A tu sistema no solo le aplica la Ley de IA

⚡ TL;DR

Un mismo sistema de IA rara vez vive bajo una única ley. La Ley de IA de la UE proporciona a cada sistema de alto riesgo una columna vertebral de obligaciones — gestión del riesgo, gobernanza de datos, documentación técnica, supervisión humana, robustez (artículos 9 a 15). Encima de esa columna vertebral, un sector puede apilar su propio régimen: un dispositivo médico también lleva el MDR; un modelo de crédito que opera un banco también lleva DORA; una herramienta de selección de personal lleva además el derecho laboral nacional y el RGPD. Ese apilamiento es una superposición: un sistema, N regímenes a la vez. La buena noticia es que no tienes que mantener N pilas separadas de documentos — el mismo paquete de evidencia firmado se proyecta sobre el catálogo de cláusulas de cada régimen. Pero la honestidad divide los catálogos en dos tipos. Algunos son gobernados — ISO 23894 y prEN 18228 —, donde el motor emite veredictos reales por cláusula. Otros son un cruce documental + brecha — MDR y DORA —, donde el motor emite documentación firmada que cruza tu evidencia con las cláusulas del régimen, pero no un veredicto de conformidad. La frase que debes llevarte de esta página: una superposición no hace que el motor certifique el régimen sectorial.

🎯 Al terminar sabrás…

• Definir una superposición como un régimen sectorial apilado sobre la columna vertebral de la Ley de IA — un sistema sujeto a varios regímenes simultáneamente.
• Nombrar cómo se activa una superposición: bien a través del Anexo III (un uso de alto riesgo) o bien a través del Anexo I + artículo 6(1) (el sistema es un componente de seguridad de un producto ya regulado por derecho de seguridad de productos de la UE, como el MDR).
• Leer la proyección un paquete → N catálogos: la misma evidencia firmada presentada frente a varios catálogos de cláusulas a la vez, sin volver a anotar nada.
• Distinguir una norma gobernada (ISO 23894, prEN 18228 — veredictos reales por cláusula) de un régimen de cruce documental + brecha (MDR, DORA — documentación firmada, no un veredicto).
• Enunciar la frontera honesta: una superposición añade obligaciones y un catálogo, pero no convierte al motor en un organismo que pueda certificar el régimen sectorial.

La columna vertebral y lo que se apila sobre ella

Empieza con la imagen que dibujan los niveles de la columna vertebral. Cuando un sistema es de alto riesgo bajo la Ley de IA de la UE, la ley activa un conjunto fijo de obligaciones — la columna vertebral de los artículos 9 a 15: un sistema de gestión del riesgo (Art. 9), gobernanza de datos (Art. 10), documentación técnica (Art. 11 + Anexo IV), registro (Art. 12), transparencia ante los usuarios (Art. 13), supervisión humana (Art. 14) y exactitud/robustez/ciberseguridad (Art. 15). Esa columna vertebral es la misma para todos los sistemas de alto riesgo, independientemente del sector. La selección de estudiantes — de alto riesgo según el Anexo III §3, educación — ejecuta la columna vertebral y nada más apilado encima. Eso es la columna vertebral limpia.

Una superposición es lo que ocurre cuando el sistema también cae bajo un régimen sectorial específico que la UE apila encima de la Ley de IA:

• Sanidad. Una herramienta de diagnóstico o cribado es además un dispositivo médico, así que aplica el MDR (Reg. UE 2017/745) — sus Requisitos Generales de Seguridad y Funcionamiento (RGSF, Anexo I), su deber de evaluación clínica (Anexo XIV) y su ruta de evaluación de conformidad (MDR Art. 52).
• Finanzas. Un modelo de crédito operado por una entidad financiera también lleva DORA (Reg. UE 2022/2554) — resiliencia operativa digital, un registro de terceros TIC, notificación de incidentes.
• Empleo. Una herramienta de selección o gestión de personal lleva el RGPD (Art. 22 sobre decisiones automatizadas) y el derecho nacional del trabajo encima de la Ley de IA.

