Artículo 12 para sistemas autónomos: conservación de registros y archivos de registro

El artículo 12 establece una obligación de diseño para el proveedor. Conservar los archivos de registro es otra obligación, que figura en las filas siguientes.

• art. 12(1)
  Registro automático de acontecimientos a lo largo del ciclo de vida

  Los sistemas de IA de alto riesgo deben permitir técnicamente el registro automático de acontecimientos (archivos de registro) a lo largo de todo el ciclo de vida del sistema.

• art. 12(2)
  Trazabilidad adecuada a la finalidad prevista

  Las capacidades de registro deben garantizar un nivel de trazabilidad del funcionamiento del sistema que resulte adecuado para su finalidad prevista. Deben permitir que se registren acontecimientos pertinentes para tres fines. El primero es detectar situaciones que puedan dar lugar a un riesgo en el sentido del artículo 79, apartado 1 o a una modificación sustancial. El segundo es facilitar la vigilancia poscomercialización (artículo 72). El tercero es vigilar el funcionamiento del sistema (artículo 26, apartado 5).

• art. 12(3)
  Contenido mínimo de los archivos: solo la identificación biométrica remota

  El artículo 12, apartado 3, enumera el contenido mínimo de los archivos de registro solo para los sistemas de alto riesgo del punto 1, letra a), del anexo III (identificación biométrica remota). Para los sistemas de esta página el Reglamento no menciona ningún campo mínimo de registro.

El artículo 12 se aplica solo a los sistemas de IA de alto riesgo. Las filas siguientes muestran qué IA en vehículos, aeronaves no tripuladas, robots y máquinas queda alcanzada, dónde no se aplica el artículo 12 y quién conserva los archivos de registro.

• Los sistemas autónomos no son una categoría del Reglamento

  El Reglamento no contiene ninguna categoría de sistemas autónomos. Su definición de sistema de IA habla de «distintos niveles de autonomía» (artículo 3, punto 1), y el artículo 14, apartado 3, de un «nivel de autonomía». El Reglamento no menciona ningún vehículo autónomo, dron ni robot. Este sitio utiliza «sistemas autónomos» para la IA en vehículos, aeronaves no tripuladas, robots y máquinas. Las normas aplicables dependen de la legislación de la Unión sobre productos que cubra el producto. Las filas siguientes presentan tres vías por las que un sistema de IA puede ser de alto riesgo: a través de la sección B del anexo I, a través de la sección A del anexo I y a través del anexo III, punto 2. También pueden aplicarse otras disposiciones, por ejemplo el artículo 4 (alfabetización en IA), el artículo 5 (prácticas prohibidas), el artículo 50 (transparencia), el artículo 53 (modelos de IA de uso general) y los demás puntos del anexo III.

• Productos de la sección B: vehículos, aeronaves no tripuladas, ferrocarril, equipos marinos, máquinas

  La sección B del anexo I enumera, por ejemplo, los vehículos de motor (Reglamentos (UE) 2018/858 y (UE) 2019/2144, puntos 18 y 19), los vehículos de dos o tres ruedas y los cuatriciclos (punto 14), los vehículos agrícolas o forestales (punto 15), el sistema ferroviario (punto 17), los equipos marinos (punto 16), las aeronaves no tripuladas y sus motores, hélices, componentes y equipos para controlarlas a distancia con arreglo al Reglamento (UE) 2018/1139 (punto 20) y las máquinas (Reglamento (UE) 2023/1230, punto 21). El Reglamento (UE) 2026/1744 trasladó las máquinas de la sección A a la sección B. A los sistemas de IA clasificados como de alto riesgo con arreglo al artículo 6, apartado 1 y relativos a tales productos solo se les aplican el artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112. Los artículos 57, 58 y 59 se aplican únicamente en la medida en que los requisitos para los sistemas de IA de alto riesgo se hayan integrado en dicha legislación de armonización de la Unión (artículo 2, apartado 2). Los artículos 9 a 15, 17, 26 y 99 no figuran entre las disposiciones aplicables. El artículo 2, apartado 2, se limita a los sistemas de IA clasificados como de alto riesgo con arreglo al artículo 6, apartado 1; no restringe, por ejemplo, el artículo 4 ni el artículo 5. La página general sobre sistemas autónomos enumera lo que alcanza a estos productos en su lugar.

