EU AI Act <span class="bg-gradient-to-r from-blue-400 via-indigo-400 to-purple-400 bg-clip-text text-transparent">Guía

Reglas de clasificación de los sistemas de IA de alto riesgo

Establece cuándo un sistema de IA es de alto riesgo (anexos I y III) y aclara que los sistemas usados solo para fines no relacionados con la seguridad no son componentes de seguridad.

Art. 7

Modificaciones del anexo III

Permite a la Comisión modificar el anexo III mediante actos delegados, añadiendo, modificando o suprimiendo casos de uso de alto riesgo según los criterios de riesgo que enumera.

Art. 8

Cumplimiento de los requisitos

Exige que los sistemas de IA de alto riesgo cumplan los requisitos de la sección 2 y permite integrar pruebas y documentación en los procedimientos del anexo I.

Art. 9

Sistema de gestión de riesgos

Obliga a establecer y mantener un sistema de gestión de riesgos iterativo durante todo el ciclo de vida del sistema de IA de alto riesgo, con pruebas previas a su comercialización.

Art. 10

Datos y gobernanza de datos

Exige que los datos de entrenamiento, validación y prueba de sistemas de alto riesgo tengan una gobernanza adecuada y sean representativos; los datos especiales se rigen por el art. 4 bis.

Alto riesgoDatos

Art. 11

Documentación técnica

Exige documentación técnica según el anexo IV antes de comercializar un sistema de alto riesgo; pymes y pequeñas empresas de mediana capitalización pueden usar un formulario simplificado.

Art. 12

Conservación de registros

Exige que los sistemas de IA de alto riesgo permitan técnicamente el registro automático de acontecimientos (archivos de registro) durante todo su ciclo de vida.

Art. 13

Transparencia y comunicación de información a los responsables del despliegue

Exige que los sistemas de alto riesgo sean suficientemente transparentes e incluyan instrucciones de uso con la información mínima que enumera para el responsable del despliegue.

Art. 14

Supervisión humana

Exige que los sistemas de IA de alto riesgo permitan una supervisión humana efectiva, incluida su detención segura y, en ciertos casos, la verificación por al menos dos personas.

Art. 15

Precisión, solidez y ciberseguridad

Exige que los sistemas de IA de alto riesgo alcancen un nivel adecuado de precisión, solidez y ciberseguridad durante su ciclo de vida, con resistencia al envenenamiento de datos.

Art. 16

Obligaciones de los proveedores de sistemas de IA de alto riesgo

Enumera las obligaciones del proveedor de sistemas de alto riesgo: gestión de la calidad, evaluación de la conformidad, declaración UE, marcado CE, registro y medidas correctoras.

Art. 17

Sistema de gestión de la calidad

Obliga a los proveedores de alto riesgo a un sistema de gestión de la calidad documentado y proporcional a su tamaño, en particular pymes y pequeñas empresas de mediana capitalización.

Art. 18

Conservación de la documentación

Obliga al proveedor a tener a disposición de las autoridades competentes, durante diez años, la documentación técnica, la de calidad y la declaración UE de conformidad.

Art. 19

Archivos de registro generados automáticamente

Obliga a los proveedores de sistemas de IA de alto riesgo a conservar los archivos de registro generados automáticamente que estén bajo su control durante al menos seis meses.

Art. 20

Medidas correctoras y obligación de información

Obliga a los proveedores a adoptar de inmediato medidas correctoras ante un sistema de alto riesgo no conforme (corregirlo, retirarlo, desactivarlo o recuperarlo) e informar.

Art. 21

Cooperación con las autoridades competentes

Obliga a los proveedores de sistemas de alto riesgo a facilitar a las autoridades competentes, previa solicitud motivada, información, documentación y archivos de registro.

Art. 22

Representantes autorizados de los proveedores de sistemas de IA de alto riesgo

Obliga a proveedores de terceros países a nombrar, por mandato escrito, un representante autorizado en la Unión antes de comercializar sistemas de alto riesgo y define sus tareas.

