Artículo 12, registros para la IA de las fuerzas del orden: reglamento IA

art. 12, ap. 1, art. 12, ap. 2

Los registros y su finalidad

Los sistemas de alto riesgo deben permitir técnicamente el registro automático de eventos (archivos de registro) a lo largo de la vida útil del sistema (artículo 12, apartado 1). Las capacidades de registro deben permitir registrar eventos pertinentes para: (a) identificar situaciones que puedan dar lugar a que el sistema presente un riesgo en el sentido del artículo 79, apartado 1 o a una modificación sustancial; (b) facilitar la vigilancia poscomercialización del artículo 72; (c) supervisar el funcionamiento del sistema a que se refiere el artículo 26, apartado 5 (artículo 12, apartado 2). El nivel de trazabilidad debe ser adecuado a la finalidad prevista.

art. 12, ap. 3

Registros mínimos para la identificación biométrica remota

Para los sistemas a que se refiere el anexo III, punto 1, letra a, las capacidades de registro proporcionarán como mínimo: (a) el período de cada uso, con fecha y hora de inicio y de fin; (b) la base de datos de referencia con la que el sistema haya comprobado los datos de entrada; (c) los datos de entrada con los que la búsqueda haya arrojado una coincidencia; (d) la identificación de las personas físicas que hayan participado en la verificación de los resultados, a que se refiere el artículo 14, apartado 5 (artículo 12, apartado 3).

art. 19, ap. 1, art. 21, ap. 2

Proveedores: conservación y acceso

Los proveedores conservan los archivos de registro generados automáticamente por sus sistemas de alto riesgo, en la medida en que estén bajo su control, durante un período adecuado a la finalidad prevista de al menos seis meses, salvo que el Derecho de la Unión o nacional aplicable disponga otra cosa, en particular el Derecho de la Unión en materia de protección de datos personales (artículo 19, apartado 1). A petición motivada de una autoridad competente, le dan acceso a esos registros, según proceda (artículo 21, apartado 2).

art. 3, ap. 46

Las fuerzas del orden en el reglamento

El Reglamento no contiene un régimen sectorial general de garantía del cumplimiento del Derecho; el punto 6 del anexo III es el ámbito de alto riesgo titulado «Garantía del cumplimiento del Derecho». El reglamento define la actividad policial como las actividades de las autoridades con funciones coercitivas, o realizadas en su nombre, para la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a las amenazas para la seguridad pública y su prevención (artículo 3, apartado 46). Los usos de alto riesgo figuran en el anexo III: el punto 6 para las fuerzas del orden y el punto 1 para la biometría, cada uno «en la medida en que el Derecho de la Unión o nacional pertinente permita su uso».

art. 26, ap. 6

Autoridades policiales como responsables del despliegue: conservación

Un responsable del despliegue, como una autoridad policial, conserva los archivos de registro generados automáticamente por el sistema, en la medida en que estén bajo su control, durante un período adecuado a la finalidad prevista de al menos seis meses, salvo que el Derecho de la Unión o nacional disponga otra cosa, en particular el Derecho de la Unión en materia de protección de datos personales (artículo 26, apartado 6).

art. 26, ap. 10

Identificación biométrica remota posterior: expediente policial e informes

Con independencia de la finalidad o del responsable del despliegue, cada uso de un sistema de alto riesgo de identificación biométrica remota posterior debe documentarse en el expediente policial correspondiente. Debe ponerse a disposición de la autoridad de vigilancia del mercado y de la autoridad nacional de protección de datos previa solicitud, sin divulgar datos operativos sensibles relacionados con la actividad policial. Los responsables del despliegue presentan además informes anuales a esas autoridades sobre su uso; los informes pueden agregarse para cubrir más de un despliegue (artículo 26, apartado 10).

art. 26, ap. 5, art. 72, ap. 2

Datos operativos sensibles

La obligación de vigilancia e información del artículo 26, apartado 5 no abarca los datos operativos sensibles de los responsables del despliegue que sean autoridades policiales. La misma excepción se aplica a la vigilancia poscomercialización del proveedor (artículo 72, apartado 2).

art. 12

Cadena de custodia y admisibilidad

El reglamento no contiene ninguna norma sobre la cadena de custodia ni sobre si los registros son admisibles como prueba. No regula esas cuestiones.

