Análisis jurídico completo para empresas y administraciones públicas. La guía oficial de la AESIA más el criterio de iusia para el asesoramiento práctico.
El artículo 17 del AI Act obliga a todos los proveedores de sistemas de IA de alto riesgo a establecer, implementar y mantener con carácter sistemático un sistema de gestión de calidad (SGC). Esta obligación existe con independencia del tamaño de la empresa, del sector en el que opera y de si ya tiene o no alguna certificación de gestión de calidad existente. No es una recomendación — es un requisito legal cuyo incumplimiento puede ser sancionado por la AESIA.
La diferencia fundamental con las certificaciones de gestión de calidad voluntarias como ISO 9001 o ISO 27001 es precisamente esa: el SGC del AI Act es obligatorio para cualquier proveedor de sistemas de alto riesgo, y su existencia, adecuación y operatividad pueden ser verificadas por las autoridades supervisoras en cualquier momento. La guía de la AESIA detalla los diez elementos que el art. 17.1 exige que el SGC incluya, y los organiza en cuatro áreas temáticas: política y estrategia, procesos técnicos, gestión operativa y mejora continua.
Para las empresas que ya cuentan con un sistema de gestión de calidad conforme a ISO 9001, ISO 27001 o la norma ISO 42001 específica para sistemas de gestión de IA, la buena noticia es que gran parte de la infraestructura organizativa y documental ya existe. Lo que hay que añadir son los elementos específicos que el art. 17 del AI Act exige y que no están cubiertos por las normas generales: la gestión de riesgos de derechos fundamentales, la gobernanza de datos de entrenamiento, la vigilancia poscomercialización del modelo, y los procedimientos de comunicación con las autoridades supervisoras.
El primer elemento es la estrategia de cumplimiento normativo: una política documentada que establezca el compromiso del proveedor con el cumplimiento del AI Act y la forma en que ese compromiso se articula en la organización. Debe incluir la designación de un responsable interno del cumplimiento del Reglamento, con autoridad suficiente para tomar decisiones y acceso directo a la dirección de la empresa.
El segundo elemento son las técnicas, procedimientos y acciones sistemáticas para el diseño, el control del diseño y la verificación del diseño de los sistemas de IA. Esto incluye los procesos de ingeniería que garantizan que cada fase del desarrollo — desde la especificación de requisitos hasta las pruebas finales — incorpora los criterios de cumplimiento del AI Act como parte inherente del flujo de trabajo.
El tercer elemento son las técnicas de prueba y validación de los sistemas de IA, incluidas las que se realizan antes de la comercialización y las que se realizan durante el seguimiento poscomercialización. El sistema de gestión de calidad debe establecer cuándo, cómo y con qué criterios se realizan las pruebas, quién las ejecuta, cómo se documentan los resultados y qué sucede cuando los resultados no superan los umbrales establecidos.
El cuarto elemento es el sistema de gestión de datos, incluidos los datos de entrenamiento, validación y prueba. Debe cubrir los criterios de calidad y selección de datos, los procesos de etiquetado y control de calidad del etiquetado, la trazabilidad de los datos desde su origen hasta su uso en el modelo, y los procedimientos de eliminación o anonimización cuando los datos ya no son necesarios.
El quinto elemento es el sistema de gestión de riesgos del artículo 9: el proceso iterativo de identificación, análisis y mitigación de riesgos para la salud, la seguridad y los derechos fundamentales. El SGC debe establecer cómo se integra el proceso de gestión de riesgos en el ciclo de vida del sistema y con qué frecuencia se revisa.
El sexto elemento es el sistema de gestión de subcontratistas y proveedores. Cuando partes del sistema de IA son desarrolladas o proporcionadas por terceros — datos de entrenamiento, componentes de software, servicios en la nube — el SGC debe establecer cómo el proveedor garantiza que esos terceros cumplen los estándares de calidad necesarios para que el sistema final cumpla el AI Act.
El séptimo elemento es el plan de gestión de cambios poscomercialización: el proceso para evaluar si una actualización o modificación del sistema constituye una modificación sustancial que requiere nueva evaluación de conformidad, y el procedimiento para gestionar los cambios que sí la requieren.
