Artículo 12 reglamento IA: conservación de registros
El artículo 12 exige que los sistemas de IA de alto riesgo registren acontecimientos de forma automática. Esta guía explica qué deben contener los archivos de registro, cómo crearlos y cuánto tiempo conservarlos.
Los proveedores de sistemas de IA de alto riesgo deben diseñarlos con registro automático de acontecimientos (archivos de registro) (artículo 12).
El registro debe cubrir todo el ciclo de vida del sistema. Esto afecta a los sistemas introducidos en el mercado o puestos en servicio en la UE. Se aplica desde el 2 de diciembre de 2027 (anexo III) y desde el 2 de agosto de 2028 (anexo I). Los responsables del despliegue son las organizaciones que usan el sistema. Proveedores y responsables del despliegue deben conservar al menos seis meses los archivos de registro bajo su control (artículos 19 y 26(6)). El Derecho de la Unión o nacional puede fijar otro plazo. Las multas pueden alcanzar 15 millones de EUR o el 3 % del volumen de negocios anual mundial, si esta cuantía es superior (artículo 99(4)). Siguiente paso: haga una lista de los acontecimientos que su sistema debe registrar.
Los archivos de registro cumplen tres fines, y un tipo de sistema tiene un contenido mínimo fijo
El artículo 12(2) no fija una lista de campos. Exige registrar los acontecimientos pertinentes para tres fines, con un nivel de trazabilidad adecuado a la finalidad prevista del sistema.
Detectar riesgos y modificaciones sustanciales
Registre los acontecimientos que muestran cuándo el sistema puede presentar un riesgo en el sentido del artículo 79(1) o sufre una modificación sustancial (artículo 12(2), letra a)).
Apoyar la vigilancia poscomercialización
Registre los acontecimientos que el proveedor necesita para vigilar el sistema tras su introducción en el mercado (artículo 12(2), letra b), artículo 72).
Apoyar la vigilancia por los responsables del despliegue
Registre los acontecimientos que permiten a los responsables del despliegue vigilar el funcionamiento del sistema (artículo 12(2), letra c), artículo 26(5)).
Contenido mínimo para la identificación biométrica remota
Los sistemas de identificación biométrica remota del anexo III, punto 1, letra a), cuando su uso esté permitido por el Derecho de la Unión o nacional, deben registrar como mínimo lo siguiente (artículo 12(3)). Quedan excluidos los sistemas usados solo para confirmar que una persona es quien dice ser. Es el período de cada uso, la base de datos de referencia consultada, los datos de entrada que dieron una coincidencia y las personas que verificaron los resultados.
El Reglamento no fija un formato de registro; estas prácticas encajan con sus objetivos
El artículo 12 no nombra ningún formato de registro ni tecnología de almacenamiento. Las tres prácticas siguientes son decisiones de ingeniería habituales.
Campos estructurados
Escriba cada acontecimiento en JSON con siempre los mismos campos: marca de tiempo, tipo de acontecimiento, ID del sistema, ID de traza y un resumen de la entrada y la salida.
Almacenamiento de solo adición
Guarde los archivos de registro donde nadie pueda modificarlos después, por ejemplo con S3 Object Lock. Ni el artículo 12 ni el artículo 19 lo exigen; protege los archivos como prueba.
ID de traza
Ponga el mismo ID de traza en cada entrada de registro de una solicitud para poder seguir un acontecimiento por toda la cadena de IA.
Proveedores y responsables del despliegue conservan los archivos de registro al menos seis meses, salvo que otro Derecho disponga otra cosa
El mínimo de seis meses se aplica a los archivos de registro que estén bajo su control. El Derecho de la Unión o nacional, en particular el de protección de datos, puede fijar otro plazo. El Derecho de la Unión sobre servicios financieros impone requisitos de gobernanza interna, mecanismos y procesos a las entidades financieras. Estas conservan los archivos de registro en la documentación que mantienen con arreglo a ese Derecho (artículos 19(2) y 26(6)).
Conserve los archivos de registro que genere su sistema de IA de alto riesgo, en la medida en que estén bajo su control. El período debe ser adecuado a la finalidad prevista y de al menos seis meses, salvo que el Derecho de la Unión o nacional disponga otra cosa (artículo 19(1)).
