Artículo 49 — Registro (Reglamento de IA de la UE)

Artículo 49 del Reglamento (UE) 2024/1689 — Registro. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El artículo 49 del Reglamento (UE) 2024/1689 establece un régimen de registro obligatorio para los sistemas de IA de alto riesgo antes de que puedan ser comercializados en el mercado de la Unión o puestos en servicio. El artículo impone una obligación primaria a los proveedores: antes de la comercialización, deben registrarse a sí mismos y a sus sistemas de IA de alto riesgo en la base de datos de la UE establecida en virtud del artículo 71. Los proveedores establecidos fuera de la Unión deben asegurarse de que su representante autorizado complete este registro en su nombre.

Para la categoría específica de sistemas de IA de alto riesgo cubiertos por el punto 8 del Annex III —sistemas utilizados para la categorización biométrica y el reconocimiento de emociones desplegados por las autoridades policiales, de gestión de fronteras, de inmigración y de asilo—, la obligación se extiende también a los operadores. Estos operadores deben registrar su uso de dichos sistemas antes de la puesta en marcha.

La información que debe presentarse durante el registro se define en las partes I y II del Annex VIII y debe mantenerse exacta y actualizada. Cuando se produzcan actualizaciones —por ejemplo, tras una modificación sustancial—, la inscripción registrada debe revisarse en consecuencia. Los sistemas utilizados exclusivamente por las instituciones, organismos, oficinas o agencias de la Unión se registran en una sección dedicada y restringida de la base de datos, lo que garantiza que la información operativa sensible esté adecuadamente protegida al tiempo que se mantiene la responsabilidad. El artículo crea así un mecanismo de transparencia estructurado y consciente del ciclo de vida que permite a las autoridades de vigilancia del mercado y al público identificar y supervisar los despliegues de IA de alto riesgo en todo el mercado único.

Lo que esto significa en la práctica

El artículo 49 exige que cualquier empresa que desarrolle o comercialice un sistema de IA de alto riesgo dentro del ámbito del Annex III complete un paso de registro funcionalmente comparable a una presentación de producto ante un regulador. En la práctica, esto significa que antes del lanzamiento, el equipo jurídico o de cumplimiento de un proveedor debe:

1. Crear o actualizar una cuenta en el portal de la base de datos del Reglamento de IA de la UE (gestionado por la Comisión Europea en virtud del artículo 71).
2. Presentar información estructurada conforme al Annex VIII, que incluya la identidad de la empresa, la descripción del sistema, la finalidad prevista, un resumen de gestión de riesgos, la referencia de la declaración de conformidad y el número del certificado del organismo notificado cuando sea necesario.
3. Obtener un número de registro que debe aparecer posteriormente en la declaración UE de conformidad y acompañar a la documentación del sistema.

Para los proveedores no pertenecientes a la UE, el representante autorizado establecido en la Unión es el punto de contacto responsable de presentar el registro. Esto refleja el modelo utilizado en otros marcos de seguridad de productos de la UE.

Para los operadores que utilizan sistemas biométricos de alto riesgo o de reconocimiento de emociones en contextos policiales o de gestión de fronteras (punto 8 del Annex III), un registro separado del lado del operador es obligatorio antes de que el sistema se active en un entorno operativo.

Un ejemplo práctico: una empresa que proporciona una herramienta de puntuación de solvencia crediticia asistida por IA (punto 5b del Annex III) debe registrar el sistema en la base de datos de la UE, obtener su número de registro, incluir ese número en la declaración de conformidad y actualizar la inscripción si el modelo sufre una modificación sustancial —como un cambio significativo en los datos de entrenamiento o en la lógica de salida— que se valide a través del proceso de evaluación de conformidad.

El registro no es un paso administrativo puntual; es un registro vivo que rastrea el sistema a lo largo de su vida comercial.

