Qué es el sistema de gestión de calidad del AI Act

El sistema de gestión de calidad (QMS, por sus siglas en inglés) es el conjunto de políticas, procesos y procedimientos que un proveedor debe mantener para garantizar que sus sistemas de IA cumplen con los requisitos del Reglamento durante todo su ciclo de vida: diseño, desarrollo, validación, comercialización y seguimiento posterior.

El artículo 17 describe los elementos que debe incluir:

• Estrategia de cumplimiento normativo, incluyendo conformidad con el AI Act y la legislación aplicable
• Procedimientos de diseño y control del sistema, con especificaciones sobre cómo se desarrollan, prueban y validan
• Gestión de datos de entrenamiento, con controles sobre calidad, origen y gobernanza de los conjuntos de datos
• Gestión de cambios y actualizaciones del sistema
• Procedimientos de seguimiento postmercado, con indicadores y mecanismos de recogida de incidencias
• Gestión de reclamaciones e incidentes graves, incluyendo el proceso para notificar a las autoridades
• Procedimientos de comunicación con organismos notificados, cuando proceda

La supervisión humana como obligación operativa

El artículo 14 del AI Act regula la supervisión humana de los sistemas de IA de alto riesgo. No basta con que exista un humano en algún punto del proceso: el sistema debe diseñarse de forma que esa supervisión sea efectiva.

El Reglamento establece que los proveedores deben incorporar medidas que permitan a los desplegadores supervisar el sistema de forma continua, detectar anomalías o comportamientos inesperados, e intervenir o detener el sistema si es necesario. Para el desplegador, la obligación es designar personas que comprendan la tarea del sistema, estén en condiciones de interpretar sus salidas y tengan autoridad para anular las decisiones automatizadas cuando proceda.

El papel del responsable de IA en la empresa

El AI Act no crea formalmente una figura equivalente al DPO del RGPD para la inteligencia artificial. Pero la práctica regulatoria y las directrices de los organismos de supervisión apuntan a la necesidad de designar un responsable interno de cumplimiento de IA que centralice las funciones de gestión, auditoría y comunicación con la autoridad competente.

En empresas que ya tienen un DPO, tiene sentido que esta persona o su equipo asuma también la coordinación de las obligaciones del AI Act, dado el elevado grado de superposición entre ambos marcos. Las funciones no son idénticas —la DPIA y la FRIA son evaluaciones distintas, como explicamos en otra entrega—, pero la estructura de gobernanza puede ser compartida.

El registro de sistemas de IA de alto riesgo

El AI Act establece una base de datos europea (EU AI Act Database) en la que los proveedores y desplegadores deben registrar sus sistemas de alto riesgo. El registro incluye información básica sobre el sistema, su finalidad, su estado de conformidad y los datos de contacto del proveedor.

España, a través de la AESIA, gestionará el componente nacional de ese registro y actuará como punto de entrada para los sistemas que operen en el mercado español. La obligación de registro aplica antes del despliegue.

ISO 42001 como base de partida

La norma ISO/IEC 42001:2023 establece requisitos para sistemas de gestión de inteligencia artificial. No es una norma armonizada del AI Act —es un estándar voluntario de ISO—, pero tiene una superposición sustancial con los requisitos del artículo 17. Empresas que ya están certificadas o que han implementado ISO 42001 pueden partir de esa base para cumplir con los requisitos del Reglamento, aunque el alineamiento no es automático ni completo.

¿Tu empresa necesita implementar un sistema de gestión de calidad para IA conforme al AI Act? En Adapta RGPD diseñamos la estructura de gobernanza dentro de nuestra consultoría de cumplimiento del AI Act, con las 193 medidas AESIA y seguimiento continuo desde 199€/año.

La entrada Gobierno interno de la IA: sistemas de gestión de calidad y supervisión humana que exige el AI Act se publicó primero en Adaptación RGPD.