Artículo 20 del Reglamento (UE) 2024/1689 — Acciones correctoras y deber de información. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.
Resumen del texto oficial
El Artículo 20 del Reglamento (UE) 2024/1689 establece una obligación de acción correctora y un deber de información obligatorios para los proveedores de sistemas de IA de alto riesgo. Cuando un proveedor tenga motivos para creer que un sistema de IA de alto riesgo que ha comercializado o puesto en servicio ya no cumple los requisitos establecidos en el Capítulo 2 del Título III, dicho proveedor debe adoptar inmediatamente las acciones correctoras necesarias para restablecer la conformidad del sistema, retirarlo del mercado o recuperarlo, según corresponda.
El proveedor está simultáneamente obligado a informar a los distribuidores del sistema y, cuando proceda, al representante autorizado, a los responsables del despliegue y a cualquier otra tercera parte pertinente sobre la no conformidad y las medidas correctoras adoptadas. Cuando el sistema de IA presente un riesgo en el sentido del Artículo 79(1), el proveedor debe notificar también inmediatamente a las autoridades nacionales competentes de los Estados miembros en los que haya puesto el sistema a disposición y, cuando proceda, al organismo notificado que haya expedido un certificado para el sistema, facilitando detalles sobre la no conformidad y las acciones correctoras emprendidas.
El artículo combina, por tanto, dos obligaciones distintas pero vinculadas: una obligación operativa de actuar y restablecer la conformidad, y una obligación informativa de garantizar que todos los actores de la cadena de suministro y despliegue —incluidas las autoridades de vigilancia del mercado— sean informados de la situación y de las medidas que se están adoptando para abordarla. Esta estructura dual garantiza que los riesgos no queden aislados en la organización del proveedor, sino que se pongan de manifiesto con prontitud en todo el ecosistema regulador y comercial.
Lo que esto significa en la práctica
Para las organizaciones que desarrollan o comercializan sistemas de IA de alto riesgo en el mercado de la UE, el Artículo 20 crea una obligación permanente que está activa de manera continua a lo largo de todo el ciclo de vida del sistema. El cumplimiento no puede tratarse como un ejercicio puntual limitado a la evaluación de conformidad inicial.
A quién afecta: A cualquier proveedor de un sistema de IA de alto riesgo dentro del ámbito del Annex III, o de sistemas sujetos a las normas de clasificación de alto riesgo del Artículo 6. Esto incluye a fabricantes, importadores que comercializan un sistema de terceros en el mercado de la UE bajo su propio nombre, y personas jurídicas en terceros países cuyos sistemas se utilizan en la UE a través de un representante autorizado.
Qué activa la obligación: El umbral es tener «motivos para creer» —un estándar probatorio deliberadamente bajo—. Un proveedor no necesita tener certeza de la no conformidad; una base creíble de preocupación, ya sea derivada de datos internos de supervisión poscomercialización, del informe de un responsable del despliegue, de una reclamación de un usuario o de una consulta de un regulador, es suficiente para activar la obligación.
Ejemplo concreto: Un proveedor de un sistema de IA de alto riesgo utilizado en la calificación crediticia detecta, a través de su proceso de supervisión poscomercialización (requerido en virtud del Artículo 72), que la precisión del sistema ha disminuido significativamente para un grupo demográfico protegido, lo que plantea una posible vulneración de los requisitos de sesgo y solidez previstos en los Artículos 9 y 15. En virtud del Artículo 20, el proveedor debe evaluar con prontitud las opciones correctoras (reentrenamiento, ajuste de parámetros, suspensión temporal), implementar la acción elegida, notificar a todos los responsables del despliegue que utilizan actualmente el sistema e informar a la autoridad nacional de vigilancia del mercado pertinente si la degradación constituye un riesgo en el sentido del Artículo 79(1).
Documentación: Todas las acciones correctoras y notificaciones deben registrarse en la documentación técnica mantenida en virtud del Artículo 18 y en los registros conservados en virtud del Artículo 19, ya que estos serán las pruebas principales que examinarán las autoridades.
Obligaciones clave
- Acción correctora inmediata: Adoptar todas las medidas necesarias para restablecer la conformidad, retirar el sistema del mercado o recuperarlo de los responsables del despliegue y los usuarios, de manera proporcional a la naturaleza y gravedad de la no conformidad identificada.
- Notificación a la cadena de suministro: Informar a los distribuidores, representantes autorizados y responsables del despliegue sobre la no conformidad y las acciones correctoras adoptadas, sin demora injustificada.
- Notificación a las autoridades: Cuando la no conformidad presente un riesgo en el sentido del Artículo 79(1), notificar a las autoridades de vigilancia del mercado competentes de todos los Estados miembros afectados y a cualquier organismo notificado que haya expedido un certificado para el sistema.
- Suministro de información: Proporcionar a las autoridades nacionales y a los organismos notificados todos los detalles sobre la no conformidad, sus posibles consecuencias y las medidas correctoras implementadas o previstas.
- Vigilancia continua: Mantener los sistemas de supervisión poscomercialización requeridos en virtud del Artículo 72 para garantizar que las circunstancias que dan lugar a la no conformidad se detecten con prontitud y no persistan sin respuesta.
