Artículo 22 — Representantes autorizados de proveedores establecidos fuera de la Unión (Reglamento de IA de la UE)

Artículo 22 del Reglamento (UE) 2024/1689 — Representantes autorizados de proveedores establecidos fuera de la Unión. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 22 del Reglamento (UE) 2024/1689 establece un mecanismo de acceso obligatorio para los proveedores de sistemas de IA de alto riesgo y modelos de IA de uso general que estén establecidos en terceros países pero que comercialicen dichos sistemas o modelos en el mercado de la Unión o los pongan en servicio dentro de la Unión.

Dichos proveedores deben, antes de poner a disposición su sistema de IA o modelo GPAI en la UE, designar —mediante mandato por escrito— a un representante autorizado establecido en la Unión. El mandato debe habilitar a ese representante para llevar a cabo un conjunto definido de tareas en nombre del proveedor: verificar que la declaración de conformidad de la UE y la documentación técnica requerida hayan sido elaboradas correctamente; garantizar el registro en la base de datos de la UE mencionada en el Artículo 71; y actuar como único punto de contacto identificable para la Oficina de IA y para las autoridades nacionales competentes en todos los asuntos relacionados con el cumplimiento del Reglamento.

El representante autorizado debe figurar en la información de registro obligatorio y debe tener acceso a documentación suficiente que le permita cumplir sus obligaciones. El representante opera bajo un deber continuo de cooperar con las autoridades competentes y de alertar al proveedor de inmediato ante cualquier riesgo o incumplimiento identificado. Cabe destacar que la designación de un representante autorizado no exime al proveedor del tercer país de sus propias obligaciones en virtud del Reglamento; ambas partes tienen responsabilidades distintas, y la responsabilidad del representante surge específicamente de las tareas atribuidas en el mandato.

Lo que esto significa en la práctica

El Artículo 22 funciona como el equivalente del Reglamento de IA de la UE de los conceptos de «persona responsable» o «representante autorizado» ya conocidos en la legislación de seguridad de productos, como el Reglamento de dispositivos médicos y el Reglamento general de seguridad de productos. Su efecto práctico es garantizar que siempre haya una entidad jurídicamente identificable con presencia física dentro de la UE que sea accesible para los reguladores, independientemente de dónde esté ubicada la sede del desarrollador del sistema de IA.

A quién afecta. Cualquier empresa no perteneciente a la UE —ya sea un desarrollador de modelos de base con sede en EE. UU., una empresa de software robótico con sede en Singapur o un proveedor de tecnología de recursos humanos con sede en el Reino Unido— que ofrezca un sistema de IA de alto riesgo o un modelo GPAI a clientes, responsables del despliegue o usuarios de la UE debe establecer esta estructura. Esto incluye a las empresas que distribuyen a través de revendedores de la UE o mercados en la nube: la obligación recae sobre el proveedor, no sobre el canal de distribución.

Qué debe hacerse. El proveedor debe identificar a una persona física o jurídica con sede en un Estado miembro de la UE, celebrar un mandato por escrito en el que se especifiquen las tareas autorizadas del representante, garantizar que el representante tenga copias (o acceso seguro) de la documentación técnica pertinente y las declaraciones de conformidad, y registrar los datos del representante en la base de datos de la UE en virtud del Artículo 71.

Ejemplo concreto. Una empresa canadiense que desarrolla una herramienta de calificación crediticia basada en IA clasificada como de alto riesgo en virtud del Annex III debe contratar a un bufete de abogados, una consultora de cumplimiento normativo o una filial con personalidad jurídica propia establecida en la UE como su representante autorizado antes de incorporar a cualquier banco de la UE como cliente. El nombre, la dirección y los datos de contacto de ese representante figuran en la base de datos de la UE y en la documentación del producto, lo que proporciona a las autoridades de vigilancia del mercado francesas o alemanas un punto de contacto doméstico inmediato.

Obligación continua. El mandato no es un trámite puntual. El representante debe mantenerse localizable, mantener la documentación actualizada y escalar cualquier no conformidad identificada al proveedor con prontitud.

