Artículo 17 para la garantía del cumplimiento del Derecho: sistema de gestión de la calidad

El Reglamento no contiene un régimen sectorial general de garantía del cumplimiento del Derecho; el punto 6 del anexo III es el ámbito de alto riesgo titulado «Garantía del cumplimiento del Derecho». La define como las actividades realizadas por las autoridades garantes del cumplimiento del Derecho, o en su nombre, para la prevención, la investigación, la detección o el enjuiciamiento de delitos o la ejecución de sanciones penales, incluidas la protección frente a amenazas para la seguridad pública y la prevención de dichas amenazas (art. 3, punto 46). Una autoridad garante del cumplimiento del Derecho es una autoridad pública competente para esas tareas u otro organismo al que el Derecho de un Estado miembro confíe el ejercicio de la autoridad pública con esos fines (art. 3, punto 45).

El anexo III, punto 6 clasifica como de alto riesgo cinco usos por parte de las autoridades garantes del cumplimiento del Derecho o en su nombre, o de instituciones, órganos u organismos de la Unión en apoyo de dichas autoridades, en la medida en que su uso esté permitido por el Derecho de la Unión o nacional aplicable: evaluar el riesgo de que una persona sea víctima de delitos (a); polígrafos y herramientas similares (b); evaluar la fiabilidad de las pruebas (c); evaluar el riesgo de que una persona cometa o reitere un delito sin basarse únicamente en la elaboración de perfiles, o evaluar rasgos de personalidad o comportamiento delictivo pasado (d); y la elaboración de perfiles durante la detección, investigación o enjuiciamiento de delitos (e). El Reglamento no incluye una entrada para el análisis delictivo ni la policía predictiva como tales.

El trabajo policial también puede estar comprendido en el anexo III, punto 1 (identificación biométrica remota, categorización biométrica según atributos sensibles o protegidos, reconocimiento de emociones) y el anexo III, punto 7 (migración, asilo y gestión del control fronterizo). Ambos puntos plantean la misma condición: que su uso esté permitido por el Derecho de la Unión o nacional aplicable. El anexo III, punto 8, letra a) abarca los sistemas utilizados por una autoridad judicial o en su nombre.

El Reglamento no se aplica a los sistemas de IA utilizados exclusivamente con fines militares, de defensa o de seguridad nacional (art. 2, apdo. 3). Algunos usos policiales están prohibidos, y no son de alto riesgo, desde el 2 de febrero de 2025 (art. 113, letra a)): una evaluación del riesgo de que una persona cometa un delito basada únicamente en la elaboración de perfiles o en sus rasgos de personalidad, salvo que solo apoye una valoración humana ya basada en hechos objetivos y verificables vinculados directamente a una actividad delictiva (art. 5, apdo. 1, letra d)); las bases de datos de reconocimiento facial creadas mediante la extracción no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión (art. 5, apdo. 1, letra e)); y la identificación biométrica remota «en tiempo real» en espacios de acceso público, salvo que sea estrictamente necesaria para un objetivo enumerado en el art. 5, apdo. 1, letra h) y con sujeción a lo dispuesto en el art. 5, apdos. 2 a 7. El Reglamento tampoco se aplica a los ámbitos que quedan fuera del ámbito de aplicación del Derecho de la Unión (art. 2, apdo. 3); a las autoridades públicas de terceros países y organizaciones internacionales que utilicen sistemas de IA en el marco de la cooperación internacional o de acuerdos para la garantía del cumplimiento del Derecho y la cooperación judicial con la Unión o con los Estados miembros, siempre que se ofrezcan garantías adecuadas con respecto a la protección de los derechos y libertades fundamentales (art. 2, apdo. 4); ni a los sistemas de IA publicados con licencia libre y de código abierto, salvo que se introduzcan en el mercado o se pongan en servicio como sistemas de alto riesgo o estén comprendidos en el artículo 5 o 50 (art. 2, apdo. 12). Las personas físicas que utilicen un sistema en una actividad puramente personal de carácter no profesional quedan fuera de las obligaciones de los responsables del despliegue (art. 2, apdo. 10).

El artículo 17 no contiene ninguna norma específica para la garantía del cumplimiento del Derecho. Los proveedores de sistemas de alto riesgo deben implantar un sistema de gestión de la calidad. Se documenta de manera sistemática y ordenada en forma de políticas, procedimientos e instrucciones escritas (art. 17, apdo. 1).

