KI-Verordnung: lista de comprobación para proveedores y responsables del despliegue

Se aplica desde el 2 de febrero de 2025. Las prohibiciones de ciertos materiales íntimos y abusivos se aplican desde el 2 de diciembre de 2026.

• Compruebe si alguno de sus sistemas de IA coincide con una práctica prohibida del artículo 5(1), por ejemplo manipulación perjudicial, puntuación social, extracción no selectiva de imágenes faciales o inferencia de emociones en el trabajo y en la educación.
• Detenga y documente todo sistema que coincida con una práctica prohibida, teniendo en cuenta las excepciones del artículo 5.
• Compruebe los sistemas que generan o manipulan imágenes, vídeo o audio realistas de las partes íntimas o de actividades sexualmente explícitas de una persona identificable sin su consentimiento (artículo 5(1), letra ba)), y el material del artículo 2, letras c) y e), de la Directiva 2011/93/UE, salvo que se aplique una defensa de «sin derecho» conforme al Derecho nacional (letra bb)). La prohibición se aplica solo si esa es la finalidad del sistema o un resultado razonablemente previsible que unas salvaguardas adecuadas no impiden (artículo 5(1a)).
• Adopte medidas para fomentar la alfabetización en IA de su personal y de otras personas que operen o usen sistemas de IA en su nombre (artículo 4).

Se aplica desde el 2 de agosto de 2025 a los proveedores de modelos de IA de uso general. Los modelos comercializados antes deben cumplir antes del 2 de agosto de 2027.

• Compruebe si ofrece un modelo de IA de uso general: un modelo de IA con una generalidad significativa que puede realizar con competencia una amplia gama de tareas distintas (artículo 3, punto 63).
• Elabore y mantenga actualizada la documentación técnica del modelo y dé información a los proveedores posteriores (artículo 53(1), letras a) y b)).
• Establezca una política para cumplir el Derecho de la Unión en materia de derechos de autor (artículo 53(1), letra c)).
• Publique un resumen suficientemente detallado del contenido usado para el entrenamiento (artículo 53(1), letra d)).
• Compruebe si el modelo tiene riesgo sistémico, lo que conlleva más deberes (artículos 51 y 55).

Se aplican desde el 2 de agosto de 2026. Los proveedores de sistemas que generan contenido sintético y se comercializaron antes deben cumplir el artículo 50(2) antes del 2 de diciembre de 2026.

• Haga que los sistemas de IA que interactúan directamente con personas les informen de que interactúan con un sistema de IA, salvo que sea obvio (artículo 50(1)).
• Marque el audio, la imagen, el vídeo y el texto sintéticos en formato legible por máquina, de modo que se detecten como generados artificialmente, en la medida en que sea técnicamente viable (artículo 50(2)). Se aplican las excepciones de ese apartado.
• Informe a las personas expuestas a un sistema de reconocimiento de emociones o de categorización biométrica (artículo 50(3)).
• Revele los deepfakes y los textos generados por IA publicados para informar al público sobre asuntos de interés público, con las excepciones del artículo 50(4).

Se aplican desde el 2 de diciembre de 2027 (anexo III) y desde el 2 de agosto de 2028 (anexo I). Los sistemas comercializados o puestos en servicio antes de estas fechas solo quedan cubiertos tras cambios significativos de diseño (artículo 111(2)).