• Productos de la sección A: el capítulo III se aplica a los sistemas de alto riesgo

  La sección A del anexo I (puntos 2 a 12) abarca los juguetes, las embarcaciones de recreo, los ascensores, los equipos para uso en atmósferas potencialmente explosivas, los equipos radioeléctricos, los equipos a presión, las instalaciones de transporte por cable, los equipos de protección individual, los aparatos que queman combustibles gaseosos, los productos sanitarios y los productos sanitarios para diagnóstico in vitro. Un sistema de IA es de alto riesgo con arreglo al artículo 6, apartado 1 cuando está destinado a ser utilizado como componente de seguridad de uno de esos productos, o es él mismo uno de esos productos, y el producto debe someterse a una evaluación de la conformidad por un tercero con arreglo a dicha legislación. Se considerará que no cumplen esa condición los productos que deban someterse a una evaluación de la conformidad de terceros únicamente debido a riesgos distintos de los riesgos para la salud y la seguridad, en particular los riesgos relacionados con la distribución del espectro radioeléctrico o las interferencias electromagnéticas que no afecten a la salud y la seguridad (artículo 6, apartado 1 quater). Los requisitos para estos sistemas se aplican desde el 2 de agosto de 2028 (artículo 113, letra c), inciso ii)). El artículo 2, apartado 13, permite limitar la aplicación de requisitos específicos de los artículos 9 a 15 y 17 a 25 cuando y en la medida en que la legislación de la sección A establezca requisitos que proporcionen un nivel de protección equivalente o superior y la limitación no reduzca el nivel global de protección. La Comisión adoptará actos delegados al respecto a más tardar el 2 de agosto de 2027.

• Anexo III, punto 2: tráfico rodado, suministro de servicios básicos e infraestructura digital

  El anexo III, punto 2, abarca los sistemas de IA destinados a ser utilizados como componentes de seguridad en la gestión y el funcionamiento de las infraestructuras digitales críticas, del tráfico rodado o del suministro de agua, gas, calefacción o electricidad. El texto del anexo III no menciona ningún vehículo, aeronave, dron ni robot. Si un sistema concreto es un componente de seguridad en uno de estos ámbitos es una cuestión para un jurista. Los requisitos para estos usos del anexo III se aplican desde el 2 de diciembre de 2027 (artículo 113, letra c), inciso i)).

• El artículo 6, apartado 3, puede excluir un sistema del anexo III

  Un sistema del punto 2 es de alto riesgo con arreglo al artículo 6, apartado 2. Con arreglo al artículo 6, apartado 3, no lo es si no plantea un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales. Eso incluye no influir sustancialmente en el resultado de la toma de decisiones. El Reglamento aplica esta excepción cuando se cumple cualquiera de las condiciones siguientes (artículo 6, apartado 3, letras a) a d)). Que el sistema esté destinado a realizar una tarea de procedimiento limitada. O que esté destinado a mejorar el resultado de una actividad humana previamente realizada. O que esté destinado a detectar patrones de toma de decisiones o desviaciones con respecto a patrones de toma de decisiones anteriores y no esté destinado a sustituir la valoración humana previamente realizada, ni a influir en ella, sin una revisión humana adecuada. O que esté destinado a realizar una tarea preparatoria para una evaluación que sea pertinente a efectos de los casos de uso enumerados en el anexo III. Cómo se combinan estas condiciones con el criterio del riesgo importante es una cuestión para un jurista. El sistema siempre es de alto riesgo si efectúa la elaboración de perfiles de personas físicas. El artículo 4, punto 4, del RGPD define la elaboración de perfiles (artículo 3, punto 52). El proveedor que se acoja a la excepción documenta su evaluación antes de introducir el sistema en el mercado o ponerlo en servicio. También debe registrar el sistema (artículo 6, apartado 4, artículo 49, apartado 2).

• Solo se contemplan los componentes de seguridad

  Un componente de seguridad es un componente de un producto o de un sistema de IA que cumple una función de seguridad para dicho producto o sistema de IA, o cuyo fallo o defecto de funcionamiento pone en peligro la salud y la seguridad de las personas o los bienes. Un componente cumple una función de seguridad cuando su finalidad prevista es prevenir o mitigar los riesgos para la salud y la seguridad de las personas o los bienes (artículo 3, punto 14). Los sistemas de IA que se utilicen únicamente para aspectos no relacionados con la seguridad en los ámbitos de la asistencia al usuario, la optimización del rendimiento, la eficiencia del servicio, la automatización, la comodidad o el control de calidad no se consideran componentes de seguridad (artículo 6, apartado 1 bis). Los sistemas de IA cuyo fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad se consideran componentes de seguridad (artículo 6, apartado 1 ter). Si una función concreta de control, navegación o comodidad es un componente de seguridad es una cuestión para un jurista.

