Artículo 16 — Obligaciones de los proveedores de sistemas de IA de alto riesgo (Reglamento IA de la UE)

Artículo 16 del Reglamento (UE) 2024/1689 — Obligaciones de los proveedores de sistemas de IA de alto riesgo. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 16 del Reglamento (UE) 2024/1689 (el Reglamento IA de la UE) establece el conjunto exhaustivo de obligaciones que los proveedores de sistemas de IA de alto riesgo deben cumplir antes de comercializar sus sistemas o ponerlos en servicio. El artículo funciona como el punto de anclaje central para las responsabilidades de los proveedores dentro del Título III, Capítulo 3.

En virtud del Artículo 16, los proveedores deben garantizar que sus sistemas de IA de alto riesgo cumplen todos los requisitos establecidos en el Capítulo 2 del Título III, que abarca la gestión de riesgos (Artículo 9), los datos y la gobernanza de datos (Artículo 10), la documentación técnica (Artículo 11), el mantenimiento de registros (Artículo 12), la transparencia y la provisión de información (Artículo 13), la supervisión humana (Artículo 14), y la exactitud, solidez y ciberseguridad (Artículo 15).

Más allá del cumplimiento del Capítulo 2, el Artículo 16 impone obligaciones administrativas y procedimentales específicas. Los proveedores deben establecer un sistema de gestión de la calidad de conformidad con el Artículo 17, elaborar la documentación técnica especificada en el Annex IV, y cuando proceda someterse a un procedimiento de evaluación de conformidad antes de colocar el marcado CE. Deben registrar sus sistemas en la base de datos de la UE establecida en virtud del Artículo 71 cuando sea obligatorio, cooperar con las autoridades nacionales competentes a petición de estas, y conservar toda la documentación pertinente durante un período de diez años tras la comercialización o puesta en servicio del sistema. Los proveedores establecidos fuera de la UE deben designar un representante autorizado dentro de la Unión de conformidad con el Artículo 22.

Qué significa esto en la práctica

Para las organizaciones que desarrollan o encargan sistemas de IA de alto riesgo, el Artículo 16 se traduce en un programa de cumplimiento previo a la comercialización estructurado que debe completarse antes de cualquier despliegue o lanzamiento comercial.

Los desarrolladores y proveedores que crean sistemas de IA incluidos en las categorías de alto riesgo definidas en el Annex III — que abarcan áreas como la identificación biométrica, las infraestructuras críticas, la educación, el empleo, los servicios esenciales, la aplicación de la ley, la migración y la administración de justicia — deben tratar el Artículo 16 como su lista de verificación principal de cumplimiento. Antes del lanzamiento, deben disponer de un sistema de gestión de la calidad documentado, haber completado una evaluación de conformidad (autoevaluada o de terceros, según la categoría), haber colocado el marcado CE y haber registrado el producto en la base de datos del Reglamento IA de la UE.

Un ejemplo concreto: una empresa de software que ofrece una herramienta de selección de currículos basada en IA a los departamentos de recursos humanos se incluye en el Annex III, punto 4 (empleo y gestión de trabajadores). Antes de comercializar esta herramienta, la empresa debe documentar su proceso de gestión de riesgos, demostrar la calidad de sus datos de entrenamiento, proporcionar documentación técnica que permita a los reguladores evaluar el cumplimiento, implementar mecanismos de supervisión humana y registrar el sistema. Si la empresa tiene su sede fuera de la UE, debe designar un representante autorizado con sede en la UE.

Las obligaciones continuas persisten tras el despliegue. Los proveedores deben mantener registros, supervisar el rendimiento poscomercialización en virtud del Artículo 72, informar de incidentes graves en virtud del Artículo 73, y actualizar la documentación técnica cuando el sistema sufra modificaciones sustanciales. El cumplimiento no es un evento único, sino una responsabilidad operativa continua.

Los proveedores que trabajan en sectores de productos regulados — como dispositivos médicos o maquinaria — deben además cumplir los requisitos de conformidad sectoriales específicos que interactúan con el Reglamento IA en virtud del Annex I.