Cada superposición trae sus propias obligaciones y sus propias normas. El sistema responde ahora a varios regímenes a la vez — esa es la idea entera de una superposición: un sistema, N regímenes.

flowchart TB
  subgraph SPINE["Columna vertebral de la Ley de IA de la UE — todo sistema de alto riesgo"]
    direction LR
    A9["Art. 9<br/>gestión del riesgo"]
    A10["Art. 10<br/>gobernanza de datos"]
    A11["Art. 11<br/>Anexo IV"]
    A13["Art. 13<br/>transparencia"]
    A14["Art. 14<br/>supervisión"]
    A15["Art. 15<br/>robustez"]
  end
  subgraph OVERLAY["Superposición sectorial — se apila ENCIMA (solo este sistema)"]
    direction LR
    MDR["MDR (sanidad)<br/>RGSF + Art. 52 OAN<br/><b>cruce documental + brecha</b>"]
    DORA["DORA (finanzas)<br/>resiliencia TIC<br/><b>cruce documental + brecha</b>"]
    NAT["Nacional + RGPD (empleo)<br/><b>cruce documental + brecha</b>"]
  end
  BUNDLE["UN paquete de evidencia firmado"]
  BUNDLE --> SPINE
  BUNDLE --> OVERLAY
  SPINE -->|"proyección → veredictos reales<br/>(ISO 23894 · prEN 18228)"| GOV["Catálogos gobernados<br/>Cubierto / Atestado / Parcial / Brecha"]
  OVERLAY -->|"proyección → cruce documental firmado,<br/>NO un veredicto"| DOC["Documentación + brecha honesta"]

Léelo de arriba a abajo. La columna vertebral está bajo cada sistema de alto riesgo. El bloque de superposición se apila encima de ella solo para este sistema — un modelo de selección de estudiantes tiene el bloque de superposición vacío; un sistema de cribado de retina tiene el bloque MDR; el modelo de crédito de un banco tiene el bloque DORA. Y hay exactamente un paquete de evidencia firmado alimentando ambos: el motor lo proyecta sobre los catálogos gobernados de la columna vertebral (veredictos reales) y sobre el catálogo de la superposición (un cruce documental firmado, no un veredicto). La división de la derecha es la lección — sigue leyendo.

Un paquete, muchos catálogos — proyección, no papeles

Lo primero que una superposición no hace es doblar tu trabajo. No montas un dossier para la Ley de IA, otro para el MDR, un tercero para DORA. Hay un paquete de evidencia firmado — el manifiesto, los controles medidos, el residual, el estado de gestión — y el motor lo proyecta sobre el catálogo de cláusulas de cada régimen. Te encuentras con esta proyección en la columna vertebral limpia del Nivel 2: un único paquete presentado frente a ISO 23894 y prEN 18228 con veredictos reales por cláusula, sin volver a anotar nada. Una superposición es la misma proyección, apuntada a un catálogo más: declara eu/mdr@2017 en el manifiesto y el motor cruza también los mismos riesgos y medidas con las cláusulas RGSF del MDR.

Así que una superposición es barata en esfuerzo y cara en honestidad. Barata, porque la evidencia se reutiliza. Cara, porque ahora tienes que ser muy claro sobre qué tipo de resultado produce cada catálogo — y aquí entran las dos categorías.

Dos tipos de catálogo: gobernado vs cruce documental + brecha

No todo régimen sobre el que el motor puede proyectar es un régimen del que el motor pueda responder. Hay dos categorías, y confundirlas es exactamente el exceso de afirmación que todo este curso existe para evitar.