Art. 23

Obligaciones de los importadores

Obliga a los importadores a verificar, antes de introducir un sistema de alto riesgo, la evaluación de la conformidad, la documentación técnica y el marcado CE, y a guardar copias.

Art. 24

Obligaciones de los distribuidores

Obliga a los distribuidores a verificar marcado CE, declaración UE e instrucciones de uso antes de comercializar un sistema de alto riesgo y a actuar si no es conforme.

Art. 25

Responsabilidades a lo largo de la cadena de valor de la IA

Establece cuándo un tercero pasa a ser proveedor de un sistema de alto riesgo y obliga al proveedor inicial a cooperar con documentación técnica, limitaciones conocidas y acceso técnico.

Art. 26

Obligaciones de los responsables del despliegue de sistemas de IA de alto riesgo

Obliga al responsable del despliegue de sistemas de alto riesgo a usarlos según instrucciones, asignar supervisión humana, vigilarlos y conservar registros al menos seis meses.

Art. 27

Evaluación de impacto relativa a los derechos fundamentales para los sistemas de IA de alto riesgo

Obliga a ciertos responsables del despliegue a evaluar el impacto en derechos fundamentales y les permite remitir o incorporar partes de su evaluación de impacto de protección de datos.

Alto riesgoEvaluación

Art. 28

Autoridades notificantes

Obliga a cada Estado miembro a nombrar al menos una autoridad notificante y prevé una solicitud única y un procedimiento de evaluación unificado para organismos del anexo I, sección A.

Art. 29

Solicitud de notificación por parte de un organismo de evaluación de la conformidad

Regula la solicitud de notificación de los organismos de evaluación de la conformidad; los ya designados en otra legislación pueden usar sus documentos para acelerar la designación.

Art. 30

Procedimiento de notificación

Regula la notificación de organismos según los códigos del anexo XIV y les permite actuar si no hay objeciones en dos semanas (con acreditación) o dos meses (con pruebas documentales).

Art. 31

Requisitos relativos a los organismos notificados

Exige a los organismos notificados personalidad jurídica, independencia, imparcialidad, confidencialidad, seguro de responsabilidad y personal competente suficiente.

Art. 32

Presunción de conformidad con los requisitos relativos a los organismos notificados

Establece que el organismo que cumpla normas armonizadas publicadas en el Diario Oficial se presume conforme con los requisitos del artículo 31 que estas cubran.

Art. 33

Filiales de organismos notificados y subcontratación

Regula la subcontratación y el uso de filiales por organismos notificados: exige consentimiento del proveedor y conservar la documentación durante cinco años.

Art. 34

Obligaciones operativas de los organismos notificados

Obliga a los organismos notificados a verificar la conformidad según el artículo 43, evitar cargas innecesarias a los proveedores y facilitar documentación a la autoridad.

Art. 35

Números de identificación y listas de organismos notificados

Establece que la Comisión asigna un número de identificación único a cada organismo notificado y publica una lista actualizada de dichos organismos.

Art. 36

Cambios en las notificaciones

Regula los cambios, el cese, la suspensión y la retirada de las notificaciones y la validez de los certificados expedidos por el organismo notificado afectado.

Art. 37

Cuestionamiento de la competencia de los organismos notificados

Permite a la Comisión investigar la competencia de un organismo notificado y, si el Estado miembro no actúa, suspender, limitar o retirar su designación.

Art. 38

Coordinación de los organismos notificados

Exige a la Comisión establecer la coordinación entre organismos notificados en forma de grupo sectorial, en el que estos deben participar.

Art. 39

Organismos de evaluación de la conformidad de terceros países

Permite autorizar como organismos notificados a organismos de terceros países con acuerdo con la Unión si cumplen el artículo 31 o un nivel equivalente.

