Análisis jurídico completo para empresas y administraciones públicas. La guía oficial de la AESIA más el criterio de iusia para el asesoramiento práctico.
La evaluación de conformidad es la verificación formal y documentada de que un sistema de IA de alto riesgo cumple todos los requisitos técnicos y organizativos establecidos en los artículos 8 a 15 del AI Act. Sin evaluación de conformidad completada, sin declaración UE de conformidad elaborada y sin marcado CE fijado, un sistema de alto riesgo no puede introducirse legalmente en el mercado de la UE. No existe excepción a esta regla.
La Guía 3 de la AESIA, con 44 páginas, detalla el procedimiento completo: las dos modalidades de evaluación (autoevaluación y evaluación por organismo notificado), el contenido de la declaración UE de conformidad, las reglas del marcado CE y la obligación de registro en la base de datos de la UE. Es el documento de cabecera para cualquier proveedor que quiera comercializar un sistema de alto riesgo en España o en el resto de la UE.
Conviene distinguir la evaluación de conformidad del AI Act de otros procesos similares que las empresas ya conocen. No es lo mismo que la EIPD del RGPD, aunque ambas deben realizarse para sistemas de alto riesgo que traten datos personales. No es lo mismo que la certificación ISO 42001, aunque esta norma facilita el cumplimiento del AI Act. Y no es lo mismo que la evaluación de conformidad de los productos regulados del Anexo I, que tiene un procedimiento específico que combina los requisitos del AI Act con los de la legislación de armonización sectorial.
Para la mayoría de sistemas de alto riesgo del Anexo III, el proveedor puede realizar la evaluación de conformidad de forma interna, sin la participación de un organismo de tercera parte. Es la modalidad por defecto para todos los sistemas del Anexo III salvo los que expresamente requieren organismo notificado.
La autoevaluación no es un trámite informal. El Anexo VI establece con precisión qué debe incluir el procedimiento de control interno. El proveedor debe verificar internamente que el sistema cumple los requisitos técnicos de los arts. 8-15 (gestión de riesgos, gobernanza de datos, documentación técnica, logs, transparencia, supervisión humana, precisión, solidez, ciberseguridad), que el sistema de gestión de calidad del art. 17 está establecido y operativo, que la documentación técnica del Anexo IV está completa, y que el sistema cumple con las normas armonizadas aplicables o con especificaciones técnicas comunes cuando las haya.
El resultado del proceso de control interno debe quedar documentado. Esta documentación no se envía a ninguna autoridad por defecto, pero debe estar disponible para la AESIA o cualquier autoridad de supervisión de un Estado miembro si la solicitan en el contexto de una inspección o investigación. La guía recomienda estructurar esta documentación siguiendo el modelo del Anexo VI para facilitar su eventual presentación a las autoridades.
Determinadas categorías de sistemas de alto riesgo requieren obligatoriamente la participación de un organismo de tercera parte — el organismo notificado. La regla del artículo 43.3 establece que necesitan evaluación por organismo notificado los sistemas de identificación biométrica remota (excepto los de verificación 1:1) y, en general, los sistemas del Anexo III que no permiten autoevaluación por su especial sensibilidad.
Los organismos notificados son entidades acreditadas por las autoridades nacionales de acreditación de cada Estado miembro — en España, ENAC (Entidad Nacional de Acreditación) — y designados por las autoridades competentes para realizar evaluaciones de conformidad de sistemas de IA de alto riesgo. A la fecha de actualización de este análisis, España está en proceso de designar los primeros organismos notificados conforme al AI Act. La guía advierte que la agenda de los organismos notificados para el segundo trimestre de 2026 está prácticamente completa, lo que implica que los proveedores que necesiten evaluación por tercero deben iniciar el proceso inmediatamente.
El procedimiento de evaluación por organismo notificado (Anexo VII) tiene tres fases. La primera es la solicitud: el proveedor presenta la documentación técnica completa conforme al Anexo IV, una descripción del sistema de gestión de calidad y cualquier otra información adicional relevante. La segunda es la evaluación: el organismo notificado revisa la documentación, puede realizar pruebas y entrevistas, y emite un dictamen técnico. La tercera es la certificación: si el dictamen es positivo, el organismo emite un certificado de examen de tipo UE que tiene una validez de cinco años, renovable.
