Artículo 26 para los sistemas autónomos: obligaciones de los responsables del despliegue

El artículo 26 fija estas obligaciones a los responsables del despliegue de sistemas de IA de alto riesgo.

• art. 26(1)
  Usar según las instrucciones

  Adoptar medidas técnicas y organizativas adecuadas para utilizar el sistema con arreglo a las instrucciones de uso.

• art. 26(2)
  Encomendar la supervisión humana

  Encomendar la supervisión humana a personas físicas que tengan la competencia, la formación y la autoridad necesarias, así como el apoyo necesario.

• art. 26(4)
  Comprobar los datos de entrada

  En la medida en que el responsable del despliegue ejerza el control sobre los datos de entrada, garantizar que sean pertinentes y suficientemente representativos en vista de la finalidad prevista.

• art. 26(5)
  Vigilar, informar, suspender

  Vigilar el funcionamiento sobre la base de las instrucciones de uso y, cuando proceda, informar a los proveedores. Si el uso conforme a las instrucciones puede presentar un riesgo en el sentido de artículo 79, apartado 1, informar sin demora indebida al proveedor o distribuidor y a la autoridad de vigilancia del mercado, y suspender el uso. Tras un incidente grave, informar inmediatamente primero al proveedor y después al importador o distribuidor y a las autoridades de vigilancia del mercado. Si no se puede contactar con el proveedor, se aplica el artículo 73 mutatis mutandis.

• art. 26(6)
  Conservar los registros

  Conservar los registros que el sistema genera automáticamente, en la medida en que estén bajo su control, durante un período adecuado a la finalidad prevista y de al menos seis meses, salvo disposición en contrario del Derecho de la Unión o nacional, en particular sobre protección de datos personales.

• art. 26(7)
  Informar a los trabajadores

  Los empleadores deben informar a los representantes de los trabajadores y a los trabajadores afectados, antes de poner en servicio o utilizar un sistema de alto riesgo en el lugar de trabajo, de que estarán expuestos a su utilización. Esta información se facilita, cuando proceda, de conformidad con las normas y los procedimientos del Derecho y la práctica de la Unión y nacionales en materia de información de los trabajadores y sus representantes.

• art. 26(8)
  Las autoridades públicas se registran

  Los responsables del despliegue que sean autoridades públicas, o instituciones, órganos u organismos de la Unión, deben cumplir las obligaciones de registro del artículo 49. Si comprueban que un sistema de IA de alto riesgo que prevén utilizar no está registrado en la base de datos de la UE a que se refiere el artículo 71, no lo utilizarán e informarán al proveedor o al distribuidor. Para los sistemas del anexo III, punto 2, véase la fila sobre el registro más abajo.

• art. 26(9)
  Evaluación de impacto relativa a la protección de datos

  Cuando proceda, utilizar la información facilitada con arreglo al artículo 13 para la evaluación de impacto relativa a la protección de datos del artículo 35 del Reglamento (UE) 2016/679 o del artículo 27 de la Directiva (UE) 2016/680.

• art. 26(11)
  Informar a las personas afectadas por decisiones

  En los sistemas del anexo III que toman o ayudan a tomar decisiones sobre personas físicas, informar a esas personas de que están expuestas a la utilización del sistema, sin perjuicio del artículo 50.

• art. 26(12)
  Cooperar con las autoridades

  Cooperar con las autoridades competentes en cualquier acción que emprendan en relación con el sistema de IA de alto riesgo.

El artículo 26 solo obliga a los responsables del despliegue de sistemas de IA de alto riesgo. Las filas siguientes muestran qué sistemas autónomos alcanza y qué otras normas afectan a operadores y autoridades.