El octavo elemento es el plan de vigilancia poscomercialización del artículo 72: los indicadores y la frecuencia de monitorización del rendimiento del sistema en producción, los canales de retroalimentación de los desplegadores, y los umbrales que disparan acciones correctivas.
El noveno elemento son los procedimientos de comunicación con las autoridades competentes: cómo se gestiona internamente la notificación de incidentes graves del artículo 73, quién tiene la responsabilidad de decidir si un evento es un incidente grave, y cuál es el proceso para preparar y enviar la notificación.
El décimo elemento es el sistema de registro y documentación: cómo se archivan todos los documentos, decisiones y registros que el AI Act exige conservar, durante cuánto tiempo, y en qué formato. La guía recomienda que el sistema de registro contemple también la trazabilidad de las decisiones tomadas durante el desarrollo del sistema, no solo de los resultados finales.
La norma ISO/IEC 42001:2023 es el estándar internacional de sistemas de gestión de inteligencia artificial. Ha sido diseñada para ser compatible con la estructura de alto nivel de las normas de gestión ISO (la misma base estructural que ISO 9001 e ISO 27001), lo que facilita su integración con sistemas de gestión ya existentes.
La guía de la AESIA analiza explícitamente la alineación entre ISO 42001 y los requisitos del art. 17 del AI Act. La conclusión es que ISO 42001 cubre la mayor parte de los diez elementos del art. 17, con algunas diferencias relevantes. La principal es que ISO 42001 no incluye de forma específica los requisitos sobre datos de entrenamiento para sistemas de alto riesgo que el art. 10 AI Act exige — hay que añadirlos. Tampoco cubre con el mismo nivel de detalle los procedimientos de comunicación con las autoridades supervisoras, que son específicos del régimen regulatorio europeo.
La certificación conforme a ISO 42001 no equivale automáticamente al cumplimiento del art. 17 del AI Act, pero sí constituye una evidencia muy sólida de que el proveedor ha establecido un sistema de gestión de IA robusto. En un eventual proceso de inspección o sancionador, disponer de la certificación ISO 42001 podría ser considerado un factor atenuante de la responsabilidad o una demostración de la diligencia debida del proveedor.
El SGC del AI Act es, en gran medida, un sistema documental. Las autoridades supervisoras evaluarán su existencia y adecuación fundamentalmente a través de los documentos que el proveedor pueda presentar. La guía de la AESIA establece una lista de los documentos mínimos que deben existir y estar actualizados.
En primer lugar, la política de calidad: el documento de alto nivel que establece el compromiso de la dirección con el cumplimiento del AI Act y los principios generales del SGC. No puede ser un documento genérico copiado de una plantilla — debe hacer referencia específica al sistema de IA concreto y a los riesgos particulares que presenta.
En segundo lugar, el manual del SGC: el documento que describe la estructura del sistema de gestión de calidad, los procesos que lo forman, sus interacciones y las responsabilidades internas. Puede ser un documento único o un conjunto de documentos relacionados.
En tercer lugar, los procedimientos documentados: los documentos que describen cómo se realizan los procesos críticos — gestión de riesgos, pruebas de validación, gestión de cambios, gestión de incidentes, comunicación con autoridades. Los procedimientos deben ser suficientemente detallados para que cualquier persona con la formación adecuada pueda seguirlos sin necesidad de instrucción adicional.
En cuarto lugar, los registros de operación: las evidencias de que los procesos se están ejecutando conforme a los procedimientos. Incluyen las actas de las reuniones de revisión del SGC, los informes de auditoría interna, los registros de no conformidades y las acciones correctivas tomadas, y los registros de formación del personal.
El SGC del AI Act debe incluir un proceso de auditoría interna periódica que verifique que el sistema está funcionando conforme a lo planificado y que los requisitos del AI Act se están cumpliendo de forma efectiva. La guía recomienda una frecuencia mínima de auditoría anual, con auditorías adicionales cuando se produzcan cambios significativos en el sistema o cuando se detecten no conformidades.
La auditoría interna puede ser realizada por personal interno de la empresa, pero debe ser ejecutada por personas que no sean responsables directas del área auditada, para garantizar la objetividad del proceso. La guía aclara que la auditoría interna del SGC es diferente de la evaluación de conformidad del art. 43 — esta es realizada por el proveedor o por un organismo notificado para verificar el cumplimiento de los requisitos técnicos del AI Act, mientras que la auditoría interna del SGC verifica que el propio sistema de gestión está funcionando adecuadamente.
