Skip to main content

Obligaciones de los responsables del despliegue de sistemas de IA de alto riesgo: artículo 26

Qué deben hacer los responsables del despliegue de sistemas de IA de alto riesgo según el artículo 26 y cómo estructura Scanara el trabajo.

Los responsables del despliegue de sistemas de IA de alto riesgo tienen obligaciones propias (artículo 26). Deben seguir las instrucciones de uso, encomendar la supervisión humana, supervisar el funcionamiento y conservar los archivos de registro.

Las obligaciones se aplican desde el 2 de diciembre de 2027 (sistemas del anexo III) o desde el 2 de agosto de 2028 (sistemas del anexo I). Las multas alcanzan 15 millones EUR o el 3 % del volumen de negocios mundial anual, si esta cuantía es superior (artículo 99(4)). Siguiente paso: solicite a cada proveedor las instrucciones de uso.

El artículo 26 fija obligaciones para los responsables del despliegue

El apartado 3 añade que estas obligaciones no limitan otras obligaciones de los responsables del despliegue conforme al Derecho de la Unión o nacional (artículo 26(3)).

  • Usar el sistema según las instrucciones

    Adopte medidas técnicas y organizativas adecuadas para usar el sistema conforme a sus instrucciones de uso (artículo 26(1)).

  • Encomendar la supervisión humana

    Encomiende la supervisión humana a personas físicas con la competencia, la formación y la autoridad necesarias, y deles el apoyo que precisen (artículo 26(2)).

  • Comprobar los datos de entrada

    Si controla los datos de entrada, asegúrese de que sean pertinentes y suficientemente representativos para la finalidad prevista del sistema (artículo 26(4)).

  • Supervisar el funcionamiento y comunicar los riesgos

    Supervise el funcionamiento a partir de las instrucciones de uso. Si tiene motivos para considerar que el uso puede presentar un riesgo (artículo 79(1)), suspenda el uso e informe sin demora indebida al proveedor o distribuidor y a la autoridad de vigilancia del mercado. Tras un incidente grave, informe de inmediato primero al proveedor y después al importador o distribuidor y a las autoridades de vigilancia del mercado. Si no puede contactar con el proveedor, se aplica el artículo 73 (artículo 26(5)). Esta obligación no abarca los datos operativos sensibles de los responsables del despliegue que sean autoridades garantes del cumplimiento del Derecho. Las entidades financieras sujetas a normas de gobernanza interna con arreglo al Derecho de la Unión sobre servicios financieros cumplen la obligación de supervisión respetando esas normas.

  • Conservar los archivos de registro

    Conserve los archivos de registro que el sistema genera automáticamente, en la medida en que estén bajo su control, durante un período adecuado a la finalidad prevista y de al menos seis meses, salvo disposición en contrario del Derecho de la Unión o nacional (artículo 26(6)). Las entidades financieras los conservan como parte de su documentación conforme al Derecho de servicios financieros.

  • Informar a los trabajadores

    Los empleadores deben informar a los representantes de los trabajadores y a los trabajadores afectados antes de poner en servicio o utilizar un sistema de alto riesgo en el lugar de trabajo (artículo 26(7)).

  • Registrar el uso (autoridades públicas)

    Las autoridades públicas y los organismos de la Unión deben cumplir las obligaciones de registro del artículo 49. Si un sistema que prevén utilizar no está registrado en la base de datos de la UE, no deben usarlo y deben informar al proveedor o distribuidor (artículo 26(8)).

  • Usar la información del proveedor para la evaluación de impacto relativa a la protección de datos

    Cuando proceda, use la información que facilita el proveedor con arreglo al artículo 13 para realizar su evaluación de impacto relativa a la protección de datos conforme al artículo 35 del Reglamento (UE) 2016/679 o al artículo 27 de la Directiva (UE) 2016/680 (artículo 26(9)).

  • Solicitar autorización para la identificación biométrica remota en diferido

    En la búsqueda selectiva de una persona sospechosa o condenada por un delito, solicite la autorización de una autoridad judicial o de una autoridad administrativa con decisión vinculante antes de usar un sistema de identificación biométrica remota en diferido, o como máximo en 48 horas. La excepción es la identificación inicial de un posible sospechoso basada en hechos objetivos y verificables. No se permite el uso indiscriminado, cada uso se documenta en el expediente policial y se envían informes anuales a las autoridades (artículo 26(10)).

  • Informar a las personas afectadas

    Los responsables del despliegue de sistemas del anexo III que toman decisiones sobre personas físicas o ayudan a tomarlas deben informar a esas personas de que están expuestas al uso del sistema. Para los usos policiales se aplica el artículo 13 de la Directiva (UE) 2016/680 (artículo 26(11)).

  • Cooperar con las autoridades

    Coopere con las autoridades competentes en cualquier medida que adopten en relación con el sistema para aplicar el Reglamento (artículo 26(12)).

