Artículo 15 para las tecnologías de RR. HH.: precisión, solidez y ciberseguridad

El artículo 15 fija requisitos de diseño para el proveedor. No nombra ningún valor de precisión para ningún sector.

• art. 15(1)
  Nivel adecuado durante todo el ciclo de vida

  Los sistemas de IA de alto riesgo deben diseñarse y desarrollarse para alcanzar un nivel adecuado de precisión, solidez y ciberseguridad, y funcionar de manera uniforme en ese sentido durante todo su ciclo de vida.

• art. 15(2)
  La Comisión fomenta los puntos de referencia

  La Comisión fomentará, según proceda, el desarrollo de parámetros de referencia y metodologías de medición, en cooperación con partes interesadas como las autoridades de metrología y evaluación comparativa. No es una obligación del proveedor.

• art. 15(3)
  Declarar niveles y parámetros

  Los niveles de precisión y los parámetros de precisión pertinentes deben indicarse en las instrucciones de uso que acompañan al sistema.

• art. 15(4)
  Resiliencia ante errores y bucles de retroalimentación

  Los sistemas deben ser lo más resilientes posible frente a errores, fallos e incoherencias que puedan darse en el sistema o en su entorno, en particular por su interacción con personas físicas u otros sistemas. Deben adoptarse medidas técnicas y organizativas; se citan como opciones la redundancia técnica y los planes de copia de seguridad o a prueba de fallos. Un sistema que sigue aprendiendo tras su introducción en el mercado debe desarrollarse de modo que se elimine o reduzca en lo posible el riesgo de que salidas sesgadas influyan en entradas futuras (bucles de retroalimentación).

• art. 15(5)
  Ciberseguridad frente a terceros no autorizados

  Los sistemas deben resistir los intentos de terceros no autorizados de alterar su uso, sus resultados o su funcionamiento aprovechando vulnerabilidades. Las soluciones técnicas incluirán, cuando proceda, medidas contra el envenenamiento de datos, el envenenamiento del modelo, los ejemplos adversarios o la evasión del modelo, los ataques a la confidencialidad y los defectos del modelo.

El artículo 15 solo obliga a los proveedores de sistemas de IA de alto riesgo. Las filas siguientes muestran cuándo la IA de RR. HH. pasa a ser de alto riesgo.

• Las tecnologías de RR. HH. no son una categoría del Reglamento

  El Reglamento no tiene una categoría «tecnologías de RR. HH.». Este sitio usa el término para la IA que entra en el Reglamento por el anexo III, punto 4 (empleo, gestión de los trabajadores y acceso al autoempleo), y por la prohibición del artículo 5, apartado 1, letra f), de inferir emociones en el lugar de trabajo.

• Anexo III, punto 4: empleo y gestión de los trabajadores

  El anexo III, punto 4, letra a), abarca los sistemas de IA destinados a utilizarse para la contratación o selección de personas físicas, en particular para publicar anuncios de empleo específicos, analizar y filtrar solicitudes de empleo y evaluar a los candidatos. La letra b) abarca los sistemas de IA destinados a utilizarse para tomar decisiones que afecten a las condiciones de las relaciones de índole laboral, la promoción o la rescisión de relaciones contractuales de índole laboral, para la asignación de tareas a partir de comportamientos individuales o rasgos o características personales, o para supervisar y evaluar el rendimiento y el comportamiento de las personas en dichas relaciones. Un sistema del anexo III solo se considera no de alto riesgo con arreglo al artículo 6, apartado 3, y el proveedor debe documentar esa evaluación antes de introducir el sistema en el mercado o ponerlo en servicio (artículo 6, apartado 4). El artículo 6, apartado 3, nunca se aplica cuando el sistema elabora perfiles de personas físicas. Un proveedor que concluya que su sistema del anexo III no es de alto riesgo está sujeto a la obligación de registro del artículo 49, apartado 2.

• Proveedor y responsable del despliegue

  El proveedor, por ejemplo un fabricante de software de RR. HH., desarrolla el sistema de IA, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre (artículo 3, punto 3). Un empleador, una agencia de contratación u otro organismo que utiliza un sistema bajo su autoridad es un responsable del despliegue (artículo 3, punto 4). Pasa a ser proveedor si pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, realiza una modificación sustancial que lo deja como de alto riesgo, o cambia la finalidad prevista de un sistema que no era de alto riesgo de modo que pase a serlo (artículo 25, apartado 1). El Reglamento no se aplica a las obligaciones de los responsables del despliegue que sean personas físicas que utilicen sistemas de IA en el contexto de una actividad puramente personal de carácter no profesional (artículo 2, apartado 10).

