Evaluación de conformidad del artículo 43 de la Ley de IA: la lista que una pyme puede completar antes de diciembre de 2027

Al terminar sabrás qué ruta de evaluación de conformidad corresponde a tu sistema de IA, tendrás un registro con todos los documentos que pide el procedimiento y un plan mes a mes que acaba antes del 2 de diciembre de 2027. No necesitas abogado, herramienta de pago ni más hardware que tu portátil.

Qué necesitas

• La lista de sistemas de IA que desarrollas o vendes. Si solo usas el sistema de otro, tus obligaciones están en el artículo 26 (responsable del despliegue), no en el 43. Esta lista es para proveedores.
• El Reglamento (UE) 2024/1689 en EUR-Lex: artículos 6, 9 a 17, 43 y 47 a 49, y anexos III, IV, VI y VII.
• Una hoja de cálculo y dos horas para la primera pasada.
• Opcional: un modelo local para borradores. ollama run qwen2.5-coder:7b funciona en un portátil de 16 GB.

Las fechas, tal y como quedaron en julio de 2026

El Ómnibus Digital sobre IA, Reglamento (UE) 2026/1744, se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026 (EUR-Lex; resumen de Gibson Dunn). Movió los plazos de alto riesgo y dejó el resto igual.

Obligación	Se aplica desde	Fuente
Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4)	2 de febrero de 2025	Reg. 2024/1689, art. 113
Modelos de IA de uso general	2 de agosto de 2025	Reg. 2024/1689, art. 113
Transparencia (art. 50)	2 de agosto de 2026; periodo de gracia hasta el 2 de diciembre de 2026 para sistemas ya en el mercado	Reg. 2026/1744
Sistemas de alto riesgo del anexo III (esta lista)	2 de diciembre de 2027	Reg. 2026/1744
IA de alto riesgo dentro de productos regulados (anexo I)	2 de agosto de 2028	Reg. 2026/1744

Desde hoy, 9 de septiembre de 2026, quedan 15 meses. El plan de abajo usa 12 y guarda tres de reserva.

Paso 1: confirma que estás dentro del ámbito (20 minutos)

Responde estas tres preguntas por cada sistema y déjalas por escrito: esa respuesta es un documento obligatorio cuando te acoges a la exención.

1. ¿Es un sistema de IA según el artículo 3(1)? Un sistema basado en máquinas que infiere de su entrada cómo generar predicciones, recomendaciones o decisiones. Una macro con reglas fijas no lo es.
2. ¿Su finalidad prevista aparece en el anexo III? Las ocho áreas son biometría, infraestructuras críticas, educación, empleo, servicios esenciales (crédito, seguros, prestaciones), aplicación de la ley, migración y justicia. Nuestra guía de clasificación de riesgo recorre la lista con ejemplos.
3. ¿Se aplica la exención del artículo 6(3)? Se aplica cuando el sistema solo realiza una tarea procedimental limitada, mejora el resultado de una actividad humana, detecta patrones sin sustituir la valoración humana o hace trabajo preparatorio. Elaborar perfiles de personas físicas siempre es alto riesgo. Si te acoges a la exención, documenta el razonamiento y registra el sistema conforme al artículo 49(2).

Si la pregunta 2 es sí y la 3 es no, sigue. Si no, has terminado con el artículo 43 y te queda la transparencia del artículo 50, que explicamos en la guía para pymes.

Paso 2: elige la ruta (10 minutos)

El artículo 43 ofrece dos procedimientos; cuál te toca depende del punto del anexo III, no del tamaño de tu empresa.

Tu sistema	Procedimiento	Quién comprueba
Anexo III, puntos 2 a 8 (todo salvo biometría)	Anexo VI, control interno	Tú
Anexo III, punto 1 (biometría), con normas armonizadas aplicadas por completo	Anexo VI o anexo VII, a tu elección	Tú, o un organismo notificado
Anexo III, punto 1, normas no aplicadas o aplicadas en parte	Anexo VII	Un organismo notificado de la base NANDO
Producto cubierto por el anexo I (máquinas, productos sanitarios, ascensores)	El procedimiento sectorial, con los requisitos de la Ley de IA añadidos	El organismo que ya certifica el producto

La mayoría de los sistemas de pyme caen en la primera fila, así que el resto de la lista sigue la ruta del anexo VI.

Paso 3: abre el registro de documentos (la lista)

El anexo VI te pide verificar tres cosas: que tu sistema de gestión de la calidad cumple el artículo 17, que tu documentación técnica cumple el anexo IV y que el diseño real del sistema coincide con esa documentación. Todo eso vive en estos archivos.

