Artículo 9: sistema de gestión de riesgos para la IA de alto riesgo
Artículo 9 del Reglamento de IA: los proveedores de sistemas de IA de alto riesgo deben aplicar un sistema de gestión de riesgos continuo. Qué abarca, cuándo se aplica, cuánto cuestan los incumplimientos y por dónde empezar.
Los proveedores de sistemas de IA de alto riesgo para el mercado de la UE deben aplicar un sistema de gestión de riesgos (artículo 9). Abarca todo el ciclo de vida. Identifica, evalúa y reduce los riesgos.
La norma se aplica desde el 2 de diciembre de 2027 a los sistemas del anexo III (lista de usos de alto riesgo). Para los productos del anexo I, se aplica desde el 2 de agosto de 2028 (artículo 113, letra c). Los productos de la sección B quedan excluidos (artículo 2(2)). Las multas por infringirla alcanzan 15 millones de EUR o el 3 % del volumen de negocios mundial, si esta cuantía es superior (artículo 99(4)). Siguiente paso: confirme con el artículo 6 que su sistema es de alto riesgo y abra un registro de riesgos.
El artículo 9 exige identificar, evaluar, reducir y probar los riesgos
Identificar los riesgos
Enumere los riesgos conocidos y razonablemente previsibles para la salud, la seguridad o los derechos fundamentales cuando el sistema se usa conforme a su finalidad prevista (artículo 9(2), letra a)). Solo cuentan los riesgos que se pueden reducir de forma razonable mediante el desarrollo, el diseño o información técnica (artículo 9(3)).
Estimar y evaluar los riesgos
Incluya los riesgos en caso de uso indebido razonablemente previsible y los que aparecen en los datos de la vigilancia poscomercialización (artículo 9(2), letras b) y c)).
Reducir los riesgos en un orden fijado
Primero elimine o reduzca los riesgos mediante el diseño y el desarrollo. Después añada medidas de mitigación y control. Luego facilite información y, cuando proceda, formación a los responsables del despliegue. El riesgo residual debe ser aceptable (artículo 9(5)).
Probar con métricas definidas
Pruebe durante el desarrollo y antes de introducir el sistema en el mercado, con métricas y umbrales probabilísticos definidos de antemano (artículo 9(6) y (8)). Las pruebas en condiciones reales son posibles conforme al artículo 60 (artículo 9(7)).
Tener en cuenta a los menores y a los grupos vulnerables
Considere si el sistema puede tener un impacto negativo en personas menores de 18 años y, cuando proceda, en otros colectivos vulnerables (artículo 9(9)).
Cuatro prácticas de ingeniería que generan pruebas para el artículo 9
El artículo 9 no prescribe herramientas. Estas cuatro prácticas son sugerencias para un proceso documentado y repetible.
Registro de riesgos como código
Mantenga un registro de riesgos legible por máquina (JSON o YAML) bajo control de versiones junto al código. Anote de cada riesgo su probabilidad, su gravedad, la medida de mitigación y la persona responsable.
Controles de riesgo en CI/CD
Añada a la canalización análisis y pruebas que señalen patrones relevantes para el riesgo, como la falta de validación de entradas o de umbrales de confianza.
Pruebas para riesgos conocidos
Escriba pruebas que comprueben que cada medida funciona, con métricas y umbrales definidos de antemano (artículo 9(8)).
Seguimiento tras el lanzamiento
Lleve los datos de producción al registro: caídas de rendimiento, deriva, salidas anómalas e intervenciones humanas (artículo 9(2), letra c)).
La gestión de riesgos continúa durante todo el ciclo de vida
El artículo 9(2) describe el sistema como un proceso iterativo continuo que se ejecuta durante todo el ciclo de vida, con revisiones y actualizaciones sistemáticas periódicas.
Identificar y valorar los riesgos antes de cada versión.
Aplicar las medidas de mitigación y probarlas.
Vigilar tras el lanzamiento y devolver los hallazgos al registro.
Preguntas frecuentes sobre el artículo 9
¿Se aplica el artículo 9 a todos los sistemas de IA?
No. El artículo 9 se aplica a los sistemas de IA de alto riesgo, que el artículo 6 define mediante los anexos III y I. Se aplica desde el 2 de diciembre de 2027 a los sistemas del anexo III y desde el 2 de agosto de 2028 a los del anexo I (artículo 113, letra c). Para los sistemas de alto riesgo relacionados con productos regulados por la legislación del anexo I, sección B, solo se aplican el artículo 6(1), el artículo 60 bis y los artículos 102 a 112, y los artículos 57 a 59 solo se aplican en la medida en que los requisitos para los sistemas de IA de alto riesgo se hayan integrado en esa legislación (artículo 2(2)).
¿Qué documentación exige el artículo 9?
El artículo 9(1) exige que el sistema de gestión de riesgos esté documentado, y el anexo IV, punto 5, exige su descripción detallada en la documentación técnica. El Reglamento no enumera un conjunto fijo de documentos. Registre los riesgos, las medidas, la valoración del riesgo residual y los resultados de las pruebas.
¿Con qué frecuencia debe revisarse el sistema de gestión de riesgos?
De forma periódica y sistemática durante todo el ciclo de vida (artículo 9(2)). El Reglamento no fija un intervalo.
¿Quién es responsable del sistema de gestión de riesgos?
El proveedor. Los proveedores deben garantizar que sus sistemas de IA de alto riesgo cumplen los requisitos de la sección 2, incluido el artículo 9 (artículo 16, letra a)). Los responsables del despliegue no lo aplican, pero deben supervisar el funcionamiento del sistema e informar a los proveedores cuando proceda (artículo 26(5)).
¿Qué multa se aplica si un proveedor incumple el artículo 9?
Las multas por incumplir las obligaciones de los proveedores del artículo 16 alcanzan los 15 millones de EUR o el 3 % del volumen de negocios mundial anual, si esta cuantía es superior (artículo 99(4)). Para las pymes y las pequeñas empresas de mediana capitalización, el límite es la más baja de las dos cuantías (artículo 99(6) y (6 bis)).
Siguiente lectura: registro, supervisión y documentación técnica
Artículo 12: conservación de registros
Explica los registros automáticos de eventos que apoyan el seguimiento tras el lanzamiento.
Artículo 14: supervisión humana
Explica las medidas de supervisión que pueden reducir los riesgos.
Artículo 11: documentación técnica
Explica la documentación que debe describir su sistema de gestión de riesgos (anexo IV, punto 5).
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.