Skip to main content

Artículo 53 en las infraestructuras críticas: obligaciones de los proveedores de modelos de IA de uso general

Cómo afecta el artículo 53 (obligaciones de los proveedores de modelos de IA de uso general) a las infraestructuras críticas: quién queda vinculado, qué se documenta, la excepción de código abierto, los plazos y las multas del artículo 101.

Los proveedores de modelos de IA de uso general tienen cuatro obligaciones (artículo 53, apartado 1). Mantienen la documentación técnica, informan a los proveedores posteriores, publican un resumen de los datos de entrenamiento y tienen una política de derechos de autor.

El artículo 53 no contiene ninguna regla específica para las infraestructuras críticas. Los operadores y desarrolladores que solo utilizan o integran un modelo no están sujetos a él. Las obligaciones se aplican desde el 2 de agosto de 2025. Los modelos introducidos antes en el mercado tienen hasta el 2 de agosto de 2027 (artículo 111, apartado 3). Desde el 2 de agosto de 2026 la Comisión puede multar a los proveedores. El límite es el 3 % del volumen de negocios anual mundial o 15 millones de EUR, la cuantía mayor (artículo 101). Siguiente paso: averigüe quién proporciona cada modelo que usa.

El artículo 53, apartado 1, fija cuatro obligaciones a los proveedores de modelos

Estas obligaciones se aplican a todo modelo de IA de uso general, sea cual sea el sector de uso.

  • art. 53(1)(a)
    Documentación técnica

    Elaborar y mantener actualizada la documentación técnica del modelo, incluidos su proceso de entrenamiento y prueba y los resultados de su evaluación, con al menos la información de el anexo XI, para facilitarla previa solicitud a la Oficina de IA y a las autoridades nacionales competentes.

  • art. 53(1)(b)
    Información para los proveedores posteriores

    Elaborar, mantener actualizada y poner a disposición información y documentación para los proveedores de sistemas de IA que tengan la intención de integrar el modelo, con al menos los elementos de el anexo XII. Debe permitirles comprender bien las capacidades y limitaciones del modelo y cumplir sus propias obligaciones.

  • art. 53(1)(c)
    Política de derechos de autor

    Establecer una política para cumplir el Derecho de la Unión en materia de derechos de autor y, en particular, para detectar y cumplir una reserva de derechos expresada con arreglo al artículo 4, apartado 3, de la Directiva (UE) 2019/790.

  • art. 53(1)(d)
    Resumen de los contenidos de entrenamiento

    Elaborar y poner a disposición del público un resumen suficientemente detallado de los contenidos utilizados para el entrenamiento, con arreglo a un modelo facilitado por la Oficina de IA.

  • art. 53(2)
    Excepción para los modelos de código abierto

    Las obligaciones de las letras a) y b) no se aplican a los modelos publicados con una licencia libre y de código abierto que permita el acceso, el uso, la modificación y la distribución, y cuyos parámetros, información sobre la arquitectura e información sobre el uso sean públicos. La excepción no se aplica a los modelos con riesgo sistémico (artículo 53, apartado 2).

  • art. 53(3)
    Cooperación

    Los proveedores cooperarán en la medida necesaria con la Comisión y las autoridades nacionales competentes.

  • art. 53(4)
    Códigos de buenas prácticas

    Los proveedores pueden basarse en códigos de buenas prácticas en el sentido de artículo 56 para demostrar el cumplimiento hasta que se publique una norma armonizada. Quienes no sigan ninguno de los dos deben demostrar medios alternativos adecuados de cumplimiento que evaluará la Comisión.

Quién en las infraestructuras críticas queda vinculado por el artículo 53

El artículo 53 obliga al proveedor del modelo, sea cual sea el sector.

  • El Reglamento no tiene un régimen global para las infraestructuras críticas

    Que un modelo sea un modelo de IA de uso general depende de la definición del artículo 3, punto 63: generalidad significativa, capacidad de realizar de manera competente una amplia variedad de tareas distintas y posibilidad de integrarse en una variedad de sistemas posteriores. No depende del sector. El Reglamento no tiene un régimen global para las infraestructuras críticas ni una lista de modelos para ellas.

  • Proveedor, proveedor de sistema y responsable del despliegue

    La empresa que desarrolla el modelo y lo introduce en el mercado es el proveedor y carga con el artículo 53. Un operador o una autoridad que utiliza una herramienta basada en el modelo es responsable del despliegue de un sistema de IA y no tiene ninguna obligación del artículo 53. Una empresa que integra el modelo en un sistema de IA de alto riesgo solo es el proveedor de ese sistema si lo desarrolla, o lo manda desarrollar, y lo introduce en el mercado o lo pone en servicio con su propio nombre (artículo 3, punto 3), o en los casos del artículo 25, apartado 1; entonces tiene las obligaciones del artículo 16. Los proveedores de sistemas de IA que tengan la intención de integrar el modelo reciben la información con los elementos del anexo XII (artículo 53, apartado 1, letra b)).

