La inteligencia artificial está pasando rápidamente del software independiente a los productos físicos. Las máquinas, los dispositivos médicos, los equipos industriales, los robots, los vehículos, los sistemas de seguridad y los productos conectados utilizan cada vez más la IA para detectar, predecir, controlar, clasificar o tomar decisiones.
Según el Reglamento europeo de inteligencia artificial — Reglamento (UE) 2024/1689, esta evolución plantea una cuestión regulatoria importante para los fabricantes:
Si la inteligencia artificial desempeña una función relacionada con la seguridad dentro de su producto, ¿podría el propio sistema de IA quedar sujeto a los requisitos europeos de conformidad para la IA de alto riesgo?
Para algunos productos, la respuesta es sí.
El Reglamento de IA establece una conexión directa entre la gobernanza de la inteligencia artificial y el marco europeo consolidado de conformidad de productos. Por ello, los fabricantes pueden tener que considerar la gestión de riesgos de IA, la documentación técnica, la gobernanza de datos, la supervisión humana, la ciberseguridad y el seguimiento posterior a la comercialización junto con los requisitos de seguridad del producto que ya gestionan.
¿Cuándo se convierte la IA integrada en un producto en IA de alto riesgo?
El Reglamento europeo de IA establece varias categorías de sistemas de IA de alto riesgo.
Una categoría especialmente importante para los fabricantes se refiere a los sistemas de IA asociados a productos cubiertos por la legislación europea de productos existente.
Según el artículo 6, apartado 1, del Reglamento de IA, un sistema de IA puede clasificarse como de alto riesgo cuando se cumplen dos condiciones:
El sistema de IA está destinado a utilizarse como componente de seguridad de un producto, o el propio sistema de IA constituye un producto cubierto por la legislación de armonización de la UE pertinente.
El producto, o el sistema de IA como producto, debe someterse a una evaluación de la conformidad por terceros antes de introducirse en el mercado de la UE o ponerse en servicio.
Cuando se cumplen ambas condiciones, el sistema de IA se considera de alto riesgo según el Reglamento de IA.
Los fabricantes no pueden determinar la aplicabilidad del Reglamento de IA preguntándose únicamente si un producto contiene inteligencia artificial. La función prevista de la IA, su relación con la seguridad del producto y la legislación europea de productos subyacente deben examinarse conjuntamente.
¿Qué productos podrían verse afectados?
Los productos con IA se expanden rápidamente en los mercados industriales y de consumo.
Según la legislación sectorial aplicable y la función del sistema de IA, las categorías de productos potencialmente pertinentes pueden incluir:
La Comisión Europea ha destacado específicamente ejemplos relacionados con productos, como sistemas de IA que operan robots, drones y dispositivos médicos, al explicar el marco de clasificación de alto riesgo. :contentReference[oaicite:1]{index=1}
No todas las funciones de IA convierten un producto en uno de alto riesgo
La presencia de inteligencia artificial en un producto no implica automáticamente que pertenezca a la categoría de IA de alto riesgo.
La evaluación regulatoria depende de la finalidad prevista del sistema de IA y de la función que desempeña.
La IA puede optimizar ajustes, ofrecer recomendaciones, personalizar la experiencia del usuario o realizar funciones que no influyen sustancialmente en la seguridad del producto.
La IA influye en una función o la realiza, y su fallo podría afectar a la salud o seguridad de las personas; además, el producto asociado está sujeto al régimen pertinente de evaluación de la conformidad por terceros.
La finalidad prevista del producto se vuelve crítica
Uno de los principios centrales de la evaluación europea de la conformidad es la definición de la finalidad prevista del producto por parte del fabricante.
Este mismo principio adquiere especial importancia cuando se incorpora inteligencia artificial a un producto.
Los fabricantes deben comprender:
- qué función desempeña el sistema de IA;
- si la función de IA influye en la seguridad del producto;
- cómo interactúa la IA con usuarios, operadores y otros sistemas;
- qué decisiones o resultados puede generar la IA;
- qué ocurre si la IA se comporta incorrectamente;
- si sigue siendo posible la intervención humana;
- qué legislación europea de productos subyacente se aplica; y
- si esa legislación exige una evaluación de la conformidad por terceros.
La evaluación de la conformidad de la IA pasa a formar parte de la conformidad del producto
Una de las características más importantes del Reglamento de IA es su intento de evitar sistemas de evaluación de la conformidad duplicados innecesariamente.
