Artículo 13 para la IA biométrica: transparencia e instrucciones de uso

El artículo 13 se refiere a la información que un proveedor facilita a los responsables del despliegue. No es una obligación de aviso a las personas captadas por un sistema.

• art. 13(1)
  Con transparencia suficiente para interpretar los resultados de salida

  Los sistemas de IA de alto riesgo se diseñarán y desarrollarán de un modo que se garantice que funcionan con un nivel de transparencia suficiente para que los responsables del despliegue interpreten y usen correctamente sus resultados de salida. Se garantizará un tipo y un nivel de transparencia adecuados para que el proveedor y el responsable del despliegue cumplan las obligaciones pertinentes previstas en la sección 3.

• art. 13(2)
  Instrucciones de uso en un formato adecuado

  Los sistemas de IA de alto riesgo irán acompañados de instrucciones de uso en un formato digital apropiado o de otro tipo. Incluirán información concisa, completa, correcta y clara que sea pertinente, accesible y comprensible para los responsables del despliegue.

• art. 13(3)(a)–(b)
  Identidad del proveedor, capacidades y limitaciones

  Las instrucciones de uso deben contener como mínimo la identidad y los datos de contacto del proveedor y, en su caso, de su representante autorizado. Deben describir las características, capacidades y limitaciones del funcionamiento del sistema, incluidas las siguientes. La finalidad prevista. El nivel de precisión, incluidos sus parámetros, solidez y ciberseguridad, con el que se haya probado y validado el sistema y que cabe esperar, así como cualquier circunstancia conocida y previsible que pueda afectar a ese nivel. Cualquier circunstancia conocida o previsible que pueda dar lugar a riesgos para la salud y la seguridad o los derechos fundamentales. Cuando proceda, las capacidades y características técnicas del sistema para proporcionar información pertinente para explicar sus resultados de salida. Cuando proceda, su funcionamiento con respecto a personas o colectivos de personas concretos en relación con los que esté previsto utilizar el sistema. Cuando proceda, las especificaciones de los datos de entrada o cualquier otra información pertinente en relación con los conjuntos de datos de entrenamiento, validación y prueba utilizados. Cuando proceda, información que permita a los responsables del despliegue interpretar los resultados de salida del sistema y utilizarlos adecuadamente.

• art. 13(3)(c)–(f)
  Cambios, supervisión humana, recursos y archivos de registro

  Las instrucciones de uso deben contener también lo siguiente. Los cambios en el sistema y en su funcionamiento que el proveedor haya predeterminado en el momento de efectuar la evaluación inicial de la conformidad, si los hubiera. Las medidas de supervisión humana a que se refiere el artículo 14, incluidas las medidas técnicas establecidas para facilitar la interpretación de los resultados de salida por parte de los responsables del despliegue. Los recursos informáticos y de hardware necesarios, la vida útil prevista del sistema y las medidas de mantenimiento y cuidado necesarias, incluida su frecuencia, para garantizar el correcto funcionamiento del sistema, también en lo que respecta a las actualizaciones de software. Cuando proceda, una descripción de los mecanismos incluidos en el sistema que permita a los responsables del despliegue recabar, almacenar e interpretar correctamente los archivos de registro con arreglo al artículo 12.

El artículo 13 solo obliga a los sistemas de IA de alto riesgo. Las filas siguientes muestran cuándo la IA biométrica es de alto riesgo, quién está obligado y dónde figuran las obligaciones hacia las personas afectadas.

• El anexo III contiene un ámbito «Biometría», limitado a tres tipos de sistemas

  El anexo III contiene un ámbito «Biometría», en la medida en que su uso esté permitido por el Derecho de la Unión o nacional aplicable. El ámbito se limita a las letras a) a c) del punto 1; el Reglamento no tiene un régimen más amplio de biometría. La palabra «biometría» de este sitio designa estos sistemas. La letra a) del punto 1 abarca los sistemas de identificación biométrica remota. Quedan excluidos los sistemas de IA destinados a ser utilizados con fines de verificación biométrica cuya única finalidad sea confirmar que una persona física concreta es la persona que dice ser. La letra b) abarca los sistemas de IA destinados a ser utilizados para la categorización biométrica en función de atributos o características sensibles o protegidos basada en la inferencia de dichos atributos o características. La letra c) abarca los sistemas de IA destinados a ser utilizados para el reconocimiento de emociones. Un sistema de identificación biométrica remota identifica a personas físicas sin su participación activa, normalmente a distancia, comparando los datos biométricos de una persona con los contenidos en una base de datos de referencia (artículo 3, punto 41). La verificación biométrica es la verificación automatizada «uno a uno», incluida la autenticación, de la identidad de personas físicas comparando sus datos biométricos con datos biométricos facilitados previamente (artículo 3, punto 36). Un sistema biométrico que el punto 1 no menciona es de alto riesgo solo si otro punto del anexo III o el anexo I lo contempla.