• Normas gobernadas — veredictos reales. ISO 23894 (la guía internacional de proceso de gestión del riesgo en IA) y prEN 18228 (el borrador armonizado de la UE que operativiza el artículo 9) son catálogos que el motor conduce de principio a fin. Para cada cláusula emite un veredicto genuino — Cubierto, Atestado, Parcial o Brecha — derivado de la evidencia firmada. Estas son las propias normas de la columna vertebral de la Ley de IA. (Incluso aquí la honestidad importa: prEN 18228 es un borrador, así que su indicador de presunción es falso hasta que sea citado en el Diario Oficial — véase prEN frente a ISO.)

• Regímenes de cruce documental + brecha — documentación, no un veredicto. El MDR y DORA son derecho sectorial vinculante, pero no son normas armonizadas de gestión del riesgo en IA que el motor esté construido para adjudicar. Para estos, el motor produce un cruce documental firmado: cruza tus riesgos y controles medidos con las cláusulas del régimen (los RGSF del MDR, los campos del registro de DORA) y firma ese cruce. Ese cruce documental es documentación real y útil — pero no es un veredicto de conformidad. Donde el régimen exige algo que el motor no puede suministrar — un organismo de acreditación notificado externo para un dispositivo MDR de clase IIa, una evaluación clínica, una prueba de resiliencia TIC — el cruce documental muestra una brecha honesta, no un «cubierto» fabricado.

Por qué el MDR y DORA son cruces documentales, no veredictos

La razón técnica es precisa. El motor clasifica cada norma por su autoridad — cuánto peso legal conlleva citarla — y solo emite un veredicto de conformidad para una norma que está en la cadena de autoridad de gestión del riesgo en IA (ISO 23894, prEN 18228, y algún día una EN armonizada citada). El MDR y DORA son regulaciones vinculantes, no normas armonizadas de gestión del riesgo en IA citadas para el artículo 9; no confieren ninguna presunción a través de este motor y no se adjudican como veredictos. Así que cuando declaras eu/mdr@2017, el motor cruza tu evidencia con las cláusulas RGSF del MDR y firma ese cruce — un cruce documental — pero nunca imprime «conformidad MDR». Decir que un sistema está «gobernado por el MDR» porque lleva un cruce documental MDR es exactamente el exceso de afirmación que hay que evitar: el cruce documental es documentación; el veredicto pertenece a la ruta de conformidad propia del régimen (para el MDR, un organismo de acreditación notificado).

La frontera honesta: una superposición no certifica el sector

Esta es la frase con la que quedarse. Declarar una superposición hace tres cosas honestas: incorpora las obligaciones del sector al ámbito, añade el catálogo de cláusulas del sector a la proyección, y muestra — como brechas firmadas — exactamente lo que el motor no puede suministrar. No hace una cuarta cosa: no convierte al motor en un organismo que pueda certificar que cumples el régimen sectorial. La columna vertebral de la Ley de IA, el motor la conduce con veredictos reales. La superposición sectorial, el motor la documenta — y donde el régimen exige un actor externo (un organismo notificado) o un artefacto fuera del motor (una evaluación clínica, una prueba de penetración TIC), la superposición enseña eso como una brecha, no como una capacidad.

Esa división honesta es la razón por la que las superposiciones son un dispositivo pedagógico, no uno de marketing. Te encuentras con tu primera superposición — sanidad/MDR — en el Nivel 3, donde un sistema de cribado de retina es a la vez de alto riesgo bajo la Ley de IA y un dispositivo MDR de clase IIa, y la brecha del organismo notificado es toda la lección.

El patrón es extensible — pero la regla de honestidad es fija

Las nuevas superposiciones son fáciles de añadir: NIS2 para la IA en infraestructuras críticas, el Reglamento de Maquinaria para la IA en máquinas, un futuro régimen sectorial. Cada una es «un catálogo más sobre el que el mismo paquete se proyecta». Lo que nunca cambia es la regla: un catálogo es gobernado (el motor emite veredictos reales) o es un cruce documental + brecha (el motor emite documentación firmada y señala honestamente lo que no puede suministrar). Añadir una superposición nunca promueve silenciosamente un cruce documental a veredicto.