Cuando un sistema de IA de alto riesgo se incorpora a un producto cubierto por la legislación de armonización de la Unión pertinente, los requisitos del Reglamento de IA se integran en el procedimiento de evaluación de la conformidad exigido para ese producto. :contentReference[oaicite:2]{index=2}
Esto significa que los fabricantes pueden tener que demostrar cada vez más el cumplimiento de ambos:
Requisitos de seguridad, rendimiento, mecánicos, eléctricos, funcionales u otros requisitos sectoriales establecidos por la legislación europea de productos aplicable.
Gestión de riesgos, gobernanza de datos, documentación técnica, registros, transparencia, supervisión humana, precisión, solidez y ciberseguridad.
¿Qué deben demostrar los sistemas de IA de alto riesgo?
Los sistemas de IA de alto riesgo están sujetos a un conjunto estructurado de requisitos diseñado para favorecer un uso fiable y controlado de la inteligencia artificial.
Antes de introducir un sistema de este tipo en el mercado de la UE o ponerlo en servicio, el proveedor debe garantizar que se han abordado los requisitos aplicables y completado el procedimiento pertinente de evaluación de la conformidad. :contentReference[oaicite:3]{index=3}
Establecer y mantener un proceso sistemático para identificar, evaluar, controlar y supervisar los riesgos relacionados con la IA.
Garantizar una gobernanza y controles de calidad adecuados para los datos de entrenamiento, validación y prueba, cuando corresponda.
Mantener documentación que permita demostrar el diseño, la finalidad prevista, el funcionamiento y el cumplimiento del sistema.
Permitir el registro y la trazabilidad adecuados del funcionamiento del sistema de IA cuando sean obligatorios.
Proporcionar información suficiente para que los responsables del despliegue comprendan y utilicen adecuadamente el sistema.
Diseñar mecanismos adecuados que permitan a las personas supervisar, interpretar o intervenir en el funcionamiento del sistema.
Establecer niveles adecuados de rendimiento, coherencia, resiliencia y tolerancia a fallos.
Proteger el sistema de IA de alto riesgo frente a las amenazas de ciberseguridad y manipulaciones pertinentes.
La gestión de riesgos se convierte en un proceso del ciclo de vida
La gestión de riesgos de IA no puede tratarse como un único documento preparado inmediatamente antes de la certificación.
Según el Reglamento de IA, la gestión de riesgos debe funcionar como un proceso continuo e iterativo durante todo el ciclo de vida del sistema de IA de alto riesgo.
Por tanto, los fabricantes y proveedores de IA deben considerar cómo se identifican los riesgos durante el desarrollo, cómo se controlan antes de la comercialización y cómo se detectan nuevos riesgos cuando los productos ya están en uso.
La calidad de los datos puede convertirse en una cuestión de conformidad del producto
La conformidad tradicional de productos se ha centrado generalmente en las características y el rendimiento del producto físico.
La inteligencia artificial introduce otra dimensión: los datos utilizados para desarrollar, validar y probar el sistema pueden influir en la fiabilidad del rendimiento del producto.
Por ello, para los sistemas de IA de alto riesgo, la gobernanza de datos pasa a formar parte del marco regulatorio.
Los fabricantes que integren sistemas de IA desarrollados externamente pueden necesitar mucha más información de los desarrolladores de software y proveedores tecnológicos de la que tradicionalmente exigían a sus proveedores de componentes.
La supervisión humana debe incorporarse al diseño del producto
Los sistemas de IA de alto riesgo necesitan medidas adecuadas de supervisión humana.
El nivel adecuado de supervisión dependerá del uso previsto, el grado de automatización, los riesgos asociados y la capacidad de los usuarios u operadores para comprender e influir en el comportamiento del sistema.
- si los operadores pueden comprender los resultados de la IA;
- si se comunican claramente las advertencias o limitaciones;
- si las personas pueden anular o detener la función de IA;
- si una dependencia excesiva de los resultados automatizados podría generar riesgos;
- qué competencias requieren los operadores; y
- cómo se validan los mecanismos de supervisión durante las pruebas del producto.
La ciberseguridad y la seguridad de la IA están cada vez más conectadas
Los productos con IA pueden generar riesgos de ciberseguridad que afectan directamente al comportamiento del producto.
