Artículo 17 del AI Act: Sistema de gestión de la calidad para proveedores de IA de alto riesgo

Precisión normativa: el Artículo 17 regula la calidad, no el registro

Es fundamental aclarar una confusión frecuente en la literatura secundaria: el Artículo 17 del Reglamento (UE) 2024/1689 no regula el registro de los sistemas en la base de datos de la Unión Europea. Esa obligación corresponde específicamente al Artículo 49. El Artículo 17 se centra exclusivamente en la obligación de implantar un sistema de gestión de la calidad (SGC) que garantice el cumplimiento del reglamento por parte de los proveedores de sistemas de IA de alto riesgo.

Esta distinción es crítica para los equipos de cumplimiento. Mientras que el registro (Art. 49) es un acto administrativo puntual de inscripción, el SGC (Art. 17) es una infraestructura organizativa continua que abarca todo el ciclo de vida del sistema. Confundir ambos puede llevar a las organizaciones a subestimar la carga operativa del Artículo 17, que exige políticas, procedimientos e instrucciones escritas sistemáticas, no solo un formulario de inscripción.

La diferencia entre ambas obligaciones también ayuda a ordenar el trabajo interno. El registro identifica formalmente el sistema conforme al procedimiento aplicable; el sistema de gestión de la calidad permite organizar y conservar la documentación que respalda el cumplimiento a lo largo del tiempo. Por ello, completar la inscripción no reemplaza la implantación del SGC, y disponer de procedimientos internos tampoco elimina por sí solo la obligación de registro cuando esta sea aplicable.

Entender el SGC como una estructura continua implica que sus políticas y procedimientos deben poder utilizarse para orientar las actividades y dejar constancia de cómo se gestionan. No basta con reunir documentos sin relación entre sí: deben formar un conjunto sistemático que permita vincular las responsabilidades, las decisiones y las tareas de cumplimiento con el sistema de IA de alto riesgo correspondiente. Esa lógica distingue una herramienta de gestión de un simple expediente administrativo.

Contenido obligatorio del sistema de gestión de la calidad

El apartado 1 del Artículo 17 establece que el SGC debe estar documentado de forma sistemática y ordenada en forma de políticas, procedimientos e instrucciones escritas. La norma enumera trece aspectos mínimos que deben incluirse. No se trata de una lista exhaustiva, sino de un suelo normativo: los proveedores pueden añadir elementos adicionales si su contexto lo requiere.

Entre los elementos más relevantes destacan la estrategia de cumplimiento normativo (letra a), que debe incluir los procedimientos de evaluación de conformidad y la gestión de modificaciones; las técnicas de diseño y desarrollo (letras b y c); y los procedimientos de examen, prueba y validación (letra d), que deben especificar la frecuencia de su realización. También es obligatoria la inclusión del sistema de gestión de riesgos (Art. 9) y del sistema de seguimiento poscomercialización (Art. 72) dentro del SGC.

La enumeración de trece aspectos funciona como un marco común para que el SGC cubra las actividades relevantes, desde la estrategia de cumplimiento hasta la rendición de cuentas. La expresión «aspectos mínimos» es importante: delimita el contenido que no debe omitirse, pero no convierte la lista en un catálogo cerrado ni determina que cada elemento tenga que existir como documento separado. La forma concreta de organizarlo debe seguir permitiendo identificar qué política o procedimiento atiende cada obligación.

En la práctica, la estrategia de cumplimiento y los procedimientos de evaluación de conformidad se relacionan con el control de las modificaciones: el proveedor debe integrar ambos asuntos en la documentación del SGC, en vez de tratarlos como trámites desconectados. Del mismo modo, las técnicas de diseño y desarrollo y los procedimientos de examen, prueba y validación describen partes conectadas de un proceso. Especificar la frecuencia de las actividades de examen y prueba ayuda a que lo escrito pueda orientar su realización y no quede reducido a una descripción general.

La gestión de datos reúne fases distintas que el texto menciona expresamente, como la adquisición, el análisis, el etiquetado, el almacenamiento y la conservación. Incorporarlas al SGC permite que la documentación describa cómo se administran esos procesos dentro de la organización. La norma también incluye la gestión de riesgos y el seguimiento poscomercialización, por lo que el contenido del sistema debe dar cabida a esas obligaciones y a la notificación de incidentes graves indicada en la tabla.

El marco de rendición de cuentas completa esa visión organizativa al establecer responsabilidades de la dirección y del personal. Su presencia evita que la documentación se limite a enumerar controles sin identificar quién debe gestionarlos. En conjunto, los elementos permiten relacionar la planificación del cumplimiento, las tareas técnicas, la gestión de datos, el seguimiento y las responsabilidades, sin perder de vista que el SGC debe quedar documentado de manera ordenada.

Proporcionalidad y adaptación al tamaño de la organización

El apartado 2 del Artículo 17 introduce un principio de proporcionalidad: la aplicación de los aspectos del SGC debe ser proporcional al tamaño de la organización del proveedor. Esto significa que una startup no está obligada a tener la misma complejidad documental que una gran corporación, siempre que se respete el grado de rigor y el nivel de protección necesarios para garantizar la conformidad.

Sin embargo, esta proporcionalidad no es una exención. El texto legal advierte explícitamente que, en cualquier caso, los proveedores respetarán el rigor necesario. Para las pymes, esto implica adaptar la granularidad de los procedimientos, no eliminarlos. Por ejemplo, una pyme puede integrar la gestión de riesgos en un documento único de gobernanza, mientras que una gran empresa podría tener departamentos separados para cada aspecto.