• Fechas

  Los sistemas del anexo III, punto 4, deben cumplir estas obligaciones desde el 2 de diciembre de 2027 (artículo 113, apartado 3, letra c), inciso i)). Un sistema introducido en el mercado o puesto en servicio antes de esa fecha solo queda cubierto si después sufre cambios significativos en su diseño; en cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2). La prohibición del artículo 5, apartado 1, letra f), se aplica desde el 2 de febrero de 2025; la excepción del artículo 113, apartado 3, letra a), no le afecta.

• Multas

  El incumplimiento de las obligaciones de los proveedores (artículo 16) y de los responsables del despliegue (artículo 26) puede sancionarse con multas de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4). Para las pymes, incluidas las empresas emergentes, cada multa llega como máximo a la cuantía menor (artículo 99, apartado 6); lo mismo rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro decide en qué medida pueden imponerse multas a las autoridades y los organismos públicos establecidos en él (artículo 99, apartado 8).

• Límites del ámbito de aplicación

  El Reglamento no se aplica a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión (primera frase del artículo 2, apartado 3), ni a los sistemas o modelos de IA, incluidos sus resultados de salida, desarrollados y puestos en servicio específicamente con la investigación y el desarrollo científicos como única finalidad (artículo 2, apartado 6), ni a las actividades de investigación, prueba o desarrollo antes de que un sistema se introduzca en el mercado o se ponga en servicio; las pruebas en condiciones reales no quedan cubiertas por esa exclusión (artículo 2, apartado 8). No se aplica a los sistemas de IA publicados con licencias libres y de código abierto, salvo que se introduzcan en el mercado o se pongan en servicio como sistemas de IA de alto riesgo o entren en el artículo 5 o 50 (artículo 2, apartado 12).

• Ningún valor de precisión ni métrica de equidad

  El artículo 15 no nombra, para ningún sector, una métrica de precisión, un valor mínimo, un método de prueba ni una norma, y el Reglamento no nombra ninguna métrica de equidad para los sistemas de RR. HH. El proveedor declara los niveles y las métricas pertinentes (artículo 15, apartado 3). La documentación técnica debe describir además las métricas utilizadas para medir la precisión, la solidez y el cumplimiento, así como los efectos potencialmente discriminatorios (anexo IV, punto 2, letra g)).

• Presunciones de conformidad

  El Reglamento no nombra por sí mismo ninguna norma. Los sistemas conformes con normas armonizadas cuyas referencias se hayan publicado en el Diario Oficial se presumen conformes con los requisitos de la sección 2, en la medida en que esas normas los cubran (artículo 40, apartado 1). Un certificado de ciberseguridad o una declaración de conformidad con arreglo al Reglamento (UE) 2019/881, publicados en el Diario Oficial, dan una presunción respecto de los requisitos de ciberseguridad del artículo 15 (artículo 42, apartado 2); los sistemas incluidos en el Reglamento (UE) 2024/2847 que cumplan las condiciones de su artículo 12, apartado 1, se consideran conformes con ellos (artículo 42, apartado 3). La Comisión elaborará directrices sobre la aplicación de los requisitos y obligaciones de los artículos 8 a 15 y de los artículos 25 y 26 (artículo 96, apartado 1, letra a)).

• Ejemplo: bucles de retroalimentación en una herramienta de clasificación

  Ejemplo, no un requisito del Reglamento: el proveedor de una herramienta de clasificación de candidatos que sigue aprendiendo tras introducirse en el mercado podría comprobar si sus clasificaciones anteriores influyen en los datos de los que luego aprende, que es lo que el artículo 15, apartado 4, sobre bucles de retroalimentación, pide abordar al proveedor.

• Artículo 15 reglamento IA: precisión, solidez y ciberseguridad

  El artículo 15 para todos los sectores: requisitos, fechas y multas.

• Reglamento IA RRHH: conformidad tecnológica

  Panorama de las tecnologías de RR. HH.: cómo alcanza el Reglamento a la IA de contratación y de gestión de los trabajadores.

• Artículo 26 para las tecnologías de RR. HH.: obligaciones de los responsables del despliegue

  IA de RR. HH. y artículo 26: información a los trabajadores, supervisión humana, vigilancia y registros.

• Anexo III en detalle: las 8 categorías de alto riesgo

  Cómo el anexo III convierte sistemas de IA en sistemas de alto riesgo, incluidos el empleo y la gestión de los trabajadores.