Si en nuestras entregas anteriores analizamos el nuevo paradigma de la conformidad algorítmica y desglosamos la casuística práctica para identificar sistemas de alto riesgo, hoy cerramos el círculo regulatorio. Tras identificar el riesgo y comprender las definiciones, llega el momento de la verdad para cualquier proveedor de tecnología en Europa: la Evaluación de la Conformidad.
En el marco del Sandbox regulatorio liderado por España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) ha publicado su tercera guía técnica. Este documento no es un mero trámite burocrático; es la hoja de ruta para superar el examen obligatorio que permite el marcado CE y, por ende, la comercialización lícita de sistemas de IA de alto riesgo en el Mercado Único.
A continuación, analizamos la mecánica de este procedimiento crítico, depurando el lenguaje técnico para ofrecer una visión ejecutiva y rigurosa.
La Evaluación de Conformidad: Un control Ex Ante
A diferencia de otros regímenes de responsabilidad civil que operan ex post (cuando el daño ya está hecho), el Reglamento de IA impone un modelo preventivo. La evaluación de conformidad es el procedimiento mediante el cual el proveedor debe demostrar activamente que su sistema cumple con los requisitos del Capítulo II del Reglamento (artículos 8 a 15) antes de su puesta en servicio.
Es imperativo comprender que la responsabilidad de esta verificación es indelegable. Aunque un proveedor subcontrate el diseño del algoritmo o el entrenamiento de los modelos, responderá jurídicamente de la conformidad final del sistema frente a las autoridades de vigilancia del mercado.
La Bifurcación Procedimental: ¿Autocontrol o Auditoría Tercera?
La Guía 3 de la AESIA, en consonancia con el artículo 43 del Reglamento de IA, clarifica que no existe un único camino para obtener el marcado CE. La intensidad del control varía en función de la naturaleza del sistema y, crucialmente, del uso de normas armonizadas.
Podemos distinguir dos vías principales:
1. El Control Interno (Autoevaluación)
Esta es la vía estándar para la gran mayoría de los sistemas de alto riesgo listados en el Anexo III (tales como sistemas destinados a educación, empleo, acceso a servicios públicos esenciales o evaluación de crédito).
En este escenario, el legislador confía en el proveedor. Es la propia empresa quien, bajo su responsabilidad, verifica que su Sistema de Gestión de Calidad y su documentación técnica se alinean con la norma. No obstante, esta «confianza» exige una trazabilidad documental inmaculada, pues será lo primero que solicite un juez o una autoridad de control en caso de incidente.
2. La Evaluación por Tercero (Organismo Notificado)
El rigor se endurece drásticamente para los sistemas de identificación biométrica remota y otros supuestos críticos. Aquí entra en juego una variable determinante: las Normas Armonizadas.
El Reglamento premia la estandarización técnica. Si un proveedor de biometría ha aplicado íntegramente las normas armonizadas (estándares CEN/CENELEC citados en el DOUE), podrá optar por el control interno. Sin embargo, si estas normas no existen, o el proveedor ha decidido utilizar especificaciones propias, la ley asume un riesgo mayor y obliga a la intervención de un Organismo Notificado. Este auditor externo validará tanto la gestión de calidad como la documentación técnica antes de permitir el marcado CE.
Nota para sectores regulados: Si su IA es un componente de seguridad de un producto ya sujeto a marcado CE (como un ascensor, un juguete o un dispositivo médico), no se duplican los trámites. La evaluación de la IA se integra en el procedimiento de evaluación de conformidad que ya exige la legislación sectorial de dicho producto.
El Principio de Proporcionalidad: PYMES y Startups
Uno de los temores recurrentes en el ecosistema innovador es que la carga regulatoria asfixie a los nuevos actores. La Guía de la AESIA subraya los mecanismos de flexibilidad que introduce el Reglamento para mitigar este impacto.
El legislador europeo ha previsto un trato diferenciado basado en el principio de proporcionalidad. Esto se traduce en la posibilidad de que las microempresas y pymes utilicen formularios simplificados para la documentación técnica ante los organismos notificados. Asimismo, se establece un mandato para que las tasas de auditoría sean proporcionales al tamaño de la empresa y su volumen de negocio, evitando barreras de entrada económicas artificiales.
El Destino Final: Declaración UE y Marcado CE
El proceso culmina con la emisión de la Declaración UE de Conformidad, un documento con valor jurídico donde el proveedor certifica la legalidad de su sistema y que debe custodiar durante 10 años. Solo con este documento en mano se puede estampar el marcado CE (físico o digital), el «pasaporte» que permite la libre circulación del software por los 27 estados miembros.
Conclusión: Del Compliance a la Ventaja Competitiva
Como hemos reiterado a lo largo de esta serie de análisis, la conformidad normativa no debe verse como un freno, sino como un estándar de calidad. Esta tercera guía del Sandbox español evidencia que, aunque la normativa es densa, los caminos están trazados.
Para los desarrolladores y directores jurídicos, la recomendación es clara: la evaluación de conformidad no se improvisa al final del desarrollo. Debe integrarse desde la fase de diseño (Compliance by Design). Solo aquellos que entiendan la documentación técnica y el control de calidad como parte del código fuente podrán operar con seguridad jurídica en el nuevo mercado digital europeo.
