Establecimiento de normas

Actualizado: 21 de julio de 2025.

Esta página pretende ofrecer una visión general de fácil acceso sobre el establecimiento de normas de seguridad de la IA con arreglo a la Ley de IA de la UE. Abarca el contexto más amplio y la justificación del establecimiento de normas de seguridad de la IA de la UE, el proceso de establecimiento de normas y cuestiones sobre cuándo podrían estar terminadas las normas de la Ley de IA.

Este recurso fue elaborado por primera vez en 2023 por Hadrien Pouget, entonces experto en política de IA de la Fundación Carnegie para la Paz Internacional. Fue actualizado en junio de 2025 por Koen Holtman, experto en normas del AI Standards Lab, y Tekla Emborg, investigadora de políticas de la UE en el Future of Life Institute.

Nota: nos centramos en explicar el esfuerzo formal de elaboración de normas de seguridad de la IA en la UE que se está llevando a cabo en el denominado comité de normalización CEN-CENELEC JTC21. Otras iniciativas de elaboración de normas de IA, como la ISO/IEC.

1. Antecedentes: Detalles del proceso de elaboración de normas de IA de la UE

La UE cuenta con un mecanismo particular que prevé la redacción de normas técnicas que se convierten en "manuales" oficialmente aprobados que describen cómo las empresas y otros agentes pueden cumplir la normativa de seguridad de la UE. La idea central es que tales normas, conocidas como "normas armonizadas y citadas" una vez aprobadas, pueden proporcionar una presunción de conformidad de los requisitos legales. Si una empresa demuestra que su producto o sistema cumple una norma armonizada y citada, las autoridades de vigilancia del mercado y los tribunales presumirán que cumple el requisito legal correspondiente. 

Para la Ley de IA, la Comisión Europea ha solicitado que se redacte un lote inicial de normas de este tipo para la Ley de IA, y la redacción está actualmente en curso. Este lote inicial cubrirá los requisitos para los proveedores de sistemas de IA de alto riesgo. En el futuro, la Comisión podrá solicitar normas adicionales que cubran otras partes de la Ley de IA. 

El mecanismo de solicitud de normas de la UE implica una división del trabajo. Permite al legislador de la UE simplemente especificar en la Ley de IA que los proveedores de modelos o sistemas de IA deben lograr determinados resultados relacionados con la seguridad, y especificar que para lograr estos resultados deben aplicarse los métodos más avanzados de ingeniería de seguridad generalmente reconocidos . El texto de la ley no entra en detalles técnicos sobre cuáles son realmente esos métodos de vanguardia. Se espera que los expertos técnicos que redacten las normas completen estos detalles. El legislador prevé además que estas normas se actualizarán si cambia el estado de la técnica.

Hay que señalar de entrada que las normas no son los únicos documentos que pueden detallar cómo cumplir la Ley de IA. Por ejemplo, los requisitos para los proveedores de IA de uso general se aclaran en un Código de Prácticas redactado. Además, algunos requisitos de la Ley de IA se aclararán más en documentos de directrices redactados por la Comisión Europea.

El uso de normas como medio de cumplimiento sigue siendo voluntario. Los proveedores pueden ignorar las normas armonizadas y confiar en la interpretación independiente del texto legal. Para su interpretación pueden basarse en libros, guías, sitios web o dictámenes jurídicos escritos por autores independientes o alianzas industriales. Estos trabajos independientes no tienen el estatus de normas oficialmente aprobadas y no otorgan presunción de conformidad, pero pueden estar disponibles antes o adaptarse mejor a una situación específica.

2. Actores clave

Para entender el desarrollo de las normas europeas de la Ley de AI, es útil empezar con una visión general de los actores centrales del proceso.

