Evaluación de la conformidad

1.  En el caso de los sistemas de IA de alto riesgo enumerados en el anexo III, punto 1, cuando, al demostrar el cumplimiento de los requisitos establecidos en la sección 2 por parte de un sistema de IA de alto riesgo, el proveedor haya aplicado las normas armonizadas a que se refiere el artículo 40, o bien, en su caso, las especificaciones comunes a que se refiere el artículo 41, el proveedor optará por uno de los procedimientos de evaluación de la conformidad siguientes:

a)	el fundamentado en el control interno, mencionado en el anexo VI, o
b)	el fundamentado en la evaluación del sistema de gestión de la calidad y la evaluación de la documentación técnica, con la participación de un organismo notificado, mencionado en el anexo VII.

Al demostrar el cumplimiento de los requisitos establecidos en la sección 2 por parte de un sistema de IA de alto riesgo, el proveedor se atendrá al procedimiento de evaluación de la conformidad establecido en el anexo VII cuando:

a)	las normas armonizadas a que se refiere el artículo 40 no existan, y no se disponga de las especificaciones comunes a que se refiere el artículo 41;
b)	el proveedor no haya aplicado la norma armonizada, o solo haya aplicado parte de esta;
c)	existan las especificaciones comunes a que se refiere la letra a), pero el proveedor no las haya aplicado;
d)	una o varias de las normas armonizadas a que se refiere la letra a) se hayan publicado con una limitación, y únicamente en la parte de la norma objeto de la limitación.

A efectos del procedimiento de evaluación de la conformidad mencionado en el anexo VII, el proveedor podrá escoger cualquiera de los organismos notificados. No obstante, cuando se prevea la puesta en servicio del sistema de IA de alto riesgo por parte de las autoridades garantes del cumplimiento del Derecho, las autoridades de inmigración o las autoridades de asilo, o por las instituciones, órganos u organismos de la Unión, la autoridad de vigilancia del mercado mencionada en el artículo 74, apartado 8 o 9, según proceda, actuará como organismo notificado.

2.  En el caso de los sistemas de IA de alto riesgo mencionados en el anexo III, puntos 2 a 8, los proveedores se atendrán al procedimiento de evaluación de la conformidad fundamentado en un control interno a que se refiere el anexo VI, que no contempla la participación de un organismo notificado.

3.  En el caso de los sistemas de IA de alto riesgo regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, el proveedor del sistema se atendrá al procedimiento de evaluación de la conformidad pertinente exigido de conformidad con los actos legislativos de armonización de la Unión pertinentes. Los requisitos establecidos en la sección 2 del presente capítulo se aplicarán a dichos sistemas de IA de alto riesgo y formarán parte de dicha evaluación. También se llevará a cabo una evaluación del sistema de gestión de la calidad establecido en el artículo 17, y se aplicarán los puntos 3, 4.3, 4.4 y 4.5, el punto 4.6, párrafo quinto, y el punto 5 del anexo VII.

A efectos de dicha evaluación de la conformidad, los organismos notificados que hayan sido notificados con arreglo a los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, estarán facultados para evaluar la conformidad de los sistemas de IA de alto riesgo con los requisitos establecidos en la sección 2 del presente capítulo, a condición de que el cumplimiento por parte de dichos organismos notificados de los requisitos establecidos en el artículo 31, apartados 4, 5, 10 y 11, se haya evaluado en el contexto del procedimiento de notificación con arreglo a los actos legislativos de armonización de la Unión pertinentes, lo que se demuestra mediante la evaluación efectuada en el marco de la notificación existente. Sin perjuicio de lo dispuesto en el artículo 28, dichos organismos notificados que hayan sido notificados de conformidad con los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, solicitarán su designación de conformidad con la sección 4 del presente capítulo a más tardar el 28 de enero de 2028.

Cuando un acto legislativo de armonización de la Unión enumerado en el anexo I, sección A, permita al fabricante del producto recurrir a una evaluación de la conformidad en la que no participen terceros a condición de que el fabricante haya aplicado normas armonizadas para garantizar el cumplimiento de todos los requisitos pertinentes, dicho fabricante solamente podrá recurrir dicha opción si también ha aplicado normas armonizadas o, en su caso, especificaciones comunes previstas en el artículo 41 que contemplen todos los requisitos establecidos en la sección 2 del presente capítulo. La clasificación de un producto como sistema de IA de alto riesgo de conformidad con el artículo 6, apartado 1, no afecta a las opciones relativas al procedimiento de evaluación de la conformidad de que disponen los fabricantes de productos regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, incluida, en su caso, la opción de basarse en normas armonizadas. Los fabricantes de dichos productos no están obligados a optar por un procedimiento de evaluación de la conformidad que implique una evaluación de la conformidad de terceros solo por motivo de que el producto incluya un sistema de IA de alto riesgo como componente de seguridad cuando no lo exijan los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A.