• «Sistemas autónomos» no es una categoría del Reglamento

  El Reglamento no tiene una categoría «sistemas autónomos»; su definición de sistema de IA se refiere a un funcionamiento con distintos niveles de autonomía (artículo 3, punto 1). Este sitio usa la palabra para la IA de vehículos, drones, robots y máquinas, y para la IA que ayuda a gestionar el tráfico rodado. Esta IA puede ser de alto riesgo por tres vías, y la vía decide qué normas de alto riesgo se aplican: el anexo I, sección B (artículo 2, apartado 2 limita las normas a unos pocos artículos), el anexo I, sección A (los requisitos del capítulo III desde el 2 de agosto de 2028, si el sistema es de alto riesgo con arreglo al artículo 6, apartado 1) y el anexo III, punto 2 (los requisitos del capítulo III desde el 2 de diciembre de 2027). Otras normas no dependen de la vía: los artículos 4 y 5, el artículo 50, el artículo 53 para los proveedores de modelos y los demás puntos del anexo III. El artículo 2, apartado 2 solo restringe los sistemas de IA de alto riesgo con arreglo al artículo 6, apartado 1 en productos de la sección B. Busque primero su vía de alto riesgo.

• Vehículos, aeronaves, ferrocarril, equipos marinos y máquinas: anexo I, sección B

  La sección B del anexo I enumera, entre otros, los vehículos de motor (Reglamentos (UE) 2018/858 y 2019/2144), los vehículos de dos o tres ruedas (Reglamento (UE) n.º 168/2013), los vehículos agrícolas y forestales (Reglamento (UE) n.º 167/2013), el sistema ferroviario (Directiva (UE) 2016/797), los equipos marinos (Directiva 2014/90/UE), las aeronaves no tripuladas y sus motores, hélices, piezas y equipos de control remoto, en la medida en que el Reglamento (UE) 2018/1139 los cubre, y las máquinas (Reglamento (UE) 2023/1230, trasladado de la sección A a la sección B por el Reglamento (UE) 2026/1744). Para un sistema de IA que es de alto riesgo con arreglo al artículo 6, apartado 1 y se refiere a un producto de este tipo, solo se aplican el artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112 (artículo 2, apartado 2); los artículos 57, 58 y 59 solo se aplican en la medida en que los requisitos para los sistemas de IA de alto riesgo se hayan integrado en esa legislación de armonización de la Unión. Los artículos 9 a 15, 17 y 26 no figuran entre ellos. En su lugar, los artículos 102 a 109 añaden a ocho de estos actos una norma según la cual la Comisión tiene en cuenta los requisitos del capítulo III, sección 2, cuando adopte los actos que mencionan para sistemas de IA. Para las máquinas, el artículo 3, punto 1, del Reglamento (UE) 2026/1744 obliga a la Comisión a adoptar actos delegados que añadan requisitos de salud y seguridad para tales sistemas de IA, reflejando el capítulo III, sección 2, y los artículos 17, 19, 72 y 73; esos actos deben aplicarse a más tardar a partir del 2 de agosto de 2028.

• Productos de la sección A y anexo III, punto 2: se aplica el capítulo III

  Dos vías activan los requisitos del capítulo III. Primera: un sistema de IA es de alto riesgo con arreglo al artículo 6, apartado 1 si está destinado a utilizarse como componente de seguridad de un producto cubierto por la legislación del anexo I, o es él mismo un producto de ese tipo, y ese producto debe someterse a una evaluación de la conformidad por un tercero con arreglo a dicha legislación. La sección A (puntos 2 a 12) abarca, por ejemplo, ascensores, instalaciones de transporte por cable, embarcaciones de recreo y productos sanitarios; el capítulo III se aplica a estos sistemas desde el 2 de agosto de 2028 (artículo 113, letra c), inciso ii)). Un componente de seguridad es un componente que cumple una función de seguridad o cuyo fallo o defecto de funcionamiento pone en peligro la salud y la seguridad de las personas o los bienes (artículo 3, punto 14); la IA utilizada únicamente para aspectos no relacionados con la seguridad, como la optimización del rendimiento, la automatización o la comodidad, no lo es, pero sí lo es la IA cuyo fallo pondría en peligro la salud y la seguridad (artículo 6, apartados 1 bis y 1 ter). Un producto que solo debe someterse a una evaluación por un tercero por riesgos distintos de la salud y la seguridad, como el uso del espectro radioeléctrico o interferencias electromagnéticas sin efecto en la salud y la seguridad, no cumple esa condición (artículo 6, apartado 1 quater); esto afecta, por ejemplo, a los equipos radioeléctricos (punto 6). Segunda: el anexo III, punto 2, abarca los sistemas de IA destinados a utilizarse como componentes de seguridad en la gestión y el funcionamiento de las infraestructuras digitales críticas, del tráfico rodado o del suministro de agua, gas, calefacción o electricidad; el capítulo III se aplica a ellos desde el 2 de diciembre de 2027 (artículo 113, letra c), inciso i)). Según su tenor, el punto 2 nombra la gestión y el funcionamiento del tráfico rodado, no los vehículos.

• Responsable del despliegue y proveedor

  Una persona física o jurídica, autoridad pública, agencia u otro organismo que utiliza un sistema de IA bajo su autoridad es un responsable del despliegue (artículo 3, punto 4); por ejemplo, un operador de transporte, el propietario de una flota, el operador de una fábrica o una autoridad de carreteras que utiliza el sistema de un proveedor. El artículo 26 le obliga si el sistema es de alto riesgo, por ejemplo con arreglo al anexo III, punto 2, o, como producto de la sección A, con arreglo al artículo 6, apartado 1; los demás puntos del anexo III también lo activan, los productos de la sección B no (artículo 2, apartado 2). Pasa a ser proveedor si pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, realiza una modificación sustancial que lo deja como de alto riesgo, o cambia la finalidad prevista de un sistema que no era de alto riesgo de modo que pase a serlo (artículo 25, apartado 1). Las personas físicas que usan un sistema en el ejercicio de una actividad puramente personal de carácter no profesional no están obligadas como responsables del despliegue (artículo 2, apartado 10).

• Incidentes graves

  Un incidente grave incluye un incidente o defecto de funcionamiento de un sistema de IA que directa o indirectamente provoque la muerte de una persona o un daño grave para su salud, una perturbación grave e irreversible de la gestión o el funcionamiento de infraestructuras críticas, el incumplimiento de obligaciones del Derecho de la Unión destinadas a proteger los derechos fundamentales, o un daño grave a los bienes o al medio ambiente (artículo 3, punto 49). El responsable del despliegue que haya detectado un incidente grave informa inmediatamente primero al proveedor y, después, al importador o distribuidor y a las autoridades de vigilancia del mercado pertinentes (artículo 26, apartado 5). El proveedor lo notifica a las autoridades de vigilancia del mercado: a más tardar 15 días después de que el proveedor o el responsable del despliegue tenga conocimiento del incidente, a más tardar 10 días en caso de fallecimiento de una persona y a más tardar dos días en caso de infracción generalizada o de un incidente del artículo 3, punto 49, letra b) (artículo 73, apartados 1 a 4). El artículo 73 no figura entre las disposiciones que el artículo 2, apartado 2 declara aplicables a los productos de la sección B.

• Registro de los sistemas del punto 2 (artículo 49)

  Los sistemas contemplados en el punto 2 del anexo III no se registran en la base de datos de la UE ni por el proveedor ni por los responsables del despliegue que sean autoridades públicas (artículo 49, apartados 1 y 3); se registrarán a nivel nacional (artículo 49, apartado 5). El Reglamento no dice cómo funciona el registro nacional; consulte a la autoridad nacional y a un asesor jurídico. El Reglamento no define «autoridad pública»; no responde si un operador concreto lo es, y ello importa para el artículo 26, apartado 8, el artículo 49, apartado 3 y el artículo 111, apartado 2, con arreglo al cual los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030.

• Evaluación de impacto en los derechos fundamentales: el punto 2 queda excluido (artículo 27)

  Artículo 27, apartado 1: antes de desplegar un sistema de IA de alto riesgo de los contemplados en el artículo 6, apartado 2, con excepción de los sistemas destinados a utilizarse en el ámbito del punto 2 del anexo III, los responsables del despliegue que sean organismos de Derecho público o entidades privadas que presten servicios públicos deben evaluar el impacto que su uso pueda tener en los derechos fundamentales. Un operador o una autoridad que despliega un sistema del punto 2 no tiene, por tanto, ninguna obligación del artículo 27 para ese sistema, sea o no un organismo de Derecho público o preste o no un servicio público. El artículo 27, apartado 1 puede aplicarse al mismo responsable del despliegue respecto de un sistema de alto riesgo de otro ámbito del anexo III, y abarca también a los responsables del despliegue de sistemas del anexo III, punto 5, letras b) y c). Los sistemas del anexo I, sección A, son de alto riesgo con arreglo al artículo 6, apartado 1, que el artículo 27, apartado 1, no menciona.

