Artículo 24 — Obligaciones de los distribuidores (Reglamento de IA de la UE)

Artículo 24 del Reglamento (UE) 2024/1689 — Obligaciones de los distribuidores. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 24 del Reglamento (UE) 2024/1689 establece las obligaciones que incumben a los distribuidores de sistemas de IA de alto riesgo en el sentido del Artículo 3(7). Antes de poner a disposición en el mercado un sistema de IA de alto riesgo, los distribuidores deben verificar que lleva el marcado CE de conformidad requerido, que va acompañado de una copia de la declaración de conformidad de la UE emitida por el proveedor y que las instrucciones de uso necesarias se facilitan en un idioma que los usuarios del Estado miembro en el que se pone a disposición el sistema puedan entender fácilmente.

Los distribuidores están obligados a verificar que el proveedor y, cuando proceda, el importador han cumplido sus respectivas obligaciones en virtud de los Artículos 16 y 23. Cuando un distribuidor tenga motivos para creer que un sistema de IA de alto riesgo no cumple los requisitos del Reglamento, debe abstenerse de ponerlo a disposición hasta que se haya restablecido la conformidad. Si el sistema presenta un riesgo, el distribuidor debe informar al proveedor o al importador y a las autoridades de vigilancia del mercado competentes en consecuencia.

Los distribuidores también deben cooperar con los proveedores, los importadores y las autoridades competentes cuando así se les solicite, y deben facilitar toda la información y documentación que obren en su poder y que sea necesaria para demostrar la conformidad de un sistema de IA de alto riesgo. Las obligaciones de conservación de la documentación pertinente se aplican durante un período de diez años desde que el sistema se haya puesto a disposición. De manera fundamental, el artículo establece las condiciones en las que un distribuidor asume la totalidad de las obligaciones de un proveedor: cuando comercializa un sistema bajo su propio nombre o marca, lo modifica sustancialmente o cambia su finalidad prevista de un modo que alcanza el umbral de clasificación de alto riesgo.

Lo que esto significa en la práctica

El Artículo 24 afecta directamente a cualquier empresa que distribuya sistemas de IA de alto riesgo sin desarrollarlos —minoristas de dispositivos médicos con IA, revendedores de sistemas de IA biométricos o operadores de plataformas que suministran herramientas de IA de terceros a clientes empresariales—. El artículo impone un punto de control de diligencia debida antes de cualquier acto de distribución.

Concretamente, un distribuidor debe llevar a cabo una verificación de cumplimiento antes de cada comercialización: confirmar que el marcado CE está presente y es válido, obtener y conservar una copia de la declaración de conformidad de la UE, y garantizar que la documentación del producto y las instrucciones de uso están traducidas o son accesibles en el idioma del Estado miembro pertinente. No se trata de tareas puntuales: se aplican cada vez que el sistema se pone a disposición.

Si una auditoría, una reclamación de un cliente o una revisión interna revela una preocupación sobre la conformidad, el distribuidor no puede continuar con la distribución y debe escalar inmediatamente al proveedor o al importador y, si existe un riesgo para la salud, la seguridad o los derechos fundamentales, a las autoridades de vigilancia del mercado como las autoridades nacionales de IA designadas en virtud del Artículo 70.

La disposición de escalado de roles es especialmente relevante. Un distribuidor que rebranda un sistema de IA de alto riesgo, realiza modificaciones funcionales que alteran el rendimiento o la finalidad prevista, o cambia el contexto de despliegue de manera sustancial será reclasificado como proveedor. En ese momento, hereda el conjunto completo de obligaciones previsto en el Artículo 16, incluida la evaluación de conformidad, el registro en la base de datos de la UE, la supervisión poscomercialización y la documentación técnica. Las empresas deben llevar a cabo un ejercicio de mapeo jurídico antes de modificar cualquier sistema de IA adquirido para determinar si se supera el umbral de modificación.

