Ley de IA de la UE y Software Sanitario: lo que necesitas saber (calendario actualizado, noviembre 2026)

¿Cuál es el calendario de la Ley de IA de la UE para la IA sanitaria? (actualizado en noviembre de 2026)

Actualización, noviembre de 2026. Cuando se publicó este artículo en marzo de 2026, las obligaciones de alto riesgo estaban previstas para el 2 de agosto de 2026. Ya no es así. El Reglamento (UE) 2026/1744, el Digital Omnibus sobre IA, se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026⁴. Según los análisis jurídicos que hemos revisado⁵:

• •Sistemas de alto riesgo del Anexo III (sistemas independientes en las áreas listadas): las obligaciones se aplican ahora desde el 2 de diciembre de 2027.
• •Sistemas de alto riesgo del Anexo I (IA que es un producto sanitario, o un componente de seguridad de uno, bajo MDR/IVDR): las obligaciones se aplican ahora desde el 2 de agosto de 2028.
• •Obligaciones de transparencia del artículo 50: se indican como sin cambios (2 de agosto de 2026). Conviene verificarlo en el texto consolidado.
• •MDR (2017/745) e IVDR (2017/746) no se modifican: sus requisitos y la evaluación de conformidad siguen aplicándose igual.

Es un aplazamiento, no una derogación. Los requisitos que se describen más abajo siguen siendo los mismos y, como una evaluación de conformidad suele tardar entre 6 y 12 meses, la preparación no debe detenerse. Consulta el texto oficial en EUR-Lex antes de basar una decisión de cumplimiento en cualquier fecha.

¿Qué hace que la IA Sanitaria sea "Alto Riesgo"?

La Ley de IA de la UE (Reglamento 2024/1689)¹ utiliza una clasificación basada en riesgo. La IA sanitaria puede clasificarse como alto riesgo a través de dos vías distintas:

Vía 1 — Anexo I / Artículo 6(1): Sistemas de IA que son dispositivos médicos o componentes de seguridad de dispositivos médicos, ya regulados bajo MDR (2017/745) o IVDR (2017/746)². Esta es la ruta principal para la mayoría de IA sanitaria en producción: IA radiológica, asistentes de patología, clasificadores de variantes genómicas, puntuación de riesgo del paciente y sistemas de imagen diagnóstica.

Vía 2 — Anexo III: Sistemas de IA destinados a áreas listadas en el Anexo III, incluyendo aquellos que influyen en el acceso a servicios sanitarios o evalúan la elegibilidad para prestaciones de salud pública¹.

En la práctica, si tu sistema de IA toca una decisión clínica o califica como dispositivo médico, es casi con certeza alto riesgo bajo una de estas vías.

¿Qué NO es alto riesgo?

Los sistemas de IA usados puramente para investigación (sin decisiones clínicas), automatización administrativa (agendas, facturación) o modelos de propósito general no ajustados para uso médico pueden quedar fuera de la categoría de alto riesgo. Pero los límites son más estrechos de lo que la mayoría de organizaciones asumen¹.

Los 7 Requisitos de Cumplimiento

Para sistemas de alto riesgo, los Artículos 8-15 exigen:

1. Sistema de Gestión de Riesgos (Art. 9)

Un documento vivo — no una evaluación puntual. Necesitas identificación, análisis y mitigación continuos de riesgos durante todo el ciclo de vida del sistema. Debe incluir pruebas con datos reales representativos de la población de pacientes objetivo.

2. Gobernanza de Datos (Art. 10)

Los datasets de entrenamiento, validación y test deben cumplir criterios estrictos de calidad: relevancia, representatividad, completitud y ausencia de errores. Para salud, esto significa documentar la procedencia de datos, gestionar sesgos entre grupos demográficos y mantener fichas de datasets.

3. Documentación Técnica (Art. 11)

Documentación completa cubriendo arquitectura, metodología de entrenamiento, métricas de rendimiento, limitaciones conocidas y uso previsto. Piensa en ello como un expediente técnico similar al que MDR ya requiere — pero con adiciones específicas de IA.

4. Registro y Logging (Art. 12)

Registro automático del funcionamiento del sistema, incluyendo entradas, salidas y los datos usados para inferencia. Los logs deben conservarse durante la vida útil prevista del sistema o un período mínimo establecido por normas sectoriales.

