Artículo 10 del Reglamento (UE) 2024/1689 — Datos y gobernanza de datos. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.
Resumen del texto oficial
El Artículo 10 del Reglamento (UE) 2024/1689 (el Reglamento de IA de la UE), ubicado en el Título III, Capítulo 2, establece requisitos obligatorios de gobernanza de datos para los proveedores de sistemas de IA de alto riesgo. El artículo se aplica a los conjuntos de datos de entrenamiento, validación y prueba utilizados en el desarrollo de dichos sistemas.
En virtud del Artículo 10(2), las prácticas de gobernanza de datos deben abordar: las decisiones de diseño detrás de la recopilación de datos; las operaciones de preparación de datos, incluida la anotación, el etiquetado, la limpieza, el enriquecimiento y la agregación; la formulación de supuestos pertinentes sobre el uso previsto; y un examen de los posibles sesgos que probablemente afecten a la salud, la seguridad o los derechos fundamentales.
El Artículo 10(3) exige que los conjuntos de datos de entrenamiento, validación y prueba estén sujetos a prácticas apropiadas de gestión de datos y sean pertinentes, representativos, libres de errores y completos en función de la finalidad prevista. Cuando no sea posible alcanzar una total ausencia de errores, los proveedores deben documentar los errores residuales y su impacto potencial.
El Artículo 10(4) aborda el tratamiento de categorías especiales de datos personales — tal como se definen en el Artículo 9 del Reglamento (UE) 2016/679 (RGPD) y el Artículo 10 del Reglamento (UE) 2018/1725 — limitando estrictamente dicho tratamiento a la supervisión y corrección de sesgos, sujeto a salvaguardas apropiadas. El Artículo 10(5) establece que los Estados miembros pueden establecer condiciones específicas para el tratamiento de datos personales sensibles en interés público a efectos del desarrollo de IA, sujeto a condiciones estrictas. El Artículo 10(6) aclara que los requisitos sobre conjuntos de datos se aplican proporcionalmente a los proveedores que utilizan conjuntos de datos preexistentes que no recopilaron originalmente, en la medida en que dicho examen sea técnicamente factible.
Lo que esto significa en la práctica
El Artículo 10 impone obligaciones concretas a cualquier organización que desarrolle o despliegue un sistema de IA de alto riesgo en la UE. En la práctica, el cumplimiento requiere establecer y mantener un programa estructurado de gobernanza de datos que abarque todo el ciclo de vida del desarrollo.
Para un proveedor que desarrolla una herramienta de selección de candidatos asistida por IA (un sistema del Anexo III, punto 4), el Artículo 10 exige documentar por qué se eligieron conjuntos de datos específicos, qué pasos de preprocesamiento se aplicaron y cómo los conjuntos de datos cubren la diversidad demográfica del grupo de candidatos previsto. Si los datos de entrenamiento infrarepresentan a los candidatos de determinados orígenes regionales o étnicos, el proveedor debe identificar esta brecha, evaluar el riesgo de sesgo para la igualdad de trato y corregir el conjunto de datos o implementar mitigaciones técnicas — todo ello rastreable en la documentación técnica requerida por el Artículo 11.
Para un proveedor que integra un modelo o conjunto de datos de IA de terceros, el Artículo 10(6) sigue exigiendo un examen del máximo esfuerzo de las propiedades de los datos preconstruidos en relación con el caso de uso previsto. Basarse únicamente en la hoja de datos del proveedor ascendente no es suficiente; los proveedores posteriores deben validar que las propiedades de los datos se ajustan a su contexto específico de despliegue.
En la práctica, los equipos de cumplimiento deben: mantener un plan de gestión de datos por sistema; instituir registros de linaje de datos; realizar evaluaciones documentadas de sesgos y representatividad en las etapas de entrenamiento, validación y prueba; y garantizar que cualquier uso de datos personales sensibles para la corrección de sesgos esté amparado por una base jurídica y controles de acceso apropiados. Estos registros forman parte de la documentación técnica que debe estar disponible para las autoridades nacionales competentes a petición.
Obligaciones clave
- Marco de gobernanza de datos: Establecer prácticas documentadas de gobernanza y gestión de datos que cubran todas las etapas — entrenamiento, validación y prueba — antes de comercializar un sistema de IA de alto riesgo.
- Criterios de calidad del conjunto de datos: Garantizar que los conjuntos de datos cumplan cuatro criterios de calidad acumulativos: pertinencia para la finalidad prevista, representatividad del contexto de despliegue, ausencia de errores (o tasas de error residual documentadas) y completitud.
- Examen de sesgos: Realizar y documentar un examen de los conjuntos de datos en busca de sesgos que puedan conducir a discriminación o riesgos para la salud, la seguridad o los derechos fundamentales, aplicando medidas correctoras cuando se identifiquen sesgos.
- Documentación de la preparación de datos: Registrar todas las operaciones de preparación de datos — anotación, etiquetado, limpieza, enriquecimiento y agregación — junto con los supuestos y las decisiones de diseño que las configuraron.
- Uso restringido de datos sensibles: Tratar las categorías especiales de datos personales únicamente para la detección y corrección de sesgos, sujeto a salvaguardas equivalentes al RGPD, y solo cuando sea estrictamente necesario y proporcionado.
- Conjuntos de datos de terceros y preexistentes: Realizar un examen proporcionado y técnicamente factible de cualquier conjunto de datos preexistente o de terceros para verificar que cumplen los requisitos pertinentes para el caso de uso específico del proveedor.
