Artículo 23 — Obligaciones de los importadores (Reglamento de IA de la UE)

Artículo 23 del Reglamento (UE) 2024/1689 — Obligaciones de los importadores. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 23 del Reglamento (UE) 2024/1689 (el Reglamento de IA de la UE) establece las obligaciones de cumplimiento que incumben a los importadores de sistemas de IA de alto riesgo. El artículo se encuadra en el Título III, Capítulo 3, que regula las obligaciones de proveedores, responsables del despliegue, importadores y distribuidores.

En virtud del Artículo 23, antes de comercializar un sistema de IA de alto riesgo, el importador debe verificar que:

1. el proveedor ha llevado a cabo el procedimiento de evaluación de conformidad pertinente;
2. el proveedor ha elaborado la documentación técnica requerida por el Annex IV;
3. el sistema lleva el marcado CE requerido y va acompañado de la Declaración de Conformidad de la UE y de las instrucciones de uso;
4. el proveedor ha designado un representante autorizado en la Unión de conformidad con el Artículo 22.

Cuando un importador tenga motivos para creer que un sistema no cumple el Reglamento, tiene prohibido comercializarlo hasta que se establezca la conformidad. Si el sistema presenta un riesgo inaceptable en el sentido del Artículo 6, el importador debe informar al proveedor, al representante autorizado y a las autoridades de vigilancia del mercado pertinentes.

Los importadores también deben garantizar que, mientras un sistema de IA de alto riesgo esté bajo su responsabilidad, las condiciones de almacenamiento y transporte no comprometan su conformidad. Deben indicar su nombre, nombre o marca comercial registrado y dirección postal en el sistema o su embalaje. Por último, los importadores deben conservar una copia de la Declaración de Conformidad de la UE y de la documentación técnica durante diez años y cooperar plenamente con las autoridades competentes.

Lo que esto significa en la práctica

El Artículo 23 tiene implicaciones directas y concretas para cualquier entidad establecida en la UE que obtenga y comercialice en el mercado de la UE un sistema de IA de alto riesgo desarrollado por un proveedor establecido fuera de la Unión.

A quién afecta. Un distribuidor europeo que importa una herramienta de contratación de alto riesgo basada en IA desarrollada por una empresa de software estadounidense es un importador en virtud de este artículo. Del mismo modo, una filial de la UE que comercializa el sistema de diagnóstico médico de IA de alto riesgo de la empresa matriz (de un tercer país) en el mercado europeo será tratada como importador y asumirá las obligaciones descritas a continuación. Por el contrario, si el proveedor no perteneciente a la UE designa un representante autorizado que actúa en su nombre, el papel del importador y las obligaciones asociadas siguen siendo distintos del papel de ese representante.

Qué acciones se requieren antes de comercializar el sistema. Los importadores deben llevar a cabo una revisión de diligencia debida del paquete de cumplimiento del proveedor: deben confirmar que la evaluación de conformidad está completa, revisar la Declaración de Conformidad, verificar el marcado CE y comprobar que la documentación técnica (Annex IV) existe y es accesible. No se trata de un ejercicio superficial de verificación de casillas: si la documentación falta o existen motivos creíbles de duda sobre la conformidad, el importador debe detener el proceso.

Obligaciones continuas. Una vez que el sistema está en el mercado, los importadores deben mantener su propia copia de la declaración y la documentación durante una década, hacer constar sus datos de contacto en el sistema o el embalaje, y notificar los incidentes graves o las no conformidades a las autoridades de vigilancia del mercado. También deben cooperar con cualquier supervisión poscomercialización o investigación solicitada por las autoridades nacionales, y garantizar que cualquier almacenamiento o manipulación logística no deteriore las propiedades de conformidad del sistema.

Un ejemplo práctico: un importador de tecnología sanitaria establecido en la UE que introduce un sistema de triaje impulsado por IA de un tercer país enumerado en el Annex III debe completar la revisión completa de la documentación, confirmar el marcado CE, etiquetar el producto con su dirección en la UE y conservar los registros durante diez años —antes de que se contacte con un solo hospital como cliente—.

