Article 71 — Base de datos de la UE para sistemas de IA de alto riesgo (Reglamento de IA de la UE)

Article 71 de Regulation (EU) 2024/1689 — Base de datos de la UE para sistemas de IA de alto riesgo. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Article 71 de Regulation (EU) 2024/1689 establece la base de datos de la UE para sistemas de IA de alto riesgo, asignando la responsabilidad de su creación y mantenimiento a la Comisión Europea. La base de datos está diseñada para servir de repositorio centralizado y accesible al público que aumenta la transparencia sobre los sistemas de IA de alto riesgo antes de que sean comercializados en el mercado de la UE o puestos en servicio.

En virtud del Article 71, los proveedores de sistemas de IA de alto riesgo comprendidos en el ámbito de Annex III deben registrar sus sistemas en la base de datos con carácter previo a su comercialización o puesta en servicio. En casos específicos, los desplegadores de sistemas del Annex III también están sujetos a requisitos de registro. La información que debe presentarse está definida en Annex VIII y abarca los datos de identificación y técnicos esenciales del sistema, su finalidad prevista, el enfoque de evaluación de la conformidad adoptado y las referencias a la declaración de conformidad de la UE.

El artículo establece dos secciones diferenciadas en la base de datos: una sección accesible al público para la mayoría de los sistemas de IA de alto riesgo, y una sección restringida accesible únicamente a las autoridades de vigilancia del mercado pertinentes, la Comisión y la Oficina de IA, que cubre los sistemas desplegados por autoridades públicas en ámbitos sensibles como la aplicación de la ley, la gestión de fronteras, la inmigración y el asilo. Esta estructura de dos vías equilibra el interés público en la transparencia con las preocupaciones legítimas de confidencialidad en operaciones sensibles del sector público. La Comisión tiene encomendada la tarea de garantizar que la base de datos sea funcional, fácil de usar e interoperable con otros registros nacionales y de la UE pertinentes.

Lo que esto significa en la práctica

Para los proveedores de sistemas de IA de alto riesgo cubiertos por Annex III, la consecuencia práctica más inmediata del Article 71 es el paso de registro obligatorio que debe completarse antes de cualquier despliegue comercial u operativo. El registro no es algo secundario — es una obligación previa que debe satisfacerse antes de la entrada al mercado, lo que significa que los procesos de cumplimiento deben estructurarse para completar el registro como parte de la lista de verificación previa al lanzamiento.

Los proveedores deben crear una cuenta en la plataforma de la base de datos de la UE gestionada por la Comisión y presentar la información prescrita en Annex VIII. Esto incluye una descripción estructurada del sistema de IA, su finalidad prevista, el procedimiento de evaluación de la conformidad seguido, una referencia a la declaración de conformidad de la UE y, cuando corresponda, el certificado de examen de tipo de la UE expedido por un organismo notificado. También se requieren referencias al plan de seguimiento poscomercialización.

Por ejemplo, un proveedor que desarrolla una herramienta de selección de currículums basada en IA utilizada en el proceso de contratación (una categoría del Annex III, Título IV) debe registrar el sistema en la sección pública de la base de datos antes de ponerlo a disposición de los departamentos de recursos humanos en los Estados miembros de la UE. Por el contrario, una fuerza policial nacional que despliega un sistema de IA para el reconocimiento facial en tiempo real en espacios públicos se registraría en la sección restringida, con acceso limitado a las autoridades supervisoras.

Los desplegadores de ciertos sistemas de IA de alto riesgo del Annex III — en particular los que operan en el sector público o que despliegan sistemas con un impacto social significativo — también deben verificar que los sistemas que ponen en servicio estén debidamente registrados y pueden tener ellos mismos obligaciones de registro complementarias en función de la categoría del sistema. Las organizaciones deben mapear sus carteras de IA respecto de las categorías del Annex III e integrar los flujos de trabajo de registro en sus procedimientos generales de gobernanza de la IA.

