Desde junio se tramita en la Comisión de Economía del Congreso el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que no regula la inteligencia artificial, cosa que ya hace el Reglamento europeo con eficacia directa, sino aquello que el Reglamento deja en manos de cada Estado: quién designará a los organismos que evaluarán la conformidad, quién vigilará el mercado y quién sancionará los incumplimientos. Nada dice, sin embargo, sobre quien tendrá la competencia para certificar los modelos de IA que así lo necesiten conforme el Reglamento comunitario. A este respecto, los sistemas de alto riesgo del Anexo III y que incluyen los de, por ejemplo, selección de personal, evaluación de solvencia, educación, seguros, migración o justicia (el catálogo definitivo se está analizando por la Comisión con el apoyo del AI Advisory Forum del que forma parte CerteIDAS), requieren de la implantación de un sistema de control interno documentador y un sistema de evaluación de primera parte, esto es, de autoevaluación con la excepción de los sistemas biométricos que podrán pasar a este sistema cuando aplique normas armonizadas.
La evaluación de conformidad de tercera parte y su obligatoriedad aparece referida en el anexo I que se refiere a los modelos integrados en productos que ya eran objeto de certificación como es el caso de los productos sanitarios, máquinas, ascensores o juguetes. En este supuesto, las mismas entidades de certificación que evaluaban estos productos serán las que lo hagan con las integraciones de IA.
Por tanto, no hay obligación de certificar los modelos de alto riesgo conforme el reglamento aunque es más que probable que el mercado imponga esa revisión de las afirmaciones propias por un tercero, que es en lo que consiste un proceso de certificación.
Que no exista obligación de certificar no significa, sin embargo, que estos sistemas queden fuera del control administrativo. El Reglamento impone al proveedor, y en determinados casos al responsable del despliegue, obligaciones de registro y de comunicación a las autoridades antes y después de la introducción en el mercado, y de esas autoridades se ocupa precisamente el Proyecto español, que distingue dos funciones: la vigilancia del mercado, que recibe las comunicaciones, inspecciona y sanciona, y la notificación de organismos, que designa a quienes evaluarán la conformidad cuando proceda. Las comunicaciones principales son las siguientes:
| Obligación | Qué se comunica | A quién | Cuándo y base |
| Registro del sistema | Datos del sistema y del proveedor (anexo VIII); también los responsables del despliegue que sean autoridades públicas | Base de datos de la UE gestionada por la Comisión (art. 71), no una autoridad nacional | Antes de la introducción en el mercado o la puesta en servicio (art. 49) |
| Incidente grave | Descripción del incidente y del nexo causal, real o razonablemente probable, con el sistema | Autoridad de vigilancia del mercado del Estado donde se produce | En cuanto se establezca el nexo y, en todo caso, en 15 días; 10 si hay fallecimiento; 2 en caso de infracción generalizada o afectación a infraestructuras críticas (art. 73) |
| Evaluación de impacto sobre derechos fundamentales | Resultado de la evaluación realizada por el responsable del despliegue (organismos públicos, servicios esenciales, crédito y seguros) | Autoridad de vigilancia del mercado competente | Antes del primer uso del sistema (art. 27) |
| No conformidad y medidas correctoras | Naturaleza de la no conformidad y medidas adoptadas: corrección, retirada, desactivación o recuperación | Autoridad de vigilancia del mercado del Estado donde se comercializa y, en su caso, organismo notificado | En cuanto el proveedor tenga motivos para considerar que el sistema no es conforme (art. 20) |
| Riesgo o incidente detectado por quien despliega | Riesgo para la salud, la seguridad o los derechos fundamentales, o incidente grave | Proveedor y autoridad de vigilancia del mercado | Sin demora indebida, con suspensión del uso (art. 26.5) |
| Información requerida | Documentación técnica, registros y acceso al sistema | Autoridad de vigilancia del mercado | A requerimiento (art. 74) |
El Proyecto reparte la vigilancia del mercado entre ocho autoridades, de modo que la primera tarea de cualquier operador es identificar cuál le corresponde por el ámbito de su sistema:
| Autoridad de vigilancia del mercado | Ámbito |
| AESIA | Carácter general para el anexo III no atribuido a otra autoridad; transparencia del art. 50; punto de contacto único ante la Comisión; ventanilla de reclamaciones |