#	Documento	Artículo	Punto de partida gratuito
1	Decisión de clasificación de riesgo (tus respuestas del paso 1)	Art. 6, anexo III	Este artículo
2	Finalidad prevista e instrucciones de uso	Art. 13	Tu ficha de producto, reescrita
3	Expediente de gestión de riesgos	Art. 9	Un registro con probabilidad, gravedad, mitigación y responsable
4	Gobernanza de datos: fuentes, etiquetado, sesgos	Art. 10	Una ficha por conjunto de datos
5	Documentación técnica	Art. 11, anexo IV	El formulario simplificado para pymes del art. 11(1)
6	Diseño del registro de eventos: qué se guarda y cuánto tiempo	Art. 12	Una especificación de una página
7	Medidas de supervisión humana	Art. 14	Nuestra guía del artículo 14
8	Pruebas de precisión, solidez y ciberseguridad	Art. 15	Tus informes de prueba, con cifras
9	Sistema de gestión de la calidad	Art. 17	Política, mapa de procesos, matriz de competencias, registro de auditoría
10	Plan de vigilancia poscomercialización	Art. 72	Una página, hasta que la Comisión publique su plantilla
11	Procedimiento de incidentes graves (notificación en 15 días)	Art. 73	Una página con nombres y teléfonos
12	Declaración UE de conformidad	Art. 47, anexo V	Los nueve campos de abajo
13	Marcado CE y registro en la base de datos de la UE	Arts. 48, 49	Gratuito, se hace al final

Copia la tabla en tu hoja de cálculo, añade columnas de responsable y estado, y el registro ya existe. El artículo 11(1) permite a pymes y empresas emergentes usar el formulario simplificado de documentación técnica; el Ómnibus lo amplió a las empresas de mediana capitalización pequeñas (nota de Cloud Security Alliance).

Paso 4: pasa las tres comprobaciones del anexo VI

Hazlas en orden y guarda la evidencia en el registro.

1. Comprobación de la gestión de la calidad. Recorre las letras (a) a (m) del artículo 17(1) y apunta cada una a un documento de la fila 9; las letras sin documento son tareas. El artículo 17(2) exige proporcionalidad: una empresa de diez personas documenta procesos de diez personas.
2. Comprobación de la documentación técnica. Para cada requisito de los artículos 9 a 15, indica la página del anexo IV que demuestra que se cumple; si no hay página, no se cumple.
3. Comprobación de coherencia del diseño. Compara lo que dice la documentación con lo que muestran el repositorio, las incidencias y los registros de pruebas; las diferencias se corrigen con fecha.

Cuando las tres pasan, redactas la declaración de conformidad (anexo V: nombre y versión del sistema, nombre y dirección del proveedor, declaración de responsabilidad exclusiva, referencia al Reglamento, normas aplicadas, organismo notificado si lo hay, lugar, fecha y firma), colocas el marcado CE y registras el sistema en la base de datos de la UE antes de ponerlo en el mercado. Antes de cerrar, mira si el Diario Oficial ya lista normas armonizadas: aplicarlas da presunción de conformidad (artículo 40).

El plan, contando hacia atrás desde el 2 de diciembre de 2027

Cuándo	Qué	Filas del registro
Septiembre a octubre de 2026	Pasos 1 y 2, registro abierto, responsables asignados	1, 2
Noviembre de 2026 a febrero de 2027	Expediente de riesgos, gobernanza de datos, registro de eventos, supervisión humana	3, 4, 6, 7
Marzo a junio de 2027	Documentación del anexo IV, campaña de pruebas, sistema de calidad por escrito	5, 8, 9
Julio a agosto de 2027	Las tres comprobaciones del anexo VI, huecos cerrados	10, 11
Septiembre de 2027	Declaración, marcado CE, registro en la base de datos	12, 13
Octubre a noviembre de 2027	Reserva

Los primeros 30 minutos, hoy

• Minutos 0 a 10: apunta tus sistemas en la hoja de cálculo con una frase de finalidad prevista cada uno.
• Minutos 10 a 20: pasa cada uno por el verificador de cumplimiento gratuito de la Comisión en la plataforma única de información y anota el resultado en la fila 1.
• Minutos 20 a 30: pide a un modelo local un borrador de las filas 2 y 3. Prompt: “Esta es la descripción de mi sistema de IA: [pega]. Escribe una finalidad prevista de 120 palabras al estilo de la documentación de producto de la UE y enumera diez riesgos previsibles para la salud, la seguridad o los derechos fundamentales, con probabilidad y gravedad de 1 a 5.” Corrígelo todo; el modelo no conoce tu sistema.

Límites honestos

• Los organismos notificados designados para la Ley de IA todavía son pocos. Si estás en la fila de biometría, contacta con uno este trimestre.
• El registro no demuestra nada por sí solo: las tres comprobaciones del paso 4 son la evaluación.
• Esto es un procedimiento, no asesoramiento jurídico. Una hora con un abogado cuando el registro esté lleno es dinero bien gastado; en España la autoridad de vigilancia es la AESIA.

Siguientes pasos

• Clasifica primero: clasificación de riesgo en la Ley de IA.
• Diseña bien la fila 7: supervisión humana, artículo 14.
• La foto completa: guía de la Ley de IA para pymes españolas y nuestra página sobre la Ley de IA.
• Llévate la plantilla: Checklist de evaluación de conformidad (artículo 43).
• Llévate la plantilla: Plan de alfabetización en IA (artículo 4).

Trabaja con nosotros

Abrimos el registro con cada cliente en dos sesiones de media jornada, en sus máquinas y con sus datos, para que nada salga del edificio. Si quieres hacer la segunda sesión con nosotros, escríbenos o mira cómo trabajamos en consultoría.