Artículo 15 para los sistemas autónomos: precisión, solidez y ciberseguridad

El artículo 15 fija requisitos de diseño para el proveedor. No nombra ningún valor de precisión para ningún sector.

• art. 15(1)
  Nivel adecuado durante todo el ciclo de vida

  Los sistemas de IA de alto riesgo deben diseñarse y desarrollarse para alcanzar un nivel adecuado de precisión, solidez y ciberseguridad, y funcionar de manera uniforme en ese sentido durante todo su ciclo de vida.

• art. 15(2)
  La Comisión fomenta los puntos de referencia

  La Comisión fomentará, según proceda, el desarrollo de parámetros de referencia y metodologías de medición, en cooperación con partes interesadas como las autoridades de metrología y evaluación comparativa. No es una obligación del proveedor.

• art. 15(3)
  Declarar niveles y parámetros

  Los niveles de precisión y los parámetros de precisión pertinentes deben indicarse en las instrucciones de uso que acompañan al sistema.

• art. 15(4)
  Resiliencia ante errores y bucles de retroalimentación

  Los sistemas deben ser lo más resilientes posible frente a errores, fallos e incoherencias que puedan darse en el sistema o en su entorno, en particular por su interacción con personas físicas u otros sistemas. Deben adoptarse medidas técnicas y organizativas; se citan como opciones la redundancia técnica y los planes de copia de seguridad o a prueba de fallos. Un sistema que sigue aprendiendo tras su introducción en el mercado debe desarrollarse de modo que se elimine o reduzca en lo posible el riesgo de que salidas sesgadas influyan en entradas futuras (bucles de retroalimentación).

• art. 15(5)
  Ciberseguridad frente a terceros no autorizados

  Los sistemas deben resistir los intentos de terceros no autorizados de alterar su uso, sus resultados o su funcionamiento aprovechando vulnerabilidades. Las soluciones técnicas incluirán, cuando proceda, medidas contra el envenenamiento de datos, el envenenamiento del modelo, los ejemplos adversarios o la evasión del modelo, los ataques a la confidencialidad y los defectos del modelo.

El artículo 15 solo obliga a los sistemas de IA de alto riesgo. Las filas siguientes muestran qué sistemas autónomos alcanza y cuáles no.

• «Sistemas autónomos» no es una categoría del Reglamento

  El Reglamento no tiene una categoría «sistemas autónomos»; su definición de sistema de IA se refiere a un funcionamiento con distintos niveles de autonomía (artículo 3, punto 1). Este sitio usa la palabra para la IA de vehículos, drones, robots y máquinas, y para la IA que ayuda a gestionar el tráfico rodado. Esta IA puede ser de alto riesgo por tres vías, y la vía decide qué normas de alto riesgo se aplican: el anexo I, sección B (artículo 2, apartado 2 limita las normas a unos pocos artículos), el anexo I, sección A (los requisitos del capítulo III desde el 2 de agosto de 2028, si el sistema es de alto riesgo con arreglo al artículo 6, apartado 1) y el anexo III, punto 2 (los requisitos del capítulo III desde el 2 de diciembre de 2027). Otras normas no dependen de la vía: los artículos 4 y 5, el artículo 50, el artículo 53 para los proveedores de modelos y los demás puntos del anexo III. El artículo 2, apartado 2 solo restringe los sistemas de IA de alto riesgo con arreglo al artículo 6, apartado 1 en productos de la sección B. Busque primero su vía de alto riesgo.

• Vehículos, aeronaves, ferrocarril, equipos marinos y máquinas: anexo I, sección B

  La sección B del anexo I enumera, entre otros, los vehículos de motor (Reglamentos (UE) 2018/858 y 2019/2144), los vehículos de dos o tres ruedas (Reglamento (UE) n.º 168/2013), los vehículos agrícolas y forestales (Reglamento (UE) n.º 167/2013), el sistema ferroviario (Directiva (UE) 2016/797), los equipos marinos (Directiva 2014/90/UE), las aeronaves no tripuladas y sus motores, hélices, piezas y equipos de control remoto, en la medida en que el Reglamento (UE) 2018/1139 los cubre, y las máquinas (Reglamento (UE) 2023/1230, trasladado de la sección A a la sección B por el Reglamento (UE) 2026/1744). Para un sistema de IA que es de alto riesgo con arreglo al artículo 6, apartado 1 y se refiere a un producto de este tipo, solo se aplican el artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112 (artículo 2, apartado 2); los artículos 57, 58 y 59 solo se aplican en la medida en que los requisitos para los sistemas de IA de alto riesgo se hayan integrado en esa legislación de armonización de la Unión. Los artículos 9 a 15, 17 y 26 no figuran entre ellos. En su lugar, los artículos 102 a 109 añaden a ocho de estos actos una norma según la cual la Comisión tiene en cuenta los requisitos del capítulo III, sección 2, cuando adopte los actos que mencionan para sistemas de IA. Para las máquinas, el artículo 3, punto 1, del Reglamento (UE) 2026/1744 obliga a la Comisión a adoptar actos delegados que añadan requisitos de salud y seguridad para tales sistemas de IA, reflejando el capítulo III, sección 2, y los artículos 17, 19, 72 y 73; esos actos deben aplicarse a más tardar a partir del 2 de agosto de 2028.