Art. 40

Normas armonizadas y documentos de normalización

Establece la presunción de conformidad por aplicar normas armonizadas y pide normas que faciliten cumplir a la vez este Reglamento y la legislación de armonización del anexo I.

Art. 41

Especificaciones comunes

Permite a la Comisión adoptar especificaciones comunes mediante actos de ejecución cuando no existan normas armonizadas adecuadas, con presunción de conformidad.

Art. 42

Presunción de conformidad con determinados requisitos

Presume conformes con el art. 10.4 los sistemas entrenados con datos de su entorno de uso, y con el art. 15 los que tengan esquema de ciberseguridad o cumplan el Reglamento (UE) 2024/2847.

Art. 43

Evaluación de la conformidad

Regula la evaluación de la conformidad de alto riesgo; la del anexo I, sección A, sigue el procedimiento sectorial y sus organismos notificados pedirán designación a más tardar el 28 de enero de 2028.

Alto riesgoEvaluación

Art. 44

Certificados

Regula los certificados expedidos por organismos notificados: validez máxima de cinco años (anexo I) o cuatro años (anexo III), prorrogable, y su suspensión o retirada.

Art. 45

Obligaciones de información de los organismos notificados

Obliga a los organismos notificados a informar a la autoridad notificante y a otros organismos notificados sobre certificados, denegaciones, retiradas y solicitudes.

Art. 46

Exención del procedimiento de evaluación de la conformidad

Permite a la autoridad de vigilancia del mercado autorizar temporalmente sistemas de alto riesgo sin evaluación por motivos excepcionales, con objeciones en quince días.

Art. 47

Declaración UE de conformidad

Obliga al proveedor a redactar la declaración UE de conformidad de cada sistema de IA de alto riesgo y conservarla diez años a disposición de las autoridades.

Art. 48

Marcado CE

Regula el marcado CE de los sistemas de IA de alto riesgo: colocación visible, legible e indeleble, marcado digital y número del organismo notificado.

Art. 49

Registro

Obliga a los proveedores, y a los responsables del despliegue que sean autoridades públicas, a registrar los sistemas de alto riesgo del anexo III en la base de datos de la UE.

Art. 50

Riesgo Limitado

Obligaciones de transparencia de los proveedores y responsables del despliegue de determinados sistemas de IA

Exige informar a las personas de que interactúan con IA, marcar el contenido sintético y revelar ultrafalsificaciones; la Comisión evalúa los códigos de buenas prácticas de marcado.

Transparencia

Art. 51

Reglas de clasificación de los modelos de IA de uso general como modelos de IA de uso general con riesgo sistémico

Define cuándo un modelo de IA de uso general tiene riesgo sistémico y presume capacidades de gran impacto si su entrenamiento supera 10²⁵ operaciones de coma flotante.

Art. 52

Procedimiento

Obliga al proveedor a notificar a la Comisión en dos semanas que su modelo de IA de uso general reúne la condición de riesgo sistémico; regula designación y reevaluación.

Art. 53

Obligaciones de los proveedores de modelos de IA de uso general

Obliga a los proveedores de modelos de IA de uso general a documentar el modelo, informar a otros proveedores, respetar derechos de autor y publicar un resumen del entrenamiento.

Art. 54

Representantes autorizados de los proveedores de modelos de IA de uso general

Obliga a los proveedores de terceros países de modelos de IA de uso general a nombrar por mandato escrito un representante autorizado establecido en la Unión.

Art. 55

Obligaciones de los proveedores de modelos de IA de uso general con riesgo sistémico

Obliga a los proveedores de modelos de IA de uso general con riesgo sistémico a evaluarlos, mitigar riesgos, comunicar incidentes graves y velar por la ciberseguridad.

Art. 56

Códigos de buenas prácticas

Regula los códigos de buenas prácticas para modelos de IA de uso general, que debían finalizarse a más tardar el 2 de mayo de 2025; la Comisión evalúa y publica su adecuación.

