Plantilla de plan de gestión de riesgos del artículo 9 para IA de alto riesgo
Plantilla del sistema de gestión de riesgos del art. 9 para IA de alto riesgo: el proceso continuo, los campos y los vínculos con los arts. 10, 14 y 15.
Si eres proveedor de un sistema de IA de alto riesgo, el artículo 9 de la Ley de IA de la UE te exige establecer, documentar y mantener un sistema de gestión de riesgos a lo largo de toda la vida del sistema. Esta plantilla te da la estructura para hacerlo: los campos que recoger, el bucle iterativo que el artículo describe de verdad y dónde el trabajo de gestión de riesgos se traspasa a los requisitos de datos, supervisión y precisión de los artículos 10, 14 y 15.
Empieza por el punto que más se malinterpreta. El artículo 9 no es un documento puntual que escribes antes del lanzamiento y archivas. El texto es explícito en que el sistema de gestión de riesgos es un proceso continuo e iterativo que se ejecuta durante todo el ciclo de vida del sistema, y exige una revisión y actualización periódica y sistemática. Un plan que está al día el día del lanzamiento y obsoleto seis meses después no cumple el artículo 9. La plantilla siguiente está construida para revisarse, no para archivarse.
El proceso del artículo 9 en cuatro movimientos
El artículo 9 describe un bucle, no una lista de comprobación. El sistema de gestión de riesgos debe:
- Identificar y analizar los riesgos conocidos y razonablemente previsibles que el sistema de alto riesgo puede plantear para la salud, la seguridad o los derechos fundamentales cuando se utiliza para su finalidad prevista.
- Estimar y evaluar los riesgos que pueden surgir cuando el sistema se utiliza conforme a lo previsto y en condiciones de uso indebido razonablemente previsible.
- Evaluar otros riesgos derivados del análisis de los datos de vigilancia poscomercialización (la realimentación de la vigilancia del artículo 72 retorna aquí).
- Adoptar medidas de gestión de riesgos adecuadas y específicas para abordar los riesgos identificados, y luego probar el sistema para confirmar que las medidas funcionan y que el sistema rinde de forma coherente para su finalidad prevista.
El bucle se cierra y se reabre: las pruebas y los datos poscomercialización hacen aflorar nuevos riesgos, que alimentan el siguiente ciclo de identificación. El riesgo residual que permanece tras la mitigación debe juzgarse aceptable, y comunicarse a los responsables del despliegue para que lo comprendan.
Una nota sobre el uso indebido razonablemente previsible (definido en el artículo 3(13)): no es cualquier abuso concebible, sino el uso indebido que un proveedor razonable debería anticipar dadas la finalidad y el contexto del sistema. Una herramienta de cribado de CV empleada para cribar solicitudes de alquiler es un uso indebido previsible que conviene documentar; el sabotaje delictivo deliberado, por lo general, no.
La plantilla de plan de gestión de riesgos
Recoge cada campo de abajo para el sistema de alto riesgo. Trátalo como un registro vivo con historial de versiones.
1. Identificación del sistema
- Nombre, versión y finalidad prevista del sistema (artículo 3(12))
- Proveedor y cualquier representante autorizado (artículo 22 si está fuera de la UE)
- Categoría del anexo III (o vía de producto del anexo I) y el razonamiento de clasificación del artículo 6
- Contexto(s) de despliegue en los que se vende el sistema
2. Registro de identificación de riesgos
Para cada riesgo identificado:
- Descripción del riesgo (para la salud, la seguridad o los derechos fundamentales)
- Origen (uso previsto, uso indebido previsible, datos, comportamiento del modelo, interacción persona-máquina)
- Personas o grupos afectados
- Si el riesgo implica un derecho fundamental (enlaza con la EIDF del artículo 27 cuando un responsable del despliegue deba realizarla)
3. Estimación y evaluación del riesgo
- Probabilidad y gravedad, antes de la mitigación
- Método de evaluación y supuestos
- Umbral de aceptabilidad aplicado
4. Medidas de mitigación
- La medida específica adoptada para cada riesgo
- Si elimina, reduce o controla el riesgo
- Riesgo residual tras la mitigación, y el juicio de que es aceptable
- Información transmitida a los responsables del despliegue sobre el riesgo residual y las condiciones de uso (enlaza con las instrucciones de uso del artículo 13)
5. Registro de pruebas
- Objetivos, métricas y criterios de aceptación de las pruebas
- Pruebas frente a la finalidad prevista y el uso indebido previsible
- Resultados, y cualquier riesgo reabierto por las pruebas
- Si se usaron pruebas en condiciones reales y bajo qué garantías
6. Revisión del ciclo de vida
- Periodicidad y desencadenantes de la revisión (modificación sustancial, incidente, señal poscomercialización)
- Responsable a cargo de la revisión
- Registro de cambios: qué cambió, por qué y cuándo
