De las obligaciones del AI Act que aparecen en las listas de tareas de empresas que usan IA, el sistema de gestión de la calidad del Art. 17 es una de las que más trabajo genera y menos suele corresponder.
La razón por la que aparece donde no toca ya la vimos: se cita el artículo y no el sujeto. Aquí lo que interesa es lo otro — qué pide exactamente el Art. 17, y por qué una empresa que despliega no puede cumplirlo aunque se lo proponga.
La figura reparte entre el proveedor y el responsable del despliegue las obligaciones del AI Act, una por fila. La fila resaltada es la de la documentación técnica, el sistema de gestión de la calidad y la conformidad (artículos 11, 17, 18 y 43 y anexo IV): la columna del proveedor dice elaborarla, conservarla y someter el sistema a evaluación de la conformidad; la del responsable del despliegue está vacía.
Qué exige el artículo
El apartado 1 nombra al sujeto en su primera línea: «Los proveedores de sistemas de IA de alto riesgo establecerán un sistema de gestión de la calidad que garantice el cumplimiento del presente Reglamento».
Y añade la forma: ese sistema «deberá consignarse de manera sistemática y ordenada en documentación en la que se recojan las políticas, los procedimientos y las instrucciones».
Después enumera lo que debe incluir como mínimo. Basta leer los primeros puntos para ver de qué se está hablando:
- Una estrategia de cumplimiento normativo, incluidos los procedimientos de evaluación de la conformidad y la gestión de modificaciones del sistema.
- Las técnicas y actuaciones sistemáticas que se emplearán en el diseño y en el control y verificación del diseño.
- Las que se emplearán en el desarrollo y en el aseguramiento de su calidad.
- Los procedimientos de examen, prueba y validación antes, durante y después del desarrollo, y con qué frecuencia.
- Las especificaciones técnicas y normas que se aplicarán, y qué medios se usarán cuando las normas armonizadas pertinentes no se apliquen en su totalidad o no cubran todos los requisitos.
- Los sistemas y procedimientos de gestión de datos: adquisición, recopilación, análisis y etiquetado, entre otras operaciones.
Por qué no es trasladable a quien despliega
No hace falta un argumento jurídico. Basta el contenido de la lista.
Diseño, desarrollo, validación previa al despliegue, especificaciones técnicas, evaluación de la conformidad. Todo eso ocurre antes de que el sistema exista como producto en el mercado. Una empresa que contrata una herramienta de IA no diseña ni desarrolla nada: recibe algo terminado y decide si lo usa y para qué.
Pedirle que «establezca un sistema de gestión de la calidad» conforme al Art. 17 equivale a pedirle que documente decisiones de ingeniería que no tomó, sobre datos de entrenamiento que no vio, con procedimientos de prueba que no ejecutó.
Y la evaluación de la conformidad —que aparece en el primer punto de la lista— es una pieza del régimen del proveedor que un responsable del despliegue no realiza en ningún caso.
Lo que sí es tuyo, y se parece lo justo
Que el Art. 17 no te corresponda no significa que no tengas nada que documentar. Significa que lo tuyo es otra cosa, y confundirlas produce carpetas llenas de material inútil.
Lo del responsable del despliegue va por el Art. 26 y su entorno: usar el sistema con arreglo a las instrucciones, encargar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, conservar los archivos de registro que el sistema genere automáticamente en la medida en que estén bajo su control, y ser capaz de mostrar quién decidió qué y cuándo. Es un régimen de uso, no de construcción.
La diferencia se nota en el tipo de prueba que produce cada uno. El del Art. 17 produce documentación de producto. El tuyo produce trazas de decisiones — que es justamente la distinción entre marcar casillas y tener evidencia.
Qué hacer con el Art. 17 si eres deployer
Una sola cosa, y no es montarlo: preguntar por él.
Un proveedor de un sistema de alto riesgo debe tener ese sistema de gestión de la calidad y tenerlo documentado. Que lo tenga no es una obligación tuya, pero saber si lo tiene sí es diligencia tuya — especialmente si el sistema que despliegas cae en el Anexo III y va a estar bajo tu responsabilidad de uso.
Desde julio de 2026 hay además una norma europea para organizar ese sistema, la EN 18286:2026. Tampoco es tuya, y mientras su referencia no se publique en el Diario Oficial no da presunción de conformidad a nadie; lo que sí te da es un buen guion de preguntas.
Es una de las preguntas que conviene resolver antes de firmar, no dos años después, junto con las demás que un proveedor de IA debería poder contestar por escrito. Y la respuesta —la tenga o no— es exactamente el tipo de dato que conviene dejar anotado con su fecha: no porque una norma lo exija hoy, sino porque es lo que alguien te pedirá cuando pregunte por qué elegiste ese proveedor.
El coste de asumir obligaciones ajenas
Una lista de tareas que incluye el Art. 17 no es solo más larga: desplaza el esfuerzo. Las horas que una empresa mediana dedica a redactar un sistema de gestión de la calidad que no le corresponde son horas que no dedica a lo que sí le van a preguntar — qué sistemas usa, con qué finalidad, quién responde de cada uno y cuándo se revisó por última vez.
Y esa sustitución es difícil de detectar desde dentro, porque el trabajo inútil se parece mucho al trabajo necesario: también produce documentos, también lleva tiempo, también da sensación de avance. Solo se distingue el día que alguien pregunta, y entonces la carpeta gruesa no contesta la pregunta sencilla.
Contenido con arreglo al artículo 17 del Reglamento (UE) 2024/1689.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.