• El artículo 6, apartado 3, puede excluir un sistema del anexo III

  Un sistema del anexo III, punto 1, es de alto riesgo con arreglo al artículo 6, apartado 2. Con arreglo al artículo 6, apartado 3, no lo es si no plantea un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales. Eso incluye no influir sustancialmente en el resultado de la toma de decisiones. El Reglamento aplica esta excepción cuando se cumple cualquiera de las condiciones siguientes (artículo 6, apartado 3, letras a) a d)). Que el sistema esté destinado a realizar una tarea de procedimiento limitada. O que esté destinado a mejorar el resultado de una actividad humana previamente realizada. O que esté destinado a detectar patrones de toma de decisiones o desviaciones con respecto a patrones de toma de decisiones anteriores y no esté destinado a sustituir la valoración humana previamente realizada, ni a influir en ella, sin una revisión humana adecuada. O que esté destinado a realizar una tarea preparatoria para una evaluación que sea pertinente a efectos de los casos de uso enumerados en el anexo III. Cómo se combinan estas condiciones con el criterio del riesgo importante es una cuestión para un jurista. El sistema siempre es de alto riesgo si efectúa la elaboración de perfiles de personas físicas. El artículo 4, punto 4, del RGPD define la elaboración de perfiles (artículo 3, punto 52). Si un sistema biométrico concreto la efectúa también es una cuestión para un jurista. El proveedor que se acoja a la excepción documenta su evaluación antes de introducir el sistema en el mercado o ponerlo en servicio. También debe registrar el sistema (artículo 6, apartado 4, artículo 49, apartado 2). Aparte, el propio punto 1, letra a), excluye los sistemas de IA destinados a ser utilizados con fines de verificación biométrica cuya única finalidad sea confirmar que una persona física concreta es la persona que dice ser.

• Proveedor y responsable del despliegue

  El proveedor desarrolla un sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca (artículo 3, punto 3). La puesta en servicio incluye el suministro para uso propio del proveedor (artículo 3, punto 11). Una empresa o autoridad pública que desarrolla un sistema biométrico y lo pone en servicio bajo su propio nombre es, por tanto, proveedor. Una empresa o autoridad pública que utiliza un sistema bajo su propia autoridad es un responsable del despliegue (artículo 3, punto 4). El responsable del despliegue pasa a ser proveedor en tres casos. Pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo. Realiza una modificación sustancial de ese sistema que lo deja como de alto riesgo. O cambia la finalidad prevista de un sistema que no era de alto riesgo de modo que pase a serlo (artículo 25, apartado 1). El proveedor que inicialmente introdujo el sistema en el mercado o lo puso en servicio deja entonces de ser considerado proveedor de ese sistema específico y debe cooperar estrechamente con el nuevo proveedor (artículo 25, apartado 2). Esto no se aplica si el proveedor inicial indicó claramente que su sistema no debe ser transformado en un sistema de alto riesgo.

• Las obligaciones de informar a las personas afectadas figuran en otros artículos

  El artículo 13 se refiere a la información para los responsables del despliegue. No establece ninguna norma sobre carteles, avisos o mensajes en pantalla para las personas captadas por un sistema biométrico. Los responsables del despliegue de sistemas de IA de alto riesgo mencionados en el anexo III que tomen decisiones o ayuden a tomar decisiones relacionadas con personas físicas informarán a estas de que están expuestas a la utilización del sistema (artículo 26, apartado 11). Los responsables del despliegue de un sistema de reconocimiento de emociones o de un sistema de categorización biométrica informarán a las personas físicas expuestas a él del funcionamiento del sistema y tratarán los datos personales de conformidad con la normativa de protección de datos (artículo 50, apartado 3). Esta obligación no se aplica a tales sistemas cuando la ley permita su uso para detectar, prevenir o investigar delitos, con sujeción a las garantías adecuadas para los derechos y libertades de terceros y de conformidad con el Derecho de la Unión. El Derecho de la Unión en materia de protección de datos sigue aplicándose (artículo 2, apartado 7).

• Fechas

  Los requisitos para estos usos del anexo III se aplican desde el 2 de diciembre de 2027 (artículo 113, letra c), inciso i)). Un sistema introducido en el mercado o puesto en servicio antes de esa fecha solo queda cubierto si después sufre cambios significativos en su diseño. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2). Esta regla no abarca los sistemas mencionados en el artículo 111, apartado 1.

• Multas

  Los proveedores deben velar por que sus sistemas de alto riesgo cumplan los requisitos de la sección 2 del capítulo III, que incluye los artículos 9 a 15 (artículo 16, letra a)). El incumplimiento de las obligaciones de los proveedores del artículo 16 o de las de los responsables del despliegue del artículo 26 puede sancionarse con multa. La multa es de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4, letras a) y e)). Para las pymes, incluidas las empresas emergentes, cada multa tiene como límite la cuantía menor de las dos (artículo 99, apartado 6). Lo mismo rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro establece normas que determinan en qué medida es posible imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro (artículo 99, apartado 8).