La manipulación de los datos de entrada, la interferencia con los modelos, el acceso no autorizado al sistema o los componentes de software comprometidos podrían alterar los resultados de la IA y, por tanto, afectar a la seguridad o al rendimiento.
Por ello, el Reglamento de IA incluye la ciberseguridad entre los requisitos obligatorios de los sistemas de IA de alto riesgo.
La certificación de ciberseguridad o las declaraciones de conformidad emitidas bajo determinados esquemas europeos de ciberseguridad también pueden crear una presunción de conformidad con los requisitos de ciberseguridad correspondientes del Reglamento de IA, cuando esos requisitos estén cubiertos. :contentReference[oaicite:4]{index=4}
La documentación técnica debe explicar la IA
La documentación técnica adquiere especial importancia porque las autoridades y los organismos de evaluación de la conformidad necesitan comprender cómo se ha diseñado, validado y controlado el sistema de IA.
Según el sistema y los requisitos aplicables, la documentación puede tener que abordar aspectos como:
Esto exige una estrecha coordinación entre los desarrolladores de IA y el fabricante responsable de introducir el producto final en el mercado.
Los sistemas de gestión de calidad pasan a formar parte del cumplimiento de la IA
Los proveedores de sistemas de IA de alto riesgo deben establecer un sistema de gestión de calidad que respalde el cumplimiento del Reglamento de IA. :contentReference[oaicite:5]{index=5}
Esto es especialmente relevante para los fabricantes que ya utilizan sistemas de gestión consolidados, porque la gobernanza de IA puede tener que integrarse en los procesos existentes de diseño, desarrollo, proveedores, verificación, acciones correctivas y seguimiento posterior a la comercialización.
Integrar los requisitos de IA en los procesos de desarrollo de productos y control de cambios.
Definir requisitos técnicos y de cumplimiento para sistemas, modelos y software de IA desarrollados externamente.
Establecer evidencias de que la funcionalidad de IA funciona según lo previsto en condiciones adecuadas.
Mantener registros técnicos, de riesgos, pruebas y cumplimiento que respalden la evaluación de la conformidad.
Gestionar deficiencias, incidentes y no conformidades identificados durante el desarrollo o el funcionamiento posterior a la comercialización.
Supervisar el rendimiento del sistema y los riesgos emergentes tras la puesta en servicio del producto.
¿Cuándo interviene un organismo notificado?
No todos los sistemas de IA de alto riesgo siguen la misma vía de evaluación de la conformidad.
Para los sistemas de IA de alto riesgo vinculados a productos cubiertos por la legislación de armonización de la Unión enumerada en el anexo I del Reglamento de IA, la evaluación de la conformidad sigue el procedimiento exigido por la legislación de productos aplicable. Los requisitos del Reglamento de IA pasan a formar parte de esa evaluación. :contentReference[oaicite:6]{index=6}
Cuando la legislación de productos subyacente exige la intervención de un organismo notificado, los requisitos de IA pertinentes pueden formar parte de esa evaluación de la conformidad por terceros.
El fabricante sigue el procedimiento de evaluación de la conformidad establecido por la legislación europea de productos pertinente.
El mismo marco de conformidad incorpora los requisitos aplicables del Reglamento de IA relacionados con el sistema de IA de alto riesgo.
El marcado CE conecta los dos ámbitos regulatorios
Los proveedores de sistemas de IA de alto riesgo sujetos al Reglamento de IA deben completar la evaluación de la conformidad aplicable y elaborar una declaración UE de conformidad antes de la comercialización.
Para la IA de alto riesgo relacionada con productos, este marco se conecta con el sistema europeo consolidado de marcado CE.
El resultado es un modelo de conformidad cada vez más integrado, en el que el fabricante puede tener que demostrar tanto el cumplimiento tradicional del producto como el del sistema de IA dentro de una estrategia global de acceso al mercado.
La cuestión ya no es únicamente si una máquina o dispositivo cumple los requisitos europeos de seguridad de productos. Los fabricantes deben comprender cada vez más si la inteligencia que controla ese producto también genera obligaciones regulatorias propias.
Una modificación sustancial puede exigir una nueva evaluación
Los sistemas de inteligencia artificial pueden evolucionar rápidamente.
Las actualizaciones de software, los cambios de modelo, el reentrenamiento, los conjuntos de datos modificados o los cambios en la finalidad prevista pueden alterar el comportamiento del sistema.