Una vez completada la evaluación de conformidad — ya sea por autoevaluación o por organismo notificado — el proveedor elabora y firma la declaración UE de conformidad. Es el documento jurídico formal en el que el proveedor declara bajo su exclusiva responsabilidad que el sistema cumple los requisitos del AI Act. Tiene rango de declaración responsable: si la declaración es falsa o incorrecta, el proveedor incurre en una infracción del artículo 99.4, sancionable con hasta 15 millones de euros o el 3% del volumen de negocio global.
El contenido mínimo de la declaración UE de conformidad está establecido en el Anexo V del AI Act. Debe incluir: el nombre y datos de contacto del proveedor, el nombre y versión del sistema de IA, una descripción del sistema y su finalidad prevista, una declaración de que el sistema cumple los requisitos aplicables del Reglamento, las referencias a las normas armonizadas o especificaciones técnicas comunes utilizadas, si procede, la referencia al certificado del organismo notificado cuando sea aplicable, el lugar y la fecha de emisión, y la firma del representante del proveedor autorizado.
La declaración UE de conformidad debe redactarse en la lengua oficial del Estado miembro donde el sistema se comercializa — en España, en castellano — y, en su caso, en otras lenguas oficiales. Debe mantenerse actualizada durante toda la vida del sistema y durante diez años después de que el sistema haya sido retirado del mercado.
Una vez elaborada la declaración UE de conformidad, el proveedor fija el marcado CE al sistema de IA. El marcado CE es la señal visible de que el sistema ha superado el proceso de evaluación de conformidad y puede comercializarse en el Espacio Económico Europeo. Para los sistemas de IA, el marcado CE se aplica siguiendo las reglas del Reglamento (CE) 765/2008 y las específicas del art. 48 del AI Act.
El marcado CE debe ser visible, legible e indeleble en el sistema de IA o en la etiqueta del producto que lo incorpora. Cuando la naturaleza del sistema no permita colocar el marcado CE en el propio sistema (por ejemplo, en un sistema de software sin interfaz física), puede aparecer en el embalaje, las instrucciones de uso o la documentación que acompaña al sistema. El marcado CE no puede aparecer en sistemas que no hayan completado el proceso de evaluación de conformidad — su uso incorrecto es una infracción del artículo 99.
Si el sistema de IA está incorporado en un producto físico sujeto a legislación de armonización del Anexo I (por ejemplo, un producto sanitario o una máquina), el marcado CE del producto cubre también el componente de IA. En este caso, el procedimiento combinado del artículo 46 regula cómo coordinar las evaluaciones de conformidad del AI Act y de la legislación sectorial.
Antes de comercializar un sistema de alto riesgo del Anexo III, el proveedor debe registrarlo en la base de datos de la UE gestionada por la Comisión Europea. Esta base de datos es pública — permite a cualquier persona buscar información sobre los sistemas de IA de alto riesgo disponibles en el mercado europeo — y forma parte del sistema de transparencia del AI Act.
El registro debe incluir, como mínimo: el nombre del proveedor y sus datos de contacto, el nombre y número de versión del sistema, la finalidad prevista del sistema y los usuarios a los que va dirigido, el Estado miembro en el que el sistema va a comercializarse, el URL de instrucciones de uso, el resultado de la evaluación de conformidad, y la referencia a la declaración UE de conformidad. La Comisión Europea ha publicado las especificaciones técnicas del sistema de registro, y España tendrá un punto de contacto nacional en la AESIA para asistir a los proveedores en el proceso.
Los desplegadores que sean organismos del sector público deben también registrarse en la base de datos cuando pongan en servicio sistemas de alto riesgo que hayan adquirido a un proveedor (art. 49.2). Este requisito específico para el sector público es una de las diferencias más relevantes entre el régimen del proveedor y el del desplegador público.
La evaluación de conformidad no es un proceso puntual que se realiza una vez y vale para siempre. El artículo 43.4 establece que los proveedores deben repetir la evaluación cuando introduzcan modificaciones sustanciales en el sistema. La determinación de qué es una "modificación sustancial" es uno de los puntos más relevantes para la gestión del ciclo de vida del sistema.