1. La Comisión Europea: Está compuesta por 27 Comisarios propuestos por los Estados miembros y aprobados por el Parlamento Europeo. Actúa como poder ejecutivo de la UE. La Comisión se encarga de solicitar y aprobar las normas europeas a los organismos europeos de normalización.
2. Los organismos europeos de normalización (OEN): Hay tres organizaciones responsables de la elaboración de todas las normas de la UE: CEN, CENELEC y ETSI. Los dos primeros dirigen la creación de normas de la Ley de IA a través de su comité conjunto denominado CEN/CENELEC JTC21. Estos organismos son independientes de las instituciones de la UE, incluida la Comisión, y también pueden crear otras normas por iniciativa propia. Los OEN deben reunir a distintas partes interesadas, algunas de las cuales se presentan a continuación.
3. Organismos nacionales de normalización (ONN): Son los responsables de las normas en cada uno de los Estados miembros. Véase, por ejemplo, la lista de todos los ONN miembros del CEN. Cada organismo nacional representa los intereses de todas las partes interesadas en el país respectivo: gobierno, industria y sociedad civil, al permitir que las partes de ámbito nacional se conviertan en miembros de sus comités, lo que suele requerir el pago de una cuota de participación. Dichos comités debaten y determinan los votos y comentarios nacionales sobre los proyectos de normas. Los comités también pueden designar a miembros como expertos técnicos que contribuyen a la redacción dentro de los grupos de trabajo de la OCSE. Estos expertos técnicos están sujetos a un código de conducta que les obliga a "trabajar en beneficio de la comunidad europea".¹lo que puede exigir dejar de lado las preferencias de las partes interesadas nacionales que pagan su salario, gastos de viaje y cuotas de participación.
4. Organizaciones europeas de partes interesadas: En otras organizaciones están representados diversos intereses dentro de la UE, por ejemplo los de las pequeñas y medianas empresas (PYME), los sindicatos, el medio ambiente y los consumidores. Algunas de ellas tienen derecho a formular observaciones y a participar sin ser previamente miembros de un comité a nivel de organismo nacional, así como cierta financiación de la UE para participar, de conformidad con el anexo III del Reglamento (UE) nº 1025/2012. 
5. Consultores en normas armonizadas: Para la elaboración de algunas normas, la Comisión contrata a consultores privados que se aseguran de que las normas elaboradas por los OEN son adecuadas para su publicación por la UE. Sin embargo, en el caso de la Ley AI, la Comisión decidió realizar ella misma la evaluación de idoneidad requerida. El papel de los consultores de normas armonizadas se describe con más detalle aquí.
   

3. Etapas del proceso

El proceso de elaboración de normas armonizadas es complejo. Comienza con una solicitud de normas por parte de la Comisión, seguida de la redacción por parte del OEN pertinente, la consulta, la votación y la publicación, antes del paso final de citación de las normas en el Diario Oficial de la Unión Europea. A continuación se explica cada paso. Para una visión más amplia, consulte el sitio web del CEN.

Paso 1: La Comisión crea una solicitud de normalización para los OEN

Dicha solicitud incluye detalles sobre qué parte de la legislación correspondiente debe ser cubierta por las normas solicitadas y una fecha de entrega solicitada. En consulta con los OEN y otras partes interesadas, se perfecciona un proyecto de solicitud para que sea aceptable para todos. Una vez aprobada por la Comisión y los representantes de los gobiernos de la UE, la solicitud se publica y los OEN deben responder formalmente. Aunque es posible rechazar una solicitud, los OEN suelen aceptarla, incluso si tienen dudas sobre la viabilidad de completar el trabajo en la fecha de entrega solicitada. Para más información, véase el Vademécum de la Normalización Europea. 

Paso 2: Los OEN redactan las normas

Las normas se redactan en comités técnicos con expertos técnicos de los ONN. Los comités también incluyen una selección de partes interesadas en calidad de observadores. Como ya se ha mencionado, el comité técnico de la Ley de IA es un comité conjunto del CEN y el CENELEC denominado CEN/CENELEC JTC21. Dentro del comité se forman grupos de trabajo en los que expertos técnicos redactan los documentos normativos. Todos estos expertos son voluntarios, en el sentido de que el CEN y el CENELEC no les compensan por su tiempo y esfuerzo. Los expertos están sujetos a normas de confidencialidad, por ejemplo, no pueden revelar detalles de los debates en curso ni el contenido de los borradores de trabajo en curso. El acuerdo unánime de los expertos, o el consenso de los expertos si no es posible la unanimidad, es necesario para pasar los borradores al siguiente paso del proceso.

