Puntos clave: Obligaciones del proveedor frente al responsable del despliegue en el Reglamento de IA de la UE
El Reglamento de IA de la UE (Reglamento UE 2024/1689) asigna obligaciones de cumplimiento distintas según se clasifique a una organización como proveedor (artículo 3, apartado 3) o responsable del despliegue (artículo 3, apartado 4) de un sistema de IA. Los proveedores asumen responsabilidades aguas arriba, entre ellas las evaluaciones de la conformidad, los sistemas de gestión de la calidad y el registro en la base de datos de la UE. Los responsables del despliegue deben garantizar la supervisión humana, las evaluaciones de impacto sobre los derechos fundamentales y la notificación de incidentes. Los grupos multientidad a menudo ostentan ambos roles simultáneamente en distintas filiales, lo que exige una orquestación centralizada del cumplimiento.
¿Qué es un proveedor de un sistema de IA según el Reglamento de IA de la UE?
El proveedor de un sistema de IA se define en el artículo 3, apartado 3, del Reglamento (UE) 2024/1689 como una persona física o jurídica que desarrolla un sistema de IA o un modelo de IA de uso general y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca. Los proveedores de sistemas de IA de alto riesgo deben cumplir los artículos 8 a 17, incluidas la gestión de riesgos, la gobernanza de datos, la documentación técnica, la transparencia, el diseño de la supervisión humana, la exactitud, la solidez y la ciberseguridad. Fuente: EUR-Lex, Reglamento (UE) 2024/1689
¿Qué es un responsable del despliegue de un sistema de IA según el Reglamento de IA de la UE?
El responsable del despliegue de un sistema de IA se define en el artículo 3, apartado 4, del Reglamento (UE) 2024/1689 como una persona física o jurídica que utiliza un sistema de IA bajo su autoridad, salvo cuando el sistema de IA se utilice en el ejercicio de una actividad personal de carácter no profesional. Los responsables del despliegue de sistemas de IA de alto riesgo deben cumplir el artículo 26, que exige supervisión humana por parte de personal formado, monitorización de la pertinencia de los datos de entrada, conservación de registros e información a las personas físicas afectadas. Para determinados casos de uso (empleo, solvencia crediticia), los responsables del despliegue también deben realizar evaluaciones de impacto sobre los derechos fundamentales con arreglo al artículo 27. Fuente: EUR-Lex, Reglamento (UE) 2024/1689
¿Qué es una evaluación de impacto sobre los derechos fundamentales (EIDF) según el artículo 27?
Una evaluación de impacto sobre los derechos fundamentales es obligatoria con arreglo al artículo 27 del Reglamento de IA de la UE para los responsables del despliegue de sistemas de IA de alto riesgo utilizados en el empleo, la gestión de trabajadores, el acceso a servicios esenciales o la evaluación de la solvencia crediticia. La EIDF debe valorar el impacto sobre los derechos fundamentales de las personas afectadas, describir las salvaguardas y completarse antes de que el sistema de IA de alto riesgo se ponga en uso. Fuente: EUR-Lex, Reglamento (UE) 2024/1689
¿Qué es un sistema de gestión de la calidad (SGC) según el artículo 17?