La guía de la AESIA define la modificación sustancial como cualquier cambio en el sistema que altere su conformidad con los requisitos aplicables o que cambie la finalidad prevista del sistema. Los ejemplos incluyen: cambios en los datos de entrenamiento que alteren significativamente el comportamiento del modelo, cambios en la arquitectura del modelo que afecten a su rendimiento en las áreas de aplicación crítica, extensión de la finalidad del sistema a nuevos sectores o contextos no previstos en la evaluación original, y cambios que afecten a los mecanismos de supervisión humana.
Las actualizaciones de mantenimiento y corrección de errores que no alteren el comportamiento del sistema ni su nivel de precisión no son modificaciones sustanciales y no requieren nueva evaluación. Los parches de ciberseguridad tampoco, salvo que alteren la arquitectura del sistema. La guía recomienda establecer un proceso interno de gestión del cambio que incluya la evaluación sistemática de si cada actualización constituye o no una modificación sustancial.
La evaluación de conformidad y el marcado CE son instrumentos que el mercado ya está empezando a exigir en los contratos de adquisición de software con funcionalidades de IA. Los departamentos de compras y jurídico de las grandes empresas están incorporando a sus pliegos de condiciones la exigencia de que el software de IA suministrado cuente con marcado CE cuando sea de alto riesgo, o que el proveedor acredite que el sistema no es de alto riesgo mediante la documentación de la autoevaluación del artículo 6.3.
Esta tendencia es previsiblemente la que acelerará más el cumplimiento del AI Act entre los proveedores de software: la presión comercial de los grandes clientes que exigen acreditación de conformidad como condición para la contratación. Para los proveedores españoles de software con funcionalidades de IA, no tener completada la evaluación de conformidad antes del 2 de diciembre de 2027 (Anexo III) o del 2 de agosto de 2028 (Anexo I) puede suponer perder contratos con grandes empresas y con el sector público, que tiene obligación de verificar el cumplimiento del AI Act de sus proveedores.
Para los proveedores de sistemas de alto riesgo, el proceso de evaluación de conformidad requiere una planificación con suficiente antelación. La guía de la AESIA recomienda iniciar el proceso al menos seis meses antes de la fecha de comercialización prevista, para disponer de tiempo suficiente para completar la documentación técnica, verificar el cumplimiento de cada requisito técnico, y en su caso contratar y completar la evaluación por un organismo notificado.
La secuencia recomendada es: primero completar el sistema de gestión de calidad del art. 17; segundo, elaborar la documentación técnica del Anexo IV; tercero, completar el proceso de gestión de riesgos del art. 9; cuarto, verificar el cumplimiento de los requisitos técnicos de los arts. 10-15; quinto, realizar la evaluación de conformidad según la modalidad aplicable; sexto, elaborar la declaración UE de conformidad; séptimo, fijar el marcado CE; y octavo, registrar el sistema en la base de datos de la UE. La Guía 16 de la AESIA proporciona los checklists específicos para verificar cada paso.
El proveedor que quiere comercializar un sistema de alto riesgo en la UE debe seguir una secuencia ordenada de pasos que la Guía 3 describe con precisión. El primer paso es verificar que el sistema de gestión de calidad del artículo 17 está establecido, documentado y operativo. Sin SGC, el proceso de evaluación de conformidad no puede comenzar de forma válida, porque la evaluación de conformidad verifica, entre otras cosas, que el SGC existe y funciona.
El segundo paso es verificar que la documentación técnica del Anexo IV está completa, actualizada y coherente con el estado actual del sistema. La evaluación de conformidad es en gran medida una revisión documental: el organismo notificado, o el propio proveedor en el caso de la autoevaluación, revisa la documentación para verificar que el sistema cumple los requisitos del AI Act. Una documentación técnica incompleta o desactualizada no puede superarse con explicaciones verbales durante la evaluación.
El tercer paso es verificar que todos los requisitos técnicos de los artículos 9 a 15 se cumplen y están documentados: gestión de riesgos, gobernanza de datos, transparencia, supervisión humana, precisión, solidez y ciberseguridad. Para cada requisito, la evaluación buscará evidencias concretas de su cumplimiento — no declaraciones genéricas.