• Proveedor y responsable del despliegue

  El proveedor desarrolla un sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca (artículo 3, punto 3). La puesta en servicio incluye el suministro para uso propio del proveedor (artículo 3, punto 11). En el caso de un componente de seguridad de un producto de la sección A, el fabricante del producto es el proveedor cuando el sistema se introduce en el mercado junto con el producto bajo el nombre o la marca del fabricante, o se pone en servicio bajo ese nombre o marca después de que el producto se haya introducido en el mercado (artículo 25, apartado 3). Un operador de flota, un operador de planta o una autoridad de carreteras que utiliza un sistema bajo su autoridad es un responsable del despliegue (artículo 3, punto 4). El responsable del despliegue pasa a ser proveedor en tres casos. Pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo. Realiza una modificación sustancial de ese sistema que lo deja como de alto riesgo. O cambia la finalidad prevista de un sistema que no era de alto riesgo de modo que pase a serlo (artículo 25, apartado 1). El proveedor que inicialmente introdujo el sistema en el mercado o lo puso en servicio deja entonces de ser considerado proveedor de ese sistema específico y debe cooperar estrechamente con el nuevo proveedor (artículo 25, apartado 2). Esto no se aplica si el proveedor inicial indicó claramente que su sistema no debe ser transformado en un sistema de alto riesgo.

• Los proveedores conservan los archivos de registro bajo su control

  Los proveedores deben conservar los archivos de registro que generen automáticamente sus sistemas de alto riesgo, en la medida en que estén bajo su control (artículo 19, apartado 1). Sin perjuicio del Derecho aplicable de la Unión o nacional, el período debe ser adecuado para la finalidad prevista y de al menos seis meses. Puede ser distinto si el Derecho de la Unión o nacional, en particular el relativo a la protección de datos personales, dispone otra cosa.

• Los responsables del despliegue conservan los archivos de registro bajo su control

  Los responsables del despliegue deben conservar los archivos de registro que genere automáticamente el sistema, en la medida en que estén bajo su control (artículo 26, apartado 6). El período debe ser adecuado para la finalidad prevista y de al menos seis meses. Puede ser distinto si el Derecho de la Unión o nacional aplicable, en particular el relativo a la protección de datos personales, dispone otra cosa.

• Incidentes graves: fallecimiento, perjuicio grave, infraestructuras críticas

  Un incidente grave incluye un incidente o defecto de funcionamiento de un sistema de IA que, directa o indirectamente, provoque el fallecimiento de una persona o un perjuicio grave para su salud, daños graves a la propiedad o al medio ambiente, o una alteración grave e irreversible de la gestión o el funcionamiento de infraestructuras críticas (artículo 3, punto 49, letras a), b) y d)). El proveedor de un sistema de alto riesgo lo notifica a las autoridades de vigilancia del mercado del Estado miembro en el que se haya producido (artículo 73, apartado 1). La notificación debe efectuarse inmediatamente después de que el proveedor haya establecido un vínculo causal o la probabilidad razonable de que exista, y en cualquier caso a más tardar 15 días después de que el proveedor o, en su caso, el responsable del despliegue tenga conocimiento del incidente. En caso de fallecimiento de una persona el plazo es de 10 días, y en caso de infracción generalizada o de alteración de infraestructuras críticas es de dos días (artículo 73, apartados 2, 3 y 4). El responsable del despliegue que haya detectado un incidente grave informa primero al proveedor y después al importador o distribuidor y a las autoridades de vigilancia del mercado pertinentes (artículo 26, apartado 5).

• Fechas

  Sección A: los requisitos del capítulo III, secciones 1 a 3, se aplican a los sistemas de IA clasificados como de alto riesgo con arreglo al artículo 6, apartado 1, desde el 2 de agosto de 2028 (artículo 113, letra c), inciso ii)). Anexo III, punto 2: desde el 2 de diciembre de 2027 (letra c), inciso i)). Sección B: los artículos 9 a 15 no tienen fecha porque no se aplican (artículo 2, apartado 2); los artículos 102 a 110 se aplican desde el 27 de julio de 2026 (letra d)). Un sistema introducido en el mercado o puesto en servicio antes de la fecha de aplicación solo queda cubierto si su diseño cambia de forma significativa con posterioridad. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2).

