Artículo 19 — Registros generados automáticamente (Reglamento IA de la UE)

Artículo 19 del Reglamento (UE) 2024/1689 — Registros generados automáticamente. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 19 del Reglamento (UE) 2024/1689 establece una obligación de registro que opera en dos niveles: una obligación en el momento del diseño para los proveedores y una obligación operativa para los responsables del despliegue.

En el lado del proveedor, el Artículo 19(1) exige que los sistemas de IA de alto riesgo tengan capacidad técnica para generar automáticamente registros de su funcionamiento a lo largo de toda su vida útil. Los proveedores deben incorporar esta capacidad en el sistema en la medida en que sea técnicamente factible, garantizando que los eventos puedan registrarse sin intervención manual. Esto se conecta directamente con el marco más amplio de transparencia y trazabilidad del Título III.

En el lado del responsable del despliegue, el Artículo 19(2) exige que los responsables del despliegue conserven los registros generados automáticamente por los sistemas de IA de alto riesgo que operan. El período mínimo de conservación es de seis meses, a menos que la legislación de la Unión o la legislación aplicable del Estado miembro prescriba un período más largo. La regulación sectorial específica — por ejemplo, en finanzas, atención sanitaria o infraestructuras críticas — frecuentemente superará este mínimo predeterminado.

Los registros contemplados por el Artículo 19 sirven a múltiples propósitos de cumplimiento: apoyan la vigilancia poscomercialización en virtud del Artículo 72, facilitan la notificación de incidentes en virtud del Artículo 73, y proporcionan la base probatoria necesaria para las autoridades nacionales competentes cuando llevan a cabo la vigilancia del mercado en virtud del Capítulo VI. El artículo no prescribe por sí mismo el formato técnico preciso ni la granularidad de los registros, dejando esos detalles para que sean abordados mediante normas armonizadas y los requisitos de documentación técnica del Artículo 11 y el Annex IV.

Qué significa esto en la práctica

Para las organizaciones que despliegan sistemas de IA de alto riesgo, el Artículo 19 introduce una obligación concreta de retención de datos que debe integrarse en los procesos operativos desde el primer día del despliegue.

Los responsables del despliegue deben verificar primero que el sistema de IA que están utilizando tiene capacidad técnica para generar registros automáticamente. Si un proveedor entrega un sistema que carece de esta capacidad cuando es técnicamente factible, el proveedor incumple sus propias obligaciones — pero el responsable del despliegue sigue teniendo la responsabilidad de realizar la diligencia debida adecuada antes del despliegue, según lo exigido por el Artículo 26.

En la práctica, esto significa que los responsables del despliegue deben solicitar a los proveedores documentación clara que confirme que la funcionalidad de registro está presente, describa qué eventos se registran y especifique el formato del registro. Esta documentación debe formar parte de los acuerdos contractuales entre el proveedor y el responsable del despliegue.

Una vez en funcionamiento, los responsables del despliegue deben implementar una política de conservación de registros que cubra al menos seis meses. Para las organizaciones que operan en sectores regulados, esta línea de base casi siempre se amplía: un hospital que despliega una herramienta de diagnóstico asistida por IA deberá alinear la conservación de registros con la legislación sobre historiales médicos; un banco que despliega un sistema de calificación crediticia de IA debe tener en cuenta las normas de mantenimiento de registros de los servicios financieros, que a menudo requieren varios años de conservación.

Los pasos operativos concretos incluyen: designar la responsabilidad del almacenamiento de registros y los controles de acceso, garantizar que los registros sean a prueba de manipulaciones y estén almacenados de forma segura, establecer procesos para recuperar registros con prontitud en respuesta a una solicitud regulatoria o una investigación de incidentes, y documentar la política de conservación dentro del marco de gobernanza de IA más amplio de la organización.

Los registros deben capturar información suficiente para reconstruir las entradas proporcionadas al sistema, los resultados generados, la versión del modelo en uso y el momento de las operaciones — permitiendo una revisión significativa a posteriori.

