Artículo 55: obligaciones con riesgo sistémico
Artículo 55 del Reglamento de IA: cuándo un modelo de IA de uso general tiene riesgo sistémico, la notificación en dos semanas, las cuatro obligaciones adicionales, fechas y multas.
Los proveedores de modelos de IA de uso general (GPAI) con riesgo sistémico tienen cuatro obligaciones adicionales (artículo 55, apartado 1). Abarcan evaluación y pruebas, mitigación de riesgos, notificación de incidentes y ciberseguridad.
Un modelo tiene riesgo sistémico si posee capacidades de gran impacto (artículo 51). El reglamento lo presume con más de 1025 operaciones de coma flotante (FLOP) de entrenamiento. Los proveedores deben notificarlo a la Comisión en un plazo de dos semanas (artículo 52, apartado 1). Las obligaciones se aplican desde el 2 de agosto de 2025. Desde el 2 de agosto de 2026 la Comisión puede imponer multas a los proveedores. Pueden alcanzar el 3 % del volumen de negocios mundial o 15 millones EUR, si esta cifra es superior (artículo 101). Siguiente paso: compare la capacidad de cálculo de entrenamiento de su modelo con el umbral.
Un modelo tiene riesgo sistémico si posee capacidades de gran impacto o la Comisión lo designa
Umbral de cálculo
Las capacidades de gran impacto son capacidades iguales o superiores a las de los modelos GPAI más avanzados (artículo 3, punto 64). El reglamento las presume cuando la cantidad acumulada de cálculo usada para el entrenamiento supera 1025 operaciones de coma flotante (FLOP). La Comisión puede modificar el umbral mediante un acto delegado a medida que evoluciona la tecnología (artículo 51, apartados 2 y 3).
Designación por la Comisión
La Comisión también puede designar, de oficio o tras una alerta cualificada del grupo de expertos científicos, un modelo con capacidades o un impacto equivalentes. Aplica los criterios del anexo XIII, como los parámetros, los datos de entrenamiento, el cálculo, las modalidades, las pruebas de referencia y el alcance (artículo 51, apartado 1, letra b)). Se presume que un modelo puesto a disposición de al menos 10 000 usuarios empresariales registrados establecidos en la Unión tiene un gran impacto en el mercado interior (anexo XIII).
Notificar a la Comisión en un plazo de dos semanas
El proveedor debe notificar a la Comisión, sin demora y como máximo en dos semanas, que su modelo cumple la condición del artículo 51, apartado 1, letra a). El plazo también corre desde que se sabe que el modelo la cumplirá. La notificación debe incluir la información que demuestre que se cumple la condición (artículo 52, apartado 1).
Con la notificación, el proveedor puede presentar argumentos suficientemente fundamentados para demostrar que, excepcionalmente, el modelo no presenta riesgo sistémico debido a sus características específicas. La Comisión decide; si rechaza los argumentos, el modelo se considera un modelo con riesgo sistémico (artículo 52, apartados 2 y 3). Los proveedores de modelos designados pueden presentar una solicitud motivada de reevaluación, con motivos objetivos, detallados y nuevos, como pronto seis meses después de la designación. La Comisión publica y mantiene actualizada una lista de modelos GPAI con riesgo sistémico (artículo 52, apartados 5 y 6).
Los modelos con riesgo sistémico tienen cuatro obligaciones más
Estas obligaciones se suman a las de los artículos 53 y 54 (artículo 55, apartado 1). La documentación técnica de estos modelos debe describir además las estrategias de evaluación y los resultados. Cuando proceda, añade las medidas de pruebas adversarias y la arquitectura del sistema (anexo XI, sección 2).
Evaluar y probar el modelo
Evalúe el modelo con protocolos y herramientas normalizados que reflejen el estado de la técnica. Esto incluye pruebas adversarias (atacar el modelo a propósito para encontrar debilidades) (artículo 55, apartado 1, letra a)).
Evaluar y mitigar los riesgos sistémicos
Evalúe y mitigue los posibles riesgos sistémicos a escala de la Unión, incluidas sus fuentes (artículo 55, apartado 1, letra b)).
Notificar los incidentes graves
Haga un seguimiento de los incidentes graves, documéntelos junto con las posibles medidas correctoras y notifíquelos sin demora indebida a la Oficina de IA y, cuando proceda, a las autoridades nacionales competentes (artículo 55, apartado 1, letra c)).
Proteger frente a ciberataques
Garantice un nivel adecuado de protección de la ciberseguridad para el modelo y su infraestructura física (artículo 55, apartado 1, letra d)).
Los códigos de buenas prácticas pueden demostrar el cumplimiento hasta que exista una norma armonizada
Los proveedores pueden recurrir a códigos de buenas prácticas (artículo 56) para demostrar que cumplen el artículo 55, hasta que se publique una norma armonizada. El cumplimiento de las normas armonizadas europeas otorga una presunción de conformidad en la medida en que esas normas cubran estas obligaciones. Los proveedores que no se adhieran a un código de buenas prácticas aprobado ni cumplan una norma armonizada europea deben demostrar medios alternativos adecuados de cumplimiento. La Comisión los evalúa (artículo 55, apartado 2). La información obtenida, incluidos los secretos comerciales, se trata de forma confidencial (artículo 55, apartado 3). Siguiente paso: lea el Código de buenas prácticas de IA de uso general de la Comisión.
Los modelos de código abierto no se libran del artículo 55
La exención de código abierto del artículo 53, apartado 2, no cubre los modelos con riesgo sistémico (artículo 53, apartado 2). Los proveedores de esos modelos establecidos fuera de la Unión también deben designar un representante autorizado (artículo 54, apartado 6).
