Obligacions en els sistemes d'alt risc

Requisits del sistema i deures del proveïdor

Els articles 9 a 15 exigeixen un sistema de gestió de riscos, governança de les dades d'entrenament, validació i prova, documentació tècnica, registre automàtic d'esdeveniments, instruccions d'ús clares, supervisió humana efectiva i nivells adequats de precisió, solidesa i ciberseguretat.

A més, el proveïdor implanta un sistema de gestió de la qualitat (art. 17), sotmet el sistema a avaluació de la conformitat (art. 43), el registra a la base de dades de la UE quan escau (art. 49), manté una vigilància postcomercialització (art. 72) i notifica els incidents greus com a molt tard quinze dies després de conèixer-los (art. 73.2).

Després de l'Òmnibus, les pimes i les petites empreses de mitjana capitalització poden presentar la documentació tècnica en un formulari simplificat de la Comissió (art. 11.1), i el sistema de gestió de la qualitat s'aplica en proporció a la mida del proveïdor (art. 17.2).

Què fa qui desplega el sistema

L'article 26 obliga el responsable del desplegament a utilitzar el sistema segons les seves instruccions, encomanar la supervisió humana a persones amb competència, formació i autoritat, assegurar-se que les dades d'entrada que controla són pertinents, vigilar-ne el funcionament i suspendre'n l'ús si detecta un risc, i conservar els registres que genera el sistema almenys sis mesos.

Si el sistema s'utilitza a la feina, l'ocupador n'informa abans els representants dels treballadors i els afectats (art. 26.7). Si s'utilitza per prendre o donar suport a decisions sobre persones en un àmbit de l'annex III, n'informa aquestes persones (art. 26.11).

Avaluació d'impacte en els drets fonamentals

L'article 27 l'exigeix abans del desplegament als organismes públics, a les entitats privades que presten serveis públics i a qui utilitza sistemes d'avaluació de solvència o de fixació de preus en assegurances de vida i salut (annex III, punt 5, lletres b i c).

L'Òmnibus permet remetre's a les parts pertinents de l'avaluació d'impacte de protecció de dades de l'article 35 del RGPD o incorporar-les, i encarrega a l'Oficina d'IA un qüestionari model per simplificar-la (art. 27.4 i 27.5).

Des de quan

Aquestes obligacions s'apliquen des del 2 de desembre de 2027 per als sistemes de l'annex III i des del 2 d'agost de 2028 per als de l'annex I (art. 113, lletra c). Els sistemes d'alt risc ja presents al mercat abans d'aquesta data només hi queden subjectes si després en canvien el disseny de manera significativa; els destinats a autoritats públiques han de complir com a molt tard el 2 d'agost de 2030 (art. 111.2).

El que sol demanar l'auditor

• Instruccions d'ús del proveïdor rebudes i arxivades
• Persones designades per a la supervisió humana, amb formació i autoritat per intervenir
• Registres del sistema conservats un mínim de sis mesos
• Representants dels treballadors informats abans d'utilitzar el sistema a la feina
• Avaluació d'impacte en drets fonamentals feta quan l'article 27 l'exigeix

Com abordar-ho a la pràctica

1. 1Demana al proveïdor les instruccions d'ús i la declaració de conformitat del sistema i guarda-les amb el contracte.
2. 2Nomena qui supervisa cada sistema d'alt risc i deixa per escrit què pot fer quan el resultat no el convenç.
3. 3Fixa la conservació dels registres i l'avís a la plantilla dins dels procediments de protecció de dades que ja tinguis.

D'on surt cada dada

Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.

1. Reglament (UE) 2024/1689 d'Intel·ligència Artificial EUR-Lex · DO L 2024/1689 · 12 de juliol de 2024
2. Reglament (UE) 2026/1744 (Òmnibus digital sobre IA), que modifica el Reglament (UE) 2024/1689 EUR-Lex · DO L 2026/1744 · 24 de juliol de 2026
3. Reglament (UE) 2024/1689, text consolidat EUR-Lex · CELEX 02024R1689-20260727 · Versió de 27 de juliol de 2026
4. Reglament (UE) 2016/679, general de protecció de dades EUR-Lex · Aplicable des del 25 de maig de 2018