Obligaciones clave

• Registro del proveedor antes de la comercialización: Los proveedores de sistemas de IA de alto riesgo del Annex III deben registrar el sistema en la base de datos de la UE antes de comercializarlo o ponerlo en servicio dentro de la UE.
• Presentación de la información del Annex VIII: El registro exige la presentación completa y exacta de todos los campos de información prescritos en Annex VIII, incluida la descripción del sistema, la finalidad prevista, los detalles de la evaluación de la conformidad y las referencias a la declaración de conformidad.
• Registro del desplegador en casos específicos: Los desplegadores de ciertos sistemas de IA de alto riesgo del Annex III (en particular los desplegadores del sector público) tienen sus propias obligaciones de registro y deben introducir la información pertinente antes de poner en servicio el sistema.
• Registro en la sección restringida para ámbitos sensibles: Los sistemas de IA utilizados por autoridades públicas en la aplicación de la ley, el control fronterizo, la inmigración y el asilo deben registrarse en la sección restringida y no pública de la base de datos, en lugar de en la sección pública general, con acceso controlado en consecuencia.
• Mantenimiento actualizado de la información de registro: Los proveedores y desplegadores deben garantizar que la información registrada sea exacta y esté actualizada a lo largo del ciclo de vida del sistema, actualizando las entradas cuando se produzcan cambios relevantes (p. ej., modificaciones sustanciales que desencadenen una nueva evaluación de la conformidad).
• Mantenimiento e interoperabilidad por parte de la Comisión: La Comisión Europea está obligada a establecer, mantener y conservar la base de datos en condiciones operativas, de fácil manejo e interoperables con otros registros pertinentes, garantizando su accesibilidad a largo plazo al público y a las autoridades competentes.

Relación con otros artículos

El Article 71 actúa como el instrumento práctico a través del cual las obligaciones de documentación y transparencia establecidas en otras partes del Reglamento se hacen públicamente visibles. Se conecta estrechamente con el Article 48 (declaración de conformidad de la UE) y el Article 47 (representantes autorizados), ya que la referencia a la declaración de conformidad es un campo obligatorio de la base de datos. Los procedimientos de evaluación de la conformidad establecidos en los Articles 43 y 44 determinan directamente lo que los proveedores deben revelar al registrarse.

El Article 71 también actúa en tándem con el Article 49 (obligaciones de registro como artículo independiente en el Título VI), que hace referencia cruzada a la base de datos como mecanismo para cumplir dichos deberes. Los requisitos de información del Annex VIII son inseparables de las obligaciones de documentación técnica del Annex IV (Articles 11 y 12). Para la supervisión poscomercialización, el Article 71 apoya el marco de vigilancia del mercado de los Articles 74 y 75, ya que las autoridades nacionales y la Oficina de IA pueden utilizar las entradas de la base de datos como punto de partida para las actividades de seguimiento y ejecución. Por último, el Article 78 (confidencialidad) regula la forma en que las autoridades competentes deben tratar la información sensible presentada en la base de datos, en particular en la sección restringida.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, activando el calendario de aplicación escalonada establecido en el Article 113.

• 1 de agosto de 2024 — El Reglamento entra en vigor; la Comisión inicia los trabajos preparatorios para establecer la infraestructura de la base de datos de la UE.
• 2 de febrero de 2025 — Las prácticas de IA prohibidas (Article 5) pasan a ser aplicables; las obligaciones de registro del Article 71 aún no están activas.
• 2 de agosto de 2025 — Las obligaciones relativas a los modelos de IA de uso general y las disposiciones de gobernanza (Título III, Capítulo III y Título V) pasan a ser aplicables; la base de datos del Article 71 aún no está operativa para estas categorías.
• 2 de agosto de 2026 — Las obligaciones de registro del Article 71 pasan a ser aplicables para los proveedores y desplegadores de sistemas de IA de alto riesgo del Annex III (con exclusión de los ya cubiertos por la legislación de armonización de la Unión enumerada en Annex I). Esta es la fecha de activación principal de la base de datos de la UE para la mayoría de los sistemas dentro del ámbito de aplicación.
• 2 de agosto de 2027 — Los sistemas de IA de alto riesgo cubiertos por la legislación sobre seguridad de los productos del Annex I (p. ej., productos sanitarios, maquinaria) que ya estaban en el mercado antes del 2 de agosto de 2024 deben cumplir todas las obligaciones aplicables, incluido el registro, siempre que hayan sido objeto de una modificación sustancial.

Las organizaciones que desarrollan o despliegan sistemas de IA del Annex III deben establecer el plazo de agosto de 2026 como el objetivo operativo firme para la disponibilidad del registro en la base de datos, integrando los flujos de trabajo de registro en sus programas de cumplimiento con suficiente antelación.