Evaluación de conformidad de IA de alto riesgo: guía paso a paso

Si tu organización desarrolla o despliega un sistema de IA clasificado como de alto riesgo, hay un trámite que no puedes saltarte: la evaluación de conformidad. Es el procedimiento por el que se demuestra que el sistema cumple los requisitos del EU AI Act antes de ponerlo en el mercado. En los proyectos regulados que dirijo, prepararla bien marca la diferencia entre lanzar a tiempo o quedarse bloqueado.

Qué es la evaluación de conformidad

La evaluación de conformidad es el proceso que verifica que un sistema de IA de alto riesgo cumple todos los requisitos que le exige el reglamento europeo. Según el caso, puede ser una autoevaluación del proveedor o requerir la intervención de un organismo notificado. El resultado, cuando es positivo, habilita el marcado CE y la inscripción en el registro europeo.

No es un examen final improvisado: es la culminación de una gobernanza que debe haber acompañado al sistema durante todo su ciclo de vida.

Los requisitos que se evalúan

Gestión de riesgos y datos

Se verifica que existe un sistema de gestión de riesgos y que los datos de entrenamiento son adecuados, representativos y están bien gobernados. Aquí el inventario de activos de IA y la calidad del dato son la base sobre la que todo se sostiene.

Documentación técnica y transparencia

El sistema debe contar con documentación técnica completa, registros de actividad y la transparencia suficiente para que los usuarios entiendan sus capacidades y límites. Sin esta documentación, la evaluación de conformidad no puede superarse.

Supervisión humana y robustez

Se comprueba que existe supervisión humana efectiva y que el sistema es robusto, preciso y seguro. La supervisión humana es uno de los pilares que más reviso, porque es donde muchos proyectos fallan al delegar demasiado en el automatismo.

Cómo la preparo en la práctica

Trabajo la conformidad desde el diseño, no al final. Mantener viva toda la evidencia (riesgos, datos, controles, documentación) es lo que convierte la evaluación en un trámite ordenado. Esa gestión continua de la conformidad es justo lo que sostiene la herramienta de cumplimiento que desarrollo, porque reconstruir la evidencia a última hora es inviable. Conviene cruzarla siempre con el checklist del EU AI Act.

Conformidad interna o por tercero: cómo elegir

Una duda recurrente es si la evaluación de conformidad puede hacerse internamente o exige un organismo notificado. La respuesta depende del tipo de sistema y de si existen normas armonizadas que lo cubran. Muchos sistemas de alto riesgo podrán autoevaluarse si se siguen esas normas, mientras que otros requerirán la intervención de un tercero. Mi consejo es aclarar esta cuestión al principio del proyecto, porque condiciona el calendario y el presupuesto: una evaluación por tercero implica plazos y costes que conviene prever con tiempo.

Sea cual sea la vía, el trabajo de fondo es el mismo: tener la documentación técnica completa, el análisis de riesgos actualizado y las pruebas que demuestran que el sistema hace lo que dice y de forma segura. Quien llega con eso ordenado supera la evaluación con relativa tranquilidad; quien improvisa, sufre.

Las barreras de seguridad como evidencia

Un aspecto que los evaluadores miran con lupa en los sistemas generativos es cómo se controla el comportamiento del modelo. No basta con decir que es seguro: hay que demostrar qué barreras impiden salidas dañinas y cómo se prueban. Por eso vinculo siempre la evaluación de conformidad con el diseño de guardrails para IA generativa, que son, en la práctica, buena parte de la evidencia técnica que sustenta la robustez del sistema.

Documentar esas barreras, cómo se diseñaron, qué casos límite cubren y cómo se monitorizan, convierte una afirmación genérica de seguridad en una prueba concreta. Y son justamente las pruebas concretas las que hacen que una evaluación de conformidad avance sin fricciones.

Mi conclusión es que la evaluación de conformidad no es un examen final que se aprueba memorizando la víspera. Es el reflejo de un trabajo continuo de gobernanza, riesgos y documentación a lo largo de todo el ciclo de vida del sistema. Las organizaciones que lo entienden así no temen la evaluación: la viven como la confirmación de algo que ya hacían bien.

Lo que muchas empresas descubren tarde es que la evaluación de conformidad no es un examen final, sino la última foto de un proceso que debería haber estado documentado desde el principio. Si has llevado un registro ordenado de los datos, las pruebas y las decisiones de diseño a lo largo del proyecto, la evaluación consiste en ordenar lo que ya tienes. Si no, se convierte en una reconstrucción forzada que casi siempre revela huecos imposibles de tapar a última hora. Por eso insisto en que el cumplimiento se construye durante el desarrollo, no al cerrarlo.

También conviene entender qué vía de evaluación aplica a tu caso. Algunos sistemas pueden autoevaluarse bajo la responsabilidad del proveedor, mientras que otros exigen la intervención de un organismo independiente. Identificar esa ruta cuanto antes evita sorpresas de calendario y de coste, porque la disponibilidad de evaluadores externos no es inmediata y puede condicionar tu fecha de salida al mercado.

Conclusión: la conformidad se construye, no se improvisa

La evaluación de conformidad de un sistema de IA de alto riesgo no es un obstáculo de última hora, sino el reflejo de cómo has gobernado el sistema desde el principio. Quien integra los requisitos en el diseño llega a la evaluación con todo listo; quien los deja para el final, descubre tarde que faltan piezas difíciles de fabricar deprisa.

Preguntas frecuentes sobre la evaluación de conformidad de IA