• Inventaríe todos los sistemas de IA y clasifique cada uno conforme al artículo 6 y los anexos III y I. Documente la evaluación si invoca el artículo 6(3) (artículo 6(4)).
• Establezca un sistema de gestión de riesgos que funcione durante todo el ciclo de vida (artículo 9).
• Aplique gobernanza de datos a los datos de entrenamiento, validación y prueba y examínelos por si presentan sesgos (artículo 10).
• Elabore antes de la comercialización o puesta en servicio una documentación técnica con al menos los elementos del anexo IV y manténgala actualizada (artículo 11).
• Haga que el sistema registre acontecimientos automáticamente (archivos de registro) y conserve los archivos bajo su control al menos seis meses, salvo que otra norma disponga otra cosa (artículos 12 y 19).
• Facilite instrucciones de uso para que los responsables del despliegue interpreten la salida (artículo 13).
• Diseñe la supervisión humana para que las personas puedan, según proceda y de forma proporcionada, intervenir en el sistema o interrumpirlo, por ejemplo mediante un botón de parada o un procedimiento similar (artículo 14).
• Alcance y pruebe un nivel adecuado de precisión, solidez y ciberseguridad (artículo 15).
• Implante un sistema de gestión de la calidad (artículo 17).
• Complete la evaluación de la conformidad antes de la comercialización o puesta en servicio y de nuevo tras una modificación sustancial (artículo 43).
• Elabore la declaración UE de conformidad y coloque el marcado CE (artículos 47 y 48).
• Registre el sistema (artículo 49) y conserve la documentación diez años tras la comercialización o puesta en servicio (artículo 18).

Se aplican desde el 2 de diciembre de 2027 (anexo III) y desde el 2 de agosto de 2028 (anexo I).

• Use el sistema según sus instrucciones de uso (artículo 26(1)).
• Encomiende la supervisión humana a personas físicas con la competencia, formación, autoridad y apoyo necesarios (artículo 26(2)).
• En la medida en que controle los datos de entrada, asegúrese de que sean pertinentes y suficientemente representativos para la finalidad prevista (artículo 26(4)).
• Vigile el funcionamiento según las instrucciones de uso. Si tiene motivos para considerar que el uso conforme a las instrucciones puede presentar un riesgo en el sentido del artículo 79(1), informe sin demora indebida al proveedor o distribuidor y a la autoridad de vigilancia del mercado, y suspenda el uso (artículo 26(5)).
• Conserve los archivos de registro bajo su control al menos seis meses, salvo que otra norma disponga otra cosa (artículo 26(6)).
• Responsables del despliegue que sean empleadores: antes de poner en servicio o usar el sistema en el lugar de trabajo, informe a los representantes de los trabajadores y a los trabajadores afectados (artículo 26(7)).
• Informe a las personas físicas sobre las que los sistemas del anexo III toman decisiones o ayudan a tomarlas (artículo 26(11)).
• Use la información del artículo 13 para una evaluación de impacto relativa a la protección de datos cuando sea exigible (artículo 26(9)) y evalúe el impacto sobre los derechos fundamentales cuando se aplique el artículo 27.

Los artículos 72 y 73 no figuran en el artículo 113, letras a) a d), por lo que se aplican desde la fecha general de aplicación, el 2 de agosto de 2026. Cómo encaja esto con las fechas de alto riesgo es una cuestión para el asesor jurídico. Los deberes de los responsables del despliegue siguientes siguen las fechas de alto riesgo.

• Los proveedores gestionan el sistema de seguimiento posterior a la comercialización, basado en un plan de seguimiento (artículo 72).
• Los proveedores notifican un incidente grave a la autoridad de vigilancia del mercado inmediatamente después de establecer un vínculo causal, o la probabilidad razonable de uno, entre el sistema y el incidente, y, en todo caso, a más tardar 15 días después de tener conocimiento. Se aplican plazos más cortos: a más tardar 10 días tras conocer un fallecimiento y a más tardar 2 días ante una infracción generalizada o una perturbación grave e irreversible de infraestructuras críticas (artículo 73(2) a (4)).
• Tras una modificación sustancial, los proveedores actualizan la documentación técnica y repiten la evaluación de la conformidad (artículos 11 y 43(4)).
• Tras un incidente grave, los responsables del despliegue informan primero al proveedor y después al importador o distribuidor y a las autoridades de vigilancia del mercado (artículo 26(5)).
• Repita sus comprobaciones de código y documentos antes de cada versión y guarde los informes como prueba. Un análisis superado no demuestra el cumplimiento.

• KI-Verordnung: sistemas de IA de alto riesgo

  Qué sistemas de IA se consideran de alto riesgo, qué requisitos cumplen los proveedores y quién supervisa en Alemania.

• KI-Verordnung: requisitos por función

  Qué deben hacer proveedores, responsables del despliegue, importadores y distribuidores, incluidos los deberes de documentación, gestión de riesgos y transparencia.