Su cliente europeo pide documentación del Reglamento de IA de la UE
Guía práctica para responder a las solicitudes de documentación del Reglamento de IA de la UE de clientes empresariales: qué necesitan y cómo responder.
Conclusiones clave
- 1.Los responsables del despliegue (clientes que usan su sistema de IA de alto riesgo) deben utilizarlo como indican sus instrucciones de uso (artículo 26).
- 2.Responda con un paquete: clasificación de riesgo, instrucciones de uso, resumen de la documentación técnica e información sobre registro de eventos y supervisión. En un sistema de alto riesgo, añada la declaración UE de conformidad (artículo 47). Es su declaración firmada de que el sistema cumple los artículos 8 a 15.
- 3.No afirme un cumplimiento que no pueda documentar. Diga qué tiene y cuándo llegará el resto.
- 4.Elabore el paquete una vez y reutilícelo. Revíselo tras cada versión y cada cambio del sistema o de su finalidad prevista. La finalidad prevista es el uso que usted especifica como proveedor (artículo 3, punto 12).
Un cliente de la UE puede escribirle: «¿Pueden facilitarnos documentación sobre cómo cumple su sistema de IA el Reglamento de IA de la UE?». Los proveedores que venden a empresas de la UE pueden recibir una petición así. Los responsables del despliegue necesitan información de ellos (artículo 13: instrucciones de uso; artículo 26: obligaciones de los responsables del despliegue).
Su respuesta depende de la clase de riesgo del sistema, así que compruebe primero la clase. Los artículos 8 a 27 contienen los requisitos de alto riesgo y las obligaciones de proveedores y responsables del despliegue. Se aplican a los sistemas del anexo III (la lista de usos de alto riesgo del Reglamento) desde el 2 de diciembre de 2027. Se aplican a los del anexo I (la lista de legislación de la UE sobre productos) desde el 2 de agosto de 2028. El anexo I, sección B, enumera otra legislación de la UE sobre productos. Incluye, por ejemplo, la seguridad de la aviación civil, los vehículos agrícolas y forestales y los equipos marinos. Los artículos 8 a 27 no se aplican a los sistemas de alto riesgo relacionados con productos regulados por esa legislación (artículo 2, apartado 2). Esto se aplica a los sistemas clasificados como de alto riesgo con arreglo al artículo 6, apartado 1. El Reglamento (UE) 2026/1744 modificó el artículo 113 para fijar ambas fechas y sustituyó el artículo 2, apartado 2. Sin sus instrucciones de uso, los responsables del despliegue no pueden utilizar el sistema como exige el artículo 26, apartado 1.
Por qué le pregunta su cliente de la UE
Los responsables del despliegue de sistemas de IA de alto riesgo tienen obligaciones propias. Entre ellas, el artículo 26 exige a los responsables del despliegue:
- utilizar el sistema como indican las instrucciones de uso del proveedor (artículo 26, apartado 1)
- encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias (artículo 26, apartado 2)
- supervisar el funcionamiento del sistema (artículo 26, apartado 5)
- informar de un riesgo al proveedor o distribuidor y a la autoridad de vigilancia del mercado y, de un incidente grave, en primer lugar al proveedor (artículo 26, apartado 5)
- suspender el uso de un sistema que presente un riesgo (artículo 26, apartado 5)
- conservar los registros que estén bajo su control durante al menos seis meses, salvo que otra norma disponga lo contrario (artículo 26, apartado 6)
El artículo 27 añade la obligación de evaluar el impacto en los derechos fundamentales antes del primer uso. Se aplica a los organismos de Derecho público y a las entidades privadas que prestan servicios públicos. También se aplica a los responsables del despliegue de sistemas de puntuación crediticia o de seguros de vida y de salud. No se aplica a los sistemas del punto 2 del anexo III (infraestructuras críticas).
El artículo 13, apartado 2, le obliga a suministrar instrucciones de uso con un sistema de alto riesgo.
Envíe hasta cinco documentos
De estos documentos, solo las instrucciones de uso deben llegar a los responsables del despliegue (artículo 13, apartado 2). La declaración UE de conformidad se mantiene a disposición de las autoridades nacionales competentes (artículo 47, apartado 1). Los demás elementos son lo que le sugerimos ofrecer a los clientes.
Declaración de clasificación de riesgo
Una declaración de la clase de riesgo de su sistema con arreglo al Reglamento: prohibido (artículo 5), alto riesgo (artículo 6), obligaciones de transparencia (artículo 50) o ninguno de estos. Incluya un razonamiento que remita al anexo III cuando proceda.