Obligaciones clave

• Verificación de conformidad previa a la comercialización. Confirmar que el proveedor ha completado el procedimiento de evaluación de conformidad aplicable en virtud del Artículo 43 y que toda la documentación requerida —expediente técnico (Annex IV) y Declaración de Conformidad de la UE— está disponible y actualizada.
• Comprobación del marcado CE y el etiquetado. Verificar que el sistema de IA de alto riesgo lleva un marcado CE válido y que el nombre, marca o señal comercial propios del importador y su dirección postal figuren en el sistema o en su embalaje o documentación adjunta.
• Prohibición de comercializar sistemas no conformes. Abstenerse de comercializar cualquier sistema de IA de alto riesgo si existen motivos razonables para creer que no cumple el Reglamento o presenta un riesgo inaceptable; notificar al proveedor, al representante autorizado y a las autoridades de vigilancia del mercado pertinentes en consecuencia.
• Conservación de la documentación. Conservar copias de la Declaración de Conformidad de la UE y de la documentación técnica durante diez años a partir de la fecha de comercialización o puesta en servicio, y ponerlas a disposición de las autoridades competentes cuando así se solicite.
• Notificación de incidentes y no conformidades. Informar inmediatamente a las autoridades nacionales de vigilancia del mercado pertinentes y al proveedor si se detecta que un sistema ya comercializado no es conforme o presenta un riesgo, y cooperar con cualquier acción correctora o investigativa requerida.
• Preservación de las condiciones de conformidad. Garantizar que las disposiciones de almacenamiento, manipulación y transporte bajo la responsabilidad del importador no comprometan la conformidad del sistema de IA de alto riesgo con los requisitos establecidos en el Capítulo 2 del Título III.

Relación con otros artículos

El Artículo 23 no puede leerse de forma aislada. Está estrechamente vinculado al Artículo 16 (Obligaciones de los proveedores), que establece los deberes de cumplimiento fundamentales que el importador verifica antes de la comercialización. El Artículo 22 (Representantes autorizados) se menciona directamente: el importador debe confirmar que se ha designado dicho representante, distinguiendo el papel del importador del del representante. El Artículo 43 (Evaluación de conformidad) define los procedimientos cuya realización debe verificar el importador.

En cuanto a la documentación, el Annex IV especifica la documentación técnica cuya existencia debe comprobar el importador, y el Artículo 47 regula la Declaración de Conformidad de la UE que debe acompañar al sistema. Para las obligaciones poscomercialización, el Artículo 72 (Supervisión poscomercialización) y el Artículo 73 (Notificación de incidentes graves) proporcionan el marco en el que operan los deberes de notificación del importador. El Artículo 25 (Obligaciones de los distribuidores) es la disposición complementaria natural, que aclara cómo difieren las obligaciones una vez que el sistema avanza más en la cadena de suministro más allá del importador.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial. No obstante, sus disposiciones se aplican de forma escalonada:

• 2 de febrero de 2025 — Las prohibiciones sobre prácticas de IA de riesgo inaceptable (Título II, Artículo 5) pasaron a ser aplicables. Los importadores no están directamente implicados por estas prohibiciones, pero deben ser conscientes de que los sistemas que importan no pueden pertenecer a estas categorías.
• 2 de agosto de 2025 — Las disposiciones sobre modelos de IA de uso general (Título VIII) y las estructuras de gobernanza pasaron a ser aplicables. El Artículo 23 no regula directamente los modelos GPAI.
• 2 de agosto de 2026 — Las obligaciones para los sistemas de IA de alto riesgo en virtud del Título III, incluido el Artículo 23, pasan a ser plenamente aplicables para los sistemas cubiertos por el Annex III (la categoría principal de sistemas de IA de alto riesgo). Los importadores de estos sistemas deben cumplir plenamente a partir de esta fecha.
• 2 de agosto de 2027 — Plazo ampliado para los sistemas de IA de alto riesgo cubiertos por el Annex I (componentes de seguridad en virtud de la legislación de armonización de la Unión existente) que ya hayan sido comercializados antes del 2 de agosto de 2026.

Los importadores deben tratar el 2 de agosto de 2026 como el plazo definitivo para establecer sus procesos de diligencia debida y documentación para todos los sistemas de IA de alto riesgo del Annex III que actualmente se encuentren en su cadena de suministro.