El Reglamento enumera 13 aspectos, las letras a) a m), que el sistema incluye como mínimo: una estrategia para el cumplimiento normativo, incluidos los procedimientos de evaluación de la conformidad y de gestión de modificaciones; procedimientos de diseño, desarrollo, control de calidad, examen, prueba y validación; especificaciones técnicas, incluidas normas; gestión de datos; el sistema de gestión de riesgos del artículo 9; la vigilancia poscomercialización del artículo 72; la notificación de incidentes graves del artículo 73; la comunicación con autoridades, organismos notificados, otros operadores y clientes; el mantenimiento de registros; la gestión de recursos, incluida la seguridad del suministro; y un marco de rendición de cuentas (art. 17, apdo. 1).

La aplicación es proporcionada al tamaño de la organización del proveedor, en particular si es una pyme, incluida una empresa emergente, o una pequeña empresa de mediana capitalización (art. 3, punto 14b). Los proveedores deben respetar en todo caso el grado de rigor y el nivel de protección necesarios para que sus sistemas de alto riesgo cumplan el Reglamento (art. 17, apdo. 2).

El art. 16, apdo. c atribuye el sistema de gestión de la calidad a los proveedores. Un responsable del despliegue policial no tiene ninguna obligación con arreglo al artículo 17. Una autoridad garante del cumplimiento del Derecho que haga desarrollar un sistema y lo ponga en servicio con su propio nombre es proveedor (art. 3, punto 3). Un responsable del despliegue considerado proveedor con arreglo al art. 25, apdo. 1 también lo es.

El sistema de gestión de la calidad incluye un sistema de vigilancia poscomercialización (art. 17, apdo. 1, letra h)). Ese sistema recopila datos sobre el funcionamiento de los sistemas de alto riesgo a lo largo de su vida útil, pero la obligación no abarca los datos operativos sensibles de los responsables del despliegue que sean autoridades garantes del cumplimiento del Derecho (art. 72, apdo. 2).

Para los puntos 2 a 8 del anexo III, incluido el punto 6, el proveedor aplica el control interno del anexo VI, en el que verifica que su sistema de gestión de la calidad cumple el artículo 17 (art. 43, apdo. 2, anexo VI, punto 2). Para el punto 1, el control interno solo está abierto si se aplicaron normas armonizadas o especificaciones comunes; en caso contrario se aplica el anexo VII, que incluye un examen del sistema de gestión de la calidad (art. 43, apdo. 1). Con arreglo al anexo VII, cuando el sistema vaya a ser puesto en servicio por autoridades garantes del cumplimiento del Derecho, de inmigración o de asilo, o por instituciones, órganos u organismos de la Unión, la autoridad de vigilancia del mercado mencionada en el art. 74, apdo. 8 o en el art. 74, apdo. 9 actúa como organismo notificado. Como excepción al artículo 43, una autoridad de vigilancia del mercado puede autorizar sistemas de IA de alto riesgo concretos por razones excepcionales, entre ellas la seguridad pública (art. 46, apdo. 1); las autoridades garantes del cumplimiento del Derecho disponen de una vía de urgencia en el art. 46, apdo. 2.

El capítulo III, secciones 1 a 3, se aplica a los sistemas de IA clasificados como de alto riesgo con arreglo al artículo 6, apartado 2, y al anexo III a partir del 2 de diciembre de 2027 (art. 113, letra c), inciso i)). Los sistemas de alto riesgo introducidos en el mercado o puestos en servicio antes de esa fecha solo quedan cubiertos si, a partir de ella, sufren modificaciones significativas en su diseño. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (art. 111, apdo. 2). Los sistemas de IA que son componentes de los sistemas informáticos de gran magnitud establecidos por los actos jurídicos enumerados en el anexo X, y que se hayan introducido en el mercado o puesto en servicio antes del 2 de agosto de 2027, deben ajustarse al Reglamento a más tardar el 31 de diciembre de 2030 (art. 111, apdo. 1).

Los proveedores deben contar con un sistema de gestión de la calidad (art. 16, apdo. c), y el art. 99, apdo. 4, letra a) abarca las obligaciones de los proveedores con arreglo al artículo 16. Las multas del art. 99, apdo. 4 pueden llegar hasta 15 millones EUR o, si el infractor es una empresa, hasta el 3 % de su volumen de negocios mundial total del ejercicio financiero anterior, si esta cuantía fuese superior. En el caso de las pymes, incluidas las empresas emergentes (art. 99, apdo. 6), y de las pequeñas empresas de mediana capitalización (art. 3, punto 14b, art. 99, apdo. 6a), cada multa puede llegar hasta la menor de las dos cuantías.

Cada Estado miembro establece normas sobre en qué medida pueden imponerse multas administrativas a las autoridades y organismos públicos establecidos en él (art. 99, apdo. 8). A las instituciones, órganos y organismos de la Unión, el Supervisor Europeo de Protección de Datos puede imponerles multas de hasta 750 000 EUR por incumplimientos distintos de los del art. 5 (art. 100, apdo. 3).