El Reglamento (UE) 2024/1689, aprobado el 13 de junio de 2024 y aplicable progresivamente desde 2025, establece normas armonizadas en materia de inteligencia artificial (IA) para todos los operadores que intervienen en el desarrollo, implementación y comercialización de sistemas de IA en la Unión Europea.
Desde Marimón Abogados hemos elaborado esta síntesis de la Guía de cumplimiento para los operadores implicados en el ciclo de vida de los sistemas de IA, en la que se resumen sus principales obligaciones conforme al nuevo marco regulatorio.
¿Qué tipo de operador eres según el RIA?
El reglamento distingue entre distintos roles que implican obligaciones diferenciadas:
- Proveedor: quien introduce en el mercado o pone en servicio un sistema o modelo de IA, con independencia de su ubicación.
- Responsable del despliegue: operador ubicado en la UE que utiliza un sistema de IA bajo su autoridad en un entorno profesional.
- Importador: persona física o jurídica establecida en la UE que introduce en el mercado un sistema de IA desarrollado por un tercero extracomunitario.
- Distribuidor: agente que comercializa un sistema de IA en la UE, sin ser el proveedor ni el importador.
Además, en ciertos supuestos (como modificación sustancial o cambio de finalidad de un sistema), estos operadores pueden ser considerados proveedores de sistemas de IA de alto riesgo, con todas las responsabilidades que ello conlleva.
Obligaciones de los proveedores de sistemas de IA
Los proveedores deben garantizar el cumplimiento de una amplia gama de obligaciones, entre ellas:
- Formación del personal (alfabetización en IA).
- Documentación técnica del sistema y registro de actividades.
- Medidas de gestión de riesgos.
- Uso de datos de alta calidad, representativos y no sesgados.
- Transparencia sobre el funcionamiento del sistema.
- Supervisión humana, ciberseguridad y robustez.
- Evaluación de conformidad y marcado CE.
- Sistema de gestión de calidad durante todo el ciclo de vida.
- Notificación de incumplimientos o incidentes a las autoridades.
- En el caso de IA de uso general con riesgo sistémico, deberán realizar pruebas adversariales y garantizar medidas adicionales de ciberseguridad.
Obligaciones de los responsables del despliegue
Las entidades que utilicen sistemas de IA deben cumplir, entre otras, con las siguientes obligaciones:
- Garantizar la formación del personal que use el sistema.
- Entender y aplicar las instrucciones del proveedor.
- Encargar la supervisión humana a personas competentes.
- Verificar la calidad y representatividad de los datos de entrada.
- Realizar evaluaciones de impacto en derechos fundamentales y en protección de datos (DPIA y FRIA).
- Informar a trabajadores y personas afectadas antes del uso.
- Conservar los archivos de registro generados automáticamente.
- Notificar incidentes graves al proveedor, distribuidor o autoridad competente.
Obligaciones de importadores y distribuidores
Estos operadores deberán verificar que los sistemas introducidos en el mercado cumplen con todos los requisitos del Reglamento:
- Asegurarse de que el proveedor ha realizado la evaluación de conformidad.
- Verificar que el sistema tiene el marcado CE y la documentación técnica.
- Evitar la comercialización de sistemas no conformes o con documentación falsificada.
- Conservar la documentación clave (certificados, instrucciones y declaración de conformidad) durante 10 años.
- Cooperar con las autoridades competentes en caso de riesgos o incumplimientos detectados.
Calendario de aplicación
Las principales fechas a tener en cuenta para el cumplimiento del Reglamento son:
| Disposición | Fecha de aplicación |
|---|---|
| Disposiciones generales (arts. 1–4) | 2 de febrero de 2025 |
| Prácticas prohibidas | 2 de agosto de 2025 |
| Modelos de IA de uso general y gobernanza | 2 de agosto de 2025 |
| Aplicación general del Reglamento | 2 de agosto de 2026 |
| Reglas sobre IA de alto riesgo | 2 de agosto de 2027 |