Para los juristas que asesoran en operaciones de adquisición e inversión, el SGC del art. 17 es uno de los elementos clave que deben verificarse en la due diligence de AI compliance. Un target que no tiene un SGC establecido, o cuyo SGC es puramente formal sin evidencias de operación real, presenta un riesgo de cumplimiento significativo que debe reflejarse en el análisis y, en su caso, en el precio o en las garantías del contrato.
Las preguntas clave en la due diligence sobre el SGC son: ¿existe un SGC documentado? ¿Está designado un responsable de cumplimiento del AI Act con autoridad real? ¿Se realizan auditorías internas periódicas y hay evidencias de ello? ¿Existen registros de no conformidades y acciones correctivas que demuestren que el sistema funciona como herramienta de mejora y no solo de cumplimiento formal? ¿El SGC cubre todos los sistemas de IA de alto riesgo del target o solo algunos?
El artículo 17 no hace distinción por tamaño de empresa: tanto una multinacional como una startup de cinco personas que desarrolle un sistema de alto riesgo deben establecer un SGC. La guía de la AESIA, consciente de esta realidad, proporciona orientación específica sobre cómo las pymes y las startups pueden implementar un SGC proporcional a sus recursos sin sacrificar la sustancia de los requisitos.
La clave para las empresas pequeñas es la proporcionalidad: el SGC puede ser más simple en su forma pero no puede serlo en su contenido. Los diez elementos del art. 17.1 deben estar cubiertos, pero la extensión de la documentación, la formalidad de los procedimientos y la frecuencia de las revisiones pueden calibrarse al tamaño y la complejidad de la organización. Una startup de cinco personas no necesita un manual de calidad de 200 páginas ni un proceso de auditoría interna con un equipo de auditores dedicado — pero sí necesita que exista un documento que describa cómo gestiona los riesgos del sistema, que alguien sea responsable del cumplimiento del AI Act, y que haya evidencias de que el proceso funciona.
La Comisión Europea ha anunciado que publicará directrices específicas para pymes sobre cómo cumplir con el AI Act de forma proporcionada, y que habilitará recursos de apoyo a través de los AI Testing and Experimentation Facilities (TEFs) y los Digital Innovation Hubs (DIHs). En España, Red.es coordina los Digital Innovation Hubs que pueden proporcionar asistencia técnica a pymes en el cumplimiento del AI Act, incluyendo asesoramiento sobre cómo implementar el SGC del art. 17.
Cuando el sistema de alto riesgo se desarrolla con componentes o herramientas de terceros — lo que es prácticamente universal en el estado actual de la industria de IA, donde casi todos los sistemas usan modelos base de proveedores como OpenAI, Anthropic o Google — el SGC del proveedor debe cubrir también cómo gestiona la calidad y el cumplimiento de esos componentes externos.
El artículo 25 del AI Act establece que cuando un sistema de IA de alto riesgo incorpora un modelo GPAI, el proveedor del sistema asegura que el modelo GPAI cumple las obligaciones aplicables y que el sistema de alto riesgo cumple los requisitos aplicables. Esto implica que el SGC del proveedor del sistema debe incluir procesos de verificación de que los modelos GPAI que utiliza cumplen con las obligaciones del Título V del AI Act, incluyendo la transparencia sobre los datos de entrenamiento y los mecanismos de seguridad.
En la práctica, los contratos con proveedores de modelos base deben incluir garantías sobre el cumplimiento del AI Act por parte del proveedor del modelo, y el SGC del proveedor del sistema debe establecer cómo verifica que esas garantías se cumplen. Esta es una de las áreas donde los contratos de suministro de software de IA están evolucionando más rápidamente: las cláusulas de AI compliance están convirtiéndose en estándar en los contratos con proveedores de modelos base.
El incumplimiento de la obligación de establecer y mantener el SGC del artículo 17 es una infracción del artículo 99.4 del AI Act, sancionable con hasta 15 millones de euros o el 3% del volumen de negocio global anual. La ausencia del SGC es un incumplimiento estructural que afecta potencialmente a todos los sistemas de alto riesgo que el proveedor comercializa, lo que puede multiplicar el alcance de la sanción si el proveedor tiene varios sistemas en el mercado.