Según el Reglamento de IA, una modificación sustancial puede exigir una nueva evaluación de la conformidad antes de introducir el sistema modificado en el mercado o ponerlo en servicio. :contentReference[oaicite:7]{index=7}
La cadena de suministro se vuelve más compleja
Muchos fabricantes no desarrollarán internamente todos sus sistemas de IA.
Los productos pueden incorporar modelos de terceros, software desarrollado externamente, componentes con IA, servicios en la nube o sistemas suministrados por empresas tecnológicas especializadas.
Esto plantea nuevas cuestiones en la cadena de suministro.
- quién actúa legalmente como proveedor de IA;
- quién controla la finalidad prevista del sistema de IA;
- qué información técnica debe proporcionar el desarrollador de IA;
- qué derechos tiene el fabricante para revisar o auditar la tecnología de IA;
- cómo se comunican los cambios de modelo o software;
- quién gestiona los incidentes y las acciones correctivas;
- cómo se reparten las responsabilidades de ciberseguridad; y
- cómo se mantienen las evidencias de conformidad en toda la cadena de suministro.
Qué deberían hacer ahora los fabricantes
Los fabricantes que integran inteligencia artificial en productos deberían comenzar por comprender exactamente dónde existe IA en su cartera de productos y qué función desempeña.
Identificar los productos que contienen IA y documentar las funciones que realizan esos sistemas.
Identificar la legislación de armonización de la UE aplicable a cada producto con IA.
Determinar si la IA desempeña una función de seguridad y si el producto requiere una evaluación de la conformidad por terceros.
Comparar los controles existentes de desarrollo, pruebas, riesgos y calidad con los requisitos aplicables del Reglamento de IA.
Garantizar que puedan demostrarse el diseño de la IA, su finalidad prevista, los datos, la gestión de riesgos, la validación y las medidas de supervisión.
Establecer acceso a la información técnica y a las notificaciones de cambios necesarias de los proveedores de tecnología de IA.
Conectar la gobernanza de IA con el control de diseño, la gestión de proveedores, la verificación, las acciones correctivas y el seguimiento posterior a la comercialización.
Determinar cómo se integran los requisitos del Reglamento de IA en la vía existente de certificación del producto y participación del organismo notificado.
La clasificación de alto riesgo se convierte en una decisión crítica
La clasificación correcta es una de las decisiones iniciales más importantes según el Reglamento de IA.
En mayo de 2026, la Comisión Europea publicó un proyecto de directrices para ayudar a proveedores, responsables del despliegue y autoridades a determinar si los sistemas de IA pertenecen a las categorías de alto riesgo establecidas por el artículo 6. Las directrices abordan específicamente tanto la IA incorporada en productos regulados como los sistemas de IA que corresponden a los casos de uso del anexo III. :contentReference[oaicite:8]{index=8}
Por tanto, los fabricantes deberían evitar basarse únicamente en descripciones informales como «con IA» o «producto inteligente».
La clasificación debe basarse en el Reglamento de IA, la finalidad prevista del sistema, la legislación de productos aplicable y la función real de la IA dentro del producto.
De la seguridad del producto al aseguramiento de productos inteligentes
El Reglamento europeo de IA representa una evolución importante en la conformidad de productos.
La regulación tradicional de productos se ha centrado principalmente en las características físicas, mecánicas, eléctricas y funcionales.
Los productos con IA introducen otra capa: los fabricantes pueden tener que demostrar cada vez más que la tecnología de toma de decisiones dentro del producto también está adecuadamente gobernada, probada, documentada y supervisada.
Esto crea una nueva intersección entre la certificación de productos, el aseguramiento del software, la gobernanza de la inteligencia artificial, la ciberseguridad, la gestión de calidad y el acceso al mercado.
¿Está preparada la IA de su producto para la evaluación de la conformidad?
Los fabricantes no deberían esperar hasta la fase final de certificación para determinar si un sistema de IA integrado genera obligaciones regulatorias adicionales.
Una revisión temprana puede aclarar la clasificación de alto riesgo, la legislación de productos aplicable, los requisitos de documentación de IA, las necesidades de pruebas, las responsabilidades de los proveedores y la vía adecuada de evaluación de la conformidad.
Para muchos fabricantes, la pregunta más difícil sobre el Reglamento de IA puede no ser si utilizan inteligencia artificial, sino determinar cuándo esa inteligencia pasa a formar parte de la arquitectura de seguridad regulada del producto.