Autocomprobación

❓ ¿Qué es una superposición y en qué se diferencia de la 'columna vertebral limpia'?

Una superposición es un régimen sectorial apilado sobre la columna vertebral de la Ley de IA de la UE — así que un mismo sistema de alto riesgo está sujeto a varios regímenes a la vez (la Ley de IA más, por ejemplo, el MDR para un dispositivo médico, o DORA para el modelo de crédito de un banco). La columna vertebral limpia es lo contrario: un sistema de alto riesgo sin régimen sectorial apilado encima — solo los artículos 9 a 15 y sus normas de gestión del riesgo en IA (ISO 23894, prEN 18228). La selección de estudiantes es columna vertebral limpia; el cribado de retina (Ley de IA + MDR) es una superposición. Una superposición se activa bien a través del Anexo III (un uso de alto riesgo) o bien a través del Anexo I + Art. 6(1) (el sistema es un componente de seguridad de un producto ya regulado, como un dispositivo médico).

❓ Un sistema con superposición lleva varios regímenes. ¿Significa eso que mantiene varios dossiers separados? ¿Y declarar una superposición permite al motor certificar ese régimen sectorial?

No a las dos preguntas. Hay un paquete de evidencia firmado, y el motor lo proyecta sobre el catálogo de cláusulas de cada régimen — sin segunda pila de papeles. Y declarar una superposición no permite al motor certificar el sector. Los catálogos se dividen en dos: las normas gobernadas (ISO 23894, prEN 18228) obtienen veredictos reales por cláusula; los regímenes de cruce documental + brecha (MDR, DORA) obtienen documentación firmada que cruza la evidencia con sus cláusulas, no un veredicto de conformidad — con una brecha honesta allí donde el régimen necesita algo que el motor no puede suministrar (un organismo notificado, una evaluación clínica, una prueba de resiliencia TIC). Una superposición añade obligaciones y un catálogo; nunca convierte al motor en un certificador del sector.

❓ El motor emite un cruce documental MDR firmado para un sistema de dispositivo médico. ¿Está ese sistema entonces 'gobernado por el MDR'?

No. El cruce documental MDR es documentación firmada — el motor cruza tus riesgos y controles medidos con las cláusulas RGSF del MDR — pero no es un veredicto de conformidad. El MDR es derecho vinculante, no una norma armonizada de gestión del riesgo en IA que el motor adjudique, así que no confiere ninguna presunción a través del motor y nunca se imprime como «cubierto/conforme». Llamar al sistema «gobernado por el MDR» porque lleva un cruce documental es el exceso de afirmación que hay que evitar: el cruce documental es evidencia y documentación; el veredicto pertenece a la ruta de conformidad propia del régimen — para un dispositivo MDR de clase IIa, un organismo de acreditación notificado externo.

A dónde ir ahora

Organismo notificado o autodeclaraciónLa otra mitad de la historia de la superposición: cuándo puedes declarar la conformidad tú mismo y cuándo un régimen (como el MDR para la clase IIa) exige un tercero acreditado e independiente — un organismo notificado — en quien el motor no puede subrogarse.

Nivel 3 · Cribado de retinaTu primera superposición en acción: un sistema de cribado de retinopatía diabética que es a la vez de alto riesgo bajo la Ley de IA y un dispositivo MDR de clase IIa. La barrera de robustez cierra en VERDE limpio — y la brecha del organismo notificado es la lección honesta.

Normas, borradores y presunciónEl lado de las normas gobernadas de la proyección: ISO 23894 frente a prEN 18228, y por qué la presunción es falsa hasta que una norma armonizada sea citada en el Diario Oficial.

MDR — dispositivos médicos y SaMDLa página de referencia: cómo el motor proyecta la porción del MDR correspondiente a cada sistema (RGSF Anexo I + SOUP) sobre el paquete firmado como cruce documental, y las brechas honestas que deja abiertas.