Art. 57

Espacios controlados de pruebas para la IA

Obliga a cada Estado miembro a tener operativo un espacio controlado de pruebas para la IA a más tardar el 2 de agosto de 2027 y permite a la Oficina de IA crear uno a escala de la Unión.

Art. 58

Disposiciones detalladas relativas a los espacios controlados de pruebas para la IA y al funcionamiento de dichos espacios

Regula, mediante actos de ejecución de la Comisión, el funcionamiento y la gobernanza de los espacios controlados de pruebas para la IA, con decisión sobre las solicitudes en tres meses.

Art. 59

Tratamiento ulterior de datos personales para el desarrollo de determinados sistemas de IA en favor del interés público en el espacio controlado de pruebas para la IA

Permite tratar en el espacio controlado de pruebas datos personales recabados con otros fines para desarrollar sistemas de IA de interés público esencial, bajo condiciones.

Art. 60

Pruebas de sistemas de IA de alto riesgo en condiciones reales fuera de los espacios controlados de pruebas para la IA

Regula las pruebas en condiciones reales fuera de espacios de pruebas de sistemas de alto riesgo del anexo III y del anexo I, sección A, con plan aprobado (tácitamente en treinta días).

60 bis

Art. 60 bis

Pruebas de sistemas de IA de alto riesgo regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección B, en condiciones reales fuera de los espacios controlados de pruebas para la IA

Permite a los Estados miembros autorizar, mediante marcos propios, pruebas en condiciones reales de sistemas de alto riesgo en productos del anexo I, sección B, con un plan acordado.

Art. 61

Consentimiento informado para participar en pruebas en condiciones reales fuera de los espacios controlados de pruebas para la IA

Exige obtener de los sujetos un consentimiento informado, libre, fechado y documentado antes de participar en pruebas en condiciones reales, tras recibir información clara.

Art. 62

Medidas dirigidas a proveedores y responsables del despliegue, en particular pymes, incluidas las empresas emergentes

Obliga a Estados miembros y Oficina de IA a apoyar a pymes y empresas emergentes: acceso prioritario a espacios de pruebas, formación, canales de consulta y tasas reducidas.

Art. 63

Excepciones para operadores específicos

Permite a las pymes, incluidas las empresas emergentes, sin empresas asociadas o vinculadas cumplir de forma simplificada ciertos elementos del sistema de gestión de la calidad.

Art. 64

Oficina de IA

Establece que la Comisión desarrolla los conocimientos y capacidades de la Unión en IA mediante la Oficina de IA, que contará con los recursos adecuados para sus funciones.

Art. 65

Creación y estructura del Consejo Europeo de Inteligencia Artificial

Crea el Consejo de IA, compuesto por un representante por Estado miembro designado por tres años renovables una vez, con la Oficina de IA como secretaría.

Art. 66

Funciones del Consejo de IA

Define las funciones del Consejo de IA: asesorar y asistir a la Comisión y a los Estados miembros para una aplicación coherente y eficaz del Reglamento.

Art. 67

Foro consultivo

Crea un foro consultivo equilibrado de partes interesadas que asesora al Consejo de IA y a la Comisión, con mandatos de dos años y al menos dos reuniones al año.

Art. 68

Grupo de expertos científicos independientes

Prevé un grupo de expertos científicos independientes creado por acto de ejecución que asesora a la Oficina de IA, sobre todo en riesgos sistémicos de modelos de IA de uso general.

Art. 69

Acceso a expertos por parte de los Estados miembros

Permite a los Estados miembros recurrir a expertos del grupo de expertos científicos, pudiendo exigírseles tasas equivalentes a los honorarios aplicables a la Comisión.

Art. 70

Designación de las autoridades nacionales competentes y de los puntos de contacto único

Obliga a cada Estado miembro a designar autoridad notificante, de vigilancia del mercado y punto de contacto único, que pueden orientar a pymes y pequeñas empresas de mediana capitalización.