Artículo 9, gestión de riesgos para la IA en sanidad — EU AI Act

Cómo se aplica el artículo 9 del Reglamento de IA a la IA en sanidad: productos sanitarios del anexo I, triaje de urgencias del anexo III, fechas y multas.

Actualizado 23 de octubre de 2026

Los proveedores de IA de alto riesgo en sanidad deben aplicar un sistema de gestión de riesgos durante todo el ciclo de vida (artículo 9).

«Sanidad» no es una categoría del Reglamento. Una IA es de alto riesgo si es un producto sanitario, un producto sanitario para diagnóstico in vitro o un componente de seguridad de ellos. El producto debe requerir una evaluación de la conformidad por terceros (artículo 6(1)). Las normas se aplican a los productos desde el 2 de agosto de 2028. Los sistemas de triaje del anexo III (punto 5, letra d)) quedan sujetos desde el 2 de diciembre de 2027. Las multas alcanzan 15 millones de EUR o, para una empresa, el 3 % del volumen de negocios anual mundial. Se aplica la cuantía mayor (artículo 99(4)). Siguiente paso: compruebe la vía de evaluación de la conformidad de su producto.

El artículo 9 no contiene ninguna norma específica de sanidad: un único proceso de gestión de riesgos se aplica a todo sistema de alto riesgo

El Reglamento no incluye una lista de riesgos clínicos. El proveedor identifica los riesgos que surgen para su finalidad prevista.

Un proceso continuo
El sistema de gestión de riesgos es un proceso iterativo continuo, planificado y ejecutado durante todo el ciclo de vida del sistema, con revisiones y actualizaciones sistemáticas periódicas (artículo 9(2)).
Cuatro pasos
El proceso identifica y analiza los riesgos conocidos y razonablemente previsibles para la salud, la seguridad o los derechos fundamentales. Estima y evalúa los riesgos en el uso conforme a la finalidad prevista y en condiciones de uso indebido razonablemente previsible. Evalúa los riesgos que muestran los datos de la vigilancia poscomercialización (artículo 72) y adopta medidas de gestión de riesgos específicas (artículo 9(2), letras a) a d)).
El riesgo residual debe ser aceptable
El riesgo residual de cada peligro y el riesgo residual global deben considerarse aceptables. Las medidas deben eliminar o reducir los riesgos mediante el diseño y el desarrollo, en la medida en que sea técnicamente viable, y añadir medidas de mitigación y control cuando proceda. También deben facilitar a los responsables del despliegue (las organizaciones que usan el sistema) la información exigida por el artículo 13 y, cuando proceda, formación (artículo 9(5)).
Solo los riesgos que el diseño o la información pueden abordar
El artículo 9 solo se refiere a los riesgos que pueden mitigarse o eliminarse de forma razonable mediante el desarrollo o el diseño del sistema, o mediante el suministro de información técnica adecuada (artículo 9(3)).
Pruebas con métricas definidas de antemano
Las pruebas sirven para identificar las medidas más adecuadas y deben mostrar que el sistema funciona de forma coherente para su finalidad prevista (artículo 9(6)). Se realizan, según proceda, durante el desarrollo y, en cualquier caso, antes de introducir el sistema en el mercado o ponerlo en servicio (artículo 9(8)). Usan métricas y umbrales probabilísticos definidos previamente. Las pruebas en condiciones reales son posibles conforme al artículo 60 (artículo 9(7)).
Menores y grupos vulnerables
Los proveedores deben considerar si es probable que el sistema tenga un impacto negativo en las personas menores de 18 años y, según proceda, en otros colectivos vulnerables (artículo 9(9)).

El artículo 9 puede combinarse con la gestión de riesgos que ya aplica para el producto sanitario

El Reglamento se entiende sin perjuicio de otras normas de la Unión sobre seguridad de los productos (artículo 2(9)). Los proveedores de productos del anexo I, sección A, tienen estas opciones.