• Productos de la sección A y anexo III, punto 2: se aplica el capítulo III

  Dos vías activan los requisitos del capítulo III. Primera: un sistema de IA es de alto riesgo con arreglo al artículo 6, apartado 1 si está destinado a utilizarse como componente de seguridad de un producto cubierto por la legislación del anexo I, o es él mismo un producto de ese tipo, y ese producto debe someterse a una evaluación de la conformidad por un tercero con arreglo a dicha legislación. La sección A (puntos 2 a 12) abarca, por ejemplo, ascensores, instalaciones de transporte por cable, embarcaciones de recreo y productos sanitarios; el capítulo III se aplica a estos sistemas desde el 2 de agosto de 2028 (artículo 113, letra c), inciso ii)). Un componente de seguridad es un componente que cumple una función de seguridad o cuyo fallo o defecto de funcionamiento pone en peligro la salud y la seguridad de las personas o los bienes (artículo 3, punto 14); la IA utilizada únicamente para aspectos no relacionados con la seguridad, como la optimización del rendimiento, la automatización o la comodidad, no lo es, pero sí lo es la IA cuyo fallo pondría en peligro la salud y la seguridad (artículo 6, apartados 1 bis y 1 ter). Un producto que solo debe someterse a una evaluación por un tercero por riesgos distintos de la salud y la seguridad, como el uso del espectro radioeléctrico o interferencias electromagnéticas sin efecto en la salud y la seguridad, no cumple esa condición (artículo 6, apartado 1 quater); esto afecta, por ejemplo, a los equipos radioeléctricos (punto 6). Segunda: el anexo III, punto 2, abarca los sistemas de IA destinados a utilizarse como componentes de seguridad en la gestión y el funcionamiento de las infraestructuras digitales críticas, del tráfico rodado o del suministro de agua, gas, calefacción o electricidad; el capítulo III se aplica a ellos desde el 2 de diciembre de 2027 (artículo 113, letra c), inciso i)). Según su tenor, el punto 2 nombra la gestión y el funcionamiento del tráfico rodado, no los vehículos.

• Proveedor y responsable del despliegue

  El proveedor desarrolla el sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca (artículo 3, punto 3). En el caso de un sistema de IA de alto riesgo que es un componente de seguridad de un producto de la sección A, el fabricante del producto es el proveedor si el sistema se introduce en el mercado con el producto bajo su nombre o marca, o se pone en servicio con ese nombre o marca después de que el producto se haya introducido en el mercado (artículo 25, apartado 3). El artículo 15 es una obligación de diseño del proveedor. Quien gestiona una flota, una planta o el tráfico y solo usa el sistema es un responsable del despliegue (artículo 3, punto 4) y no tiene obligación alguna del artículo 15; un responsable del despliegue pasa a ser proveedor en los casos del artículo 25, apartado 1.

• Fechas

  Los sistemas del anexo III, punto 2, deben cumplir el capítulo III desde el 2 de diciembre de 2027, y los de la sección A desde el 2 de agosto de 2028 (artículo 113, letra c)). Para los sistemas de la sección B no se aplica ninguna fecha a los artículos 9 a 15, 17 y 26, porque esos artículos no se les aplican; según el artículo 113, letra c), inciso ii), el capítulo III, secciones 1 a 3, del que forma parte el artículo 6, se aplica a los sistemas del anexo I desde el 2 de agosto de 2028, y los artículos 102 a 110 se aplican desde el 27 de julio de 2026 (artículo 113, letra c), inciso ii), y letra d)). Un sistema introducido en el mercado o puesto en servicio antes de la fecha de aplicación del capítulo III solo queda cubierto si después sufre cambios significativos en su diseño; en cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2).

• Multas

  El incumplimiento de las obligaciones de los proveedores (artículo 16) y de los responsables del despliegue (artículo 26) puede sancionarse con multas de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4). Para las pymes, incluidas las empresas emergentes, cada multa tiene como límite la cuantía menor (artículo 99, apartado 6). El mismo límite rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro establecerá normas sobre en qué medida pueden imponerse multas administrativas a las autoridades y organismos públicos establecidos en dicho Estado miembro (artículo 99, apartado 8). El artículo 99 no figura entre las disposiciones que, según el artículo 2, apartado 2, se aplican a los sistemas de IA de alto riesgo con arreglo al artículo 6, apartado 1, en productos de la sección B.