Obligaciones clave

• Garantizar el cumplimiento del Capítulo 2: Verificar que el sistema de IA de alto riesgo cumple todos los requisitos técnicos y de gobernanza (Artículos 8–15) antes de su comercialización, incluida la gestión de riesgos, la gobernanza de datos, la transparencia, la supervisión humana y la solidez.
• Establecer un sistema de gestión de la calidad: Implementar un SGC documentado de conformidad con el Artículo 17, que abarque políticas, procedimientos, evaluación de conformidad, vigilancia poscomercialización y flujos de trabajo de notificación de incidentes.
• Elaborar y mantener la documentación técnica: Preparar y mantener actualizada la documentación técnica especificada en el Annex IV, demostrando el cumplimiento a las autoridades nacionales competentes y a los organismos notificados a petición de estos.
• Someterse a la evaluación de conformidad y colocar el marcado CE: Completar el procedimiento de evaluación de conformidad aplicable (autoevaluación o de terceros) y colocar el marcado CE antes de comercializar el sistema o ponerlo en servicio en la UE.
• Registrarse en la base de datos de la UE: Inscribir el sistema en la base de datos de la UE para sistemas de IA de alto riesgo establecida en virtud del Artículo 71, cuando el registro sea obligatorio para la categoría pertinente.
• Conservar registros durante diez años y cooperar con las autoridades: Conservar toda la documentación técnica, las declaraciones de conformidad y los registros aplicables durante al menos diez años; responder a las solicitudes de información de las autoridades nacionales de supervisión y vigilancia del mercado; designar un representante autorizado en la UE si el proveedor no está establecido en la Unión.

Relación con otros artículos

El Artículo 16 no puede leerse de forma aislada. Es la obligación de acceso que activa y hace referencia a prácticamente todos los demás requisitos dirigidos a los proveedores en el Título III.

Los requisitos técnicos sustantivos que el Artículo 16 exige a los proveedores que satisfagan se encuentran en los Artículos 8 a 15 (Capítulo 2). El sistema de gestión de la calidad que exige está desarrollado en el Artículo 17. Las especificaciones de la documentación técnica aparecen en el Annex IV, al que hace referencia el Artículo 11. Los procedimientos de evaluación de conformidad activados por el Artículo 16 se detallan en el Artículo 43, con las normas de declaración de conformidad en el Artículo 47 y las normas del marcado CE en el Artículo 48.

Las obligaciones de vigilancia poscomercialización que extienden el alcance del Artículo 16 más allá de la comercialización inicial se establecen en el Artículo 72, con la notificación de incidentes graves en el Artículo 73. Los representantes autorizados — requeridos para los proveedores no comunitarios en virtud del Artículo 16 — se rigen por el Artículo 22. Las circunstancias en las que los importadores y distribuidores asumen obligaciones de proveedor se especifican en el Artículo 24. Por último, el requisito de registro en la base de datos de la UE se conecta con el Artículo 71. Las autoridades nacionales competentes que hacen cumplir las obligaciones del Artículo 16 actúan en el marco establecido en los Artículos 70 y 74.

Calendario de cumplimiento

El Reglamento IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial. Sin embargo, sus disposiciones se aplican de forma gradual:

• 2 de febrero de 2025: Las prohibiciones sobre prácticas de IA de riesgo inaceptable (Artículo 5) pasaron a ser exigibles.
• 2 de agosto de 2025: Las obligaciones relativas a los modelos de IA de uso general (Título VIII, Artículos 51–56) pasaron a ser aplicables.
• 2 de agosto de 2026: Las obligaciones del Artículo 16 pasan a ser exigibles para los sistemas de IA de alto riesgo incluidos en el Annex III (sistemas de IA autónomos en áreas como el empleo, la educación, los servicios esenciales, la biometría y la aplicación de la ley).
• 2 de agosto de 2027: Las obligaciones del Artículo 16 pasan a ser exigibles para los sistemas de IA de alto riesgo cubiertos por el Annex I (componentes de seguridad de productos ya regulados por la legislación sectorial de la UE existente, como dispositivos médicos, maquinaria y aviación civil).

Los proveedores no deben esperar hasta estas fechas de ejecución para comenzar la preparación. Construir un sistema de gestión de la calidad, compilar la documentación técnica y completar las evaluaciones de conformidad son procesos que consumen muchos recursos. Se aconseja a las organizaciones que comercializan sistemas del Annex III que estén operativamente en cumplimiento a más tardar a mediados de 2026, con análisis de brechas y programas de corrección iniciados a más tardar a principios de 2025.