El papel depende del uso: algunos responsables del despliegue pasan a ser proveedores

Usted es responsable del despliegue si usa un sistema de IA bajo su autoridad, sea quien sea quien lo haya creado (artículo 3, punto 4). Una empresa que crea un sistema y lo usa ella misma es a la vez proveedor y responsable del despliegue, porque la puesta en servicio incluye el uso propio (artículo 3, punto 11).

Un responsable del despliegue pasa a ser proveedor, con las obligaciones del artículo 16, en tres casos (artículo 25(1)). Pone su nombre o marca en un sistema de alto riesgo. Realiza una modificación sustancial que mantiene el sistema como de alto riesgo. O modifica la finalidad prevista de un sistema de modo que pase a ser de alto riesgo. El proveedor inicial no tiene que cooperar con el nuevo proveedor si ha especificado claramente que su sistema de IA no debe transformarse en un sistema de IA de alto riesgo (artículo 25(2)).

Fechas y límites del artículo 26

  • Fechas de aplicación

    El artículo 26 se aplica a partir del 2 de diciembre de 2027 a los sistemas del anexo III y a partir del 2 de agosto de 2028 a los del anexo I (artículo 113). Un sistema de alto riesgo introducido en el mercado antes de su fecha de aplicación solo queda cubierto si su diseño cambia de forma significativa después (artículo 111(2)). En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111(2)).

  • Dónde no se aplica el artículo 26

    El artículo 26 no se aplica a los sistemas relacionados con productos de la sección B del anexo I (artículo 2(2)), a las personas físicas que usan sistemas de IA en una actividad puramente personal de carácter no profesional (artículo 2(10)) ni a los sistemas de IA utilizados exclusivamente con fines militares, de defensa o de seguridad nacional (artículo 2(3)). Para los productos de la sección B del anexo I, los artículos 57, 58 y 59 solo se aplican en la medida en que los requisitos para los sistemas de IA de alto riesgo se hayan integrado en esa legislación de armonización de la Unión.

  • Los artículos 26 y 27 son obligaciones distintas

    El artículo 26 se aplica a todo responsable del despliegue de un sistema de IA de alto riesgo. El artículo 27 añade una evaluación de impacto relativa a los derechos fundamentales solo para algunos: organismos de Derecho público, entidades privadas que prestan servicios públicos y responsables de sistemas de solvencia o de seguros de vida y salud. El propio artículo 26 no contiene esa evaluación.

Qué hace la evaluación para responsables del despliegue de Scanara

Scanara no decide qué le afecta ni cumple las obligaciones por usted. Estructura el trabajo y registra las pruebas.

Evaluación guiada para responsables del despliegue

Las preguntas siguen las obligaciones del artículo 26, como las instrucciones de uso, la supervisión humana, los datos de entrada, la vigilancia, los registros y la información a los trabajadores y a las personas afectadas.

Pruebas de conservación de registros

Scanara registra pruebas de la conservación de sus registros (artículo 26(6)). Los registros los conserva usted mismo.

Vínculos con la FRIA y la DPIA

Cuando se aplica el artículo 27, una evaluación FRIA aparte estructura ese trabajo. Una evaluación DPIA cubre el artículo 35 del RGPD cuando usted trata datos personales.

Abrir la demo de Scanara

El detalle de cada obligación

Preguntas frecuentes sobre las obligaciones del responsable del despliegue

¿Se aplica el artículo 26 a los sistemas de IA que solo se usan dentro de mi empresa?

Sí. El responsable del despliegue se define por usar un sistema bajo su autoridad, no por quién lo creó (artículo 3, punto 4). Una empresa que crea un sistema de alto riesgo y lo usa ella misma es a la vez proveedor y responsable del despliegue, así que se aplican los artículos 16 y 26. El desarrollo y las pruebas antes de introducir el sistema en el mercado o ponerlo en servicio quedan fuera del Reglamento (artículo 2(8)), salvo las pruebas en condiciones reales.

¿Qué debe hacer un responsable del despliegue tras un incidente grave?

El responsable del despliegue que detecta un incidente grave debe informar de inmediato primero al proveedor y después al importador o distribuidor y a las autoridades de vigilancia del mercado (artículo 26(5)). Un incidente grave es un incidente o fallo de funcionamiento que provoca directa o indirectamente la muerte o un daño grave a la salud, una perturbación grave e irreversible de infraestructuras críticas, una infracción de obligaciones del Derecho de la Unión que protegen los derechos fundamentales, o un daño grave a bienes o al medio ambiente (artículo 3, punto 49). Hay que suspender el uso cuando existen motivos para considerar que presenta un riesgo en el sentido del artículo 79(1).

¿Tienen las pymes alguna exención de las obligaciones del responsable del despliegue?

No. El artículo 26 no tiene ninguna exención por tamaño. Las pymes, incluidas las empresas emergentes, y las pequeñas empresas de mediana capitalización se enfrentan a multas de hasta la menor de las dos cuantías (artículo 99(6) y (6 bis)). Las entidades financieras que cumplen las normas de la Unión sobre gobernanza interna conservan los archivos de registro como parte de la documentación que mantienen con arreglo al Derecho de servicios financieros (artículo 26(6)).

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.