Obligaciones clave

• Mandato por escrito obligatorio. El proveedor debe otorgar al representante autorizado un mandato formal por escrito antes de comercializar el sistema de IA de alto riesgo o el modelo GPAI en el mercado de la UE, especificando explícitamente qué tareas está facultado para llevar a cabo el representante en nombre del proveedor.
• Requisito de establecimiento en la UE. El representante autorizado debe ser una persona física o jurídica establecida dentro de la Unión Europea; un representante establecido en un tercer país —incluidos los Estados del EEE-AELC no cubiertos por un acuerdo de equivalencia— no satisface este requisito.
• Acceso y verificación de la documentación. El representante debe verificar que la declaración de conformidad de la UE y la documentación técnica requerida en virtud de los Artículos 11 y 18 hayan sido elaboradas correctamente, y debe mantener el acceso a esos documentos durante la vigencia del mandato.
• Registro en la base de datos de la UE. El representante es responsable de garantizar que la información del proveedor —incluidos sus propios datos de contacto— esté registrada en la base de datos de la UE mencionada en el Artículo 71 y de que el registro se mantenga actualizado.
• Punto de contacto para las autoridades. El representante autorizado actúa como punto de contacto principal para la Oficina de IA y las autoridades nacionales competentes en todas las consultas de cumplimiento, vigilancia del mercado y ejecución relacionadas con el sistema de IA o el modelo GPAI en el ámbito de aplicación.
• Deber de alerta y cooperación. El representante debe informar con prontitud al proveedor de cualquier riesgo para la salud, la seguridad o los derechos fundamentales, o de cualquier sospecha de incumplimiento que llegue a su conocimiento, y debe cooperar plenamente con las autoridades competentes cuando así se le solicite, facilitando documentación y acceso a los registros.

Relación con otros artículos

El Artículo 22 opera dentro del marco más amplio del Capítulo 3 que regula las obligaciones de proveedores y responsables del despliegue, y debe leerse junto con otras disposiciones.

El Artículo 16 establece la lista completa de obligaciones aplicables a los proveedores de sistemas de IA de alto riesgo; el Artículo 22 delega efectivamente la ejecución nacional de esas obligaciones en el representante autorizado cuando el proveedor está establecido fuera de la UE.

Los Artículos 11 y 18 definen las obligaciones de documentación técnica y mantenimiento de registros que el representante debe verificar que se han cumplido antes de que el sistema se comercialice.

El Artículo 71 establece la base de datos de la UE en la que deben registrarse los datos del representante, lo que convierte al Artículo 22 en un requisito previo para el registro lícito por parte de proveedores de terceros países.

El Artículo 53 regula las obligaciones específicas de los proveedores de modelos de IA de uso general; el Artículo 22 extiende el requisito de representante autorizado a esta categoría, reforzando que los proveedores de GPAI fuera de la UE se enfrentan a obligaciones de acceso al mercado equivalentes.

Los Artículos 74 y 75 sobre vigilancia del mercado se sirven directamente del Artículo 22: las autoridades competentes ejercen sus poderes supervisores frente al representante autorizado como punto de anclaje doméstico de ejecución cuando el proveedor real no es accesible.

Calendario de cumplimiento

El Reglamento de IA de la UE (Reglamento 2024/1689) entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial. La aplicación es escalonada:

• 2 de febrero de 2025 — Las disposiciones sobre prácticas de IA prohibidas (Artículo 5) pasaron a ser aplicables. El Artículo 22 no se aplica de forma aislada en esta fase, pero los proveedores ya deben estar evaluando si sus sistemas se encuadran en el ámbito de los sistemas de alto riesgo o GPAI.
• 2 de agosto de 2025 — Las obligaciones aplicables a los modelos de IA de uso general (Título V, incluido el Artículo 53) pasan a ser aplicables. Dado que el Artículo 22 cubre explícitamente a los proveedores de modelos GPAI, los proveedores de GPAI de terceros países deben tener su representante autorizado en vigor en esta fecha.
• 2 de diciembre de 2026 — Los sistemas de IA de alto riesgo enumerados en el Annex III que ya estén sujetos a la legislación de seguridad de productos de la UE existente deben cumplir la cadena completa de obligaciones del proveedor, incluidos los requisitos de representante autorizado del Artículo 22.
• 2 de agosto de 2027 — Todos los sistemas de IA de alto riesgo restantes enumerados en el Annex III pasan a estar sujetos al conjunto completo de obligaciones. Los proveedores de terceros países de esos sistemas que aún no hayan designado un representante autorizado incurrirán en infracción a partir de esta fecha.

Los proveedores que comercializan sistemas de alto riesgo en el mercado de la UE por primera vez después del 2 de agosto de 2024 deben tratar el requisito de representante autorizado como un requisito previo de acceso al mercado desde el principio, en lugar de esperar a la fecha de aplicación pertinente para su categoría de sistema.