5. Transparencia (Art. 13)

Instrucciones claras de uso, incluyendo capacidades del sistema, limitaciones, propósito previsto y nivel de supervisión humana requerido. Los proveedores sanitarios que usen tu sistema necesitan entender qué puede y qué no puede hacer.

6. Supervisión Humana (Art. 14)

El sistema debe diseñarse para que un humano cualificado (típicamente un profesional sanitario) pueda supervisar eficazmente su funcionamiento, interpretar sus salidas y anularlo o detenerlo. La supervisión de "sello de goma" no cuenta.

7. Precisión, Robustez y Ciberseguridad (Art. 15)

El rendimiento debe ser consistente en las condiciones previstas. Los sistemas deben ser resilientes a ataques adversarios y deriva de datos. Para salud, esto significa monitorización continua post-despliegue.

Qué Significa Para Tu Organización

Si eres desarrollador/proveedor:

• •Comienza tu evaluación de conformidad AHORA. El proceso toma 6-12 meses para la mayoría de organizaciones.
• •Implementa un Sistema de Gestión de Calidad (SGC) alineado con el Art. 17.
• •Regístrate en la base de datos de la UE (Art. 71) antes de poner tu sistema en el mercado.
• •Presupuesta para monitorización post-comercialización continua.

Si eres un hospital o proveedor sanitario (desplegador):

• •Audita tus herramientas de IA actuales. ¿Cuáles son de alto riesgo bajo la Ley?
• •Asegúrate de que tus proveedores pueden proporcionar la documentación requerida.
• •Forma a tu personal clínico sobre sus responsabilidades de supervisión.
• •Implementa evaluaciones de impacto en derechos fundamentales para uso público (Art. 27).

Si eres investigador:

• •Los sistemas de IA usados exclusivamente para I+D generalmente están exentos — pero en el momento en que validas con datos de pacientes o influyes en una decisión clínica, la línea se difumina.
• •Documenta tu uso previsto claramente para evitar clasificación accidental como alto riesgo.

Estructura de Sanciones

El Artículo 99 de la Ley establece una estructura de sanciones escalonada¹:

• •Prácticas de IA prohibidas: hasta 35 millones de euros o el 7% de la facturación global anual (lo que sea mayor)
• •Incumplimiento de sistemas de alto riesgo: hasta 15 millones de euros o el 3% de la facturación global anual
• •Suministro de información incorrecta: hasta 7,5 millones de euros o el 1% de la facturación global anual

Para PYMEs y startups, se aplican límites reducidos proporcionalmente. Las cantidades son techos máximos — las multas reales se determinan por gravedad, alcance e intención. Pero el techo en sí señala la seriedad de la UE con el enforcement.

Nuestra Recomendación

No trates la Ley de IA de la UE como un ejercicio de checklist. Las organizaciones que ganarán son las que usen el cumplimiento como un marco de calidad — mejorando la fiabilidad, interpretabilidad y valor clínico de sus sistemas de IA en el proceso.

Si estás construyendo IA sanitaria y necesitas ayuda navegando los requisitos técnicos — desde pipelines de gobernanza de datos hasta documentación de conformidad — contacta con nosotros. Nuestro equipo combina ingeniería de IA práctica con experiencia real en ensayos clínicos y conocimiento regulatorio (GCP-ICH, ISO 14155) para tender puentes entre equipos de ingeniería y responsables de compliance. Evaluaremos tu caso y propondremos un plan concreto.

Referencias

• 1.Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo de 13 de junio de 2024 por el que se establecen normas armonizadas en materia de inteligencia artificial. Diario Oficial de la Unión Europea, L 2024/1689. Disponible en: eur-lex.europa.eu/eli/reg/2024/1689
• 2.Reglamento (UE) 2017/745 sobre productos sanitarios (MDR). Diario Oficial de la Unión Europea, L 117/1.
• 3.Cronograma de implementación de la Ley de IA de la UE. Disponible en: artificialintelligenceact.eu/implementation-timeline
• 4.Reglamento (UE) 2026/1744 (Digital Omnibus sobre IA), publicado en el Diario Oficial el 24 de julio de 2026. Texto oficial: eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
• 5.Análisis jurídicos secundarios: White & Case; Gibson Dunn; Pure Global

Actualizado en noviembre de 2026 por el Digital Omnibus (publicado por primera vez en marzo de 2026). Confirma siempre las fechas en el texto oficial.