Artículo 7 — Modificaciones del Anexo III (Reglamento de IA de la UE)

Artículo 7 del Reglamento (UE) 2024/1689 — Modificaciones del Anexo III. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 7 del Reglamento (UE) 2024/1689 confiere a la Comisión Europea la facultad de modificar el Anexo III — la lista de categorías de sistemas de IA de alto riesgo — mediante actos delegados adoptados de conformidad con el Artículo 97. Este mecanismo permite que el perímetro regulatorio del Título III se amplíe o contraiga en respuesta a evidencia empírica, sin necesidad de un procedimiento colegislativo completo.

Al evaluar si añadir una nueva categoría de sistema de IA al Anexo III, la Comisión debe aplicar un conjunto estructurado de criterios. Estos incluyen: la gravedad e irreversibilidad del daño que el sistema puede causar a la salud, la seguridad o los derechos fundamentales; el número de personas potencialmente afectadas y su grado de vulnerabilidad; el grado en que el sistema ya ha sido desplegado y los daños reales observados; el grado de supervisión humana conservado sobre los resultados automatizados; y si la legislación aplicable de la Unión o de los Estados miembros ya proporciona un nivel adecuado de protección frente a los riesgos identificados.

A la inversa, la Comisión puede eliminar una categoría del Anexo III cuando la base de evidencia demuestre que el riesgo residual ya no alcanza el umbral que justifica su clasificación como de alto riesgo, o cuando se hayan establecido salvaguardas equivalentes a través de otros instrumentos vinculantes de la Unión.

Cualquier acto delegado adoptado en virtud del Artículo 7 está sujeto al procedimiento de control parlamentario establecido en el Artículo 97, que otorga al Parlamento Europeo y al Consejo el derecho de objeción antes de que el acto entre en vigor. Esto garantiza la supervisión democrática de la evolución regulatoria al tiempo que preserva la agilidad que la Comisión necesita para mantenerse al ritmo del rápido desarrollo de las capacidades de la IA.

Lo que esto significa en la práctica

El Artículo 7 funciona como el mecanismo adaptativo del Reglamento de IA de la UE para la clasificación de alto riesgo. En la práctica, significa que la frontera entre los sistemas de IA sujetos al régimen completo de cumplimiento de alto riesgo y los que no lo están no está fijada permanentemente en la fecha de entrada en vigor. Por tanto, los proveedores y responsables del despliegue deben hacer un seguimiento continuo de los actos delegados de la Comisión, no solo en el momento del desarrollo inicial del producto.

Para las organizaciones que crean o despliegan sistemas de IA en sectores adyacentes al Anexo III — por ejemplo, herramientas de IA utilizadas en la gestión de la fuerza laboral, la calificación crediticia o la prestación de servicios públicos — el Artículo 7 crea un riesgo en el horizonte de cumplimiento: un sistema que hoy está fuera del ámbito de aplicación podría quedar dentro del mismo tras una modificación de la Comisión. Las organizaciones prudentes deben realizar una evaluación preliminar de alto riesgo incluso para los sistemas fronterizos y diseñar su arquitectura de gobernanza para que sea actualizable.

Para las organizaciones que ya operan dentro de las categorías del Anexo III, el Artículo 7 refuerza la necesidad de una supervisión continua de la conformidad. Una modificación que restrinja la definición de una categoría enumerada podría aliviar ciertas obligaciones, pero las organizaciones no deben asumir ese alivio sin un análisis jurídico formal del ámbito del acto delegado.

En concreto, un proveedor de una herramienta asistida por IA que clasifica candidatos a un puesto de trabajo en un contexto de contratación del sector público se encuentra actualmente dentro del Anexo III, punto 4. Si la Comisión, basándose en datos de vigilancia poscomercialización recopilados en virtud del Artículo 72, determina que los sistemas de IA utilizados en la contratación del sector privado en pequeñas empresas presentan riesgos equivalentes, podría ampliar ese punto mediante el Artículo 7. En ese caso, la cadena de suministro del proveedor, los requisitos de documentación técnica y las obligaciones de evaluación de conformidad se aplicarían a un conjunto más amplio de clientes.

