Artículo 70 — Autoridad nacional competente (Ley de IA de la UE)

Artículo 70 del Reglamento (UE) 2024/1689 — Autoridad nacional competente. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El artículo 70 del Reglamento (UE) 2024/1689 exige que cada Estado miembro de la UE designe una o más autoridades nacionales competentes con el fin de supervisar la aplicación y ejecución de la Ley de IA. Cada autoridad designada debe ser notificada a la Comisión Europea, que posteriormente hace pública esta información.

El artículo distingue entre dos roles funcionales que pueden ser desempeñados por los mismos o diferentes organismos nacionales: la autoridad de vigilancia del mercado, responsable de supervisar los sistemas de IA comercializados o puestos en servicio, y la autoridad notificante, responsable de establecer y llevar a cabo el proceso de designación de organismos de evaluación de la conformidad.

Los Estados miembros deben garantizar que la autoridad o autoridades designadas dispongan de suficientes poderes, recursos, personal técnico y medios financieros para desempeñar sus funciones de manera efectiva. Cuando un Estado miembro designe más de una autoridad competente, debe delimitar claramente sus respectivas responsabilidades y establecer mecanismos de coordinación adecuados.

El artículo 70 también exige que los Estados miembros designen una autoridad competente responsable de supervisar los sistemas de IA desplegados por organismos e instituciones públicas. Esto reconoce la particular sensibilidad del uso de la IA en contextos gubernamentales y la necesidad de una supervisión dedicada e independiente de la vigilancia comercial del mercado.

Los Estados miembros deben comunicar a la Comisión sus designaciones, y cualquier cambio posterior, sin demora indebida.

Lo que esto significa en la práctica

Para los gobiernos nacionales, el artículo 70 es una obligación organizativa e institucional: cada Estado miembro debe tomar una decisión gubernamental concreta sobre qué organismo regulador existente — o institución de nueva creación — tendrá poderes de supervisión en virtud de la Ley de IA.

En la práctica, muchos Estados miembros están ampliando el mandato de las autoridades de protección de datos o reguladores digitales existentes, o creando nuevos organismos de supervisión de IA dedicados. Países como Francia (con los roles de CNIL y Arcom), Alemania (con la Bundesnetzagentur) y España (con la AESIA) han dado pasos para identificar o crear autoridades competentes antes de los plazos aplicables.

Para los operadores — proveedores, usuarios, importadores y distribuidores de sistemas de IA de alto riesgo — la designación de la autoridad nacional competente determina qué organismo llevará a cabo auditorías, investigaciones y acciones ejecutivas contra ellos. Esto hace indispensable identificar la autoridad pertinente en cada Estado miembro donde se comercialice o ponga en servicio un sistema de IA.

Para los usuarios de sistemas de IA en administraciones públicas, la autoridad de supervisión designada para organismos públicos puede ser distinta de la autoridad general de vigilancia del mercado. Esto significa que las organizaciones del sector público deben identificar qué organismo supervisa su contexto específico.

Ejemplo concreto: una empresa que proporciona un sistema de identificación biométrica a una agencia nacional de control fronterizo debe interactuar con dos autoridades nacionales competentes potencialmente distintas — la autoridad de vigilancia del mercado (que supervisa el producto como sistema de alto riesgo) y la autoridad designada para los despliegues por organismos públicos (que supervisa el uso final).

Los operadores deben vigilar el registro público de la Oficina Europea de IA con las designaciones de autoridades nacionales competentes y establecer puntos de contacto directos con el organismo nacional pertinente.

Obligaciones clave

• Designación por el Estado miembro: Cada Estado miembro de la UE debe designar al menos una autoridad nacional competente responsable de supervisar la aplicación de la Ley de IA de la UE y notificar a la Comisión Europea su designación.
• Cobertura de doble función: Los Estados miembros deben garantizar la cobertura tanto de la función de vigilancia del mercado (para sistemas de IA comercializados) como de la función de autoridad notificante (para la acreditación de organismos de evaluación de la conformidad), ya sea a través de un organismo o de múltiples organismos coordinados.
• Supervisión del sector público: Debe designarse específicamente una autoridad competente para supervisar los sistemas de IA utilizados por las autoridades y organismos públicos, reconociendo los requisitos particulares de responsabilidad en el despliegue gubernamental de IA.
• Recursos adecuados: Las autoridades designadas deben contar con suficiente experiencia técnica, recursos humanos y medios financieros para desempeñar eficazmente sus funciones de supervisión y ejecución.
• Coordinación cuando hay múltiples autoridades: Cuando se designe más de una autoridad nacional, los Estados miembros deben delimitar claramente las responsabilidades y establecer mecanismos formales de coordinación para evitar lagunas o conflictos en la supervisión.
• Notificación y transparencia: Los Estados miembros deben comunicar sus designaciones a la Comisión sin demora indebida, y la Comisión debe hacer esta información públicamente accesible.

Relación con otros artículos

El artículo 70 es el fundamento institucional de toda la arquitectura de ejecución y vigilancia del mercado del Título IX. Debe leerse junto con el artículo 74 (vigilancia del mercado y control de los sistemas de IA en el mercado de la Unión), que establece los poderes y procedimientos sustantivos que ejercen las autoridades nacionales competentes. Los artículos 75 y 76 abordan la cooperación transfronteriza y el intercambio de información entre las autoridades nacionales, que depende directamente de las designaciones realizadas en virtud del artículo 70.

El artículo 77 regula los poderes de las autoridades para acceder a datos y documentación de los operadores, poderes que corresponden a la autoridad designada en virtud del artículo 70. El artículo 80 prevé el punto de contacto único que deben establecer las autoridades nacionales competentes para la coordinación transfronteriza con la Oficina Europea de IA establecida en virtud del artículo 64.

A nivel de la Unión, la Junta Europea de IA (artículo 65) y la Oficina Europea de IA operan junto a las autoridades nacionales competentes, haciendo del artículo 70 un nodo crítico en la estructura de gobernanza multinivel del Reglamento.

Calendario de cumplimiento

La Ley de IA de la UE entró en vigor el 1 de agosto de 2024, tras su publicación en el Diario Oficial. Sus obligaciones se aplican de forma gradual:

• Febrero de 2025: Las prohibiciones sobre prácticas de IA de riesgo inaceptable (Título II) se hicieron aplicables.
• Agosto de 2025: Las obligaciones relativas a modelos de GPAI (Título VIII), las estructuras de gobernanza incluida la Oficina Europea de IA, y — de forma crítica para el artículo 70 — las obligaciones de designación de autoridades nacionales competentes se hicieron aplicables. Los Estados miembros deberían haber comunicado sus designaciones a la Comisión en esta fecha.
• Diciembre de 2026: Las obligaciones para sistemas de IA de alto riesgo en virtud del Anexo I (legislación de seguridad de productos) son aplicables.
• Agosto de 2027: Aplicación plena de las obligaciones para los sistemas de IA de alto riesgo enumerados en el Anexo III, completando la implantación gradual.

Para los operadores, la relevancia práctica del artículo 70 se vuelve urgente a partir de agosto de 2025, cuando las autoridades nacionales competentes designadas adquieren poderes activos de supervisión y ejecución. Determinar qué autoridad nacional supervisa sus sistemas de IA en cada Estado miembro pertinente debe tratarse como una acción de cumplimiento completada antes del tercer trimestre de 2025.