Un sistema de gestión de la calidad con arreglo al artículo 17 del Reglamento de IA de la UE es un conjunto documentado de políticas, procedimientos e instrucciones que los proveedores de sistemas de IA de alto riesgo deben establecer y mantener. El SGC debe abarcar la gestión de riesgos, la monitorización poscomercialización, la gestión de datos, la conservación de registros, la gestión de recursos, los marcos de rendición de cuentas y la comunicación con las autoridades competentes. Fuente: EUR-Lex, Reglamento (UE) 2024/1689
Obligaciones del proveedor frente al responsable del despliegue: Tabla comparativa
| Obligación | Proveedor (artículo 16) | Responsable del despliegue (artículo 26) |
|---|
| Sistema de gestión de riesgos | Obligatorio (artículo 9) | No obligado a establecerlo; debe usar el sistema según lo previsto |
| Gobernanza de datos | Obligatoria (artículo 10) | Debe garantizar la pertinencia de los datos de entrada |
| Documentación técnica | Obligatoria (anexo IV, 11 áreas) | Debe conservar los registros generados por el sistema |
| Evaluación de la conformidad | Obligatoria (artículo 43) | No obligatoria |
| Registro en la base de datos de la UE | Obligatorio (artículo 49) | Obligatorio para determinados responsables del despliegue (artículo 49, apartado 3) |
| Sistema de gestión de la calidad | Obligatorio (artículo 17) | No obligatorio |
| Supervisión humana | Debe diseñarse para la supervisión humana (artículo 14) | Debe implementar la supervisión humana con personal formado (artículo 26, apartado 2) |
| Evaluación de impacto sobre los derechos fundamentales | No obligatoria | Obligatoria para empleo, calificación crediticia, servicios esenciales (artículo 27) |
| Notificación de incidentes | Obligatoria (artículo 62) | Obligatoria para incidentes graves (artículo 26, apartado 5) |
| Monitorización poscomercialización | Obligatoria (artículo 72) | Debe monitorizar el rendimiento y notificar las disfunciones |
| Sanciones (máximo) | Hasta 35 millones de euros o el 7 % del volumen de negocio mundial | Hasta 15 millones de euros o el 3 % del volumen de negocio mundial |
Estadísticas clave sobre el cumplimiento del Reglamento de IA
Según el Reglamento de IA de la UE (Reglamento UE 2024/1689), las sanciones por prácticas de IA prohibidas pueden alcanzar los 35 millones de euros o el 7 % del volumen de negocio anual mundial, la cantidad que sea mayor, superando el máximo del RGPD de 20 millones de euros o el 4 %. El Reglamento identifica 8 categorías de prácticas de IA prohibidas (artículo 5) y define los sistemas de alto riesgo en 8 ámbitos del anexo III. La documentación técnica del proveedor debe abarcar 11 áreas distintas según el anexo IV. Según una encuesta de la IAPP de 2024, menos del 30 % de las organizaciones habían iniciado programas formales de gobernanza de la IA a mediados de 2024, lo que subraya la urgencia de prepararse para el cumplimiento antes del plazo de agosto de 2026 para las obligaciones de los sistemas de alto riesgo. Fuente: IAPP
Preguntas frecuentes
¿Cuál es la diferencia entre un proveedor y un responsable del despliegue según el Reglamento de IA?
Con arreglo al Reglamento de IA de la UE (Reglamento UE 2024/1689), un proveedor es la entidad que desarrolla o introduce un sistema de IA en el mercado (artículo 3, apartado 3), mientras que un responsable del despliegue es la entidad que utiliza un sistema de IA bajo su autoridad (artículo 3, apartado 4). Los proveedores asumen obligaciones más exigentes, entre ellas las evaluaciones de la conformidad, los sistemas de gestión de la calidad y el registro en la base de datos de la UE. Los responsables del despliegue deben garantizar la supervisión humana, realizar evaluaciones de impacto sobre los derechos fundamentales para los sistemas de alto riesgo y monitorizar el rendimiento del sistema de IA. Fuente: EUR-Lex
¿Cuáles son las obligaciones clave de los proveedores según el artículo 16 del Reglamento de IA?
Los proveedores de sistemas de IA de alto riesgo según el Reglamento de IA deben establecer un sistema de gestión de la calidad (artículo 17), mantener documentación técnica que abarque 11 áreas según el anexo IV, garantizar la evaluación de la conformidad (artículo 43), registrar los sistemas en la base de datos de la UE (artículo 49), implementar la gestión de riesgos (artículo 9) y llevar a cabo la monitorización poscomercialización. Los proveedores también deben garantizar que sus sistemas cumplan los requisitos de exactitud, solidez y ciberseguridad antes de introducirlos en el mercado. Fuente: EUR-Lex
¿Cuáles son las obligaciones clave de los responsables del despliegue según el artículo 26 del Reglamento de IA?