• Explicación de las decisiones (artículo 86) e información (artículo 26, apartado 11)

  Con arreglo al artículo 26, apartado 11, los responsables del despliegue de sistemas de IA de alto riesgo del anexo III que tomen decisiones relacionadas con personas físicas, o ayuden a tomarlas, deben informar a esas personas de que están expuestas a la utilización del sistema. Por separado, toda persona afectada objeto de una decisión adoptada por el responsable del despliegue sobre la base de los resultados de un sistema de IA de alto riesgo del anexo III (salvo el punto 2) que produzca efectos jurídicos o le afecte de modo similar y significativo, de una manera que considere que tiene un efecto adverso para su salud, su seguridad o sus derechos fundamentales, tiene derecho a obtener del responsable del despliegue explicaciones claras y significativas sobre el papel del sistema de IA en el procedimiento de toma de decisiones y sobre los principales elementos de la decisión adoptada (artículo 86, apartado 1). Solo se aplica en la medida en que ese derecho no esté previsto de otro modo en el Derecho de la Unión (artículo 86, apartado 3). El apartado 1 no se aplica cuando del Derecho de la Unión o nacional, en cumplimiento del Derecho de la Unión, se deriven excepciones o restricciones (artículo 86, apartado 2). El artículo 86, apartado 1, excluye los sistemas enumerados en el punto 2 del anexo III.

• Fechas

  Los sistemas del anexo III, punto 2, deben cumplir el capítulo III desde el 2 de diciembre de 2027, y los de la sección A desde el 2 de agosto de 2028 (artículo 113, letra c)). Para los sistemas de la sección B no se aplica ninguna fecha a los artículos 9 a 15, 17 y 26, porque esos artículos no se les aplican; según el artículo 113, letra c), inciso ii), el capítulo III, secciones 1 a 3, del que forma parte el artículo 6, se aplica a los sistemas del anexo I desde el 2 de agosto de 2028, y los artículos 102 a 110 se aplican desde el 27 de julio de 2026 (artículo 113, letra c), inciso ii), y letra d)). Un sistema introducido en el mercado o puesto en servicio antes de la fecha de aplicación del capítulo III solo queda cubierto si después sufre cambios significativos en su diseño; en cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2).

• Multas

  El incumplimiento de las obligaciones de los proveedores (artículo 16) y de los responsables del despliegue (artículo 26) puede sancionarse con multas de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía es superior (artículo 99, apartado 4). Para las pymes, incluidas las empresas emergentes, cada multa tiene como límite la cuantía menor (artículo 99, apartado 6). El mismo límite rige para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter, artículo 99, apartado 6 bis). Cada Estado miembro establecerá normas sobre en qué medida pueden imponerse multas administrativas a las autoridades y organismos públicos establecidos en dicho Estado miembro (artículo 99, apartado 8). El artículo 99 no figura entre las disposiciones que, según el artículo 2, apartado 2, se aplican a los sistemas de IA de alto riesgo con arreglo al artículo 6, apartado 1, en productos de la sección B.

• Alfabetización en materia de IA (artículo 4)

  Los proveedores y los responsables del despliegue de sistemas de IA deben adoptar medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto de uso (artículo 4, apartado 1). Esto vale para los sistemas de IA en general, no solo para los de alto riesgo. El capítulo I, que contiene el artículo 4, se aplica desde el 2 de febrero de 2025 (artículo 113, letra a)). Esta obligación no exige garantizar un nivel específico de alfabetización en materia de IA de ninguna persona en particular. La competencia, la formación y la autoridad de las personas encargadas de la supervisión humana se exigen aparte en el artículo 26, apartado 2.

