Artículo 72 del Reglamento (UE) 2024/1689 — Vigilancia poscomercialización por parte de los proveedores y plan de vigilancia poscomercialización para sistemas de IA de alto riesgo. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.
Resumen del texto oficial
El Artículo 72 del Reglamento (UE) 2024/1689 establece una obligación de vigilancia poscomercialización de carácter obligatorio para los proveedores de sistemas de IA de alto riesgo. Los proveedores están obligados a recopilar, documentar y analizar proactivamente los datos pertinentes sobre el rendimiento de sus sistemas de IA de alto riesgo a lo largo de toda la vida útil operativa de dichos sistemas una vez que hayan sido comercializados o puestos en servicio.
El artículo establece que los proveedores elaboren y apliquen un plan de vigilancia poscomercialización, el cual debe ser proporcional a la naturaleza de la tecnología de IA de alto riesgo y a los riesgos asociados. Dicho plan debe formar parte de la documentación técnica establecida en virtud del Artículo 11 y elaborada de conformidad con el Anexo IV. Debe definir los métodos y procedimientos para la recopilación sistemática de datos de rendimiento, incluidos los datos procedentes de los responsables del despliegue cuando sea pertinente.
Cuando la vigilancia revele que un sistema de IA de alto riesgo ya no cumple los requisitos establecidos en el Capítulo III, Sección 2, el proveedor deberá adoptar sin demora las medidas correctoras adecuadas. Esto incluye actualizar el sistema, retirarlo del mercado o proceder a su retirada cuando sea necesario.
El Artículo 72 también reconoce el papel de los responsables del despliegue: los proveedores deben instruir a los responsables del despliegue para que faciliten los datos operativos pertinentes que no pueden recopilarse directamente. La obligación de vigilancia es continua y no puntual, lo que refleja la naturaleza dinámica del rendimiento de los sistemas de IA y los contextos cambiantes en los que se despliegan.
Qué significa esto en la práctica
Para las organizaciones que desarrollan o suministran sistemas de IA de alto riesgo, el Artículo 72 introduce una obligación de cumplimiento estructurada y continua que se extiende mucho más allá del momento de la comercialización. Los proveedores no pueden tratar la evaluación de conformidad como un ejercicio puntual. En su lugar, deben diseñar y operacionalizar una infraestructura de vigilancia antes de que su sistema entre en funcionamiento.
En términos prácticos, esto significa definir de antemano qué datos se recopilarán de las instancias desplegadas del sistema, cómo se analizarán dichos datos y qué umbrales de rendimiento desencadenarán una revisión o acción correctora. Por ejemplo, un proveedor de una herramienta de diagnóstico de dispositivo médico asistida por IA debe especificar qué indicadores —como tasas de falsos negativos, disparidades de rendimiento demográfico o métricas de deriva del modelo— se rastrearán, con qué frecuencia y por quién.
Los proveedores de sistemas de IA integrados en productos de terceros se enfrentan a un reto adicional: dependen de los responsables del despliegue para transmitir los datos operativos a los que el proveedor no puede acceder directamente. Esto requiere acuerdos contractuales con los responsables del despliegue que definan claramente las obligaciones de intercambio de datos, tal como prevé la lectura conjunta del Artículo 72 y el Artículo 25.
Las organizaciones con sistemas de gestión de la calidad (SGC) existentes —como las que ya cumplen con ISO 13485 en dispositivos médicos o ISO 9001 de forma más general— encontrarán una alineación natural con los requisitos del Artículo 72. El plan de vigilancia poscomercialización debe integrarse en el SGC más amplio documentado en el Artículo 17, en lugar de tratarse como un documento independiente.
Los proveedores más pequeños y las empresas emergentes deberán dotar adecuadamente de recursos esta función: el Artículo 72 no prevé una exención de minimis basada en el tamaño de la empresa, aunque la proporcionalidad del plan al nivel de riesgo del sistema está expresamente reconocida.
Obligaciones clave
- Establecer un plan de vigilancia poscomercialización que sea proporcional al nivel de riesgo y a la naturaleza del sistema de IA de alto riesgo, documentado como parte de la documentación técnica prevista en el Artículo 11 y el Anexo IV.
- Recopilar y analizar activamente datos poscomercialización sobre el rendimiento del sistema durante todo el ciclo de vida operativo, incluidos los datos procedentes de los responsables del despliegue cuando la recopilación directa no sea posible.
- Definir indicadores de rendimiento y umbrales de acción correctora de antemano, especificando qué nivel de degradación o incumplimiento desencadena una revisión formal o una respuesta correctora.
- Adoptar medidas correctoras sin demora cuando la vigilancia revele que el sistema ya no satisface los requisitos de alto riesgo del Capítulo III, Sección 2, lo que puede incluir la actualización, la retirada o la recuperación del sistema.
- Integrar los resultados de la vigilancia en el sistema de gestión de la calidad establecido en el Artículo 17, garantizando que los hallazgos se retroalimenten en la mejora del producto, las actualizaciones de la documentación y los procesos de reevaluación.
- Instruir a los responsables del despliegue para que faciliten datos operativamente relevantes y cooperen con el proceso de vigilancia poscomercialización, respaldados por acuerdos contractuales o técnicos apropiados.
Relación con otros artículos
El Artículo 72 se sitúa en el centro de un conjunto de obligaciones interrelacionadas. Alimenta directamente el Artículo 73, que regula la notificación de incidentes graves y fallos de funcionamiento a las autoridades nacionales competentes: el sistema de vigilancia establecido en el Artículo 72 es el mecanismo de detección de los eventos que el Artículo 73 exige notificar.
El Artículo 17 (sistemas de gestión de la calidad) proporciona el marco organizativo en el que debe integrarse el plan de vigilancia poscomercialización. El Artículo 11 y el Anexo IV definen los requisitos de documentación técnica de los que el plan de vigilancia debe formar parte.
El Artículo 25 distribuye las responsabilidades entre proveedores y responsables del despliegue, y es esencial para comprender cómo los proveedores pueden obtener datos operativos de los usuarios intermedios. El Artículo 26 complementa esto al detallar las obligaciones de los responsables del despliegue, incluido el deber de vigilar el uso del sistema y notificar las anomalías al proveedor.
Para los sistemas de IA de alto riesgo que son componentes de seguridad en productos cubiertos por la legislación de armonización de la Unión enumerada en el Anexo I, el Artículo 72 debe leerse junto con las obligaciones de vigilancia poscomercialización del reglamento sectorial aplicable, como el Reglamento de Dispositivos Médicos (UE) 2017/745 o el Reglamento de Maquinaria (UE) 2023/1230, garantizando un cumplimiento coherente y no duplicativo.
Calendario de cumplimiento
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, tras su publicación en el Diario Oficial de la Unión Europea. El Reglamento se aplica de manera escalonada en función de las diferentes categorías de obligaciones.
El Artículo 72, como parte del Título IX que regula la vigilancia poscomercialización y la vigilancia del mercado, se aplica a los proveedores de sistemas de IA de alto riesgo enumerados en el Anexo III (categorías generales de alto riesgo como biometría, empleo, educación y acceso a servicios esenciales) a partir del 2 de agosto de 2027. Los sistemas de IA de alto riesgo contemplados en el Anexo I —aquellos que son componentes de seguridad de productos ya regulados en virtud de la legislación de armonización de la Unión existente— también están sujetos a las obligaciones completas, incluido el Artículo 72, a partir del 2 de agosto de 2027 en la mayoría de los casos, alineado con la fecha general de aplicación para sistemas de alto riesgo.
Los proveedores deben tener en cuenta que los plazos anteriores —febrero de 2025 para las prácticas de IA prohibidas y agosto de 2025 para las obligaciones relativas a los modelos de IA de uso general— no regulan directamente el Artículo 72, pero las bases de la infraestructura de vigilancia deben sentarse con suficiente antelación respecto al plazo de 2027. Se recomienda a las organizaciones que desarrollan hoy sistemas de IA de alto riesgo que comiencen a diseñar sus planes de vigilancia poscomercialización como parte del proceso de preparación de la conformidad, en lugar de adaptarlos en el momento de la aplicación.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
El Artículo 72 exige a los proveedores de sistemas de IA de alto riesgo que recopilen y revisen activamente datos sobre el rendimiento de sus sistemas una vez que hayan sido comercializados o puesto en servicio. El objetivo es garantizar que los sistemas sigan cumpliendo los requisitos a lo largo de todo su ciclo de vida operativo, permitiendo a los proveedores detectar y abordar problemas que quizás no fueran evidentes durante la evaluación de conformidad previa a la comercialización.
Los proveedores de sistemas de IA de alto riesgo tal como se definen en el Anexo III del Reglamento (UE) 2024/1689, o los sistemas contemplados en el Anexo I, están obligados a establecer y mantener un plan de vigilancia poscomercialización. Los responsables del despliegue podrán estar obligados a colaborar notificando información relevante al proveedor con arreglo al Artículo 72(4).
El plan debe incluir métodos y procedimientos para recopilar y analizar activamente datos poscomercialización, establecer indicadores de rendimiento y umbrales, identificar los factores desencadenantes de acciones correctivas, y garantizar que los hallazgos pertinentes se retroalimenten en el sistema de gestión de la calidad. Debe quedar documentado como parte de la documentación técnica requerida en el Artículo 11 y el Anexo IV.
El Artículo 72 funciona de forma conjunta con los Artículos 73 y 74. Cuando la vigilancia poscomercialización revele un incidente grave o un incumplimiento de las obligaciones, los proveedores deben notificarlo de inmediato a la autoridad nacional competente pertinente. El sistema de vigilancia actúa como mecanismo de detección que activa las obligaciones de notificación establecidas en los artículos siguientes.
El Artículo 72 se aplica a los sistemas de IA de alto riesgo contemplados en el Anexo III a partir del 2 de agosto de 2027, y a los sistemas de IA de alto riesgo contemplados en el Anexo I (componentes de seguridad en productos regulados) a partir del 2 de agosto de 2027 en la mayoría de los casos. Algunas categorías del Anexo III, concretamente las relativas a biometría, infraestructuras críticas y educación ya reguladas con anterioridad por normas sectoriales, siguen la fecha de aplicación de diciembre de 2026.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.