En el caso de los sistemas de IA de alto riesgo que estén regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, y que entren en alguna de las categorías enumeradas en el anexo III, el proveedor del sistema se atendrá al procedimiento de evaluación de la conformidad pertinente exigido en virtud de los actos legislativos de armonización de la Unión enumerados el anexo I, sección A.

4.  Los sistemas de IA de alto riesgo que ya hayan sido objeto de un procedimiento de evaluación de la conformidad se someterán a un nuevo procedimiento de evaluación de la conformidad en caso de modificación sustancial, con independencia de si está prevista una distribución posterior del sistema modificado o de si este continúa siendo utilizado por el responsable del despliegue actual.

En el caso de los sistemas de IA de alto riesgo que continúen aprendiendo tras su introducción en el mercado o su puesta en servicio, los cambios en el sistema de IA de alto riesgo y su funcionamiento que hayan sido predeterminados por el proveedor en el momento de la evaluación inicial de la conformidad y figuren en la información recogida en la documentación técnica mencionada en el anexo IV, punto 2, letra f), no constituirán modificaciones sustanciales.

5.  La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 97 al objeto de modificar los anexos VI y VII actualizándolos a la luz del progreso técnico.

6.  La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 97 al objeto de modificar los apartados 1 y 2 del presente artículo a fin de someter a los sistemas de IA de alto riesgo mencionados en el anexo III, puntos 2 a 8, al procedimiento de evaluación de la conformidad a que se refiere el anexo VII o a partes de este. La Comisión adoptará dichos actos delegados teniendo en cuenta la eficacia del procedimiento de evaluación de la conformidad fundamentado en un control interno mencionado en el anexo VI para prevenir o reducir al mínimo los riesgos para la salud, la seguridad y la protección de los derechos fundamentales que plantean estos sistemas, así como la disponibilidad de capacidades y recursos adecuados por parte de los organismos notificados.

1.  Pour les systèmes d’IA à haut risque énumérés à l’annexe III, point 1, lorsque, pour démontrer la conformité d’un système d’IA à haut risque avec les exigences énoncées à la section 2, le fournisseur a appliqué les normes harmonisées visées à l’article 40 ou, le cas échéant, les spécifications communes visées à l’article 41, il choisit l’une des procédures d’évaluation de la conformité suivantes sur la base:

a)	du contrôle interne visé à l’annexe VI; ou
b)	de l’évaluation du système de gestion de la qualité et de l’évaluation de la documentation technique, avec l’intervention d’un organisme notifié, visée à l’annexe VII.

Pour démontrer la conformité d’un système d’IA à haut risque avec les exigences énoncées à la section 2, le fournisseur suit la procédure d’évaluation de la conformité prévue à l’annexe VII dans les cas suivants:

a)	les normes harmonisées visées à l’article 40 n’existent pas et les spécifications communes visées à l’article 41 font défaut;
b)	le fournisseur n’a pas appliqué la norme harmonisée ou ne l’a appliquée que partiellement;
c)	les spécifications communes visées au point a) existent, mais le fournisseur ne les a pas appliquées;
d)	une ou plusieurs des normes harmonisées visées au point a), ont été publiées assorties d’une restriction et seulement sur la partie de la norme qui a été soumise à une restriction.

Aux fins de la procédure d’évaluation de la conformité visée à l’annexe VII, le fournisseur peut choisir n’importe lequel des organismes notifiés. Toutefois, lorsque le système d’IA à haut risque est destiné à être mis en service par les autorités répressives, les services de l’immigration ou les autorités compétentes en matière d’asile ou par les institutions, organes ou organismes de l’UE, l’autorité de surveillance du marché visée à l’article 74, paragraphe 8 ou 9, selon le cas, agit en tant qu’organisme notifié.

2.  Pour les systèmes d’IA à haut risque visés à l’annexe III, points 2 à 8, les fournisseurs suivent la procédure d’évaluation de la conformité fondée sur le contrôle interne visée à l’annexe VI, qui ne prévoit pas d’intervention d’un organisme notifié.

