema queda libre de riesgo. Tras aplicar las medidas de gestión, queda un riesgo residual, y el artículo 9 exige que ese riesgo residual sea aceptable y que se comunique al responsable del despliegue. No basta con afirmar que el riesgo se ha "abordado": hay que estimar lo que queda, justificar por qué es aceptable a la luz de la finalidad prevista y dejar constancia de esa justificación. Un expediente que enumera medidas pero no evalúa el riesgo residual está incompleto.
Pruebas: medir, no afirmar
El artículo 9 exige probar el sistema para verificar que las medidas de gestión de riesgos funcionan y que el sistema rinde de forma coherente con su finalidad prevista. Las pruebas se realizan a lo largo del proceso de desarrollo y, en todo caso, antes de la introducción en el mercado, frente a métricas y umbrales previamente definidos y adecuados al caso de uso. "Probamos el sesgo" no es una prueba; "evaluamos la disparidad de clasificación por sexo y edad frente al umbral X, con resultados registrados por versión del conjunto de datos" sí lo es. Cuando proceda, también pueden usarse pruebas en condiciones reales con arreglo a los artículos 60 y 61 (el artículo 60 cubre las pruebas en condiciones reales fuera de los espacios controlados; el artículo 61, el consentimiento informado).
Cómo se conecta con el resto del expediente
El sistema de gestión de riesgos no vive aislado. Es el motor del que dependen otras obligaciones:
| Obligación | Artículo | Relación con la gestión de riesgos |
|---|---|---|
| Documentación técnica | Artículo 11 / anexo IV | El resultado del proceso del artículo 9 —peligros, estimación, mitigación, riesgo residual— se documenta en el expediente técnico |
| Supervisión humana | Artículo 14 | Una de las medidas de mitigación típicas del artículo 9 |
| Precisión, solidez, ciberseguridad | Artículo 15 | Donde se prueban y miden muchas medidas de gestión |
| Vigilancia poscomercialización | Artículo 72 | Realimenta el proceso del artículo 9 con datos operativos a lo largo de toda la vida del sistema |
| Evaluación de la conformidad | Artículo 43 | Examina, entre otras cosas, que el sistema de gestión de riesgos esté implantado |
La relación con el artículo 72 es la que más se malinterpreta: la gestión de riesgos no termina con la introducción en el mercado. La vigilancia poscomercialización detecta riesgos nuevos en producción y los devuelve al sistema de gestión de riesgos, que se actualiza. Es un bucle, no una línea recta.
Ejemplo práctico: Crédito Norte S.L., ~60 personas, ~9 M€ de facturación
Crédito Norte, con sede en Bilbao, desarrolla y comercializa una herramienta de evaluación de solvencia para cooperativas de crédito —un uso de alto riesgo (anexo III, punto 5(b))—. Como proveedora, debe implantar el sistema de gestión de riesgos del artículo 9.
Identificación. El riesgo principal: infravaloración sistemática de solicitantes de grupos infrarrepresentados, con un perjuicio directo a derechos fundamentales (no discriminación, acceso al crédito). Riesgos secundarios: degradación del modelo con el tiempo y uso indebido previsible (un analista que trate la puntuación como decisión final en lugar de como apoyo).
Estimación y mitigación, por prioridad. Primero, diseño: una restricción de equidad en el modelo que penaliza la disparidad por atributo protegido (eliminar/reducir en origen). Después, control: vigilancia mensual de la disparidad de aprobación por grupo demográfico, con un umbral por debajo del cual el modelo se reentrena (mitigar lo que el diseño no elimina). Por último, información: instrucciones del artículo 13 que dejan claro que la herramienta apoya, no sustituye, la decisión humana, y supervisión humana del artículo 14 en la interfaz.
Riesgo residual. Tras las medidas, queda un riesgo residual de disparidad por debajo del umbral. Crédito Norte lo estima, lo declara aceptable a la luz de la finalidad prevista y lo comunica a las cooperativas que despliegan la herramienta.
Pruebas. Antes de comercializar, evalúa recall y disparidad por subgrupo frente a umbrales definidos; conserva los resultados por versión del conjunto de datos. Todo ello se documenta en el anexo IV y alimenta la vigilancia poscomercialización (artículo 72), que devuelve cualquier deriva al proceso del artículo 9.
El cuello de botella, como casi siempre, fue reconstruir las pruebas de sesgo de versiones del conjunto de datos anteriores a su disciplina de control de versiones. Objetivo: tener el proceso operativo bastante antes del 2 de diciembre de 2027.
Plazos y sanción
El plazo para los sistemas de IA de alto riesgo autónomos del anexo III es el 2 de diciembre de 2027 (2 de agosto de 2028 para los componentes de seguridad de productos del anexo I), según el Ómnibus Digital, ya en vigor: el Reglamento (UE) 2026/1744 se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026, aplazando la fecha original del 2 de agosto de 2026. El 2 de diciembre de 2027 es la fecha de aplicación. El incumplimiento de los requisitos de los sistemas de alto riesgo —incluido el artículo 9— entra en el nivel sancionador de 15 millones de euros o el 3 % del volumen de negocios anual mundial, la cifra que sea mayor (artículo 99); para pymes y empresas emergentes, el artículo 99(6) limita la multa al menor de los dos importes.
Cómo ayuda Confir
Las evaluaciones AIRC y AITR de Confir estructuran el proceso del artículo 9: guían la identificación de riesgos para la salud, la seguridad y los derechos fundamentales, registran las medidas de mitigación y el riesgo residual, y vinculan los resultados de las pruebas con la documentación del anexo IV y el plan de vigilancia poscomercialización (artículo 72). El motor es determinista y basado en reglas: la misma admisión produce el mismo conjunto de riesgos y la misma estructura de mitigación, de modo que el expediente es reproducible y defendible en auditoría, sin inferencia de modelo.
Guías relacionadas
- La evaluación de la conformidad (artículo 43)
- La documentación técnica (artículo 11 y anexo IV)
- El marcado CE (artículo 48)
- La supervisión humana (artículo 14)
- Sistemas de IA de alto riesgo (anexo III)
- El artículo 9, en detalle
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →