Artículo 26: obligaciones del responsable del despliegue de IA de alto riesgo
Las obligaciones del responsable del despliegue según el artículo 26 del Reglamento de IA: quién lo es, desde cuándo se aplican, en qué se distinguen del artículo 27 y las multas del artículo 99(4).
Los responsables del despliegue de sistemas de IA de alto riesgo tienen obligaciones propias (artículo 26). Deben seguir las instrucciones de uso, encomendar la supervisión humana, supervisar el funcionamiento y conservar los archivos de registro.
Un responsable del despliegue es cualquier persona u organismo que utiliza un sistema de IA bajo su autoridad (artículo 3, punto 4). Las obligaciones alcanzan también a los de fuera de la UE si los resultados se utilizan en la UE. Se aplican desde el 2 de diciembre de 2027 a los sistemas del anexo III (usos enumerados, como la selección de personal). Para los del anexo I rigen desde el 2 de agosto de 2028. Las multas llegan a 15 millones de EUR o al 3 % del volumen de negocios anual mundial, la cuantía que sea mayor (artículo 99(4)). Primer paso: pida a cada proveedor las instrucciones de uso.
El artículo 26 fija 11 obligaciones para los responsables del despliegue
Las tarjetas siguientes resumen el artículo 26. El apartado 3 añade que estas obligaciones no afectan a otras obligaciones de los responsables del despliegue con arreglo al Derecho de la Unión o nacional.
Usar el sistema según las instrucciones
Adopte medidas técnicas y organizativas adecuadas para usar el sistema conforme a sus instrucciones de uso (artículo 26(1)).
Encomendar la supervisión humana
Encomiende la supervisión humana a personas físicas con la competencia, la formación y la autoridad necesarias, y deles el apoyo que precisen (artículo 26(2)).
Comprobar los datos de entrada
Si controla los datos de entrada, asegúrese de que sean pertinentes y suficientemente representativos para la finalidad prevista del sistema (artículo 26(4)).
Supervisar el funcionamiento y comunicar los riesgos
Supervise el funcionamiento a partir de las instrucciones de uso. Si tiene motivos para considerar que el uso puede presentar un riesgo (artículo 79(1)), suspenda el uso e informe sin demora indebida al proveedor o distribuidor y a la autoridad de vigilancia del mercado. Tras un incidente grave, informe de inmediato primero al proveedor y después al importador o distribuidor y a las autoridades de vigilancia del mercado. Si no puede contactar con el proveedor, se aplica el artículo 73 (artículo 26(5)). Esta obligación no abarca los datos operativos sensibles de los responsables del despliegue que sean autoridades garantes del cumplimiento del Derecho. Las entidades financieras sujetas a normas de gobernanza interna con arreglo al Derecho de la Unión sobre servicios financieros cumplen la obligación de supervisión respetando esas normas.
Conservar los archivos de registro
Conserve los archivos de registro que el sistema genera automáticamente, en la medida en que estén bajo su control, durante un período adecuado a la finalidad prevista y de al menos seis meses, salvo disposición en contrario del Derecho de la Unión o nacional (artículo 26(6)). Las entidades financieras los conservan como parte de su documentación conforme al Derecho de servicios financieros.
Informar a los trabajadores
Los empleadores deben informar a los representantes de los trabajadores y a los trabajadores afectados antes de poner en servicio o utilizar un sistema de alto riesgo en el lugar de trabajo (artículo 26(7)).
Registrar el uso (autoridades públicas)
Las autoridades públicas y los organismos de la Unión deben cumplir las obligaciones de registro del artículo 49. Si un sistema que prevén utilizar no está registrado en la base de datos de la UE, no deben usarlo y deben informar al proveedor o distribuidor (artículo 26(8)).
Usar la información del proveedor para la evaluación de impacto relativa a la protección de datos
Cuando proceda, use la información que facilita el proveedor con arreglo al artículo 13 para realizar su evaluación de impacto relativa a la protección de datos conforme al artículo 35 del Reglamento (UE) 2016/679 o al artículo 27 de la Directiva (UE) 2016/680 (artículo 26(9)).
Solicitar autorización para la identificación biométrica remota en diferido
En la búsqueda selectiva de una persona sospechosa o condenada por un delito, solicite la autorización de una autoridad judicial o de una autoridad administrativa con decisión vinculante antes de usar un sistema de identificación biométrica remota en diferido, o como máximo en 48 horas. La excepción es la identificación inicial de un posible sospechoso basada en hechos objetivos y verificables. No se permite el uso indiscriminado, cada uso se documenta en el expediente policial y se envían informes anuales a las autoridades (artículo 26(10)).
Informar a las personas afectadas
Los responsables del despliegue de sistemas del anexo III que toman decisiones sobre personas físicas o ayudan a tomarlas deben informar a esas personas de que están expuestas al uso del sistema. Para los usos policiales se aplica el artículo 13 de la Directiva (UE) 2016/680 (artículo 26(11)).
Cooperar con las autoridades
Coopere con las autoridades competentes en cualquier medida que adopten en relación con el sistema para aplicar el Reglamento (artículo 26(12)).
El papel depende del uso: algunos responsables del despliegue pasan a ser proveedores
Usted es responsable del despliegue si usa un sistema de IA bajo su autoridad, sea quien sea quien lo haya creado (artículo 3, punto 4). Una empresa que crea un sistema y lo usa ella misma es a la vez proveedor y responsable del despliegue, porque la puesta en servicio incluye el uso propio (artículo 3, punto 11).
Un responsable del despliegue pasa a ser proveedor, con las obligaciones del artículo 16, en tres casos (artículo 25(1)). Pone su nombre o marca en un sistema de alto riesgo. Realiza una modificación sustancial que mantiene el sistema como de alto riesgo. O modifica la finalidad prevista de un sistema de modo que pase a ser de alto riesgo. El proveedor inicial no tiene que cooperar con el nuevo proveedor si ha especificado claramente que su sistema de IA no debe transformarse en un sistema de IA de alto riesgo (artículo 25(2)).
Los artículos 26 y 27 son obligaciones distintas
El artículo 26 se aplica a todo responsable del despliegue de un sistema de IA de alto riesgo. El artículo 27 añade una evaluación de impacto relativa a los derechos fundamentales solo para algunos: organismos de Derecho público, entidades privadas que prestan servicios públicos y responsables de sistemas de solvencia o de seguros de vida y salud. El propio artículo 26 no contiene esa evaluación.
Fechas, límites y multas para los responsables del despliegue
Fechas de aplicación
El artículo 26 se aplica a partir del 2 de diciembre de 2027 a los sistemas del anexo III y a partir del 2 de agosto de 2028 a los del anexo I (artículo 113). Un sistema de alto riesgo introducido en el mercado antes de su fecha de aplicación solo queda cubierto si su diseño cambia de forma significativa después (artículo 111(2)). En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111(2)).
Dónde no se aplica el artículo 26
El artículo 26 no se aplica a los sistemas relacionados con productos de la sección B del anexo I (artículo 2(2)), a las personas físicas que usan sistemas de IA en una actividad puramente personal de carácter no profesional (artículo 2(10)) ni a los sistemas de IA utilizados exclusivamente con fines militares, de defensa o de seguridad nacional (artículo 2(3)). Para los productos de la sección B del anexo I, los artículos 57, 58 y 59 solo se aplican en la medida en que los requisitos para los sistemas de IA de alto riesgo se hayan integrado en esa legislación de armonización de la Unión.
Multas
El incumplimiento de las obligaciones del responsable del despliegue del artículo 26 puede sancionarse con multas de hasta 15 millones de EUR o el 3 % del volumen de negocios anual mundial, la cuantía que sea mayor (artículo 99(4), letra e). Para las pymes, incluidas las empresas emergentes, y para las pequeñas empresas de mediana capitalización la multa no puede superar la menor de las dos cuantías (artículo 99(6) y (6 bis)).
Cómo ayuda Scanara a los responsables del despliegue
Scanara realiza una evaluación guiada de las obligaciones del responsable del despliegue del artículo 26, la vincula con una evaluación de impacto relativa a la protección de datos cuando se tratan datos personales y registra pruebas de la conservación de los archivos de registro. Si se aplica el artículo 27, una segunda evaluación guiada estructura la evaluación de impacto relativa a los derechos fundamentales. Usted decide qué se aplica en su caso y cumple las obligaciones.
Preguntas frecuentes sobre las obligaciones del responsable del despliegue
¿Se aplica el artículo 26 a los sistemas de IA que solo se usan dentro de mi empresa?
Sí. El responsable del despliegue se define por usar un sistema bajo su autoridad, no por quién lo creó (artículo 3, punto 4). Una empresa que crea un sistema de alto riesgo y lo usa ella misma es a la vez proveedor y responsable del despliegue, así que se aplican los artículos 16 y 26. El desarrollo y las pruebas antes de introducir el sistema en el mercado o ponerlo en servicio quedan fuera del Reglamento (artículo 2(8)), salvo las pruebas en condiciones reales.
¿Qué debe hacer un responsable del despliegue tras un incidente grave?
El responsable del despliegue que detecta un incidente grave debe informar de inmediato primero al proveedor y después al importador o distribuidor y a las autoridades de vigilancia del mercado (artículo 26(5)). Un incidente grave es un incidente o fallo de funcionamiento que provoca directa o indirectamente la muerte o un daño grave a la salud, una perturbación grave e irreversible de infraestructuras críticas, una infracción de obligaciones del Derecho de la Unión que protegen los derechos fundamentales, o un daño grave a bienes o al medio ambiente (artículo 3, punto 49). Hay que suspender el uso cuando existen motivos para considerar que presenta un riesgo en el sentido del artículo 79(1).
¿Tienen las pymes alguna exención de las obligaciones del responsable del despliegue?
No. El artículo 26 no tiene ninguna exención por tamaño. Las pymes, incluidas las empresas emergentes, y las pequeñas empresas de mediana capitalización se enfrentan a multas de hasta la menor de las dos cuantías (artículo 99(6) y (6 bis)). Las entidades financieras que cumplen las normas de la Unión sobre gobernanza interna conservan los archivos de registro como parte de la documentación que mantienen con arreglo al Derecho de servicios financieros (artículo 26(6)).
El detalle de cada obligación
Artículo 27: evaluación de impacto relativa a los derechos fundamentales
Cubre qué responsables del despliegue deben evaluar el impacto sobre los derechos fundamentales antes del primer uso.
Artículo 16: obligaciones del proveedor
Cubre las 12 obligaciones de los proveedores, para que sepa qué pedir a su proveedor.
Artículo 14: supervisión humana
Cubre cómo deben diseñar los proveedores los sistemas para la supervisión humana, que llevará a cabo el personal que usted designe.
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.