3.  Pour les systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, le fournisseur du système suit la procédure d'évaluation de la conformité pertinente selon les modalités requises conformément à la législation d'harmonisation de l'Union applicable. Les exigences énoncées à la section 2 du présent chapitre s'appliquent à ces systèmes d'IA à haut risque et font partie de cette évaluation. L'évaluation du système de gestion de la qualité prévue à l'article 17 est également effectuée, et les points 3, 4.3, 4.4 et 4.5, le cinquième paragraphe du point 4.6 et le point 5 de l'annexe VII s'appliquent.

Aux fins de ces évaluations de la conformité, les organismes notifiés qui ont été notifiés en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, sont habilités à évaluer la conformité des systèmes d'IA à haut risque avec les exigences énoncées à la section 2 du présent chapitre, à condition que le respect, par ces organismes notifiés, des exigences énoncées à l'article 31, paragraphes 4, 5, 10 et 11, ait été évalué dans le cadre de la procédure de notification conformément à la législation d'harmonisation de l'Union applicable, ce qui est attesté par l'évaluation effectuée dans le cadre de la notification existante. Sans préjudice de l'article 28, les organismes notifiés qui ont été notifiés en vertu de la législation d'harmonisation de l'Union figurant à l'annexe I, section A, introduisent une demande de désignation conformément à la section 4 du présent chapitre au plus tard le 28 janvier 2028.

Lorsque la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, confère au fabricant du produit la faculté de se fonder sur une évaluation de la conformité ne faisant pas intervenir un tiers, à condition que ce fabricant ait appliqué les normes harmonisées afin de garantir le respect de toutes les exigences pertinentes, ce fabricant ne peut faire usage de cette faculté que s'il a également appliqué les normes harmonisées ou, le cas échéant, les spécifications communes visées à l'article 41 couvrant toutes les exigences énoncées à la section 2 du présent chapitre. La classification d'un produit en tant que système d'IA à haut risque conformément à l'article 6, paragraphe 1, n'affecte pas le choix de la procédure d'évaluation de la conformité offert aux fabricants de produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, y compris, le cas échéant, la possibilité de se fonder sur des normes harmonisées. Les fabricants de ces produits ne sont pas tenus de choisir une procédure d'évaluation de la conformité impliquant une évaluation par un tiers uniquement parce que le produit intègre un système d'IA à haut risque en tant que composant de sécurité, si cela n'est pas requis par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A.

Lorsqu'un système d'IA à haut risque relève à la fois de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A et de l'une des catégories énumérées à l'annexe III, le fournisseur de ce système suit la procédure d'évaluation de la conformité pertinente selon les modalités requises en vertu de la législation d'harmonisation de l'Union applicable dont la liste figure à l'annexe I, section A.

4.  Les systèmes d’IA à haut risque qui ont déjà été soumis à une procédure d’évaluation de la conformité sont soumis à une nouvelle procédure d’évaluation de la conformité lorsqu’ils font l’objet de modifications substantielles, que le système modifié soit destiné à être distribué plus largement ou reste utilisé par le déployeur actuel.

Pour les systèmes d’IA à haut risque qui continuent leur apprentissage après avoir été mis sur le marché ou mis en service, les modifications apportées au système d’IA à haut risque et à sa performance qui ont été déterminées au préalable par le fournisseur au moment de l’évaluation initiale de la conformité et font partie des informations contenues dans la documentation technique visée à l’annexe IV, point 2), f), ne constituent pas une modification substantielle.

5.  La Commission est habilitée à adopter des actes délégués conformément à l’article 97 pour modifier les annexes VI et VII afin de les mettre à jour compte tenu du progrès technique.

6.  La Commission est habilitée à adopter des actes délégués conformément à l’article 97 pour modifier les paragraphes 1 et 2 du présent article afin de soumettre les systèmes d’IA à haut risque visés à l’annexe III, points 2 à 8, à tout ou partie de la procédure d’évaluation de la conformité visée à l’annexe VII. La Commission adopte ces actes délégués en tenant compte de l’efficacité de la procédure d’évaluation de la conformité fondée sur le contrôle interne visée à l’annexe VI pour prévenir ou réduire au minimum les risques que ces systèmes font peser sur la santé et la sécurité et sur la protection des droits fondamentaux, ainsi que de la disponibilité de capacités et de ressources suffisantes au sein des organismes notifiés.