art. 3, ap. 3, art. 3, ap. 4, art. 25, ap. 1

Proveedor y responsable del despliegue

El proveedor es una persona física o jurídica, autoridad pública, agencia u otro organismo que desarrolla un sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca (artículo 3, apartado 3). El responsable del despliegue es una persona u organismo de ese tipo que utiliza un sistema de IA bajo su propia autoridad, salvo en el ejercicio de una actividad personal de carácter no profesional (artículo 3, apartado 4). Una autoridad policial que compra un sistema es responsable del despliegue. Pasa a ser proveedor si pone su nombre o marca en un sistema de alto riesgo ya comercializado, le hace una modificación sustancial que lo mantiene como de alto riesgo, o cambia la finalidad prevista de un sistema que no es de alto riesgo de modo que pase a serlo (artículo 25, apartado 1).

art. 113, c i, art. 111, ap. 2

Fechas

Los requisitos para los sistemas de alto riesgo del anexo III se aplican a partir del 2 de diciembre de 2027 (artículo 113, letra c, inciso i). Un sistema de alto riesgo introducido en el mercado o puesto en servicio antes de esa fecha solo queda cubierto si, a partir de entonces, sufre cambios significativos en su diseño. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2). Las prohibiciones del artículo 5, apartado 1, letras d, e, g y h, se aplican desde el 2 de febrero de 2025 (artículo 113, letra a).

art. 2, ap. 3, art. 2, ap. 6, art. 2, ap. 8

Límites del ámbito de aplicación

El reglamento no se aplica a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión ni a los sistemas de IA cuando y en la medida en que se utilicen exclusivamente con fines militares, de defensa o de seguridad nacional (artículo 2, apartado 3). No se aplica a las autoridades públicas de terceros países ni a las organizaciones internacionales que utilicen sistemas de IA en el marco de la cooperación internacional o de acuerdos de cooperación policial y judicial con la Unión o con uno o varios Estados miembros, siempre que ese tercer país u organización ofrezca garantías adecuadas con respecto a la protección de los derechos y libertades fundamentales (artículo 2, apartado 4). No se aplica a los sistemas o modelos de IA, incluidos sus resultados de salida, desarrollados y puestos en servicio específicamente con la única finalidad de investigación y desarrollo científicos (artículo 2, apartado 6), ni a las actividades de investigación, ensayo o desarrollo previas a la introducción en el mercado o la puesta en servicio de un sistema; los ensayos en condiciones reales no quedan cubiertos por esa exclusión (artículo 2, apartado 8). No se aplica a los sistemas de IA publicados con licencias libres y de código abierto, salvo que se introduzcan en el mercado o se pongan en servicio como sistemas de IA de alto riesgo o como sistema de IA que entre en el ámbito del artículo 5 o del artículo 50 (artículo 2, apartado 12).

art. 99, ap. 4, a, art. 99, ap. 8

Multas para los proveedores

Un proveedor que incumpla sus obligaciones del artículo 16, entre ellas garantizar que el sistema cumple los requisitos de la sección 2 (artículo 16, letra a), se expone a una multa administrativa de hasta 15 millones EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total correspondiente al ejercicio financiero anterior, si esta cuantía es superior (artículo 99, apartado 4, letra a). Para las pymes, incluidas las empresas emergentes, cada multa llega como máximo a esos porcentajes o a esa cuantía, la que sea inferior (artículo 99, apartado 6); lo mismo vale para las pequeñas empresas de mediana capitalización (artículo 99, apartado 6a; artículo 3, apartado 14b). Cada Estado miembro establece en qué medida pueden imponerse multas a las autoridades y organismos públicos establecidos en él (artículo 99, apartado 8).

art. 12, ap. 3

Ejemplo: una herramienta de búsqueda facial

Ejemplo: una herramienta de búsqueda facial incluida en el anexo III, punto 1, letra a registra en cada consulta la hora de inicio y de fin, la base de datos de referencia consultada, los datos de entrada que dieron una coincidencia y la persona que verificó el resultado. Son los cuatro elementos del artículo 12, apartado 3.

art. 12, ap. 1

Una decisión de diseño, no un requisito del reglamento

Una decisión de diseño habitual, no un requisito del reglamento: escribir los registros en un almacenamiento que los operadores del sistema no puedan modificar, para poder fiarse luego de los datos registrados.