Relación con otros artículos
El Artículo 10 ocupa el centro del marco de requisitos de IA de alto riesgo y se conecta directamente con varias otras disposiciones. El Artículo 9 (sistema de gestión de riesgos) alimenta al Artículo 10: los riesgos identificados a través de la gobernanza de datos — como el sesgo del conjunto de datos — deben gestionarse a través del proceso iterativo de gestión de riesgos. El Artículo 11 (documentación técnica) y el Anexo IV exigen a los proveedores registrar las decisiones de gobernanza de datos y las características del conjunto de datos como parte de la documentación de conformidad revisada por los organismos notificados o autoevaluada.
El Artículo 13 (transparencia y suministro de información) se basa en la documentación de datos para permitir instrucciones de uso significativas, especialmente con respecto a las limitaciones conocidas derivadas de las deficiencias en la calidad de los datos. El Artículo 17 (sistema de gestión de la calidad) exige que la gobernanza de datos se institucionalice dentro de los procesos de calidad más amplios del proveedor.
Para los sistemas que tratan datos personales, el Artículo 10 intersecta con las obligaciones del RGPD — el Artículo 5 (principios de calidad de los datos) y el Artículo 25 (protección de datos desde el diseño) son requisitos complementarios que los proveedores deben satisfacer en paralelo. El Artículo 10(4) hace referencia explícita al Reglamento (UE) 2016/679 y al Reglamento (UE) 2018/1725 para delimitar el tratamiento permisible de datos sensibles.
Calendario de cumplimiento
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial de la UE (DO L 2024/1689, de 12 de julio de 2024). El Artículo 10 sigue el calendario de aplicación por fases aplicable a los sistemas de IA de alto riesgo:
- 2 de febrero de 2025: Las prohibiciones sobre las prácticas de IA de riesgo inaceptable (Artículo 5) pasaron a ser aplicables; no existe obligación directa en virtud del Artículo 10 en esta fase.
- 2 de agosto de 2025: Los requisitos para los modelos de IA de uso general (Título VIII) pasaron a ser aplicables; las autoridades nacionales de vigilancia del mercado asumieron la responsabilidad operativa de la supervisión de los sistemas de alto riesgo.
- 2 de agosto de 2026: El Artículo 10 pasa a ser plenamente aplicable a los sistemas de IA de alto riesgo enumerados en el Anexo III (aplicaciones de alto riesgo de uso general, incluida la identificación biométrica, la infraestructura crítica, la educación, el empleo, los servicios esenciales, la aplicación de la ley, la migración y la justicia). Los proveedores deben tener documentada y en vigor la gobernanza de datos conforme para esta fecha.
- 2 de agosto de 2027: El Artículo 10 pasa a ser aplicable a los sistemas de IA de alto riesgo regulados en virtud del Anexo I (legislación de seguridad de productos, incluida la maquinaria, los dispositivos médicos, los vehículos y la aviación). Estos sistemas deben cumplir todos los requisitos de gobernanza de datos dentro de sus evaluaciones de conformidad de productos para este plazo ampliado.
Se recomienda encarecidamente a los proveedores que comiencen las evaluaciones de brechas en la gobernanza de datos con suficiente antelación al plazo aplicable, ya que la corrección de los conjuntos de datos de entrenamiento y la adquisición de datos de terceros conformes pueden requerir un tiempo de preparación considerable.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
El Artículo 10 exige a los proveedores de sistemas de IA de alto riesgo que implementen prácticas de gobernanza y gestión de datos que cubran los conjuntos de datos de entrenamiento, validación y prueba. Esto incluye garantizar que los conjuntos de datos sean pertinentes, representativos, libres de errores y completos en relación con la finalidad prevista. Los proveedores también deben examinar los datos en busca de posibles sesgos y documentar las decisiones de recopilación y procesamiento de datos.
El Artículo 10 se aplica a los proveedores — personas físicas o jurídicas que desarrollan o hacen desarrollar sistemas de IA de alto riesgo para su comercialización o puesta en servicio bajo su propio nombre o marca. Abarca cualquier sistema de IA de alto riesgo enumerado en el Anexo III o en los anexos de sectores regulados, independientemente de si el proveedor está establecido dentro o fuera de la UE.
Existen excepciones limitadas para los modelos de código abierto, pero los proveedores que comercializan sistemas de IA de alto riesgo en el mercado de la UE utilizando componentes de código abierto siguen siendo responsables del cumplimiento del Artículo 10 con respecto a los datos de entrenamiento, validación y prueba que utilizan o curan para ese sistema.
El Artículo 10 se aplica a los sistemas de IA de alto riesgo en virtud del Anexo III (excluidas las entidades de crédito) a partir del 2 de agosto de 2026. Para los sistemas de IA de alto riesgo regulados en virtud de la legislación específica de armonización de la Unión enumerada en el Anexo I, el plazo se extiende hasta el 2 de agosto de 2027. Las autoridades nacionales de vigilancia del mercado asumieron sus responsabilidades de supervisión el 2 de agosto de 2025.
El reglamento no define un umbral estadístico fijo. Los proveedores deben demostrar, mediante análisis documentado, que los datos de entrenamiento cubren las condiciones geográficas, demográficas, contextuales y operativas previstas del despliegue. Las brechas de representación deben identificarse, evaluarse en cuanto al riesgo de sesgo y mitigarse mediante medidas técnicas o salvaguardas compensatorias documentadas en el expediente técnico.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.