Lista de verificación del responsable del despliegue de sistemas de IA de alto riesgo

Cómo usar este documento

• Para qué sirve. Es una lista de verificación para la organización que usa, bajo su autoridad, un sistema de IA de alto riesgo comprado o contratado a un proveedor (el «responsable del despliegue» del Reglamento (UE) 2024/1689). Recorre cada apartado del art. 26, el disparador de la evaluación de impacto en derechos fundamentales del art. 27 y el derecho a explicación del art. 86, y dice para cada uno qué hacer, qué evidencia guardar y en qué documento se trabaja.
• Qué no cubre. Si la organización desarrolla el sistema, lo comercializa con su nombre o marca, lo modifica de forma sustancial o cambia su finalidad prevista, pasa a tener obligaciones de proveedor (art. 25): use entonces el «Expediente técnico y sistema de gestión de calidad para IA de alto riesgo».
• Quién debe ser su dueño. El dueño del sistema completa una lista por sistema; el Responsable de IA la revisa y el Comité de IA aprueba el uso. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. Confirme que el sistema es de alto riesgo y en qué categoría (sección 2), si la organización es una entidad pública o presta servicios públicos, y si el uso es de evaluación de solvencia o de seguros de vida y salud (sección 4).
• Campos a completar. Rellene la ficha, la columna «Estado» y la columna «Ubicación de la evidencia» de la sección 3. Marque «No aplica» con su motivo cuando un apartado no corresponda.
• Variantes por país. No tiene variantes: es un documento para sistemas usados en la Unión Europea. Las autoridades de vigilancia del mercado de cada Estado miembro y las fechas de aplicación aparecen en «Referencias normativas relacionadas».
• Revisión. Pida a Legal que confirme la clasificación del sistema y si aplica la FRIA, y al Delegado de protección de datos que revise los apartados 26.9 y 26.11.
• Aprobación. El Comité de IA decide con el vocabulario común (Aprobar, Aprobar con condiciones, Rechazar, Escalar) en la sección 7, y la decisión se anota en el «Inventario de sistemas de IA».

Lista de verificación del responsable del despliegue de sistemas de IA de alto riesgo

Campo	Valor
Organización	[RAZÓN SOCIAL]
Sistema de IA	[SISTEMA DE IA]
Proveedor y versión	[PROVEEDOR] / [COMPLETAR]
Finalidad prevista según las instrucciones de uso	[COMPLETAR]
Categoría de alto riesgo	[COMPLETAR: punto del Anexo III, o producto del Anexo I]
Nivel de riesgo interno	Alto
Perfiles de despliegue	[COMPLETAR: P1 a P5]
Dueño del sistema	[RESPONSABLE]
Fecha de la lista	[FECHA]
Próxima revisión	[FECHA]

1. Objeto y alcance

1.1 [NOMBRE DE LA ORGANIZACIÓN] usa esta lista para documentar, antes del primer uso y en cada revisión, cómo atiende las obligaciones del responsable del despliegue de un sistema de IA de alto riesgo, y dónde está la evidencia de cada una.

1.2 Se completa una lista por sistema de IA de alto riesgo. Los sistemas de alto riesgo tienen siempre nivel de riesgo interno Alto y siguen el carril Rojo de aprobación: los aprueba el Comité de IA, o la Dirección en una organización pequeña, con revisión al menos cada tres meses.

1.3 Las obligaciones de esta lista se aplican desde la fecha que fija el Reglamento para cada categoría de sistema (ver Referencias normativas relacionadas). Antes de esa fecha, la lista sirve para preparar el despliegue.

2. Comprobaciones previas

N.º	Comprobación	Respuesta	Si la respuesta es «sí» o «no lo sé»	Documento
2.1	¿El uso coincide con alguna práctica prohibida?	Sí / No / No lo sé	Detener; nivel Inaceptable	Lista de verificación de prácticas de IA prohibidas
2.2	¿El sistema está en una categoría del Anexo III o es un componente de seguridad de un producto del Anexo I?	Sí / No / No lo sé	Seguir con esta lista; confirmar la categoría con Legal	Matriz de clasificación de riesgos de IA
2.3	¿El proveedor ha documentado que su sistema del Anexo III no es de alto riesgo (art. 6.3)?	Sí / No	Pedir y archivar su análisis; revisar si el uso real coincide con el analizado	Lista de verificación de diligencia debida para proveedores de IA
2.4	¿La organización pone su nombre o marca, modifica el sistema de forma sustancial o lo usa para una finalidad distinta de la prevista?	Sí / No	Pasa a tener obligaciones de proveedor (art. 25)	Expediente técnico y sistema de gestión de calidad para IA de alto riesgo
2.5	¿Se dispone de las instrucciones de uso del proveedor en una versión vigente?	Sí / No	Si no, no se pone en servicio hasta tenerlas	Política de gestión de proveedores de IA