  • Acuerdo escrito con los proveedores de componentes

    El proveedor de un sistema de IA de alto riesgo y el tercero que suministra un modelo de IA, herramientas, servicios, componentes o procesos utilizados en él especifican mediante acuerdo escrito la información, las capacidades, el acceso técnico y la demás asistencia necesarios para cumplir plenamente el Reglamento (artículo 25, apartado 4). La obligación no se aplica a los terceros que pongan a disposición del público, con licencia libre y de código abierto, herramientas, servicios, procesos o componentes distintos de los modelos de IA de uso general.

  • Exclusiones por investigación

    El Reglamento no se aplica a los sistemas o modelos de IA, incluidos sus resultados, desarrollados y puestos en servicio específicamente con la finalidad exclusiva de la investigación y el desarrollo científicos (artículo 2, apartado 6). Tampoco se aplica a las actividades de investigación, prueba o desarrollo previas a la introducción en el mercado o la puesta en servicio de un sistema o modelo; las pruebas en condiciones reales no quedan cubiertas por esa exclusión (artículo 2, apartado 8).

  • Fechas

    Las obligaciones del artículo 53 se aplican desde el 2 de agosto de 2025 (artículo 113, letra b)). Un modelo introducido en el mercado antes de esa fecha debe cumplirlas antes del 2 de agosto de 2027 (artículo 111, apartado 3). El artículo 101 queda excluido de la letra b), por lo que le rige la fecha general de aplicación, el 2 de agosto de 2026.

  • Multas

    La Comisión puede imponer a un proveedor de un modelo de IA de uso general multas de hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior o 15 millones de EUR, si esta cuantía es superior, cuando constate que el proveedor infringió, de forma deliberada o por negligencia, las disposiciones pertinentes del Reglamento, o por otro motivo enumerado en el artículo 101, apartado 1.

  • Límites del ámbito de aplicación del Reglamento

    El Reglamento se aplica a los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA en la Unión, o introduzcan en el mercado modelos de IA de uso general en la Unión, con independencia de dónde estén establecidos (artículo 2, apartado 1, letra a)), y a los proveedores y responsables del despliegue establecidos en un tercer país cuando los resultados del sistema de IA se utilicen en la Unión (letra c)). No se aplica a los ámbitos que queden fuera del Derecho de la Unión ni afecta a las competencias de los Estados miembros en materia de seguridad nacional; tampoco se aplica a los sistemas de IA destinados exclusivamente a fines militares, de defensa o de seguridad nacional (artículo 2, apartado 3). Las personas físicas que utilizan un sistema en el ejercicio de una actividad puramente personal de carácter no profesional no están obligadas como responsables del despliegue (artículo 2, apartado 10).

Lo que el Reglamento deja abierto para las infraestructuras críticas

  • Ninguna obligación específica para infraestructuras críticas

    El artículo 53 no impone ninguna obligación específica para las infraestructuras críticas y no nombra ningún contenido sectorial para la documentación. Los anexos XI y XII enumeran el contenido mínimo para todos los modelos.

  • El riesgo sistémico está en los artículos 51, 52 y 55

    La clasificación de los modelos con riesgo sistémico figura en los artículos 51 y 52; sus obligaciones adicionales figuran en el artículo 55, no en el artículo 53.

  • Adaptar un modelo

    Los artículos del Reglamento no dicen cuándo adaptar un modelo, por ejemplo mediante ajuste fino con datos de explotación, convierte a quien lo adapta en proveedor de un nuevo modelo; consulte a un asesor jurídico. Los considerandos y las directrices de la Comisión pueden abordar la cuestión.

Preguntas sobre el artículo 53 en las infraestructuras críticas

¿Debe cumplir el artículo 53 un operador de red que utiliza un gran modelo de lenguaje?

No. El artículo 53 vincula a los proveedores de modelos de IA de uso general. Un operador de red que utiliza un sistema basado en un modelo es responsable del despliegue de ese sistema (artículo 3, punto 4).

¿Qué debe recibir del proveedor del modelo un desarrollador que construye un sistema con componentes de seguridad sobre un modelo?

Información y documentación que le permitan comprender bien las capacidades y limitaciones del modelo y cumplir sus propias obligaciones, con al menos los elementos del anexo XII (artículo 53, apartado 1, letra b)). El artículo 25, apartado 4, añade un acuerdo escrito para un sistema de alto riesgo.

¿Deben los modelos de código abierto cumplir el artículo 53?

En parte. Los proveedores de modelos publicados con licencia libre y de código abierto con parámetros públicos quedan exentos de las obligaciones de las letras a) y b), pero no de la política de derechos de autor ni del resumen de contenidos de entrenamiento, ni si el modelo tiene riesgo sistémico (artículo 53, apartado 2).

Páginas relacionadas

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.