• Multas

  Los proveedores deben velar por que sus sistemas de alto riesgo cumplan los requisitos de la sección 2 del capítulo III, que incluye los artículos 9 a 15 (artículo 16, letra a)). El incumplimiento de las obligaciones de los proveedores del artículo 16 o de las de los responsables del despliegue del artículo 26 puede sancionarse con multa. La multa es de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4, letras a) y e)). Para las pymes, incluidas las empresas emergentes, cada multa tiene como límite la cuantía menor de las dos (artículo 99, apartado 6). Lo mismo rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro establece normas que determinan en qué medida es posible imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro (artículo 99, apartado 8). Para los productos de la sección B, el artículo 99 no figura entre las disposiciones que el artículo 2, apartado 2, enumera como aplicables.

• Alcance y límites del Reglamento

  El Reglamento se aplica a los proveedores y responsables del despliegue establecidos o ubicados en un tercer país cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión (artículo 2, apartado 1, letra c)). No se aplica a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión y no afecta a las competencias de los Estados miembros en materia de seguridad nacional (artículo 2, apartado 3). No se aplica a los sistemas de IA cuando y en la medida en que se introduzcan en el mercado, se pongan en servicio o se utilicen, con o sin modificaciones, exclusivamente con fines militares, de defensa o de seguridad nacional (artículo 2, apartado 3). El Reglamento no se aplica a los sistemas o modelos de IA, incluidos sus resultados de salida, desarrollados y puestos en servicio específicamente con la investigación y el desarrollo científicos como única finalidad (artículo 2, apartado 6). Tampoco se aplica a la actividad de investigación, prueba o desarrollo anterior a la introducción de un sistema en el mercado o su puesta en servicio. Las pruebas en condiciones reales no están cubiertas por esa exclusión (artículo 2, apartado 8). Los sistemas de IA publicados con arreglo a licencias libres y de código abierto quedan fuera del Reglamento. Esa exclusión no se aplica si se introducen en el mercado o se ponen en servicio como sistemas de IA de alto riesgo, o si entran en el ámbito de aplicación del artículo 5 o del artículo 50 (artículo 2, apartado 12). El Reglamento no se aplica a las obligaciones de los responsables del despliegue que sean personas físicas que utilicen sistemas de IA en el ejercicio de una actividad puramente personal de carácter no profesional (artículo 2, apartado 10).

• Sin campos de registro, formato, regla antimanipulación ni registrador

  Más allá de «al menos seis meses, salvo disposición en contrario», el Reglamento no fija campos de registro, formato ni plazo de conservación para los sistemas de esta página (artículo 19, apartado 1, artículo 26, apartado 6). Otro Derecho de la Unión o nacional puede disponer otra cosa. El artículo 12 no contiene ninguna regla sobre protección contra la manipulación ni exige un registrador de datos de acontecimientos. El Reglamento no menciona por sí mismo ninguna norma armonizada. Se presume que los sistemas de alto riesgo conformes con normas armonizadas publicadas en el Diario Oficial son conformes con los requisitos de la sección 2, en la medida en que esas normas los contemplen (artículo 40, apartado 1). La Comisión elaborará directrices sobre la aplicación práctica de los requisitos y obligaciones de los artículos 8 a 15, 25 y 26 (artículo 96, apartado 1, letra a)) y sobre la relación del Reglamento con la legislación del anexo I (letra e)).

• Ejemplo: qué podría contener el registro de una función de seguridad

  Ejemplo, no exigido por el Reglamento: el proveedor de una función de seguridad de IA para un ascensor podría registrar, en cada uso, la hora, las entradas de sensores en las que se basó el sistema y el resultado o la acción que desencadenó. Así puede rastrearse una acción inesperada.

• Ejemplo: conservar los registros del responsable del despliegue con los registros de explotación

  Ejemplo, no exigido por el Reglamento: un responsable del despliegue podría conservar los archivos de registro bajo su control junto con sus demás registros de explotación. El plazo sigue siendo de al menos seis meses, salvo que el Derecho de la Unión o nacional aplicable disponga otra cosa (artículo 26, apartado 6).

• Artículo 12 reglamento IA: conservación de registros

  El artículo 12 para todos los sectores: requisitos, fechas y multas.

• Reglamento IA sistemas autónomos: cumplimiento

  La página general sobre sistemas autónomos: las tres vías por las que un sistema puede ser de alto riesgo en el caso de vehículos, aeronaves no tripuladas, robots y máquinas, y las demás disposiciones que pueden aplicarse.

• Artículo 13 para sistemas autónomos: transparencia e instrucciones de uso

  Sistemas autónomos y artículo 13: instrucciones de uso y declaración de precisión.

• Artículo 72: vigilancia poscomercialización

  La vigilancia poscomercialización, que el registro del artículo 12, apartado 2, letra b), pretende facilitar.