- Bucle de realimentación desde la vigilancia poscomercialización del artículo 72 y la notificación de incidentes graves del artículo 73
Dónde se traspasa el artículo 9
El artículo 9 es la columna vertebral, pero arrastra los demás requisitos de alto riesgo. El plan debe referenciarlos explícitamente:
| Requisito vinculado | Qué aporta al plan de riesgos |
|---|---|
| Artículo 10: datos y gobernanza de datos | Los riesgos de calidad de datos y sesgo identificados aquí alimentan el registro de riesgos; las mitigaciones suelen vivir en la gobernanza de datos |
| Artículo 13: transparencia e instrucciones de uso | La comunicación del riesgo residual a los responsables del despliegue se hace a través de las instrucciones de uso |
| Artículo 14: supervisión humana | Las medidas de supervisión son una mitigación primaria; el plan registra qué riesgos controla una persona dentro o sobre el bucle |
| Artículo 15: precisión, solidez, ciberseguridad | Las métricas de prueba y los criterios de aceptación se basan en los requisitos de rendimiento y solidez del artículo 15 |
| Artículo 72: vigilancia poscomercialización | El plan de vigilancia realimenta nuevos datos de riesgo al bucle del artículo 9 |
Acertar con los números de los artículos importa: la gestión de riesgos es el artículo 9, no el artículo 8 (que es el encabezamiento que activa los requisitos). La supervisión humana es el artículo 14, no el artículo 9, pero las medidas de supervisión se registran en el plan de riesgos como mitigaciones. Mantén la frontera limpia.
Ejemplo práctico: un proveedor de alto riesgo
Toma Helvetia HealthScreen B.V., una pyme medtech ficticia con sede en los Países Bajos —unos 90 empleados, ~18 millones EUR de facturación— que proporciona una herramienta de triaje con IA que marca a los pacientes para seguimiento a partir de datos de síntomas. La herramienta es un sistema de alto riesgo: está prevista como componente de seguridad que toca la salud y se sitúa en el espacio de alto riesgo tanto si se encauza por el anexo III como por la vía de producto sanitario.
Su plan del artículo 9, en la práctica:
- La identificación registra riesgos que incluyen los falsos negativos (un paciente marcado como de bajo riesgo que necesita atención urgente), las brechas de rendimiento demográficas y el exceso de confianza de los clínicos.
- Uso indebido previsible: clínicos que tratan la marca como un diagnóstico en lugar de una ayuda al triaje, así que el plan registra una mitigación (supervisión humana del artículo 14 más instrucciones del artículo 13 que indican que la herramienta no diagnostica).
- La estimación califica el riesgo de falso negativo como de alta gravedad, lo que impulsa un umbral conservador y pruebas adicionales en grupos de pacientes infrarrepresentados (enlazando con la gobernanza de datos del artículo 10).
- Las pruebas se ejecutan frente al uso previsto y al escenario de uso indebido; los resultados reabren un riesgo residual de brecha demográfica que vuelve al siguiente ciclo.
- La revisión del ciclo de vida se desencadena en cada versión y ante cualquier incidente grave notificado en virtud del artículo 73.
El plazo de Helvetia para las obligaciones de alto riesgo es el 2 de diciembre de 2027 para la vía de sistema independiente del anexo III, o el 2 de agosto de 2028 si la herramienta se regula como producto sanitario por la vía de seguridad de los productos. El Ómnibus Digital que fija este aplazamiento ya está adoptado (voto del pleno del Parlamento Europeo el 16 de junio de 2026, adopción final del Consejo el 29 de junio de 2026) y entra en vigor con su publicación en el Diario Oficial de la UE, prevista antes del 2 de agosto de 2026, así que Helvetia planifica ya directamente frente a estas fechas aplazadas. En cualquier caso, construir bien un sistema del artículo 9 lleva a la mayoría de los proveedores de seis a doce meses, así que el plan empieza ya.
Cómo te ayuda Confir
El motor de clasificación de Confir es basado en reglas y determinista, así que primero te dice —de forma reproducible, mostrando la regla que se disparó— si un sistema es realmente de alto riesgo y, por tanto, entra siquiera en el ámbito del artículo 9. Para los sistemas que lo son, estructura el registro de gestión de riesgos del artículo 9 junto a la documentación técnica del anexo IV, la EIDF del artículo 27 cuando un responsable del despliegue la deba y el plan de vigilancia poscomercialización, manteniendo todo el paquete de alto riesgo en un único registro de toda la organización con un rastro de auditoría de cada revisión.
Guías relacionadas
- Article 9 risk management system explained
- the risk management system in practice
- Article 10 data governance
- Article 14 human oversight
- Article 15 accuracy and robustness
- Annex IV technical documentation template
- the corrected enforcement timeline
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →