Artículo 21 — Cooperación con las autoridades competentes (Reglamento de IA de la UE)

Artículo 21 del Reglamento (UE) 2024/1689 — Cooperación con las autoridades competentes. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 21 del Reglamento (UE) 2024/1689 (el Reglamento de IA de la UE) establece una obligación general para los proveedores de sistemas de IA de alto riesgo de cooperar con las autoridades nacionales competentes cuando así se les solicite. En virtud de esta disposición, los proveedores —y, cuando proceda, sus representantes autorizados— deben suministrar a las autoridades competentes toda la información y documentación necesaria para demostrar que el sistema de IA de alto riesgo en cuestión cumple los requisitos establecidos en el Capítulo 2 del Título III. Esta obligación de cooperación se extiende a facilitar el acceso al propio sistema de IA cuando la autoridad competente considere dicho acceso necesario para cumplir sus funciones de supervisión o vigilancia del mercado.

El artículo opera dentro del marco más amplio de vigilancia del mercado del Reglamento y debe leerse en conjunción con las competencias de ejecución conferidas a las autoridades nacionales en virtud del Título X. No crea una obligación de divulgación proactiva en el curso ordinario de los negocios; más bien, se activa ante una solicitud formal o informal de un organismo supervisor. La obligación es incondicional en su alcance: los proveedores no pueden negarse a cooperar alegando confidencialidad comercial, secreto empresarial o preocupaciones sobre propiedad intelectual, aunque el Reglamento establece salvaguardias separadas para el tratamiento de información confidencial por parte de las autoridades. El Artículo 21 funciona efectivamente como el puente entre las obligaciones de conformidad impuestas a los proveedores y la capacidad de ejecución de la infraestructura reguladora establecida por los Estados miembros y la Oficina Europea de Inteligencia Artificial.

Lo que esto significa en la práctica

Para los proveedores de sistemas de IA de alto riesgo, el Artículo 21 exige que se mantenga en todo momento una postura de cumplimiento estructurada y lista para auditoría —no solo en el momento de la evaluación de conformidad—. Cuando una autoridad nacional de vigilancia del mercado, un organismo notificado que actúe por delegación o la Oficina Europea de IA inicie una investigación, el proveedor debe estar en condiciones de responder con prontitud con documentación técnica completa, resultados de evaluaciones de conformidad, registros de gestión de riesgos y datos de supervisión poscomercialización.

A quién afecta. Los proveedores que comercializan sistemas de IA de alto riesgo (enumerados en el Annex III o cubiertos por la legislación sectorial del Annex I) en el mercado de la UE son los principales obligados. Los representantes autorizados que actúan en nombre de proveedores de terceros países tienen la misma obligación dentro de su mandato. Los responsables del despliegue no son los destinatarios principales del Artículo 21, pero pueden verse implicados en procedimientos de cooperación cuando las autoridades requieran sus datos operativos o el acceso al sistema desplegado.

Ejemplos concretos. Un fabricante de dispositivos médicos que integra una herramienta de diagnóstico basada en IA debe, previa solicitud, entregar el expediente técnico completo, incluidas las descripciones de los datos de entrenamiento, los protocolos de validación y los registros de supervisión posdespliegue. Un reclutador que despliega una herramienta de selección de currículos asistida por IA clasificada como de alto riesgo en virtud del Annex III debe facilitar a las autoridades el acceso a la lógica de decisión del sistema y a los parámetros de configuración si se abre una investigación.

Preparación operativa. Las organizaciones deben designar una función de enlace regulatorio, mantener documentación técnica con control de versiones y establecer un protocolo interno para las solicitudes de las autoridades, que incluya plazos de revisión jurídica que no obstaculicen la cooperación oportuna.

Obligaciones clave

• Suministrar documentación previa solicitud. Los proveedores deben facilitar a las autoridades competentes toda la información y documentación técnica necesaria para evaluar el cumplimiento del Capítulo 2 del Título III, incluido el expediente técnico requerido en virtud del Artículo 11 y los registros mantenidos en virtud del Artículo 12.
• Facilitar el acceso al sistema de IA. Cuando una autoridad competente determine que la inspección del sistema de IA o la interacción con él es necesaria, los proveedores deben facilitar dicho acceso sin demora ni obstaculización injustificadas.
• Cooperar a través de representantes autorizados. Los proveedores de terceros países deben asegurarse de que su representante autorizado establecido en la UE esté facultado para cumplir plenamente las obligaciones de cooperación en su nombre, tal como exige el Artículo 22.
• Mantener la información en forma recuperable. La utilidad práctica del Artículo 21 depende de que la documentación esté actualizada, sea precisa y recuperable. Los proveedores no deben permitir que los registros técnicos queden obsoletos o inaccesibles en el momento en que se reciba una solicitud.
• Abstenerse de obstaculizar. Cualquier acto u omisión que impida, retrase o frustre una investigación supervisora —incluida la divulgación selectiva, la destrucción de registros o la retención de credenciales de acceso— constituye una infracción del Artículo 21 y puede dar lugar a sanciones en virtud del Artículo 99.
• Extender la cooperación a las actividades de vigilancia poscomercialización. La cooperación en virtud del Artículo 21 no se limita a las comprobaciones de conformidad previas a la comercialización; abarca la supervisión continua a lo largo de todo el ciclo de vida del sistema de IA de alto riesgo.

Relación con otros artículos

El Artículo 21 se sitúa en la intersección de las obligaciones del proveedor y la ejecución reguladora, y no puede leerse de forma aislada. Depende directamente del Artículo 11 (documentación técnica) y del Artículo 12 (mantenimiento de registros y registro en el diario), ya que esas disposiciones definen el conjunto de información que un proveedor debe poder suministrar. Se conecta con el Artículo 17 (sistema de gestión de calidad), que regula los procesos organizativos que sustentan la disponibilidad documental. El Artículo 22 (representantes autorizados) operacionaliza el Artículo 21 para los proveedores de terceros países al designar quién asume las obligaciones de cooperación en la UE. En el ámbito de la ejecución, el Artículo 21 alimenta el régimen de vigilancia del mercado del Título X (Artículos 74-76), las competencias de la Oficina Europea de IA en virtud del Título VIII y el marco sancionador del Artículo 99, que impone sanciones por incumplimiento de la cooperación. El Artículo 9 (gestión de riesgos) también es pertinente, ya que las autoridades pueden investigar si los registros de identificación y mitigación de riesgos son adecuados. La lectura del Artículo 21 junto con los Artículos 13 (transparencia) y 14 (supervisión humana) ofrece una visión completa del entorno informativo que los proveedores deben mantener.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial. Sus disposiciones se aplican de forma escalonada:

• 2 de febrero de 2025 — Las prohibiciones sobre prácticas de IA de riesgo inaceptable (Título II) pasaron a ser aplicables. El propio Artículo 21 aún no estaba en vigor para los sistemas de alto riesgo.
• 2 de agosto de 2025 — Las disposiciones sobre modelos de IA de uso general (Título VIII) y las obligaciones de la Oficina Europea de IA pasaron a ser aplicables.
• 2 de agosto de 2026 — El Artículo 21, junto con el conjunto completo de obligaciones del Título III para los sistemas de IA de alto riesgo enumerados en el Annex III (excepto los cubiertos por legislación sectorial anterior), pasa a ser aplicable. Los proveedores cuyos sistemas se encuadren en esta categoría deben estar plenamente preparados para la cooperación en esta fecha.
• 2 de agosto de 2027 — Los sistemas de IA de alto riesgo regulados por la legislación de armonización de la Unión enumerada en el Annex I (por ejemplo, dispositivos médicos, maquinaria, aviación) que ya estén sujetos a procedimientos de evaluación de conformidad disponen hasta esta fecha antes de que las obligaciones completas de la IA de alto riesgo del Reglamento de IA, incluido el Artículo 21, se apliquen a los productos existentes.

Los proveedores deben tratar el período previo a su fecha de aplicación correspondiente no como un período de gracia, sino como tiempo de implementación: la documentación técnica, la infraestructura de registro y los protocolos internos de cooperación deben estar operativos con suficiente antelación al plazo.