Registros de actividad IA: qué exige el RGPD y la ley

¿Qué registros de actividad exige el EU AI Act?

El Reglamento (UE) 2024/1689 obliga a que los sistemas de IA de alto riesgo generen y conserven registros de actividad (logs) que permitan reconstruir su funcionamiento a lo largo de todo su ciclo de vida. No se trata de una recomendación de buenas prácticas: es una obligación jurídica con base en el Art. 12 (registro de eventos), el Art. 19 (conservación por parte del proveedor) y el Art. 26.6 (conservación por parte del desplegador). Estos registros son la prueba objetiva de que un sistema funcionó según lo previsto — o de que falló y por qué.

Esta obligación es distinta de la documentación técnica que exige el Art. 11, aunque ambas se complementan: mientras la documentación técnica describe cómo se diseñó el sistema, como explicamos en nuestra guía sobre la documentación técnica del Artículo 11, los logs registran cómo se comportó realmente en producción.

¿Qué debe registrar automáticamente un sistema de alto riesgo?

El Art. 12.1 establece que los sistemas de IA de alto riesgo deben diseñarse con capacidades técnicas que permitan el registro automático de eventos ("logging") durante todo el tiempo de funcionamiento del sistema. El Art. 12.2 concreta que esos registros deben permitir, como mínimo:

• Identificar situaciones que puedan generar un riesgo para la salud, la seguridad o los derechos fundamentales, o dar lugar a una modificación sustancial.
• Facilitar el seguimiento posterior al mercado a que se refiere el Art. 72.
• Supervisar el funcionamiento de los sistemas de alto riesgo a que se refiere el Art. 26.5.

En el caso concreto de los sistemas de identificación biométrica remota, el Art. 12.3 exige que el registro incluya el período de cada utilización, la base de datos de referencia consultada, los datos de entrada cuyo cotejo dio lugar a una coincidencia y la identidad de las personas físicas que verificaron el resultado.

¿Cuánto tiempo hay que conservar los logs?

El plazo mínimo de conservación es de seis meses, salvo que otra norma aplicable establezca un periodo distinto. El Art. 19 lo dice para los proveedores: deben conservar los registros generados automáticamente por su sistema "durante un período adecuado a la finalidad prevista del sistema de IA de alto riesgo, de al menos seis meses, salvo que se disponga otra cosa en el Derecho de la Unión o nacional aplicable, en particular el Derecho de la Unión en materia de protección de datos personales" (© European Union, CC BY 4.0). El Art. 26.6 impone la misma obligación al desplegador, pero limitada a los registros que estén bajo su control.

Esta redacción es clave: el propio Reglamento reconoce que el plazo de seis meses puede desplazarse por normativa sectorial o de protección de datos, lo que nos lleva directamente al cruce con el RGPD.

¿Quién debe conservar los registros: el proveedor o el desplegador?

Ambos, pero con matices. El proveedor conserva los registros que genera el sistema como parte de su obligación de vigilancia poscomercialización. El desplegador — la empresa que usa el sistema en su operativa diaria, como analizamos en la guía sobre quién debe documentar el uso de la IA — conserva los registros que quedan bajo su control operativo, típicamente los generados durante el uso real en su organización. Esta doble capa evita que la trazabilidad se pierda si el proveedor deja de dar soporte al sistema o si el desplegador cambia de proveedor.

¿Dónde se cruza esta obligación con el RGPD?

Aquí aparece la tensión más relevante en la práctica. El Reglamento General de Protección de Datos establece en su Art. 5.1.e el principio de limitación del plazo de conservación: los datos personales no deben conservarse más tiempo del necesario para los fines del tratamiento. Muchos logs de sistemas de IA de alto riesgo — especialmente los que registran entradas, decisiones o identificación de personas — contienen datos personales.

Esto genera dos preguntas prácticas que toda organización debe resolver:

1. ¿Cuál es la base legal para conservar esos logs? La respuesta suele ser el Art. 6.1.c del RGPD (obligación legal), precisamente porque el propio EU AI Act impone la conservación mínima de seis meses. Esa obligación legal justifica el tratamiento y evita que el interesado pueda invocar el derecho de supresión (Art. 17.3.b RGPD) sobre esos registros durante el plazo obligatorio.
2. ¿Cómo se documenta esta conservación en el registro de actividades de tratamiento? El Art. 30 del RGPD exige que toda organización mantenga un registro de las categorías de tratamiento, y los logs de un sistema de IA de alto riesgo deben aparecer ahí, con su plazo de conservación, su base legal y las medidas de seguridad aplicadas conforme al Art. 32 RGPD.

Este tipo de solapamiento entre normativas ya lo vimos al analizar cómo las herramientas de marketing con IA afectan a los datos de clientes: la lógica es la misma — el EU AI Act añade una capa de obligaciones específicas de trazabilidad que no sustituye al RGPD, sino que convive con él.

¿Cómo se resuelve el conflicto entre conservar y minimizar?

La forma correcta de resolverlo no es elegir entre una norma u otra, sino aplicar ambas de forma coordinada:

• Fijar un plazo de conservación explícito de al menos seis meses para los logs exigidos por el Art. 12, salvo que otra norma imponga un plazo distinto (por ejemplo, normativa sectorial de banca o salud con plazos más largos).
• Aplicar seudonimización o minimización sobre los campos que no sean estrictamente necesarios para la trazabilidad exigida.
• Documentar formalmente esta decisión en el registro de tratamientos del Art. 30 RGPD y en el sistema de gestión de riesgos del sistema de IA, tal y como describimos en nuestro análisis del Art. 9 y el sistema de gestión de riesgos.
• Establecer un procedimiento de borrado automático una vez superado el plazo, para no incumplir el principio de limitación de conservación del RGPD por exceso de celo.

Es importante recordar que estas obligaciones de logging aplican a los sistemas clasificados como de alto riesgo, cuya exigibilidad quedó reordenada por el Reglamento (UE) 2026/1744: los sistemas del Anexo III se aplican desde el 2 de diciembre de 2027 y los del Anexo I desde el 2 de agosto de 2028. Esto da margen a las organizaciones para diseñar desde ahora su arquitectura de logging sin tener que improvisarla bajo presión de plazo.

Documentar los registros de actividad con AICONTEXT

Definir qué se registra, durante cuánto tiempo y bajo qué base legal del RGPD no es un ejercicio técnico aislado: forma parte de la documentación exigible bajo el Reglamento. La metodología de 13 secciones del AI Context Brief de AICONTEXT incluye específicamente el bloque de trazabilidad y conservación de registros, ayudando a las organizaciones a preparar una autoevaluación coherente entre sus obligaciones de logging del EU AI Act y su registro de actividades de tratamiento del RGPD, antes de que ambas normativas entren en conflicto en una auditoría o una reclamación de un interesado.

La conservación de logs no es un requisito burocrático más: es la evidencia que permitirá demostrar, ante una autoridad de vigilancia del mercado o ante una autoridad de protección de datos, que el sistema de IA funcionó dentro de los parámetros previstos y que los datos personales implicados se trataron con una base legal clara y un plazo de conservación proporcionado.