Además de la sanción directa, la ausencia del SGC es un factor que las autoridades supervisoras tendrán en cuenta al evaluar la gravedad de otras infracciones. Un proveedor que tiene un incidente grave con un sistema de alto riesgo y que además no tenía el SGC establecido se enfrenta a una doble infracción — la del incidente y la del SGC — con sanciones potencialmente acumulables.
El artículo 17 no hace distinción por tamaño de empresa: tanto una multinacional como una startup de cinco personas que desarrolle un sistema de alto riesgo deben establecer un SGC. La guía de la AESIA, consciente de esta realidad, proporciona orientación específica sobre cómo las pymes y las startups pueden implementar un SGC proporcional a sus recursos sin sacrificar la sustancia de los requisitos.
La clave para las empresas pequeñas es la proporcionalidad: el SGC puede ser más simple en su forma pero no puede serlo en su contenido. Los diez elementos del art. 17.1 deben estar cubiertos, pero la extensión de la documentación, la formalidad de los procedimientos y la frecuencia de las revisiones pueden calibrarse al tamaño y la complejidad de la organización. Una startup de cinco personas no necesita un manual de calidad de 200 páginas ni un proceso de auditoría interna con un equipo de auditores dedicado — pero sí necesita que exista un documento que describa cómo gestiona los riesgos del sistema, que alguien sea responsable del cumplimiento del AI Act, y que haya evidencias de que el proceso funciona.
La Comisión Europea ha anunciado que publicará directrices específicas para pymes sobre cómo cumplir con el AI Act de forma proporcionada, y que habilitará recursos de apoyo a través de los AI Testing and Experimentation Facilities (TEFs) y los Digital Innovation Hubs (DIHs). En España, Red.es coordina los Digital Innovation Hubs que pueden proporcionar asistencia técnica a pymes en el cumplimiento del AI Act, incluyendo asesoramiento sobre cómo implementar el SGC del art. 17.
Cuando el sistema de alto riesgo se desarrolla con componentes o herramientas de terceros — lo que es prácticamente universal en el estado actual de la industria de IA, donde casi todos los sistemas usan modelos base de proveedores como OpenAI, Anthropic o Google — el SGC del proveedor debe cubrir también cómo gestiona la calidad y el cumplimiento de esos componentes externos.
El artículo 25 del AI Act establece que cuando un sistema de IA de alto riesgo incorpora un modelo GPAI, el proveedor del sistema asegura que el modelo GPAI cumple las obligaciones aplicables y que el sistema de alto riesgo cumple los requisitos aplicables. Esto implica que el SGC del proveedor del sistema debe incluir procesos de verificación de que los modelos GPAI que utiliza cumplen con las obligaciones del Título V del AI Act, incluyendo la transparencia sobre los datos de entrenamiento y los mecanismos de seguridad.
En la práctica, los contratos con proveedores de modelos base deben incluir garantías sobre el cumplimiento del AI Act por parte del proveedor del modelo, y el SGC del proveedor del sistema debe establecer cómo verifica que esas garantías se cumplen. Esta es una de las áreas donde los contratos de suministro de software de IA están evolucionando más rápidamente: las cláusulas de AI compliance están convirtiéndose en estándar en los contratos con proveedores de modelos base.
El incumplimiento de la obligación de establecer y mantener el SGC del artículo 17 es una infracción del artículo 99.4 del AI Act, sancionable con hasta 15 millones de euros o el 3% del volumen de negocio global anual. La ausencia del SGC es un incumplimiento estructural que afecta potencialmente a todos los sistemas de alto riesgo que el proveedor comercializa, lo que puede multiplicar el alcance de la sanción si el proveedor tiene varios sistemas en el mercado.
Además de la sanción directa, la ausencia del SGC es un factor que las autoridades supervisoras tendrán en cuenta al evaluar la gravedad de otras infracciones. Un proveedor que tiene un incidente grave con un sistema de alto riesgo y que además no tenía el SGC establecido se enfrenta a una doble infracción — la del incidente y la del SGC — con sanciones potencialmente acumulables.
Más recursos: calendario del AI Act tras el Ómnibus Digital · análisis del AI Act en 2026 · servicios para administraciones públicas (LexQuark).
Newsletter gratuita · Empresas y administraciones públicas · En español