| Agencia Española de Protección de Datos y autoridades autonómicas de protección de datos | Biometría, migración, asilo y gestión de fronteras |
| Consejo General del Poder Judicial | Sistemas destinados a la Administración de Justicia |
| Banco de España | Evaluación de solvencia y calificación crediticia en su ámbito |
| CNMV | Evaluación de solvencia en su ámbito |
| Dirección General de Seguros y Fondos de Pensiones | Evaluación de riesgos y fijación de precios en seguros de vida y salud |
| Autoridades sectoriales de producto | Sistemas del anexo I integrados en productos con legislación armonizada (sanitarios, máquinas, juguetes, vehículos…) |
Queda por resolver quién podrá certificar cuando la evaluación de tercera parte sea obligatoria, como ocurre con los productos del anexo I y con los sistemas biométricos, o cuando el mercado la exija con valor oficial. El Reglamento reserva esa función a los organismos notificados, esto es, a organismos acreditados que cada Estado designa y comunica a la Comisión, y el Proyecto se limita a decir quién los designará en España: su artículo 4 atribuye la condición de autoridad notificante para el anexo III a la Dirección General de Inteligencia Artificial, dentro de la Secretaría de Estado de Digitalización e Inteligencia Artificial, con el apoyo de ENAC en la acreditación previa. Le corresponderá evaluar, designar y supervisar a esos organismos conforme al itinerario de acreditación, designación y notificación a la Comisión que ya siguen los que evaluamos prestadores de servicios de confianza bajo eIDAS, porque el Reglamento de IA no ha creado un modelo propio de evaluación de la conformidad sino que se apoya, como eIDAS, en el Nuevo Marco Legislativo (Reglamento 765/2008 para la acreditación y Decisión 768/2008 para los módulos), de modo que la infraestructura de un organismo ya acreditado, desde la relación con ENAC hasta la sistemática de auditoría y la supervisión de sus informes, es la misma y lo que cambia es el objeto evaluado. A fecha de hoy no existe en España ningún organismo notificado bajo el Reglamento de IA, ni puede existir hasta que la ley se apruebe y ENAC disponga de un esquema de acreditación específico. Queda además por determinar la norma de acreditación aplicable a esos organismos (ISO/IEC 17065, 17021 o 17029), decisión de la que dependerá qué entidades reúnen ya la estructura exigida y cuáles tendrán que crearla.
Mientras ese circuito nacional no exista, la respuesta a quién certificará la ha dado, por vía indirecta, el Ómnibus Digital sobre IA, Reglamento (UE) 2026/1744, publicado el 24 de julio y en vigor desde el 27, seis días antes de la fecha prevista para la aplicación del régimen de alto riesgo. Su medida más conocida es el aplazamiento de dicha aplicación al 2 de diciembre de 2027 para el anexo III y al 2 de agosto de 2028 para el anexo I, justificado en que las normas armonizadas encargadas a CEN y CENELEC (petición M/593, enmendada por M/613) no estarán publicadas antes del último trimestre de 2026 y, sin ellas, no cabe invocar la presunción de conformidad, aunque el cumplimiento pueda demostrarse por otros medios. Pero incorpora otras dos que afectan a la pregunta de esta entrada: habilita transitoriamente, durante dieciocho meses, a los organismos notificados bajo los reglamentos de productos sanitarios para evaluar la conformidad de sistemas de IA en determinadas condiciones (artículo 43.3) y establece un procedimiento único de designación bajo ambos regímenes (artículo 28.8). En consecuencia, los primeros organismos que evalúen sistemas de IA en la Unión serán previsiblemente los ya designados en el ámbito sanitario, y quienes vengan de otros esquemas de acreditación tendrán que esperar a que su Estado ponga en marcha el suyo.
El aplazamiento deja dieciséis meses que un proveedor del anexo III puede emplear en tres tareas sucesivas: clasificar el sistema y determinar si le basta la evaluación de primera parte o requiere la intervención de un tercero; identificar la autoridad de vigilancia competente y preparar los circuitos de comunicación con ella; y adaptar su sistema de gestión a los proyectos de norma en tramitación, en particular el prEN 18286 sobre sistema de gestión de la calidad, cuya publicación forma parte del conjunto previsto para el último trimestre de 2026 según el seguimiento que se realiza desde el Foro Consultivo del Reglamento (artículo 67), del que Certicar es miembro desde junio junto con CEN, CENELEC y ETSI como miembros permanentes, y en el que la representación corresponde a Paloma Llaneza, directora del esquema de confianza digital de CerteIDAS y editora de normas en ETSI ESI.