Obligaciones clave

• Los proveedores deben diseñar e incorporar en los sistemas de IA de alto riesgo la capacidad técnica para generar automáticamente registros de su funcionamiento, en la medida en que sea técnicamente factible, durante la vida útil operativa del sistema.
• Los responsables del despliegue deben conservar los registros generados automáticamente por los sistemas de IA de alto riesgo que operan durante un mínimo de seis meses a partir de la fecha de generación, o más tiempo si así lo exige la legislación aplicable de la Unión o del Estado miembro.
• Los responsables del despliegue deben garantizar que los registros conservados sean accesibles, seguros y puedan ser proporcionados a las autoridades nacionales competentes a petición durante la vigilancia del mercado o las investigaciones de incidentes.
• Los proveedores deben documentar la capacidad de registro de su sistema — incluido lo que se registra, el formato del registro y las limitaciones técnicas conocidas — como parte de la documentación técnica exigida en virtud del Artículo 11 y el Annex IV.
• Cuando la regulación sectorial específica imponga requisitos de conservación más estrictos o más largos, los responsables del despliegue deben aplicar esos requisitos además de, y en lugar de, la línea de base de seis meses.
• Los responsables del despliegue deben garantizar que la infraestructura de registro se mantiene durante todo el período de uso del sistema de IA de alto riesgo, y que la integridad del registro está protegida contra manipulaciones o eliminaciones inadvertidas.

Relación con otros artículos

El Artículo 19 se encuentra en el Capítulo 3 del Título III y debe leerse como parte de un marco integrado de trazabilidad en lugar de una obligación aislada.

Se conecta directamente con el Artículo 12 (Mantenimiento de registros), que exige que los sistemas de IA de alto riesgo sean diseñados para permitir el mantenimiento de registros de su funcionamiento, y con el Artículo 11 y el Annex IV, que especifican qué documentación técnica deben mantener los proveedores, incluidas las descripciones de la capacidad de registro.

El Artículo 19 alimenta el Artículo 72 (Vigilancia poscomercialización), que exige a los proveedores supervisar activamente el rendimiento del sistema sobre el terreno — los registros son la fuente de datos principal para esta supervisión. También apuntala el Artículo 73 (Notificación de incidentes graves), donde los registros proporcionan la base probatoria para comprender lo que ocurrió durante un incidente.

Los registros conservados en virtud del Artículo 19 se encuentran entre los documentos que las autoridades nacionales competentes pueden solicitar cuando ejercen sus poderes de vigilancia del mercado en virtud de los Artículos 74 y 75. Por último, la asignación de responsabilidades entre proveedores y responsables del despliegue articulada en el Artículo 19 refleja el marco más amplio establecido por el Artículo 25 (Responsabilidades a lo largo de la cadena de valor) y el Artículo 26 (Obligaciones de los responsables del despliegue).

Calendario de cumplimiento

El Reglamento IA de la UE entró en vigor el 1 de agosto de 2024, iniciando un calendario de aplicación gradual.

El Artículo 19 se encuentra en el Título III, Capítulo 3, que rige las obligaciones de los proveedores y responsables del despliegue de sistemas de IA de alto riesgo. La fecha general de aplicación para las obligaciones de los sistemas de IA de alto riesgo — incluido el Artículo 19 — es el 2 de agosto de 2026 para los sistemas incluidos en el Annex III (aplicaciones de alto riesgo en áreas como la educación, el empleo, los servicios esenciales y la aplicación de la ley). Para los sistemas de IA de alto riesgo cubiertos por el Annex I (componentes de seguridad de productos regulados por la legislación de armonización de la Unión existente), las obligaciones se aplican a partir del 2 de agosto de 2027, alineadas con la renovación o primera emisión de las evaluaciones de conformidad de productos pertinentes.

Los hitos de aplicación anteriores incluyen la prohibición de las prácticas de IA de riesgo inaceptable (Artículo 5), que se aplicó a partir del 2 de febrero de 2025, y las obligaciones relativas a los modelos de IA de uso general (Título VII), que se aplicaron a partir del 2 de agosto de 2025.

Las organizaciones que despliegan sistemas de IA de alto riesgo deben considerar la fecha del 2 de agosto de 2026 como el plazo de cumplimiento estricto para las obligaciones del Artículo 19, pero deben comenzar a diseñar políticas de conservación de registros, revisar los contratos con los proveedores y alinearse con las leyes de conservación sectoriales específicas con suficiente antelación — la complejidad de la gobernanza de datos empresarial hace que el cumplimiento de última hora sea estructuralmente difícil.