- Documentación de las acciones: Registrar todas las decisiones correctoras, las notificaciones emitidas y las comunicaciones con las autoridades como parte de las obligaciones técnicas y de gestión de calidad en curso previstas en los Artículos 17, 18 y 19.
Relación con otros artículos
El Artículo 20 se sitúa en el núcleo operativo de las obligaciones del proveedor a lo largo del ciclo de vida y se conecta con otras disposiciones.
Es anterior al Artículo 73 (notificación de incidentes graves), que se aplica específicamente cuando un sistema de IA de alto riesgo causa o contribuye a un incidente grave; los dos regímenes pueden activarse simultáneamente y deben gestionarse en paralelo. Es posterior al Artículo 72 (supervisión poscomercialización), que es el mecanismo principal a través del cual los proveedores detectarán las no conformidades que activan el Artículo 20.
La obligación de acción correctora también está estrechamente vinculada al Artículo 9 (sistema de gestión de riesgos) y a los Artículos 15 y 17 (precisión, solidez y gestión de la calidad), ya que la adecuación de esos sistemas determinará si la no conformidad se detecta y se subsana de manera oportuna. El Artículo 26 crea un deber complementario para los responsables del despliegue de informar de las posibles no conformidades a los proveedores, convirtiéndolos en una fuente importante de información aguas arriba que alimenta el mecanismo de activación del Artículo 20. Por último, el Artículo 21 aborda las obligaciones de cooperación de los proveedores una vez que las autoridades han intervenido formalmente, y debe leerse como la contrapartida de ejecución reglamentaria del deber de acción correctora voluntaria previsto en el Artículo 20.
Calendario de cumplimiento
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024 (veinte días después de su publicación en el Diario Oficial el 12 de julio de 2024). El Artículo 20 se encuadra en el Título III, Capítulo 3 y se aplica a los sistemas de IA de alto riesgo. El calendario de aplicación por fases es el siguiente:
- Febrero de 2025: Las disposiciones sobre prácticas de IA prohibidas (Título II) pasaron a ser aplicables.
- Agosto de 2025: Las normas sobre modelos de IA de uso general (Título VIII, Capítulo 2) pasaron a ser aplicables.
- Agosto de 2026: Las obligaciones para los sistemas de IA de alto riesgo enumerados en el Annex III utilizados por autoridades públicas pasaron a ser aplicables.
- Diciembre de 2026 (plazo principal para sistemas de alto riesgo): El conjunto completo de obligaciones del Título III —incluido el Artículo 20— pasó a ser aplicable a los proveedores de sistemas de IA de alto riesgo cubiertos por el Annex III. Los proveedores cuyos sistemas ya estaban en el mercado antes de esta fecha se beneficiaron de un período transitorio, pero ahora deben cumplir plenamente.
- Agosto de 2027: Plazo ampliado para determinados sistemas de IA de alto riesgo que son componentes de sistemas informáticos de gran escala de la UE o que están sujetos a normas armonizadas aún no publicadas en el momento de la entrada en vigor.
Para la mayoría de los proveedores de sistemas de IA de alto riesgo del Annex III, el Artículo 20 es plenamente aplicable a partir de diciembre de 2026, y los procesos de acción correctora e información ya deben estar operativos.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
El Artículo 20 se activa cuando un proveedor tiene motivos para creer que un sistema de IA de alto riesgo que ha comercializado o puesto en servicio ya no cumple los requisitos del Capítulo 2 del Título III. Esto incluye situaciones en las que la no conformidad es identificada por el propio proveedor, notificada por un responsable del despliegue, o detectada a través de actividades de supervisión poscomercialización.
Los proveedores deben notificar a las autoridades nacionales de vigilancia del mercado competentes de los Estados miembros en los que hayan puesto el sistema a disposición, así como a cualquier organismo notificado que haya participado en la evaluación de la conformidad, a los distribuidores y a los responsables del despliegue del sistema de IA de alto riesgo afectado. La notificación debe incluir tanto la no conformidad identificada como las acciones correctoras adoptadas.
El Artículo 20 impone la obligación principal a los proveedores. Sin embargo, los responsables del despliegue tienen un deber complementario en virtud del Artículo 26 de informar a los proveedores cuando tengan motivos para creer que el uso de un sistema de IA de alto riesgo presenta un riesgo o que el sistema ya no cumple los requisitos. El Artículo 20 y el Artículo 26 funcionan, por tanto, en tándem a lo largo de la cadena de suministro.
Las acciones correctoras incluyen restaurar la conformidad del sistema de IA, retirarlo del mercado, recuperarlo de los responsables del despliegue y los usuarios, y deshabilitar el acceso al sistema cuando sea técnicamente factible. La acción adecuada depende de la naturaleza y la gravedad de la no conformidad y del riesgo que presente para la salud, la seguridad o los derechos fundamentales.
El Artículo 20 aborda la no conformidad estructural con los requisitos del Capítulo 2, mientras que el Artículo 73 regula específicamente la notificación de incidentes graves. En la práctica, un incidente grave puede revelar una no conformidad sistémica que active simultáneamente el deber de acción correctora del Artículo 20. Los proveedores deben gestionar ambas obligaciones en paralelo cuando los hechos así lo justifiquen.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.