El cuarto paso es identificar si existen normas armonizadas aplicables al sistema. El legislador europeo ha encargado a los organismos de normalización — CEN, CENELEC, ETSI — la elaboración de normas armonizadas que especifiquen los requisitos técnicos del AI Act de forma detallada y con presunción de conformidad. Cuando existe una norma armonizada aplicable, el proveedor que cumple esa norma se presume que cumple los requisitos del AI Act que la norma cubre. A la fecha de actualización de este análisis, las normas armonizadas específicas del AI Act están en proceso de elaboración y aún no se han publicado en el DOUE.
El quinto paso es completar el procedimiento de evaluación de conformidad — autoevaluación conforme al Anexo VI o evaluación por organismo notificado conforme al Anexo VII — y documentar el proceso y sus resultados.
El artículo 99 del AI Act establece un régimen de sanciones específico para distintos tipos de infracción. La comercialización o puesta en servicio de un sistema de alto riesgo sin haber completado la evaluación de conformidad requerida es una infracción del artículo 99.4, sancionable con multas de hasta 15 millones de euros o el 3% del volumen de negocio global anual, la cantidad que sea mayor.
La fijación incorrecta del marcado CE — colocarlo en un sistema que no ha superado la evaluación de conformidad o que no es de alto riesgo — es también una infracción del artículo 99.4 (obligaciones del proveedor del artículo 16), sancionable con hasta 15 millones de euros o el 3% del volumen de negocio global. La elaboración de una declaración UE de conformidad falsa o incorrecta tiene la misma sanción. El artículo 99.5 (hasta 7,5 millones de euros o el 1%) se reserva para el suministro de información incorrecta, incompleta o engañosa a las autoridades o a los organismos notificados.
La guía advierte que las sanciones del AI Act son acumulables entre sí y con las sanciones del RGPD cuando el incumplimiento del AI Act implica también una vulneración de la normativa de protección de datos. Un sistema de alto riesgo comercializado sin evaluación de conformidad y que trata datos personales de forma incorrecta puede generar sanciones simultáneas bajo el AI Act y bajo el RGPD, con una exposición económica total que supera la de cada normativa individualmente.
El Ómnibus Digital, aprobado definitivamente como Reglamento (UE) 2026/1744 y en vigor desde el 27 de julio de 2026, ha modificado los plazos del AI Act que afectan a la evaluación de conformidad: los requisitos del Anexo III se aplican desde el 2 de diciembre de 2027 y los del Anexo I desde el 2 de agosto de 2028. Los proveedores disponen así de tiempo adicional para completar los procesos de evaluación de conformidad.
Ese margen no debe interpretarse como una moratoria. Los procesos con organismo notificado son largos, la capacidad de estos organismos es limitada y los grandes clientes y el sector público ya exigen acreditación de conformidad en sus contratos. El escenario de prudencia es tener el expediente listo con holgura antes de diciembre de 2027.
La disponibilidad de organismos notificados acreditados para el AI Act es uno de los cuellos de botella más importantes para los proveedores que necesitan evaluación de tercera parte. Los organismos notificados deben ser acreditados por las autoridades nacionales de acreditación de cada Estado miembro y designados por las autoridades nacionales competentes. En España, ENAC gestiona la acreditación y la AESIA coordina la designación.
La guía advierte que a finales de 2025, el número de organismos notificados acreditados para el AI Act en toda la UE era muy limitado, y sus agendas se llenaban rápidamente. Los proveedores que necesiten evaluación por organismo notificado deben iniciar el proceso de contacto y contratación con suficiente antelación — la guía recomienda un mínimo de 9 meses antes de la fecha de comercialización prevista — para garantizar que pueden completar el proceso dentro del plazo regulatorio.
El proveedor que quiere comercializar un sistema de alto riesgo en la UE debe seguir una secuencia ordenada de pasos que la Guía 3 describe con precisión. El primer paso es verificar que el sistema de gestión de calidad del artículo 17 está establecido, documentado y operativo. Sin SGC, el proceso de evaluación de conformidad no puede comenzar de forma válida, porque la evaluación de conformidad verifica, entre otras cosas, que el SGC existe y funciona.
El segundo paso es verificar que la documentación técnica del Anexo IV está completa, actualizada y coherente con el estado actual del sistema. La evaluación de conformidad es en gran medida una revisión documental: el organismo notificado, o el propio proveedor en el caso de la autoevaluación, revisa la documentación para verificar que el sistema cumple los requisitos del AI Act. Una documentación técnica incompleta o desactualizada no puede superarse con explicaciones verbales durante la evaluación.
