Evaluación de la conformidad de la IA de alto riesgo: control interno u organismo notificado

Un sistema de inteligencia artificial de alto riesgo no puede comercializarse sin demostrar antes que cumple los requisitos del Reglamento europeo. Ese proceso es la evaluación de la conformidad, y la Guía 3 del piloto español de sandbox regulatorio lo explica paso a paso.

La guía, en su versión 2.0 de 17 de julio de 2026, adaptada al Ómnibus Digital, figura como obra del Ministerio para la Transformación Digital y de la Función Pública. Como el resto de la serie, no es vinculante.

Qué es la evaluación de la conformidad

Según la guía, el artículo 3.20 del Reglamento (UE) 2024/1689 la define como el proceso por el que se demuestra si se cumplen los requisitos aplicables a los sistemas de alto riesgo. El artículo 43 fija qué procedimiento corresponde a cada sistema.

Los dos procedimientos

Cuándo se aplica cada uno

Según la guía:

• Anexo III, puntos 2 a 8, que incluye, entre otros, el empleo, los servicios esenciales, la aplicación de la ley, la migración y la justicia: control interno del proveedor, sin organismo notificado.
• Anexo III, punto 1 (biometría): el proveedor puede elegir entre control interno y organismo notificado si ha aplicado normas armonizadas o especificaciones comunes. Si no las ha aplicado, o solo en parte, debe acudir al procedimiento del anexo VII.
• Anexo I, sección A (productos regulados por legislación de armonización, como los productos sanitarios): se sigue el procedimiento de la normativa sectorial, que incorpora los requisitos del Reglamento.

Lo que significa para la justicia

El dato es relevante para la abogacía: según la guía, los sistemas de alto riesgo del ámbito de la justicia se evalúan por control interno del proveedor. No pasan por un organismo independiente antes de su puesta en el mercado. Eso refuerza la importancia de la documentación técnica y de la transparencia, que puede ser decisiva para quien quiera conocer o impugnar el uso de uno de estos sistemas. Las garantías que la Administración de Justicia española se ha dado en su propia política de uso de la IA adquieren, en este contexto, todavía más peso.

El control interno, paso a paso

Según la guía, el procedimiento del anexo VI consiste en:

1. Verificar que el sistema de gestión de la calidad cumple el artículo 17.
2. Examinar la documentación técnica frente a los requisitos de los artículos 8 a 15.
3. Comprobar que el diseño, el desarrollo y la vigilancia poscomercialización son coherentes con esa documentación.

Después de la evaluación

• El proveedor elabora la declaración UE de conformidad (artículo 47) y coloca el marcado CE (artículo 48).
• Según la guía, debe conservar la declaración durante diez años.
• Si el sistema sufre una modificación sustancial, la evaluación debe repetirse (artículo 43.4). Los cambios previstos en la documentación técnica de los sistemas que siguen aprendiendo no se consideran modificación sustancial.

Las recomendaciones de la guía

• Comprobar desde el principio si existe legislación de armonización aplicable y planificar la evaluación en el diseño.
• Documentar cada paso, incluidas las pruebas.
• Tener en cuenta que las pymes y empresas emergentes pueden presentar la documentación técnica de forma simplificada, según la guía.
• Prever plazos realistas. La guía indica que, en productos sanitarios, la evaluación ha durado entre seis y doce meses.

Utilidad para los abogados

Para quien asesora a un proveedor, la guía es un mapa del proceso. Para quien asesora a un cliente que compra un sistema de alto riesgo, la declaración de conformidad y el marcado CE son documentos que conviene exigir. Y para quien defiende a una persona afectada, saber qué procedimiento se siguió ayuda a saber qué documentación debería existir. Completa las guías sobre ciberseguridad y transparencia que ya hemos resumido.

Más análisis en IA jurídica.