Obligaciones AI Act por artículo

El AI Act (Reglamento (UE) 2024/1689) impone obligaciones diferenciadas según el nivel de riesgo del sistema de IA. Las prácticas de riesgo inaceptable están prohibidas (artículo 5). Los sistemas de alto riesgo deben cumplir requisitos estrictos: documentación técnica, gestión de riesgos, gobernanza de datos, supervisión humana y ciberseguridad. Los sistemas de riesgo limitado están sujetos a obligaciones de transparencia (artículo 50). Todos los operadores deben garantizar la alfabetización en IA de su personal (artículo 4).

El AI Act se aplica a cuatro categorías de operadores: los proveedores (que desarrollan o comercializan un sistema de IA), los implementadores (que utilizan un sistema de IA bajo su propia autoridad), los importadores (que introducen en la UE un sistema de un proveedor no comunitario) y los distribuidores (que ponen un sistema de IA a disposición en el mercado europeo). Las obligaciones varían según el rol del operador y el nivel de riesgo del sistema en cuestión.

El proveedor es quien desarrolla un sistema de IA o lo hace desarrollar, y lo comercializa o pone en servicio bajo su propio nombre o marca. El implementador es toda persona que utiliza un sistema de IA bajo su propia autoridad en un contexto profesional. Una misma organización puede ostentar ambos roles según los sistemas de que se trate. Los proveedores tienen obligaciones más amplias, incluyendo la documentación técnica y la evaluación de conformidad previa a la comercialización.

Los sistemas de IA de alto riesgo deben cumplir un conjunto integral de requisitos reglamentarios: sistema de gestión de riesgos (art. 9), gobernanza de los datos de entrenamiento (art. 10), documentación técnica detallada (art. 11), registro automático de eventos (art. 12), transparencia e información al usuario (art. 13), medidas de supervisión humana (art. 14) y garantías de precisión, robustez y ciberseguridad (art. 15). El proveedor debe además establecer un sistema de gestión de la calidad.

El AI Act entró en vigor el 1 de agosto de 2024 con una aplicación progresiva. Las prácticas prohibidas y la alfabetización en IA se aplican desde el 2 de febrero de 2025, las reglas GPAI desde el 2 de agosto de 2025 y las obligaciones de transparencia del artículo 50 desde el 2 de agosto de 2026. Los sistemas de alto riesgo del Anexo III están previstos para el 2 de diciembre de 2027 y los productos regulados del Anexo I para el 2 de agosto de 2028.

Las sanciones son proporcionadas a la gravedad de la infracción: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial para las prácticas prohibidas, hasta 15 millones de euros o el 3 % para el incumplimiento de otras obligaciones reglamentarias, y hasta 7,5 millones de euros o el 1 % para el suministro de información inexacta a las autoridades. Para las pymes y startups, los importes se ajustan al más bajo de los dos umbrales.

Sí, los proveedores de modelos GPAI (como los grandes modelos de lenguaje) tienen obligaciones específicas desde el 2 de agosto de 2025: elaborar documentación técnica, respetar los derechos de autor de la UE y publicar un resumen de los datos de entrenamiento. Los modelos GPAI que presenten riesgo sistémico tienen obligaciones adicionales: evaluación exhaustiva del modelo, mitigación de riesgos sistémicos, notificación de incidentes graves y nivel adecuado de ciberseguridad.

Un sistema de IA se clasifica como de alto riesgo en dos casos: si es un componente de seguridad de un producto cubierto por la legislación de armonización de la UE (Anexo I: dispositivos médicos, maquinaria, juguetes, etc.), o si entra en los ámbitos sensibles del Anexo III (biometría, infraestructuras críticas, educación, empleo, servicios esenciales, fuerzas del orden, migración, justicia). Nuestra herramienta de diagnóstico gratuita le permite identificar en pocos minutos el nivel de riesgo aplicable a su sistema.