Obligaciones clave

• Registro previo a la comercialización: Los proveedores deben registrarse a sí mismos y a sus sistemas de IA de alto riesgo en la base de datos de la UE en virtud del artículo 71 antes de que el sistema sea comercializado o puesto en servicio en la Unión.
• Representante autorizado como registrante: Cuando el proveedor esté establecido fuera de la UE, el representante autorizado establecido en un Estado miembro debe completar y presentar el registro.
• Registro del operador para los sistemas del punto 8: Los operadores de sistemas de IA de alto riesgo del punto 8 del Annex III (categorización biométrica, reconocimiento de emociones) en contextos policiales y de fronteras deben registrar su uso previsto antes de la puesta en marcha.
• Requisitos de información del Annex VIII: Los registros deben contener toda la información especificada en las partes I y II del Annex VIII, incluida la identidad del sistema, las capacidades, las limitaciones, la documentación de conformidad y las referencias a los certificados.
• Obligación de exactitud permanente: La información registrada debe mantenerse actualizada; cualquier modificación sustancial que desencadene una nueva evaluación de conformidad requiere la correspondiente actualización de la inscripción en el registro.
• Inscripciones restringidas para el uso de autoridades públicas sensibles: Los sistemas utilizados exclusivamente por las autoridades policiales, de gestión de fronteras, de inmigración y de asilo en virtud de los puntos 1 a 7 del Annex III se registran en una sección no pública de la base de datos, equilibrando la transparencia con la seguridad operativa.

Relación con otros artículos

El artículo 49 se sitúa en la intersección de varias obligaciones fundamentales y no puede leerse de forma aislada.

El artículo 71 establece y rige la base de datos de la UE en la que se registran las inscripciones; define las responsabilidades de la Comisión como administradora y las normas de accesibilidad pública a las que hace referencia cruzada el artículo 49.

El Annex VIII especifica los campos de información exactos que deben presentarse, lo que lo hace operativamente inseparable del proceso de registro.

El artículo 47 (declaración UE de conformidad) y el artículo 48 (marcado CE) preceden lógicamente al registro: el número de referencia de la declaración de conformidad debe estar disponible en el momento del registro, y el número de registro se retroalimenta en la declaración. Juntos, los artículos 47, 48 y 49 forman la última puerta de cumplimiento antes del acceso al mercado.

El artículo 43 (evaluación de conformidad) alimenta el registro porque el certificado del organismo notificado obtenido en ese proceso es un campo de datos obligatorio en el Annex VIII cuando se exige una evaluación por terceros.

El artículo 111 (disposiciones transitorias) rige cómo los plazos de registro interactúan con los sistemas ya en el mercado antes de que entren en vigor las obligaciones, y debe consultarse junto con el artículo 49 para cualquier análisis de sistemas heredados.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial. Sin embargo, las obligaciones de registro del artículo 49 no se aplican inmediatamente tras la entrada en vigor; siguen el calendario de aplicación escalonada del Reglamento:

• 2 de febrero de 2025 — Las prácticas de IA prohibidas (artículo 5) pasaron a ser ejecutables. No tiene impacto directo en el artículo 49, pero es relevante para los ejercicios de determinación del alcance.
• 2 de agosto de 2025 — Las obligaciones del modelo GPAI (Título VIII) y el marco de gobernanza pasaron a ser aplicables. El registro en virtud del artículo 49 no se activa en esta fase para los modelos GPAI que no estén clasificados por separado como de alto riesgo.
• 2 de agosto de 2026 — Las obligaciones de registro en virtud del artículo 49 se aplican a los sistemas de IA de alto riesgo cubiertos por los puntos 1 a 7 del Annex III. Este es el principal plazo de cumplimiento para la mayoría de los proveedores de IA empresarial.
• 2 de agosto de 2027 — Las obligaciones de registro se extienden a los sistemas de IA de alto riesgo regidos por el Annex II (legislación de seguridad de productos armonizada), como los productos sanitarios y la maquinaria.

Los proveedores y operadores deben planificar los flujos de trabajo de registro —incluida la recopilación de datos del Annex VIII, el acceso al portal de la base de datos de la UE y los acuerdos de representante autorizado— con suficiente antelación al plazo de agosto de 2026 para evitar cuellos de botella de última hora. Los sistemas comercializados antes de estas fechas en virtud de marcos anteriores se benefician de las disposiciones transitorias del artículo 111, pero se recomienda encarecidamente a los proveedores que evalúen si dichas disposiciones se aplican a su categoría de producto específica.