Obligaciones clave

• Hacer seguimiento de los actos delegados de la Comisión: Los proveedores y responsables del despliegue deben rastrear cualquier acto delegado adoptado en virtud del Artículo 7 que modifique el Anexo III, ya que las modificaciones pueden alterar su estado de cumplimiento sin períodos de gracia transitorios más allá de los especificados en el propio acto.
• Mantener documentación de riesgos adaptable: La documentación técnica y los registros de evaluación de conformidad deben estar estructurados de forma que puedan actualizarse para reflejar cualquier reclasificación de un sistema de IA de no alto riesgo a alto riesgo, o viceversa.
• Realizar evaluaciones de horizonte para sistemas fronterizos: Las organizaciones que operan sistemas de IA en sectores adyacentes al Anexo III deben evaluar periódicamente si las orientaciones evolutivas de la Comisión o los hallazgos de vigilancia del mercado indican una próxima modificación que pueda afectar a sus productos.
• Participar en los procesos de consulta pública: El procedimiento de acto delegado incluye consultas con las partes interesadas pertinentes; los proveedores y las asociaciones industriales deben participar para garantizar que la evidencia específica del sector se tenga en cuenta antes de que la Comisión finalice las modificaciones.
• Revisar las obligaciones con los clientes y la cadena de suministro en caso de modificación: Cuando una modificación amplíe el Anexo III, los proveedores deben trasladar las obligaciones contractuales y técnicas actualizadas a los responsables del despliegue y a los organismos notificados sin demora indebida.
• Hacer seguimiento de la eliminación de categorías: Cuando la Comisión elimine una categoría, las organizaciones deben evaluar si pueden reducir la carga de cumplimiento, pero deben conservar los registros que demuestren el cumplimiento pasado durante los períodos en que se aplicó el estado de alto riesgo.

Relación con otros artículos

El Artículo 7 no puede leerse de forma aislada de varias otras disposiciones. Está directamente subordinado al Artículo 97, que regula el ejercicio de la facultad delegada, incluida la duración de la delegación, las condiciones de revocación y el procedimiento de objeción parlamentaria.

Los criterios que el Artículo 7 prescribe para añadir categorías al Anexo III reflejan directamente el marco de evaluación de riesgos subyacente al Artículo 9 (sistema de gestión de riesgos), lo que significa que las mismas cuestiones fácticas que informan una modificación de la Comisión también informan las obligaciones internas de gestión de riesgos de un proveedor.

El Artículo 6 define la regla primaria para la clasificación de alto riesgo, y el Artículo 7 funciona como su complemento dinámico: juntos determinan qué sistemas de IA quedan bajo las obligaciones del Título III establecidas en los Artículos 8 a 49.

Los datos de vigilancia poscomercialización recopilados en virtud del Artículo 72 y los informes de incidentes graves en virtud del Artículo 73 alimentan directamente la base de evidencia que la Comisión utiliza al considerar las modificaciones del Artículo 7, creando un circuito de retroalimentación entre la supervisión del mercado y la clasificación regulatoria. Por último, el propio Anexo III es el texto operativo que el Artículo 7 modifica; cualquier análisis de cumplimiento debe realizarse con respecto a la versión del Anexo III vigente en el momento de la actividad pertinente, no la versión en vigor en ninguna fecha anterior.

Calendario de cumplimiento

2 de agosto de 2024 — El Reglamento (UE) 2024/1689 entró en vigor. El Artículo 7, incluida la facultad delegada de la Comisión para modificar el Anexo III, resultó operativo desde esta fecha. El período de delegación se extiende por cinco años desde la entrada en vigor, renovable por extensión tácita en virtud del Artículo 97.

2 de febrero de 2025 — Las prácticas de IA prohibidas en virtud del Artículo 5 pasaron a ser aplicables. Las modificaciones del Artículo 7 no pueden anular las prohibiciones; ningún sistema incluido en el Artículo 5 puede rehabilitarse mediante reclasificación.

2 de agosto de 2025 — Las normas sobre modelos de IA de uso general (Título VIII) pasaron a ser aplicables. La infraestructura de vigilancia poscomercialización de la Comisión comenzó a producir datos que pueden informar futuras modificaciones del Artículo 7.

2 de agosto de 2026 — Los sistemas de IA de alto riesgo cubiertos por la legislación de armonización de la Unión enumerada en el Anexo I, Sección A quedaron sujetos al régimen completo del Título III. Las modificaciones del Artículo 7 que afecten a estos sectores interactúan con la legislación de seguridad de productos existente.

2 de agosto de 2027 — Los sistemas de IA de alto riesgo enumerados en el Anexo III (distintos de los ya sujetos a fechas anteriores) quedan plenamente sujetos a las obligaciones del Título III. Este es el principal plazo de cumplimiento para la mayoría de las organizaciones afectadas por las clasificaciones del Anexo III, incluidas las futuras modificaciones realizadas en virtud del Artículo 7 antes de esta fecha. Las modificaciones adoptadas después del 2 de agosto de 2027 especificarán sus propias fechas de aplicación de conformidad con el procedimiento de acto delegado.