Obligaciones clave

• Verificación de conformidad previa a la distribución: Antes de poner a disposición un sistema de IA de alto riesgo, confirmar que el marcado CE, la declaración de conformidad de la UE y las instrucciones de uso accesibles están presentes y son completos.
• Suspensión de sistemas no conformes: Si existe motivo para creer que un sistema no cumple el Reglamento (UE) 2024/1689, detener la distribución de inmediato y notificar al proveedor, al importador y, cuando exista un riesgo, a la autoridad de vigilancia del mercado competente.
• Cooperación con las autoridades: A petición, facilitar toda la información y documentación que obre en poder del distribuidor para demostrar la conformidad, y cooperar con las investigaciones realizadas por las autoridades competentes.
• Conservación de documentación durante diez años: Mantener toda la documentación de cumplimiento pertinente durante diez años a partir de la fecha en que el sistema de IA de alto riesgo fue puesto a disposición en el mercado.
• Asunción de obligaciones del proveedor: Cuando un distribuidor comercializa un sistema bajo su propio nombre o marca comercial, lo modifica sustancialmente o cambia su finalidad prevista a un caso de uso de alto riesgo, debe asumir todas las obligaciones del proveedor previstas en el Artículo 16.
• Notificación de riesgos: Si un sistema distribuido presenta un riesgo para la salud, la seguridad o los derechos fundamentales, el distribuidor debe informar inmediatamente al proveedor o al importador y a las autoridades de vigilancia del mercado pertinentes, facilitando detalles sobre la no conformidad y cualquier acción correctora adoptada.

Relación con otros artículos

El Artículo 24 se encuadra en el Título III, Capítulo 3, que regula la cadena completa de responsabilidad para los sistemas de IA de alto riesgo. Está estrechamente vinculado al Artículo 16 (obligaciones de los proveedores), ya que el Artículo 24 utiliza repetidamente las obligaciones del proveedor como base de cumplimiento que los distribuidores deben verificar y, en determinadas circunstancias, asumir directamente. El Artículo 23 (obligaciones de los importadores) es una disposición directamente complementaria: los distribuidores deben verificar que los importadores han cumplido sus propias comprobaciones previas a la distribución. El Artículo 3 proporciona las definiciones de distribuidor, proveedor, importador y modificación sustancial que determinan qué obligaciones se aplican.

El Artículo 47 (declaración de conformidad de la UE) y el Artículo 48 (marcado CE) definen la documentación y el marcado que los distribuidores están obligados a comprobar. Los Artículos 72 a 74 sobre supervisión poscomercialización y notificación de incidentes graves se intersectan con las obligaciones del distribuidor cuando se materializa un riesgo después de la distribución. Las obligaciones de vigilancia del mercado y ejecución previstas en los Artículos 74 a 83 regulan cómo interactúan las autoridades competentes con los distribuidores cuando investigan el incumplimiento.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024 (20 días después de su publicación en el Diario Oficial el 12 de julio de 2024). El calendario de aplicación por fases es el siguiente:

• 2 de febrero de 2025 — Las prohibiciones sobre prácticas de IA de riesgo inaceptable (Título II, Artículo 5) pasaron a ser aplicables.
• 2 de agosto de 2025 — Las obligaciones para los modelos de IA de uso general (Título VIII) y las disposiciones de gobernanza pasaron a ser aplicables.
• 2 de agosto de 2026 — Las obligaciones del Artículo 24 se aplican plenamente a los distribuidores de sistemas de IA de alto riesgo enumerados en el Annex III (sistemas de IA de alto riesgo autónomos en sectores como la educación, el empleo, la aplicación de la ley y el acceso a servicios esenciales).
• 2 de agosto de 2027 — Las obligaciones del Artículo 24 se aplican a los distribuidores de sistemas de IA de alto riesgo integrados en productos regulados por la legislación de armonización de la Unión enumerada en el Annex I (por ejemplo, maquinaria, dispositivos médicos, equipos de aviación civil).

Los distribuidores que comercializan sistemas del Annex III ya deben estar trabajando en la preparación del cumplimiento, dado el plazo del 2 de agosto de 2026. Los que operan exclusivamente con sistemas integrados en productos del Annex I disponen de tiempo adicional, pero deben iniciar sin demora los procesos de diligencia debida en la cadena de suministro y de documentación.