El tercer paso es verificar que todos los requisitos técnicos de los artículos 9 a 15 se cumplen y están documentados: gestión de riesgos, gobernanza de datos, transparencia, supervisión humana, precisión, solidez y ciberseguridad. Para cada requisito, la evaluación buscará evidencias concretas de su cumplimiento — no declaraciones genéricas.
El cuarto paso es identificar si existen normas armonizadas aplicables al sistema. El legislador europeo ha encargado a los organismos de normalización — CEN, CENELEC, ETSI — la elaboración de normas armonizadas que especifiquen los requisitos técnicos del AI Act de forma detallada y con presunción de conformidad. Cuando existe una norma armonizada aplicable, el proveedor que cumple esa norma se presume que cumple los requisitos del AI Act que la norma cubre. A la fecha de actualización de este análisis, las normas armonizadas específicas del AI Act están en proceso de elaboración y aún no se han publicado en el DOUE.
El quinto paso es completar el procedimiento de evaluación de conformidad — autoevaluación conforme al Anexo VI o evaluación por organismo notificado conforme al Anexo VII — y documentar el proceso y sus resultados.
El artículo 99 del AI Act establece un régimen de sanciones específico para distintos tipos de infracción. La comercialización o puesta en servicio de un sistema de alto riesgo sin haber completado la evaluación de conformidad requerida es una infracción del artículo 99.4, sancionable con multas de hasta 15 millones de euros o el 3% del volumen de negocio global anual, la cantidad que sea mayor.
La fijación incorrecta del marcado CE — colocarlo en un sistema que no ha superado la evaluación de conformidad o que no es de alto riesgo — es también una infracción del artículo 99.4 (obligaciones del proveedor del artículo 16), sancionable con hasta 15 millones de euros o el 3% del volumen de negocio global. La elaboración de una declaración UE de conformidad falsa o incorrecta tiene la misma sanción. El artículo 99.5 (hasta 7,5 millones de euros o el 1%) se reserva para el suministro de información incorrecta, incompleta o engañosa a las autoridades o a los organismos notificados.
La guía advierte que las sanciones del AI Act son acumulables entre sí y con las sanciones del RGPD cuando el incumplimiento del AI Act implica también una vulneración de la normativa de protección de datos. Un sistema de alto riesgo comercializado sin evaluación de conformidad y que trata datos personales de forma incorrecta puede generar sanciones simultáneas bajo el AI Act y bajo el RGPD, con una exposición económica total que supera la de cada normativa individualmente.
El Ómnibus Digital, aprobado definitivamente como Reglamento (UE) 2026/1744 y en vigor desde el 27 de julio de 2026, ha modificado los plazos del AI Act que afectan a la evaluación de conformidad: los requisitos del Anexo III se aplican desde el 2 de diciembre de 2027 y los del Anexo I desde el 2 de agosto de 2028. Los proveedores disponen así de tiempo adicional para completar los procesos de evaluación de conformidad.
Ese margen no debe interpretarse como una moratoria. Los procesos con organismo notificado son largos, la capacidad de estos organismos es limitada y los grandes clientes y el sector público ya exigen acreditación de conformidad en sus contratos. El escenario de prudencia es tener el expediente listo con holgura antes de diciembre de 2027.
La disponibilidad de organismos notificados acreditados para el AI Act es uno de los cuellos de botella más importantes para los proveedores que necesitan evaluación de tercera parte. Los organismos notificados deben ser acreditados por las autoridades nacionales de acreditación de cada Estado miembro y designados por las autoridades nacionales competentes. En España, ENAC gestiona la acreditación y la AESIA coordina la designación.
La guía advierte que a finales de 2025, el número de organismos notificados acreditados para el AI Act en toda la UE era muy limitado, y sus agendas se llenaban rápidamente. Los proveedores que necesiten evaluación por organismo notificado deben iniciar el proceso de contacto y contratación con suficiente antelación — la guía recomienda un mínimo de 9 meses antes de la fecha de comercialización prevista — para garantizar que pueden completar el proceso dentro del plazo regulatorio.
Más recursos: calendario del AI Act tras el Ómnibus Digital · análisis del AI Act en 2026 · servicios para administraciones públicas (LexQuark).
Newsletter gratuita · Empresas y administraciones públicas · En español