• Límites del ámbito de aplicación del Reglamento

  El Reglamento se aplica a los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA en la Unión, o introduzcan en el mercado modelos de IA de uso general en la Unión, con independencia de dónde estén establecidos (artículo 2, apartado 1, letra a)), y a los proveedores y responsables del despliegue establecidos en un tercer país cuando los resultados del sistema de IA se utilicen en la Unión (letra c)). No se aplica a los ámbitos que queden fuera del Derecho de la Unión ni afecta a las competencias de los Estados miembros en materia de seguridad nacional; tampoco se aplica a los sistemas de IA destinados exclusivamente a fines militares, de defensa o de seguridad nacional (artículo 2, apartado 3). El Reglamento no se aplica a los sistemas o modelos de IA, incluidos sus resultados, desarrollados y puestos en servicio específicamente con la finalidad exclusiva de la investigación y el desarrollo científicos (artículo 2, apartado 6). Tampoco se aplica a las actividades de investigación, prueba o desarrollo previas a la introducción en el mercado o la puesta en servicio de un sistema o modelo; las pruebas en condiciones reales no quedan cubiertas por esa exclusión (artículo 2, apartado 8). No se aplica a los sistemas de IA divulgados con arreglo a licencias libres y de código abierto, a menos que se introduzcan en el mercado o se pongan en servicio como sistemas de IA de alto riesgo o como sistemas de IA que entren en el ámbito del artículo 5 o 50 (artículo 2, apartado 12).

• Sin cifras de personal ni de formación

  El artículo 26 no fija ningún nivel de personal, horas de formación ni cualificación para las personas que supervisan un sistema. Exige la competencia, la formación, la autoridad y el apoyo necesarios (artículo 26, apartado 2). La Comisión elaborará directrices sobre la aplicación de los requisitos y obligaciones de los artículos 8 a 15 y 25 y 26 (artículo 96, apartado 1, letra a)).

• Conservación de los registros

  El artículo 12, apartado 1, exige que los sistemas de IA de alto riesgo permitan técnicamente el registro automático de acontecimientos (archivos de registro) a lo largo de la vida del sistema; es una obligación de diseño del proveedor. El artículo 26, apartado 6, fija al menos seis meses para los archivos de registro bajo el control del responsable del despliegue y cede ante otras normas del Derecho de la Unión o nacional, en particular sobre protección de datos personales. El Reglamento no nombra ningún plazo de conservación para los sistemas autónomos.

• Decisión de diseño: funciones de supervisión

  Una decisión de diseño habitual, no un requisito del Reglamento: nombrar a las personas de supervisión por función para cada emplazamiento, flota de vehículos o sala de control y registrar su formación.

• Detener el sistema: una obligación de diseño del proveedor

  El artículo 14, apartado 4, letra e), exige que el sistema se proporcione de modo que las personas a las que se encomienda la supervisión humana puedan, según proceda y de manera proporcionada, intervenir en su funcionamiento o interrumpirlo mediante un botón de parada o un procedimiento similar que permita que el sistema se detenga en un estado seguro. Es una obligación de diseño del proveedor. El artículo 26, apartado 2, exige que el responsable del despliegue encomiende la supervisión a personas con competencia, formación y autoridad. El Reglamento no dice quién puede detener un vehículo, una aeronave o una máquina ni cuándo, y no nombra ningún papel de operador remoto.

• Otras normas se aplican en paralelo

  Los apartados 1 y 2 del artículo 26 se entienden sin perjuicio de otras obligaciones de los responsables del despliegue con arreglo al Derecho de la Unión o nacional (artículo 26, apartado 3). Si tras un incidente también debe efectuarse una notificación con arreglo a otra norma lo decide esa norma, no el Reglamento de IA.

• Artículo 26: obligaciones del responsable del despliegue de IA de alto riesgo

  El artículo 26 para todos los sectores: quién es responsable del despliegue, obligaciones, artículo 27 y multas.

• Reglamento IA sistemas autónomos: cumplimiento

  El resumen de los sistemas autónomos: qué vías del Reglamento se aplican a vehículos, aeronaves, máquinas e IA del tráfico.

• Artículo 17 para los sistemas autónomos: sistema de gestión de la calidad

  Sistemas autónomos y artículo 17: los 13 aspectos y quién es el proveedor.

• Sistemas de IA de alto riesgo del anexo I: la vía de seguridad de los productos

  Anexo I: qué sistemas de IA en productos regulados son de alto riesgo, con las secciones A y B.