Un proveedor de software te dice, en mitad de una negociación, que su sistema "ya ha pasado la evaluación de conformidad exigida por el AI Act". Suena tranquilizador, pero si le preguntas qué significa exactamente eso, qué se evaluó y quién lo evaluó, muchas empresas se quedan sin saber qué responder porque nunca han visto el documento, solo la frase. Ya explicamos en qué es la IA de alto riesgo según el AI Act que esta categoría trae consigo una obligación llamada evaluación de conformidad. Este artículo se detiene únicamente en esa pieza: qué es, cuándo se exige y qué debería comprobar tu empresa aunque no sea ella quien la realiza.
Aviso importante: este contenido es divulgativo y no sustituye asesoría legal. El AI Act es un reglamento extenso y de aplicación progresiva; para saber con certeza qué obligaciones concretas aplican a tu proyecto, consulta con un abogado o una asesoría especializada en cumplimiento normativo.
Qué es una evaluación de conformidad
Una evaluación de conformidad es el proceso mediante el cual se comprueba, antes de poner en el mercado o en servicio un sistema de IA de alto riesgo, que ese sistema cumple los requisitos que le exige el reglamento: calidad de los datos usados para entrenarlo, documentación técnica suficiente, mecanismos de supervisión humana, precisión y robustez razonables, y registro de los eventos que genera durante su funcionamiento. No es una revisión de si el sistema "funciona bien" en un sentido comercial, es una comprobación de si cumple, punto por punto, con una lista de exigencias legales concretas.
La analogía más cercana es la de la revisión técnica de un vehículo antes de poder circular con él. No comprueba si el coche es cómodo o si gasta poco combustible, comprueba si cumple los requisitos mínimos de seguridad que la ley exige para que pueda estar en la carretera. Una evaluación de conformidad hace lo mismo con un sistema de IA de alto riesgo antes de que pueda "circular" en el mercado europeo.
Las dos vías: autoevaluación y evaluación por un organismo externo
No todas las evaluaciones de conformidad se hacen de la misma manera, y esta es la parte que más se pasa por alto. Para la mayoría de los sistemas de IA de alto riesgo, el propio proveedor puede realizar la evaluación internamente, siguiendo el procedimiento que marca el reglamento y asumiendo la responsabilidad de que el resultado es correcto. Es lo que se conoce como autoevaluación o evaluación de conformidad basada en control interno.
Para un número más reducido de casos —normalmente los de mayor sensibilidad, como determinados sistemas de identificación biométrica—, el reglamento exige que intervenga un organismo notificado, una entidad externa independiente que audita el sistema antes de dar su visto bueno. Esta vía es más costosa y lenta, y por eso el reglamento la reserva para supuestos donde el riesgo lo justifica, no para la generalidad de sistemas de alto riesgo que usa una pyme.
Saber en cuál de las dos vías está tu proveedor es una pregunta legítima antes de firmar cualquier contrato, porque cambia por completo quién ha puesto realmente el ojo encima del sistema.
Cuándo la exige el AI Act
La evaluación de conformidad se exige antes de que un sistema de IA clasificado como de alto riesgo se ponga en el mercado o se ponga en servicio por primera vez. No es un trámite que se hace una vez y se olvida para siempre: el reglamento contempla que, si el sistema sufre una modificación sustancial —un cambio relevante en su finalidad, en los datos con los que opera o en su lógica de funcionamiento—, la evaluación debe repetirse antes de que esa nueva versión se use.
Esto tiene una consecuencia práctica que muchas empresas no anticipan: un sistema que hoy cumple, y que mañana se actualiza con una funcionalidad nueva y significativa, puede necesitar una evaluación de conformidad de nuevo antes de que esa actualización entre en producción. Un proveedor serio tiene este ciclo interiorizado, no como una sorpresa cada vez que lanza una versión nueva.
Qué produce una evaluación de conformidad
El resultado tangible de una evaluación de conformidad superada es la llamada declaración de conformidad: un documento en el que el proveedor declara, bajo su responsabilidad, que el sistema cumple los requisitos aplicables. Esa declaración es, a su vez, el requisito previo para que el sistema pueda llevar el marcado correspondiente y registrarse en la base de datos europea de sistemas de alto riesgo, un paso que explicamos con más detalle en qué es el registro de sistemas de IA de alto riesgo.
Junto a la declaración, la evaluación debería dejar detrás documentación técnica sustancial: cómo se ha entrenado el sistema, qué pruebas de precisión y robustez se han hecho, qué medidas de gestión de riesgos se han aplicado y qué mecanismos de supervisión humana incorpora. Esa documentación no es un formalismo para guardar en un cajón: es lo que permite responder, si algún día hace falta, a la pregunta de por qué se consideró que el sistema cumplía.
Quién es responsable: tu empresa casi nunca hace la evaluación, pero sí tiene que comprobarla
Para la inmensa mayoría de las pymes que compran un sistema de IA de alto riesgo como servicio, en lugar de desarrollarlo, la responsabilidad de realizar la evaluación de conformidad recae sobre el proveedor, no sobre la empresa usuaria. Pero eso no libera a tu empresa de toda responsabilidad: como responsable del despliegue, sí tienes el deber de comprobar, con una diligencia razonable, que el sistema que estás contratando cuenta con esa evaluación y con su declaración de conformidad correspondiente, y de usarlo conforme a las instrucciones del proveedor.
En la práctica, esto se traduce en pedir al proveedor la declaración de conformidad y, si es posible, un resumen de la documentación técnica que la respalda, antes de firmar. Un proveedor que responde con evasivas, o que no sabe explicar en qué vía de evaluación está su sistema, es una señal de alerta que conviene tomar en serio.
Qué NO es una evaluación de conformidad
No es lo mismo que un certificado de calidad genérico ni que una auditoría de seguridad informática, aunque a veces se mencionen juntas en una misma propuesta comercial. Tampoco es una garantía de que el sistema nunca vaya a cometer un error: certifica que se cumplen unos requisitos de proceso y de diseño, no que el resultado vaya a ser perfecto en todos los casos. Y no es exclusiva de grandes fabricantes de tecnología: cualquier proveedor, del tamaño que sea, que ponga en el mercado un sistema de alto riesgo está sujeto a la misma obligación.
Conclusión
Una evaluación de conformidad es el filtro que un sistema de IA de alto riesgo debe superar antes de poder usarse legalmente, y aunque en la mayoría de los casos la responsabilidad de realizarla recae en el proveedor, tu empresa sí tiene el deber de comprobar que existe y de entender, al menos a grandes rasgos, qué cubre. Preguntarlo antes de firmar es mucho más sencillo que descubrir después que nadie la hizo.
En MG Solutions ayudamos a nuestros clientes a identificar qué preguntas hacer a sus proveedores de IA, siempre en coordinación con su asesoría legal. Reserva tu primera reunión si quieres que revisemos tu situación.