• Alcance y límites del Reglamento

  El Reglamento se aplica a los proveedores y responsables del despliegue establecidos o ubicados en un tercer país cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión (artículo 2, apartado 1, letra c)). No se aplica a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión y no afecta a las competencias de los Estados miembros en materia de seguridad nacional (artículo 2, apartado 3). El Reglamento no se aplica a los sistemas o modelos de IA, incluidos sus resultados de salida, desarrollados y puestos en servicio específicamente con la investigación y el desarrollo científicos como única finalidad (artículo 2, apartado 6). Tampoco se aplica a la actividad de investigación, prueba o desarrollo anterior a la introducción de un sistema en el mercado o su puesta en servicio. Las pruebas en condiciones reales no están cubiertas por esa exclusión (artículo 2, apartado 8). Los sistemas de IA publicados con arreglo a licencias libres y de código abierto quedan fuera del Reglamento. Esa exclusión no se aplica si se introducen en el mercado o se ponen en servicio como sistemas de IA de alto riesgo, o si entran en el ámbito de aplicación del artículo 5 o del artículo 50 (artículo 2, apartado 12). No se aplica a los sistemas de IA cuando y en la medida en que se introduzcan en el mercado, se pongan en servicio o se utilicen, con o sin modificación, exclusivamente con fines militares, de defensa o de seguridad nacional, independientemente del tipo de entidad que lleve a cabo esas actividades (artículo 2, apartado 3). No se aplica a las autoridades públicas de terceros países ni a las organizaciones internacionales incluidas en su ámbito de aplicación conforme al artículo 2, apartado 1, cuando utilicen sistemas de IA en el marco de acuerdos o de la cooperación internacionales con fines de garantía del cumplimiento del Derecho y cooperación judicial con la Unión o con uno o varios Estados miembros, siempre que tal tercer país u organización internacional ofrezca garantías suficientes con respecto a la protección de los derechos y libertades fundamentales de las personas (artículo 2, apartado 4). No se aplica a las obligaciones de los responsables del despliegue que sean personas físicas que utilicen sistemas de IA en el ejercicio de una actividad puramente personal de carácter no profesional (artículo 2, apartado 10). El Derecho de la Unión en materia de protección de los datos personales, la intimidad y la confidencialidad de las comunicaciones se aplica a los datos personales tratados en relación con los derechos y obligaciones del Reglamento. Sin perjuicio del artículo 4 bis y del artículo 59, el Reglamento no afecta a los Reglamentos (UE) 2016/679 y (UE) 2018/1725 ni a las Directivas 2002/58/CE y (UE) 2016/680 (artículo 2, apartado 7).

• Ningún valor de precisión ni lista de colectivos específicos para la biometría

  El artículo 13, apartado 3, exige que las instrucciones indiquen el nivel de precisión y sus parámetros y, cuando proceda, el funcionamiento con respecto a personas o colectivos concretos. No fija para los sistemas biométricos ningún valor de precisión, parámetro ni lista de colectivos. El Reglamento no menciona por sí mismo ninguna norma. Se presume que los sistemas de alto riesgo conformes con normas armonizadas publicadas en el Diario Oficial son conformes con los requisitos de la sección 2, en la medida en que esas normas los contemplen (artículo 40, apartado 1). La Comisión elaborará directrices sobre la aplicación de los requisitos y obligaciones de los artículos 8 a 15, 25 y 26 (artículo 96, apartado 1, letra a)).

• Ejemplo: una guía para las personas que verifican coincidencias

  Ejemplo, no exigido por el Reglamento: para las personas que deben verificar una coincidencia con arreglo al artículo 14, apartado 5, el proveedor podría añadir una guía breve sobre cómo interpretar una coincidencia y en qué circunstancias es menos fiable.

• Ejemplo: versionar las instrucciones de uso

  Ejemplo, no exigido por el Reglamento: un proveedor podría versionar las instrucciones de uso y anotar qué versión corresponde a cada versión del sistema, para que un responsable del despliegue pueda comprobar qué se aplicaba en el momento de un uso determinado.

• Artículo 13 reglamento IA: transparencia e instrucciones de uso

  El artículo 13 para todos los sectores: requisitos, fechas y multas.

• Reglamento IA biometría: guía de cumplimiento

  El resumen de biometría: lo que cubre el Reglamento, lo que prohíbe y las normas específicas de biometría.

• Artículo 14 para la IA biométrica: supervisión humana

  La IA biométrica y el artículo 14: supervisión humana y verificación por dos personas en la identificación remota.

• Artículo 15 reglamento IA: precisión, solidez y ciberseguridad

  El artículo 15 para todos los sectores: los niveles de precisión que el artículo 13, apartado 3, pide a los proveedores que indiquen.