Combinar los procedimientos
Un proveedor sujeto a requisitos de procesos internos de gestión de riesgos con arreglo a otras disposiciones del Derecho de la Unión puede hacer que los aspectos del artículo 9 formen parte de esos procedimientos o combinarlos con ellos (artículo 9(10)). En los productos de la sección A, también puede integrar las pruebas, los informes y la documentación en los documentos y procedimientos que ya mantiene con arreglo a esa normativa (artículo 8(2)).
Seguir la evaluación de la conformidad del producto
El proveedor sigue el procedimiento de evaluación de la conformidad que exige la normativa del producto. Los requisitos de la sección 2, incluido el artículo 9, forman parte de esa evaluación (artículo 43(3)). Si la normativa del producto permite una evaluación sin participación de terceros, el fabricante solo puede usarla si ha aplicado también normas armonizadas o, en su caso, especificaciones comunes que cubran todos los requisitos de la sección 2.
El Reglamento no nombra ninguna norma de gestión de riesgos; las normas armonizadas pueden dar una presunción de conformidad
El propio Reglamento no nombra la ISO 14971, la IEC 62304 ni ninguna otra norma de gestión de riesgos. Los sistemas de IA de alto riesgo conformes con normas armonizadas cuyas referencias se hayan publicado en el Diario Oficial se presumen conformes con los requisitos de la sección 2 en la medida en que esas normas los cubran (artículo 40(1)). La Comisión publicará directrices sobre el artículo 8(2), el artículo 9(10) y el artículo 17(3) a más tardar el 1 de agosto de 2027 (artículo 96(1), letra g)). Usar una norma voluntaria para estructurar el expediente de riesgos es una decisión de diseño. El expediente debe seguir mostrando cada paso del artículo 9(2).
Los actos delegados pueden limitar los artículos 9 a 15
Los artículos 9 a 15 y 17 a 25 pueden limitarse cuando y en la medida en que la normativa de la sección A ofrezca un nivel de protección equivalente o superior (artículo 2(13)). La limitación no puede reducir el nivel general de protección. A más tardar el 2 de agosto de 2027, la Comisión debe adoptar actos delegados que precisen los sistemas, los requisitos, las condiciones y el alcance.

Ejemplo: cómo podría un proveedor aplicar el artículo 9 a una herramienta de diagnóstico por imagen

Son ejemplos, no requisitos. El Reglamento no enumera riesgos clínicos.

Ejemplo: identificar riesgos (artículo 9(2), letra a))
El proveedor anota que la herramienta puede funcionar peor con grupos de pacientes ausentes de sus datos, o con modelos de escáner con los que no se probó. El proveedor decide qué riesgos son aplicables a su finalidad prevista.
Ejemplo: usar datos poscomercialización (artículo 9(2), letra c))
Las reclamaciones, los informes de incidentes y los datos de rendimiento del sistema de vigilancia poscomercialización (artículo 72) vuelven al expediente de riesgos, y el proveedor actualiza sus medidas.
Ejemplo: personas menores de 18 años (artículo 9(9))
El proveedor de una herramienta para atención pediátrica documenta si es probable que la herramienta afecte negativamente a las personas menores de 18 años.

Preguntas frecuentes: reutilizar el expediente de riesgos, centros de prueba, fechas y multas

¿Puedo reutilizar el expediente de gestión de riesgos de mi producto sanitario para el artículo 9?

Sí, como base. El artículo 9(10) permite que los aspectos del artículo 9 formen parte de los procedimientos de gestión de riesgos exigidos por otro Derecho de la Unión, o se combinen con ellos. Antes de confiar en el expediente, compárelo con el artículo 9(2), con la valoración del riesgo residual del artículo 9(5), con las normas de prueba del artículo 9(6) a (8) y con el artículo 9(9).

¿Exige el artículo 9 pruebas en cada hospital donde funciona la IA?

No. El artículo 9(8) exige pruebas antes de la introducción en el mercado o la puesta en servicio y, según proceda, durante el desarrollo. Las pruebas usan métricas y umbrales probabilísticos definidos previamente y adecuados a la finalidad prevista. El artículo 9(7) permite las pruebas en condiciones reales. El artículo 9 no exige una prueba en cada centro de despliegue.

¿Desde cuándo se aplican las normas del artículo 9 a la IA en sanidad?

Se aplican desde el 2 de agosto de 2028 a los sistemas de IA de alto riesgo según el artículo 6(1) y el anexo I (artículo 113, letra c), inciso ii)). Se aplican desde el 2 de diciembre de 2027 a los sistemas de IA de alto riesgo según el artículo 6(2) y el anexo III (artículo 113, letra c), inciso i)). Un sistema de IA de alto riesgo introducido en el mercado o puesto en servicio antes de la fecha que le corresponde solo queda cubierto si su diseño sufre cambios significativos después. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111(2)).

¿Cuánto son las multas y son más bajas para las empresas pequeñas?

El artículo 16 establece las obligaciones de los proveedores, entre ellas el cumplimiento de los requisitos de los artículos 9 a 15. El incumplimiento se sanciona con multas de hasta 15 millones de EUR o, para una empresa, el 3 % del volumen de negocios anual mundial, si esta cuantía es superior (artículo 99(4)). Para las pymes, incluidas las empresas emergentes, y las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter), cada multa llega como máximo al menor de los dos importes (artículo 99(6) y (6 bis)). Cada Estado miembro establece en qué medida pueden imponerse multas a las autoridades públicas (artículo 99, apartado 8).

Siguiente lectura: el artículo 9, la visión general de sanidad, los datos y la supervisión

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.

Ver cómo Scanara analiza sus repositorios