Conserve los archivos de registro que genere el sistema, en la medida en que estén bajo su control. El período debe ser adecuado a la finalidad prevista y de al menos seis meses, salvo que el Derecho de la Unión o nacional disponga otra cosa (artículo 26(6)).
El artículo 12 solo se aplica a los sistemas de IA de alto riesgo
Un sistema es de alto riesgo si entra en un ámbito del anexo III, salvo que se aplique una exención del artículo 6(3). Un sistema que elabora perfiles de personas físicas es siempre de alto riesgo. También lo es si es un producto del anexo I que requiere evaluación de la conformidad por terceros, o su componente de seguridad (artículo 6). Los proveedores quedan cubiertos cuando introducen un sistema en el mercado de la UE o lo ponen en servicio en la UE, estén donde estén establecidos (artículo 2(1), letra a)). Los proveedores y responsables del despliegue de terceros países también quedan cubiertos cuando los resultados del sistema se utilizan en la UE (artículo 2(1), letra c)). Los sistemas de alto riesgo vinculados a productos regulados por la legislación del anexo I, sección B, quedan fuera de el artículo 12 (artículo 2(2)). Para los productos del anexo I, sección A, algunos requisitos pueden limitarse (artículo 2(13)). Esto afecta a los artículos 9 a 15 y 17 a 25, cuando la legislación sectorial ofrece una protección equivalente o superior. Los actos delegados previstos para el 2 de agosto de 2027 concretarán cuáles. El Reglamento excluye los usos militares, de defensa y de seguridad nacional, y los sistemas desarrollados únicamente para investigación científica (artículo 2(3) y (6)). También excluye la investigación y las pruebas previas a la introducción en el mercado (artículo 2(8)). Los sistemas ya introducidos en el mercado o en servicio antes de la fecha de aplicación solo quedan cubiertos tras cambios significativos de diseño. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111(2)).
Preguntas frecuentes: registros existentes, RGPD y multas
¿Puedo usar mi sistema de registro actual?
Sí, si cumple el artículo 12. El sistema de IA de alto riesgo debe permitir técnicamente el registro automático de acontecimientos para los tres fines del artículo 12(2). Los archivos de registro bajo su control deben conservarse al menos seis meses, salvo que el Derecho de la Unión o nacional disponga otra cosa. Compare sus archivos actuales con esos tres fines y con el plazo de conservación.
¿Choca el artículo 12 con la minimización de datos del RGPD?
El artículo 12 no nombra campos de datos personales, salvo la identificación de las personas que verifican los resultados en los sistemas de identificación biométrica remota (artículo 12(3), letra d)). La obligación de conservación cede ante el Derecho de protección de datos cuando este disponga otra cosa (artículos 19(1) y 26(6)). Si la finalidad lo permite, registre identificadores y metadatos del acontecimiento en lugar de datos personales en bruto. Qué datos personales puede contener un archivo de registro es una cuestión del RGPD: consulte a su delegado de protección de datos o a un asesor jurídico.
¿Cuáles son las multas y es menor el límite para las pymes?
Las multas alcanzan hasta 15 millones de EUR o el 3 % del volumen de negocios anual mundial, si esta cuantía es superior (artículo 99(4)). Afectan a los proveedores (artículo 16) y a los responsables del despliegue (artículo 26). Para las pymes, incluidas las empresas emergentes, y las pequeñas empresas de mediana capitalización, el límite es el menor de los dos importes (artículo 99(6) y (6 bis)). Los Estados miembros establecen las normas sobre sanciones (artículo 99(1)).
Lea a continuación: vigilancia poscomercialización, obligaciones del responsable del despliegue y pistas de auditoría
Artículo 72: vigilancia poscomercialización
Los proveedores vigilan sus sistemas de alto riesgo tras el lanzamiento; los archivos de registro del artículo 12 apoyan esa vigilancia.
Artículo 26: obligaciones de los responsables del despliegue
Los responsables del despliegue vigilan el sistema, conservan los archivos de registro al menos seis meses y notifican los incidentes graves.
Requisitos de rastro de auditoría del reglamento IA
Requisitos técnicos para rastros de auditoría resistentes a la manipulación.
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.