La evaluación de la conformidad en el Reglamento Europeo de Inteligencia Artificial: una aproximación sistemática (GUÍA AESIA)

 

La evaluación de la conformidad en el Reglamento Europeo de Inteligencia Artificial: una aproximación sistemática

Santiago Carretero Sánchez, Profesor Titular de Filosofía del Derecho, URJC.

La evaluación de la conformidad constituye el núcleo estructurante del modelo regulatorio instaurado por el Reglamento (UE) 2024/1689 relativo a la Inteligencia Artificial. Lejos de configurarse como un requisito meramente procedimental, la conformidad expresa la lógica completa del régimen europeo de gobernanza algorítmica: solo los sistemas que acrediten cumplir, de manera verificable y documentada, los requisitos establecidos en los artículos 8 a 15 pueden ser introducidos en el mercado o puestos en servicio en el territorio de la Unión. La Guía de Evaluación de la Conformidad elaborada por la AESIA sistematiza esta lógica inscribiéndola en el marco del Nuevo Marco Legislativo (NML), cuyos instrumentos —normas armonizadas, organismos notificados, documentación técnica, declaración UE de conformidad y marcado CE— son adaptados al funcionamiento particular de los sistemas de IA. La evaluación se erige, por tanto, en un mecanismo de control ex ante que asegura la compatibilidad entre el despliegue tecnológico y los principios de seguridad, fiabilidad y protección de derechos fundamentales que informan al Derecho de la Unión.

El Reglamento articula dos procedimientos de evaluación: el control interno del proveedor y la evaluación con participación de un organismo notificado. El primero exige que el proveedor verifique la adecuación de su sistema de gestión de calidad conforme al artículo 17, examine su propia documentación técnica para comprobar la satisfacción de los requisitos del capítulo III y asegure la coherencia entre el diseño, el desarrollo y la vigilancia poscomercialización del sistema. Este procedimiento se sustenta en una responsabilidad directa del proveedor, que debe generar evidencia documental suficiente y conservarla a disposición de las autoridades de vigilancia del mercado. El segundo procedimiento, más intensivo, implica la intervención de un organismo notificado, que evalúa tanto el sistema de gestión de calidad como la documentación técnica, pudiendo requerir la realización de pruebas adicionales, el acceso a conjuntos de datos de entrenamiento, validación y prueba e incluso, en último término, el acceso al modelo entrenado y sus parámetros. Este doble régimen no constituye una opción libre para el operador económico, sino que se asigna conforme a la naturaleza del sistema y al grado de utilización de normas armonizadas o especificaciones comunes, cuya inexistencia actual obliga, en determinados supuestos, a la intervención necesaria de un organismo notificado.

El artículo 43 del Reglamento establece la estructura distributiva de estos procedimientos. Los sistemas de identificación biométrica remota (Anexo III, punto 1) se someten a evaluación con organismo notificado cuando no existan normas armonizadas aplicables —situación que hoy persiste—, mientras que los sistemas incluidos en el resto de categorías del Anexo III (infraestructuras críticas, educación, empleo, acceso a servicios esenciales, actividades relacionadas con la garantía del cumplimiento del Derecho, migración y justicia) se evalúan mediante control interno del proveedor. Esta distinción se ve matizada por la circunstancia de que un sistema de IA pueda constituir un producto o componente de seguridad sometido a otra legislación europea de armonización, como la relativa a máquinas, productos sanitarios, juguetes, aparatos a presión o dispositivos radioeléctricos. En tales supuestos, la evaluación de la conformidad se lleva a cabo conforme al procedimiento previsto en la normativa sectorial aplicable, integrando los requisitos del Reglamento de IA sin alterar la metodología ni la lógica de gestión de riesgos propias de dicho sector. Esta técnica evita duplicidades procedimentales y garantiza una aplicación coherente de los instrumentos reguladores, aunque refuerza las facultades de acceso a documentación, datos y modelos por parte del organismo notificado sectorial.

Una dimensión especialmente significativa del sistema es la relativa a las modificaciones sustanciales. El Reglamento exige que cualquier alteración que pueda afectar al cumplimiento del sistema o que modifique su finalidad prevista dé lugar a una nueva evaluación de la conformidad. La regla pretende preservar la efectividad de las garantías ofrecidas en la evaluación inicial, evitando que la evolución técnica —particularmente relevante en sistemas que incorporan aprendizaje automático— vacíe de contenido la verificación previa. No obstante, no se consideran modificaciones sustanciales aquellas variaciones previstas por el proveedor en la documentación técnica y que se limitan a los márgenes de comportamiento definidos para el aprendizaje continuo, permitiendo así una adaptación razonable del sistema sin reabrir el procedimiento de conformidad.

La guía de AESIA subraya asimismo el papel central de las normas armonizadas y de las especificaciones técnicas comunes. Aunque ninguna de ellas ha sido aún aprobada para el Reglamento de IA, su futura existencia será determinante, en la medida en que proporcionarán presunción de conformidad cuando sus requisitos cubran los previstos en el capítulo III. Hasta que esas normas existan, los proveedores pueden recurrir a otros estándares técnicos internacionales, como ISO 9001, ISO/IEC 42001 o ISO/IEC 23053, que contribuyen a estructurar su sistema de calidad y a demostrar el cumplimiento, si bien sin generar los efectos jurídicos automáticos asociados a la armonización formal. Junto a ellas, el Reglamento incorpora presunciones específicas vinculadas a la adecuación de los datos de entrenamiento al entorno de uso (art. 10.4) y a los esquemas europeos de certificación de ciberseguridad (art. 15), que facilitan la acreditación de determinados requisitos.

La culminación del proceso se materializa a través de la Declaración UE de conformidad y del marcado CE, figuras consolidadas en el NML. La declaración constituye un acto jurídico unilateral del proveedor mediante el cual afirma, bajo su responsabilidad, la conformidad del sistema con todos los requisitos aplicables y se obliga a conservarla durante diez años. El marcado CE, que puede adoptar formato digital cuando el sistema se suministra por medios electrónicos, identifica la conformidad tanto con el Reglamento de IA como con cualquier otro acto legislativo aplicable. Todo el entramado se sostiene sobre la actuación coordinada de las autoridades notificantes y de los organismos notificados, cuya designación —aún pendiente en el ámbito de la IA— será determinante para la efectividad práctica del régimen.

En conjunto, la evaluación de la conformidad en el Reglamento Europeo de Inteligencia Artificial se configura como un mecanismo técnico‑jurídico sofisticado que combina responsabilidad del operador, verificación externa especializada y supervisión administrativa. La guía de AESIA ofrece una interpretación coherente de este sistema, evidenciando su adaptación a la especificidad tecnológica de la IA sin renunciar a la seguridad jurídica ofrecida por la tradición regulatoria europea. El resultado es un marco exigente pero estructuralmente estable, diseñado para permitir la innovación tecnológica sin sacrificar los estándares de seguridad, fiabilidad y protección de derechos fundamentales que constituyen la legitimidad última del régimen europeo de la IA.