• Límites del ámbito de aplicación del Reglamento

  El Reglamento se aplica a los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA en la Unión, o introduzcan en el mercado modelos de IA de uso general en la Unión, con independencia de dónde estén establecidos (artículo 2, apartado 1, letra a)), y a los proveedores y responsables del despliegue establecidos en un tercer país cuando los resultados del sistema de IA se utilicen en la Unión (letra c)). No se aplica a los ámbitos que queden fuera del Derecho de la Unión ni afecta a las competencias de los Estados miembros en materia de seguridad nacional; tampoco se aplica a los sistemas de IA destinados exclusivamente a fines militares, de defensa o de seguridad nacional (artículo 2, apartado 3). El Reglamento no se aplica a los sistemas o modelos de IA, incluidos sus resultados, desarrollados y puestos en servicio específicamente con la finalidad exclusiva de la investigación y el desarrollo científicos (artículo 2, apartado 6). Tampoco se aplica a las actividades de investigación, prueba o desarrollo previas a la introducción en el mercado o la puesta en servicio de un sistema o modelo; las pruebas en condiciones reales no quedan cubiertas por esa exclusión (artículo 2, apartado 8). No se aplica a los sistemas de IA divulgados con arreglo a licencias libres y de código abierto, a menos que se introduzcan en el mercado o se pongan en servicio como sistemas de IA de alto riesgo o como sistemas de IA que entren en el ámbito del artículo 5 o 50 (artículo 2, apartado 12).

• Ningún valor de precisión para los sistemas autónomos

  El artículo 15 no nombra ningún parámetro de precisión, valor mínimo, método de prueba ni norma para ningún sector, ni para los sistemas autónomos. El proveedor declara los niveles y los parámetros pertinentes (artículo 15, apartado 3). Las normas armonizadas cuyas referencias se publican en el Diario Oficial dan presunción de conformidad en la medida en que cubran los requisitos (artículo 40, apartado 1); un certificado de ciberseguridad publicado con arreglo al Reglamento (UE) 2019/881 la da para los requisitos de ciberseguridad en la medida en que los cubra (artículo 42, apartado 2). Se considera que los sistemas incluidos en el ámbito de aplicación del Reglamento (UE) 2024/2847 que cumplan las condiciones del artículo 12, apartado 1, de dicho Reglamento cumplen los requisitos de ciberseguridad del artículo 15 (artículo 42, apartado 3). La Comisión elaborará directrices sobre la aplicación de los requisitos y obligaciones de los artículos 8 a 15 y 25 y 26 (artículo 96, apartado 1, letra a)).

• Las normas sectoriales y las reglas de homologación no son obligaciones del Reglamento

  El Reglamento no menciona ninguna norma ISO, UNECE ni otra norma sectorial. Las reglas de precisión, solidez o ciberseguridad que debe cumplir un producto de la sección B las determina su legislación sectorial, no el artículo 15; el Reglamento se entiende sin perjuicio de otros actos jurídicos de la Unión sobre protección de los consumidores y seguridad de los productos (artículo 2, apartado 9). La Comisión debe elaborar directrices sobre la relación del Reglamento con la legislación de armonización de la Unión enumerada en el anexo I y con otro Derecho de la Unión pertinente (artículo 96, apartado 1, letra e)).

• Sección A: los requisitos pueden limitarse (artículo 2, apartado 13)

  Para los sistemas de IA de alto riesgo a que se refiere el artículo 6, apartado 1, la aplicación de requisitos u obligaciones específicos de los artículos 9 a 15 y 17 a 25 puede limitarse, en la medida en que la legislación de armonización de la Unión de la sección A del anexo I establezca requisitos u obligaciones que proporcionen un nivel de protección equivalente o superior y la limitación no reduzca el nivel general de protección previsto en el Reglamento (artículo 2, apartado 13). La Comisión debe adoptar, a más tardar el 2 de agosto de 2027, actos delegados que especifiquen los sistemas afectados, los requisitos que pueden limitarse, las condiciones y el alcance. Según nuestra lectura del artículo 2, apartado 13, el Reglamento no dice por sí mismo qué requisitos se limitan para un producto concreto de la sección A; deben hacerlo los actos delegados; consulte con un asesor jurídico.

• Ejemplo: parámetros declarados para un componente de gestión del tráfico

  Ejemplo, no un requisito del Reglamento: el proveedor de un componente de seguridad para la gestión del tráfico rodado podría declarar qué parámetros de precisión midió y en qué condiciones de carretera, sensores y meteorología.

• Ejemplo: documentar el comportamiento a prueba de fallos

  Ejemplo, no un requisito del Reglamento: un proveedor podría documentar qué hace el sistema cuando falla un sensor o sus datos de entrada no son plausibles, por ejemplo cediendo el control a una lógica sin IA, como una forma de describir los planes de seguridad mencionados en el artículo 15, apartado 4.

• Artículo 15 reglamento IA: precisión, solidez y ciberseguridad

  El artículo 15 para todos los sectores: requisitos, fechas y multas.

• Reglamento IA sistemas autónomos: cumplimiento

  El resumen de los sistemas autónomos: qué vías del Reglamento se aplican a vehículos, aeronaves, máquinas e IA del tráfico.

• Artículo 17 para los sistemas autónomos: sistema de gestión de la calidad

  Sistemas autónomos y artículo 17: el sistema de gestión de la calidad y quién es el proveedor.

• Sistemas de IA de alto riesgo del anexo I: la vía de seguridad de los productos

  Anexo I: qué sistemas de IA en productos regulados son de alto riesgo, con las secciones A y B.