Normalmente, las OEN europeas intentan aprovechar, y no anular, el trabajo existente en normas internacionales redactadas por ISO/IEC (la Organización Internacional de Normalización y la Comisión Electrotécnica Internacional). Esto se hace para garantizar la coherencia internacional y es una parte importante del Acuerdo sobre Obstáculos Técnicos al Comercio de la OMC, que impide a los países utilizar las normas para bloquear el comercio internacional.

Paso 3: Consulta

La consulta es una fase de votación y comentarios en la que las partes interesadas nacionales evalúan un proyecto de norma completo elaborado por un grupo de trabajo. Los ONN recopilan y envían comentarios, que se devuelven a los expertos del grupo de trabajo, quienes pueden actualizar el borrador en función de los comentarios. No es infrecuente que distintos ONN hagan comentarios contradictorios: un país quiere un cambio en un sentido y otro en otro. Corresponde a los expertos del grupo de trabajo resolver estos conflictos, llegando a un compromiso o rechazando de plano determinados comentarios. Si se rechazan sin más, se corre el riesgo de que el país vote "no" en el siguiente paso, la votación formal. Las reacciones muy negativas durante la consulta podrían provocar un reinicio del proceso, en el que se reescribirían por completo grandes partes del borrador y la nueva versión se sometería a una segunda votación de consulta. Un grupo de trabajo también puede decidir resolver los problemas simplemente omitiendo el material que haya resultado muy controvertido. Esto puede dar lugar a una norma que ya no cubra totalmente los temas solicitados en la petición de normalización.

Paso 4: Votación formal

En este paso del proceso, los ONN votan formalmente para aceptar o rechazar la norma a la que se han incorporado sus comentarios en el paso anterior. Un voto negativo puede desencadenar otra ronda de redacción y una nueva votación. Un voto afirmativo puede ir acompañado de comentarios, pero éstos sólo deben proponer modificaciones menores.

Paso 5: Publicación

Tras una votación favorable, el CEN y el CENELEC publican la norma. Las normas publicadas suelen comprarse en tiendas web, aunque algunas son gratuitas. Un caso reciente ante el Tribunal de Justicia de las Comunidades Europeas se refería a la conveniencia de que los OEN cobren dinero por normas que apoyan directamente la legislación de la UE. En el momento de escribir estas líneas, no está claro qué efectos tendrán estas demandas en el modelo de financiación basado en tasas de los OEN.

Paso 6: Evaluación seguida de cita en el Diario Oficial de la Unión Europea

En la etapa final, la Comisión Europea evaluará si las normas publicadas cumplen correctamente las condiciones de la solicitud de normalización y se corresponden con el texto de la Ley de AI. No obstante, la Comisión Europea también participa en el proceso de redacción, aportando información en forma de evaluaciones preliminares de los proyectos. Una vez concluida con éxito la evaluación, la Comisión puede adoptar un acto de ejecución que cite la norma en el Diario Oficial de la Unión Europea (DOUE). Esto convierte la norma en una norma armonizada y citada que aporta una "presunción de conformidad" con las partes aplicables de la ley.

La Comisión mantiene un sitio web en el que se enumeran todas las normas armonizadas citadas para ámbitos regulados específicos. En ámbitos maduros, puede haber decenas o centenares de normas de este tipo, desarrolladas y actualizadas durante décadas.

Visión simplificada del proceso de elaboración de normas para la Ley de IA de la UE

Puntos destacados del calendario de establecimiento de normas de la Ley de IA

El calendario que figura a continuación se basa en la información de dominio público disponible en junio de 2025.

5. Ejemplos de cómo las normas pueden aclarar la Ley de AI

Para entender cómo las normas podrían aclarar el texto de la Ley de AI, veamos como ejemplo los artículos 9 y 8(1) de la Ley de AI. 

El artículo 9 de la Ley de IA exige que los sistemas de IA de alto riesgo estén equipados con "medidas de gestión del riesgo" de modo que "el riesgo residual pertinente asociado a cada peligro, así como el riesgo residual global de los sistemas de IA de alto riesgo, se considere aceptable". El artículo 8, apartado 1, especifica además que este juicio debe hacerse teniendo en cuenta "el estado de la técnica generalmente reconocido en materia de IA y tecnologías relacionadas con la IA".