Los responsables del despliegue de sistemas de IA de alto riesgo deben asignar personas competentes para la supervisión humana (artículo 14), monitorizar el rendimiento del sistema, realizar evaluaciones de impacto sobre los derechos fundamentales para casos de uso de empleo y calificación crediticia (artículo 27), informar a las personas afectadas y notificar los incidentes graves a las autoridades de control. Los responsables del despliegue también deben garantizar que los datos de entrada sean pertinentes y representativos. Fuente: EUR-Lex
¿Puede una organización ser a la vez proveedor y responsable del despliegue según el Reglamento de IA?
Sí. Con arreglo al artículo 25 del Reglamento de IA de la UE, una organización puede clasificarse como proveedor y responsable del despliegue a la vez en distintos sistemas de IA o filiales. Por ejemplo, un grupo empresarial puede desarrollar un sistema de IA en una filial (proveedor) y desplegarlo en otra (responsable del despliegue). Cada entidad debe cumplir las obligaciones correspondientes a su rol para cada sistema de IA específico. Esta doble clasificación es habitual en los grupos multientidad y exige un seguimiento centralizado del cumplimiento. Fuente: EUR-Lex
¿Cuándo entran en vigor las obligaciones del Reglamento de IA de la UE?
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024. Las prácticas de IA prohibidas se aplican desde el 2 de febrero de 2025. Las obligaciones para los modelos de IA de uso general se aplican desde el 2 de agosto de 2025. La mayoría de las obligaciones de los sistemas de IA de alto riesgo para proveedores y responsables del despliegue se aplican desde el 2 de agosto de 2026, y determinados sistemas de alto riesgo del anexo I disponen de plazo hasta el 2 de agosto de 2027. Las organizaciones deberían empezar a prepararse para el cumplimiento con bastante antelación a estos plazos. Fuente: EUR-Lex
¿Qué sanciones se aplican por incumplir el Reglamento de IA de la UE?
Las sanciones por incumplimiento del Reglamento de IA de la UE pueden alcanzar hasta 35 millones de euros o el 7 % del volumen de negocio anual mundial por prácticas de IA prohibidas, hasta 15 millones de euros o el 3 % por otras infracciones y hasta 7,5 millones de euros o el 1,5 % por facilitar información incorrecta. Se encuentran entre las multas regulatorias más elevadas del Derecho de la UE, superando los máximos del RGPD. Las pymes y las empresas emergentes pueden recibir sanciones proporcionadas. Fuente: EUR-Lex
¿Cómo interactúa el Reglamento de IA con el RGPD?
El Reglamento de IA de la UE opera junto al RGPD y no lo sustituye. Los sistemas de IA que tratan datos personales deben cumplir ambos marcos simultáneamente. El artículo 10 del Reglamento de IA hace referencia explícita a los requisitos del RGPD para los datos de entrenamiento. Los responsables del despliegue que realizan evaluaciones de impacto sobre los derechos fundamentales con arreglo al artículo 27 deberían coordinarlas con sus evaluaciones de impacto relativas a la protección de datos (EIPD) existentes con arreglo al artículo 35 del RGPD. Las organizaciones que ya mantienen procesos de registro de tratamientos y EIPD pueden aprovechar las estructuras de gobernanza existentes para el cumplimiento del Reglamento de IA.
¿Cómo ayuda Priverion con el cumplimiento del Reglamento de IA para grupos multientidad?
Priverion proporciona un registro de IA centralizado para clasificar cada sistema de IA como proveedor, responsable del despliegue o ambos en las distintas filiales. La plataforma alojada en Suiza incluye plantillas de EIPD asistida por IA y de evaluación de impacto sobre los derechos fundamentales alineadas con los artículos 9 y 27, seguimiento de la supervisión humana con recertificación automatizada, paneles de cumplimiento entre entidades y documentación del sistema de gestión de la calidad que asigna los controles existentes de la ISO 27001 y la ISO 27701 a los requisitos del Reglamento de IA. Todos los datos se procesan dentro de infraestructura suiza, sin que ningún dato de clientes se utilice para entrenar modelos de IA.
