Evaluación de riesgos de IA (AIRA): el sistema de gestión de riesgos del artículo 9
Los proveedores de sistemas de IA de alto riesgo deben aplicar un sistema de gestión de riesgos (artículo 9). AIRA es la evaluación guiada de Scanara.
Los proveedores de sistemas de IA de alto riesgo deben aplicar un sistema de gestión de riesgos. Debe cubrir todo el ciclo de vida del sistema (artículo 9). AIRA es el nombre que Scanara da a su evaluación guiada de esa obligación; el Reglamento no contiene ninguna «evaluación de riesgos de IA».
La obligación se aplica desde el 2 de diciembre de 2027 a los sistemas del anexo III. Las multas a los proveedores alcanzan 15 millones EUR o el 3 % del volumen de negocios mundial anual. Se aplica la cuantía superior (artículo 99(4)). Siguiente paso: confirme que su sistema es de alto riesgo conforme al artículo 6 y empiece la evaluación.
El artículo 9 describe un proceso continuo de cuatro pasos
El sistema de gestión de riesgos es un proceso iterativo continuo, planificado y ejecutado durante todo el ciclo de vida, con revisión y actualización sistemáticas y periódicas (artículo 9(2)).
- 1
Identificar y analizar los riesgos
Enumere los riesgos conocidos y razonablemente previsibles para la salud, la seguridad o los derechos fundamentales cuando el sistema se usa conforme a su finalidad prevista (artículo 9(2), letra a)).
- 2
Estimar y evaluar los riesgos
Incluya los riesgos que pueden surgir en caso de uso indebido razonablemente previsible (artículo 9(2), letra b)).
- 3
Evaluar los riesgos detectados tras la comercialización
Añada los riesgos que aparecen en los datos de la vigilancia poscomercialización (artículo 9(2), letra c), artículo 72).
- 4
Adoptar medidas de riesgo específicas
Adopte medidas adecuadas y específicas frente a los riesgos identificados en el paso 1. El riesgo residual debe considerarse aceptable (artículo 9(2), letra d), y (5)).
Las medidas siguen un orden fijo, y cuentan las pruebas y los grupos vulnerables
Reducir los riesgos en un orden fijado
Primero elimine o reduzca los riesgos mediante el diseño y el desarrollo. Después añada medidas de mitigación y control. Luego facilite información y, cuando proceda, formación a los responsables del despliegue. El riesgo residual debe ser aceptable (artículo 9(5)).
Probar con métricas definidas
Pruebe durante el desarrollo y antes de introducir el sistema en el mercado, con métricas y umbrales probabilísticos definidos de antemano (artículo 9(6) y (8)). Las pruebas en condiciones reales son posibles conforme al artículo 60 (artículo 9(7)).
Tener en cuenta a los menores y a los grupos vulnerables
Considere si el sistema puede tener un impacto negativo en personas menores de 18 años y, cuando proceda, en otros colectivos vulnerables (artículo 9(9)).
Qué hace la evaluación AIRA de Scanara
AIRA es una evaluación guiada: usted responde preguntas sobre su sistema y Scanara guarda las respuestas como pruebas. El juicio sobre los riesgos, y sobre qué riesgo residual es aceptable, sigue siendo suyo.
Preguntas guiadas
Un banco de preguntas le guía por las obligaciones de gestión de riesgos y cita el artículo en que se basa la mayoría de ellas.
Respuestas rellenadas a partir de los análisis
Si ha analizado un repositorio, Scanara rellena las respuestas con los resultados del análisis. Usted las revisa y las corrige.
Base para la documentación del anexo IV
El anexo IV, punto 5, exige una descripción del sistema de gestión de riesgos. Scanara redacta un borrador de la documentación técnica a partir de sus respuestas; usted la completa y la verifica.
Lea el detalle de esta evaluación
Artículo 9: sistema de gestión de riesgos para la IA de alto riesgo
Explica con detalle las obligaciones, las fechas de aplicación y las multas del artículo 9.
Artículo 11: documentación técnica y anexo IV
Explica la documentación que debe describir su sistema de gestión de riesgos (anexo IV, punto 5).
Evaluación de la conformidad según el artículo 43: anexo VI o anexo VII
Muestra cómo una evaluación de la conformidad comprueba los requisitos, incluida la gestión de riesgos.
Preguntas frecuentes sobre la evaluación AIRA
¿Es «AIRA» un término del Reglamento de IA de la UE?
No. El artículo 9 exige un sistema de gestión de riesgos. AIRA es el nombre que Scanara usa para su evaluación guiada de ese sistema.
¿Quién es responsable del sistema de gestión de riesgos?
El proveedor. Los proveedores deben garantizar que sus sistemas de IA de alto riesgo cumplen los requisitos de la sección 2, incluido el artículo 9 (artículo 16, letra a)). Los responsables del despliegue no lo aplican, pero deben supervisar el funcionamiento del sistema e informar a los proveedores cuando proceda (artículo 26(5)).
¿Se aplica el artículo 9 a todos los sistemas de IA?
No. El artículo 9 se aplica a los sistemas de IA de alto riesgo, que el artículo 6 define mediante los anexos III y I. Se aplica desde el 2 de diciembre de 2027 a los sistemas del anexo III y desde el 2 de agosto de 2028 a los del anexo I (artículo 113, letra c). Para los sistemas de alto riesgo relacionados con productos regulados por la legislación del anexo I, sección B, solo se aplican el artículo 6(1), el artículo 60 bis y los artículos 102 a 112, y los artículos 57 a 59 solo se aplican en la medida en que los requisitos para los sistemas de IA de alto riesgo se hayan integrado en esa legislación (artículo 2(2)).
¿Se aplica el artículo 9 a los sistemas que ya están en el mercado?
Solo tras cambios significativos de diseño. Un sistema de IA de alto riesgo introducido en el mercado o puesto en servicio antes de la fecha de aplicación del capítulo III solo queda cubierto si, a partir de esa fecha, sufre cambios significativos en su diseño (artículo 111(2)). En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030.
¿Exige el Reglamento un método o una norma concretos para la gestión de riesgos?
No. El artículo 9 fija pasos, no un método. Las normas armonizadas publicadas en el Diario Oficial dan presunción de conformidad con los requisitos que cubren (artículo 40).
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.