Requisitos del sistema y deberes del proveedor
Los artículos 9 a 15 exigen un sistema de gestión de riesgos, gobernanza de los datos de entrenamiento, validación y prueba, documentación técnica, registro automático de eventos, instrucciones de uso claras, supervisión humana efectiva y niveles adecuados de precisión, solidez y ciberseguridad.
Además, el proveedor implanta un sistema de gestión de la calidad (art. 17), somete el sistema a evaluación de la conformidad (art. 43), lo registra en la base de datos de la UE cuando procede (art. 49), mantiene una vigilancia poscomercialización (art. 72) y notifica los incidentes graves a más tardar quince días después de conocerlos (art. 73.2).
Tras el Ómnibus, las pymes y las pequeñas empresas de mediana capitalización pueden presentar la documentación técnica en un formulario simplificado de la Comisión (art. 11.1), y el sistema de gestión de la calidad se aplica en proporción al tamaño del proveedor (art. 17.2).
Qué hace quien despliega el sistema
El artículo 26 obliga al responsable del despliegue a usar el sistema según sus instrucciones, encomendar la supervisión humana a personas con competencia, formación y autoridad, asegurarse de que los datos de entrada que controla son pertinentes, vigilar el funcionamiento y suspender el uso si detecta un riesgo, y conservar los registros que genera el sistema al menos seis meses.
Si el sistema se usa en el trabajo, el empleador informa antes a los representantes de los trabajadores y a los afectados (art. 26.7). Si se usa para tomar o apoyar decisiones sobre personas en un ámbito del anexo III, informa a esas personas (art. 26.11).
Evaluación de impacto en los derechos fundamentales
El artículo 27 la exige antes del despliegue a los organismos públicos, a las entidades privadas que prestan servicios públicos y a quienes usan sistemas de evaluación de solvencia o de fijación de precios en seguros de vida y salud (anexo III, punto 5, letras b y c).
El Ómnibus permite remitirse a las partes pertinentes de la evaluación de impacto de protección de datos del artículo 35 del RGPD o incorporarlas, y encarga a la Oficina de IA un cuestionario modelo para simplificarla (art. 27.4 y 27.5).
Desde cuándo
Estas obligaciones se aplican desde el 2 de diciembre de 2027 para los sistemas del anexo III y desde el 2 de agosto de 2028 para los del anexo I (art. 113, letra c). Los sistemas de alto riesgo ya en el mercado antes de esa fecha solo quedan sujetos si después cambian de forma significativa su diseño; los destinados a autoridades públicas deben cumplir a más tardar el 2 de agosto de 2030 (art. 111.2).
Lo que suele pedir el auditor
- Instrucciones de uso del proveedor recibidas y archivadas
- Personas designadas para la supervisión humana, con formación y autoridad para intervenir
- Registros del sistema conservados un mínimo de seis meses
- Representantes de los trabajadores informados antes de usar el sistema en el trabajo
- Evaluación de impacto en derechos fundamentales hecha cuando el artículo 27 la exige
Cómo abordarlo en la práctica
- 1Pide al proveedor las instrucciones de uso y la declaración de conformidad del sistema y guárdalas con el contrato.
- 2Nombra a quien supervisa cada sistema de alto riesgo y deja por escrito qué puede hacer cuando el resultado no le convence.
- 3Fija la conservación de los registros y el aviso a la plantilla dentro de los procedimientos de protección de datos que ya tengas.
La evaluación de impacto de protección de datos y la de derechos fundamentales comparten buena parte del análisis: conviene hacerlas juntas.
Ver el capítulo de evaluación de impacto en la ruta del RGPD
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Reglamento (UE) 2024/1689 de Inteligencia Artificial EUR-Lex · DO L 2024/1689 · 12 de julio de 2024
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), que modifica el Reglamento (UE) 2024/1689 EUR-Lex · DO L 2026/1744 · 24 de julio de 2026
- Reglamento (UE) 2024/1689, texto consolidado EUR-Lex · CELEX 02024R1689-20260727 · Versión de 27 de julio de 2026
- Reglamento (UE) 2016/679, General de Protección de Datos EUR-Lex · Aplicable desde el 25 de mayo de 2018