Instrucciones de uso
El artículo 13, apartado 3, enumera el contenido mínimo de las instrucciones de uso de un sistema de alto riesgo. Incluye la identidad del proveedor, la finalidad prevista y los niveles probados de exactitud, solidez y ciberseguridad. Incluye también los riesgos conocidos, las medidas de supervisión humana, la vida útil esperada y el mantenimiento. Si su manual de usuario hace de instrucciones de uso, compruebe que cubre todos los puntos del artículo 13, apartado 3. Si no, añada un documento aparte.
Resumen de la documentación técnica
El anexo IV es la lista de lo que debe contener la documentación técnica. La documentación completa está destinada a las autoridades nacionales competentes y a los organismos notificados (artículo 11, apartado 1). Un organismo notificado es un organismo de evaluación de la conformidad notificado con arreglo al Reglamento y a otra legislación de armonización de la Unión pertinente (artículo 3, punto 22). Le sugerimos compartir un resumen, para que el responsable del despliegue vea que la documentación completa existe y qué abarca.
Información sobre registro de eventos y seguimiento
Los responsables del despliegue necesitan saber qué registra su sistema y cómo acceder a esos registros. Deben conservar los registros que estén bajo su control (artículo 26, apartado 6). Cuando proceda, las instrucciones de uso deben describir los mecanismos que permiten a los responsables del despliegue recabar, almacenar e interpretar los registros (artículo 13, apartado 3, letra f).
Declaración UE de conformidad (sistemas de alto riesgo)
Para los sistemas de alto riesgo, el proveedor elabora una declaración UE de conformidad (artículo 47). Indica que el sistema cumple los requisitos de los artículos 8 a 15 (artículo 47, apartado 2). La evaluación de la conformidad es el proceso de demostrar si se cumplen esos requisitos (artículo 3, punto 20). Si la evaluación aún está en curso, dígalo e indique la fecha prevista como estimación.
Primero acuse recibo y luego envíe el paquete completo
En la primera respuesta, confirme la recepción y dé fechas que pueda cumplir
Envíe el paquete completo cuando esté listo
No haga afirmaciones que no pueda respaldar
Lectura relacionada
Fuentes y referencias
Preguntas frecuentes
¿Qué documentos necesita un cliente de la UE de un proveedor de IA?
Depende del sistema. Para un sistema de alto riesgo, los responsables del despliegue necesitan las instrucciones de uso (artículo 13), incluida la información sobre el registro de eventos y la supervisión humana. Le sugerimos ofrecer también su clasificación de riesgo, un resumen de la documentación técnica del anexo IV y la declaración UE de conformidad (artículo 47). Los proveedores deben diseñar los sistemas de IA que interactúan directamente con personas de modo que estas sean informadas de ello, salvo que sea obvio (artículo 50, apartado 1).
¿Qué es el anexo IV del Reglamento de IA de la UE?
El anexo IV enumera nueve puntos mínimos para la documentación técnica de un sistema de IA de alto riesgo. Puntos 1 a 5: descripción general; proceso de desarrollo y diseño; seguimiento y control; adecuación de las métricas de rendimiento; sistema de gestión de riesgos. Puntos 6 a 9: cambios a lo largo del ciclo de vida; normas aplicadas; la declaración UE de conformidad; el sistema de vigilancia poscomercialización.
¿Qué debe contener mi primera respuesta a una petición de documentación del Reglamento de IA de la UE?
Envíe una primera respuesta que acuse recibo de la petición, indique qué documentos puede enviar y dé fechas que pueda cumplir. Acuerde las fechas por escrito.
¿Puedo reutilizar el mismo paquete de documentación para más de un cliente de la UE?
Sí, en la medida en que el sistema y su finalidad prevista sean los mismos. La finalidad prevista es la que usted especifica (artículo 3, punto 12). Revise el paquete tras cada versión y cada cambio del sistema o de su finalidad prevista.
¿Y si todavía no tengo la documentación técnica (anexo IV)?
Dígalo. Indique al cliente qué documentos tiene y cuándo llegará el resto. La documentación técnica debe existir antes de que un sistema de alto riesgo se introduzca en el mercado o se ponga en servicio (artículo 11, apartado 1). Los artículos 8 a 27 se aplican a los sistemas del anexo III desde el 2 de diciembre de 2027. Se aplican a los del anexo I desde el 2 de agosto de 2028. El anexo I, sección B, enumera otra legislación de la UE sobre productos. Para los sistemas de alto riesgo relacionados con productos regulados por esa legislación, no se aplican los artículos 8 a 27 (artículo 2, apartado 2). Esto se aplica a los sistemas clasificados como de alto riesgo con arreglo al artículo 6, apartado 1. El Reglamento (UE) 2026/1744 modificó el artículo 113 para fijar ambas fechas y sustituyó el artículo 2, apartado 2.
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.