Como manual sobre cómo cumplir estas obligaciones, una norma podría:

• Especifique qué significa "aceptable": ¿aceptable para quién?
• Detallar cómo juzgar la aceptabilidad del riesgo restante. Por ejemplo, esto podría implicar a un equipo interdisciplinar de expertos que conozcan tanto el ámbito de aplicación como las expectativas de la sociedad en torno a él y el estado actual de la tecnología de IA.
• Esbozar lo que dice el estado de la técnica sobre si y cuándo es apropiado un proceso de consulta a las partes interesadas para determinar que los riesgos son aceptables, y el diseño de dichas consultas a las partes interesadas.
• Detallar las técnicas adecuadas para estimar los riesgos residuales en determinadas situaciones.
• Presentar listas de comprobación que enumeren riesgos, peligros o consideraciones específicas que se espera que conozcan los profesionales del estado de la técnica.

En campos maduros y restringidos como la seguridad alimentaria o la ingeniería eléctrica, los expertos en la materia suelen ser capaces de determinar umbrales numéricos probados en laboratorio y a lo largo del tiempo para obtener resultados seguros. Por ejemplo, en el ámbito de la seguridad alimentaria, pueden definir que el riesgo de intoxicación por plomo de un alimento de tipo A está en un nivel aceptable si un análisis de laboratorio de una muestra representativa muestra que el contenido de plomo es inferior a B partes por millón. A partir de ahí, corresponde a los no expertos utilizar las normas de seguridad y garantizar resultados seguros de acuerdo con el estado de la técnica. 

En cambio, es poco probable que los expertos que trabajan en las normas de IA de alto riesgo en el marco de la Ley de IA puedan llegar a prescripciones numéricas similares. El campo de la IA cubierto por la Ley de IA es sencillamente demasiado diverso y, a diferencia de lo que ocurre con la seguridad alimentaria, no puede basarse en una experiencia duradera con tipos de productos que llevan décadas o siglos en el mercado. Así pues, es probable que los procesos de vanguardia definidos en las normas de seguridad de la IA requieran la participación de expertos y el juicio de expertos para ejecutarse correctamente.

6. Preocupaciones y controversias

6.1. Problemas de calendario y soluciones

Según la Ley de IA, los requisitos legales sobre una primera categoría de sistemas de IA de alto riesgo entrarán en vigor en octubre de 2026. Lo ideal sería que las normas correspondientes estuvieran disponibles en octubre de 2025 para que los proveedores tuvieran tiempo suficiente para prepararse. Sin embargo, como se desprende del calendario anterior, es poco probable que estas normas estén listas para entonces.

Históricamente, los OEN han tenido a menudo dificultades para entregar a tiempo las normas solicitadas, incluso cuando han empezado pronto, por ejemplo en relación con la actualización del Reglamento sobre productos sanitarios y la Directiva sobre equipos radioeléctricos. 

El artículo 41 de la Ley Antiterrorista prevé posibles retrasos en la elaboración de normas. Permite a la Comisión Europea establecer "especificaciones comunes", que servirían de orientación oficial provisional hasta que se aprueben formalmente las normas pertinentes. En el momento de la última actualización de este artículo, la Comisión no había manifestado públicamente su intención de recurrir a esta disposición. Sin embargo, como se muestra en el calendario anterior, la Comisión ha indicado que podría considerarse la opción de posponer la entrada en vigor de los requisitos de alto riesgo a una fecha posterior a octubre de 2026.

6.2. Preocupación por los resultados democráticamente válidos

El proceso de normalización, así como los controles y equilibrios dentro y alrededor del mismo, se han diseñado con la intención de crear resultados fiables y democráticos. Sin embargo, el proceso de elaboración de normas ha sido objeto de críticas en varios aspectos. Por ejemplo, se ha criticado que el proceso se desarrolle a puerta cerrada y sin transparencia. También se le ha criticado por tener características de diseño jugables que, en la práctica, llevan a que empresas tecnológicas con buenos recursos dominen el proceso y a que actores de mala fe se apropien de él. Algunos también han puesto en duda que el proceso actual sea adecuado para establecer normas jurídicas para las tecnologías digitales como parte de la agenda digital de la UE. Esta preocupación es especialmente pertinente en el caso de la elaboración de normas sobre IA, dada su naturaleza compleja y a veces controvertida.