Algunos usos quedan fuera del reglamento
El reglamento no se aplica a los sistemas de IA cuando y en la medida en que se utilicen exclusivamente con fines militares, de defensa o de seguridad nacional. Esto vale también para su introducción en el mercado y su puesta en servicio con esos fines (artículo 2, apartado 3). No se aplica a los sistemas o modelos de IA desarrollados y puestos en servicio específicamente con el único fin de la investigación y desarrollo científicos (artículo 2, apartado 6). No se aplica a la investigación, los ensayos y el desarrollo de IA previos a su introducción en el mercado o puesta en servicio (artículo 2, apartado 8). Los ensayos en condiciones reales no quedan cubiertos por esta exclusión.
Las obligaciones se aplican desde el 2 de agosto de 2025; multas como pronto desde el 2 de agosto de 2026
El artículo 113 aplica el capítulo V (artículos 51 a 56) a partir del 2 de agosto de 2025. El capítulo XII sobre sanciones se aplica desde la misma fecha. El artículo 101, sobre multas a los proveedores de modelos GPAI, es la excepción: se aplica a partir del 2 de agosto de 2026 (artículo 113).
Los proveedores de modelos introducidos en el mercado antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir (artículo 111, apartado 3). La Comisión no puede sancionar un incumplimiento de las obligaciones por estos modelos antes del 2 de agosto de 2027 (artículo 101, apartado 1, letra a)). Las multas del artículo 101, apartado 1, letras b) a d), por no responder a una solicitud de información, no cumplir una medida exigida o no dar acceso para una evaluación, se aplican desde el 2 de agosto de 2026.
La Comisión puede imponer a un proveedor una multa de hasta el 3 % de su volumen de negocios mundial o 15 millones EUR, si esta cifra es superior. Base jurídica: artículo 101, apartado 1. Las multas se aplican a conductas intencionadas o por negligencia. Abarcan infringir las disposiciones pertinentes, no cumplir una medida solicitada y no dar acceso al modelo para una evaluación. También abarcan no responder a una solicitud de documentos o información y facilitar información incorrecta, incompleta o engañosa. Para un modelo introducido en el mercado antes del 2 de agosto de 2025, las obligaciones deben cumplirse hasta el 2 de agosto de 2027 (artículo 111, apartado 3). Por ello, el incumplimiento de las obligaciones del artículo 53 por un modelo así no puede sancionarse antes de esa fecha. Las conductas del artículo 101, apartado 1, letras b) a d), pueden sancionarse desde el 2 de agosto de 2026. La Comisión debe oír antes al proveedor (artículo 101, apartado 2). El Tribunal de Justicia de la Unión Europea puede anular, reducir o aumentar la multa (artículo 101, apartado 5).
Lo que hace Scanara para los proveedores con riesgo sistémico
Una evaluación guiada para proveedores de GPAI
Scanara le guía por las obligaciones de los artículos 53 a 55 para su modelo y registra sus respuestas. Usted decide qué obligaciones se aplican, con asesoramiento jurídico cuando lo justifique lo que está en juego.
Documentos del anexo XI, con la sección sobre riesgo sistémico
Scanara genera la documentación del anexo XI a partir de plantillas, en parte rellenada con sus respuestas. Usted aporta los resultados de la evaluación y el contenido propio del modelo.
Documenta sus pruebas, pero no las realiza
Scanara le ayuda a documentar la evaluación del modelo y las pruebas adversarias. No las realiza y no decide si su modelo tiene riesgo sistémico.
Preguntas frecuentes: umbral, sanciones, fechas de inicio y código abierto
¿Mi modelo GPAI entra en el artículo 55?
Sí, si tiene riesgo sistémico. Primera vía: la cantidad acumulada de cálculo usada para el entrenamiento supera el umbral del artículo 51, apartado 2, que el reglamento trata como presunción de capacidades de gran impacto. Segunda vía: la Comisión ha designado el modelo (artículo 51, apartado 1). Con la notificación puede argumentar que el modelo, excepcionalmente, no presenta riesgo sistémico (artículo 52, apartado 2). La Comisión decide (artículo 52, apartado 3).
¿Qué pasa si no cumplimos?
Desde el 2 de agosto de 2026 la Comisión puede imponer multas a los proveedores. Pueden alcanzar el 3 % del volumen de negocios mundial o 15 millones EUR, si esta cifra es superior (artículo 101, apartado 1). Las multas se aplican a infracciones intencionadas o por negligencia. El Tribunal de Justicia de la Unión Europea puede anular, reducir o aumentar la multa (artículo 101, apartado 5).
¿Desde cuándo se aplican estas obligaciones?
Desde el 2 de agosto de 2025 para los modelos introducidos en el mercado de la UE a partir de esa fecha. Los modelos introducidos antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 (artículo 111, apartado 3). El artículo 55 se aplica junto con el artículo 53, que tiene las mismas fechas.
¿Está exento un modelo con licencia de código abierto?
No, no si tiene riesgo sistémico. La exención de código abierto no cubre los modelos con riesgo sistémico (artículo 53, apartado 2). Los proveedores establecidos fuera de la Unión también deben designar un representante autorizado (artículo 54, apartado 6).
El detalle de las obligaciones relacionadas
Artículo 53: obligaciones de los proveedores de GPAI
Trata de las cuatro obligaciones de todo proveedor de GPAI, sobre las que se apoya el artículo 55.
Obligaciones GPAI: qué deben hacer proveedores y desarrolladores
Ofrece la visión general para proveedores y para desarrolladores que usan un modelo GPAI mediante una API.
Plazos del Reglamento de IA: calendario completo
Muestra todas las fechas de aplicación del reglamento, incluidas las de GPAI.
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.