La proporcionalidad afecta a la manera de aplicar los aspectos del sistema, no a la existencia de la obligación. El tamaño de la organización puede influir en la estructura y el grado de detalle de la documentación, pero el proveedor sigue teniendo que cubrir los aspectos pertinentes y mantener el rigor necesario. Por eso, simplificar no equivale a omitir: una estructura más compacta debe seguir haciendo comprensibles los procedimientos y las responsabilidades.

El Reglamento no aporta una medida cuantitativa que convierta el tamaño de la organización en un número predeterminado de documentos, niveles de revisión o controles. En consecuencia, la adaptación requiere valorar si la organización propuesta permite gestionar y acreditar las obligaciones del SGC sin sacrificar el nivel de rigor necesario. Esa falta de una escala numérica no elimina el principio de proporcionalidad, pero aconseja evitar que se presente como una exención automática o como una fórmula idéntica para todas las organizaciones.

La comparación entre un documento integrado y varios manuales separados ilustra una diferencia de formato, no una reducción del contenido obligatorio. Un protocolo único puede reunir varias fases siempre que las describa con claridad y permita reconocer cómo se gestionan. A la inversa, dividir la documentación en distintos documentos no demuestra por sí solo que el sistema sea más completo: lo determinante es que el conjunto cubra los aspectos aplicables y resulte sistemático y suficiente para el propósito del SGC.

Vinculación con otras obligaciones del AI Act

El SGC no opera en el vacío. El Artículo 17.1.g obliga a incluir el sistema de gestión de riesgos del Artículo 9, y el 17.1.h exige la creación y mantenimiento del sistema de seguimiento poscomercialización del Artículo 72. Esto crea una arquitectura de cumplimiento integrada donde el SGC es el contenedor que unifica las obligaciones técnicas y organizativas.

Además, el SGC debe soportar la supervisión humana exigida por el Artículo 14. Los procedimientos de diseño y desarrollo (Art. 17.1.b-c) deben incluir las medidas para garantizar que el sistema pueda ser supervisado eficazmente por personas humanas. Si el SGC no documenta cómo se implementa la supervisión humana, el proveedor no puede demostrar el cumplimiento del Artículo 14 ante las autoridades de vigilancia del mercado.

La integración descrita en esta sección implica que las obligaciones relacionadas no deberían mantenerse como piezas aisladas de la documentación. El sistema de gestión de riesgos y el seguimiento poscomercialización forman parte del marco que el SGC debe incorporar, mientras que las técnicas de diseño y desarrollo pueden servir para documentar cómo se articula la supervisión humana. Así, la organización puede seguir el vínculo entre una obligación y los procedimientos internos que contribuyen a gestionarla, sin confundir la función del SGC con la de cada obligación sustantiva.

Esa conexión documental facilita que la información se mantenga coherente entre los distintos componentes. Si el proveedor modifica sus procedimientos, la estrategia de cumplimiento y la gestión de modificaciones mencionadas en el contenido mínimo ofrecen el contexto para revisar las relaciones entre los elementos. La finalidad no es añadir una capa independiente de requisitos, sino hacer visible cómo se organiza el cumplimiento de las obligaciones que el texto ya vincula con el sistema de calidad.

La documentación técnica del Anexo IV también aparece en el flujo como un elemento que debe generarse y mantenerse bajo los procedimientos del SGC. Esto refuerza la idea de que el sistema no es solo una declaración general de políticas: debe ofrecer un marco organizativo para producir y conservar documentación asociada al cumplimiento. En ese marco, la supervisión humana, la gestión de riesgos y el seguimiento poscomercialización quedan conectados con las prácticas de diseño y con la estrategia de cumplimiento, sin que una referencia sustituya a las demás.

Checklist de cumplimiento y consecuencias del incumplimiento

Para demostrar el cumplimiento del Artículo 17 ante las autoridades, los proveedores deben poder presentar un SGC documentado que cubra los trece aspectos mínimos. El incumplimiento de esta obligación se considera una infracción grave, susceptible de sanciones de hasta 15 millones de euros o el 3% del volumen de negocio anual mundial, lo que sea mayor, según el Artículo 99.

La checklist a continuación permite verificar la existencia de los elementos obligatorios. No sustituye al asesoramiento legal, pero sirve como herramienta de autoevaluación inicial para identificar brechas en la documentación.

La autoevaluación de la checklist puede entenderse como una revisión inicial de cobertura y de orden documental. Una respuesta afirmativa solo es útil si existe documentación localizable que sustente la respuesta y que permita identificar el procedimiento correspondiente; marcar «Sí» sin esa base no ayuda a detectar brechas. Del mismo modo, una respuesta negativa señala un asunto que conviene revisar, pero no determina por sí sola la valoración jurídica de la situación.

Las preguntas incluidas cubren algunos puntos visibles del sistema, no sustituyen la revisión completa de los trece aspectos mínimos descritos en el Artículo 17. Por tanto, la tabla debe leerse junto con la enumeración anterior y no como una lista exhaustiva de requisitos. Para que la comprobación sea consistente, conviene contrastar la estrategia de cumplimiento, la documentación escrita, la gestión de datos, las responsabilidades y la proporcionalidad con el conjunto del SGC.

La referencia a las sanciones debe conservarse dentro de su alcance: el incumplimiento de las obligaciones del proveedor puede dar lugar a las multas indicadas en el Artículo 99, pero la checklist no calcula una sanción ni permite anticipar el resultado de una actuación concreta. Además, la proporcionalidad no significa que el rigor sea opcional. La herramienta sirve para ordenar una revisión preliminar de la documentación y reconocer posibles carencias, sin reemplazar el análisis jurídico que corresponda al caso.

Continúa explorando

Correcciones y transparencia

Si detectas un dato incorrecto o desactualizado, puedes enviarnos una corrección indicando la página y la fuente que debemos revisar.