6.3. Posible reforma del sistema europeo de normalización

La Comisión Europea anunció en 2022 que tomaría medidas para "mejorar la gobernanza y la integridad del sistema europeo de normalización". En el momento de escribir estas líneas, esta iniciativa de mejora sigue en curso. Como parte de esta iniciativa, la Comisión ha recogido aportaciones mediante convocatorias abiertas en 2023 y 2024. Las aportaciones escritas de 2024 no se han publicado en detalle, pero las de 2023 pueden leerse todas aquí. Estas aportaciones muestran una gran diversidad de opiniones entre las partes interesadas. Algunas partes interesadas afirman que el sistema de normalización de la UE funciona bien y no ven necesidad de actualizaciones importantes, mientras que otras consideran que no funciona bien en absoluto y que se necesitan reformas significativas.

En este segundo grupo, un tema común es la necesidad de garantizar una mayor participación de agentes ajenos a la industria, como expertos académicos independientes. A menudo se menciona la necesidad de más financiación para apoyar a estos agentes y eliminar otros obstáculos a la participación. Una característica importante del proceso actual es que, aunque está abierto a la participación de representantes y expertos de una amplia gama de partes interesadas, por defecto ninguno de estos representantes o expertos recibe remuneración por su trabajo ni reembolso por los gastos de viaje asociados. Aunque existen algunas fuentes de financiación limitadas para apoyar a los participantes del mundo académico, las pequeñas y medianas empresas y las organizaciones de la sociedad civil, muchas partes interesadas consideran que se necesitaría mucha más financiación para superar el problema de incluir a más partes interesadas y expertos. Las razones para incluir a más partes serían crear más (confianza en) resultados democráticamente equilibrados, y garantizar que haya suficiente experiencia y mano de obra en el comité para terminar el proceso de redacción de normas en un plazo razonable.

7. Lecturas complementarias

Información oficial sobre el JTC21:

• La página del "Comité Técnico Mixto 21: Inteligencia Artificial" está aquí. 
• La página web de divulgación del JTC21 está aquí.
• El JTC21 también publica boletines informativos sobre sus actividades de normalización.
• Aquí encontrará más información sobre el programa de trabajo del JTC21 (que también incluye normas no relacionadas con la solicitud de normalización y la redacción de algunos informes técnicos).

Sobre el funcionamiento de la normalización en el contexto de la UE y la Ley de IA: 

• El Reglamento (UE) nº 1025/2012, disponible aquí, contiene una descripción completa de la normalización de la UE.
• El reglamento interno del CEN-CENELEC por el que se rigen los trabajos de normalización está disponible aquí.
• Para una cobertura específica de la Ley de IA, véase también este documento de 2021 y este informe de 2024.

Documentos de investigación e informes sobre diversos aspectos de la elaboración de normas para la Ley de IA, algunos de los cuales incluyen reflexiones basadas en entrevistas a expertos que trabajan en el JTC21:

• Christine Galvagna Gobernanza inclusiva de la IA, participación de la sociedad civil en el desarrollo de normas. 2023. Véase también aquí un resumen de un acto en el que se debatió este documento.
• Mélanie Gornet, Hélène Herman. Una ojeada a la elaboración de normas europeas para la IA: entre intereses geopolíticos y económicos. 2024. hal-04784035
• Mélanie Gornet. Demasiado amplio para manejarlo: ¿podemos "arreglar" las normas armonizadas sobre inteligencia artificial centrándonos en sectores verticales? 2024. hal-04785208

Notas y referencias

1.  Tenga en cuenta que "Comunidad Europea" no es lo mismo que la Unión Europea, sino que se refiere a todos los países miembros del CEN y el CENELEC. Esto incluye, por ejemplo, al Reino Unido. ︎