Artículo 77 del Reglamento (UE) 2024/1689 — Poderes de las autoridades de protección de derechos fundamentales. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento normativo.
Resumen del texto oficial
El Artículo 77 del Reglamento (UE) 2024/1689 establece poderes específicos para las autoridades públicas nacionales cuyo mandato abarca la protección de los derechos fundamentales, permitiéndoles actuar como una capa adicional de supervisión sobre los sistemas de IA de alto riesgo desplegados en su jurisdicción.
En virtud del Artículo 77(1), cualquier autoridad o entidad pública nacional competente para supervisar o hacer cumplir las obligaciones relativas a los derechos fundamentales —incluidas las autoridades de protección de datos en virtud del Reglamento (UE) 2016/679, los organismos de igualdad, las autoridades de protección del consumidor y agencias similares— está facultada para solicitar a los responsables del despliegue de sistemas de IA de alto riesgo el acceso a la documentación generada y mantenida de conformidad con el Reglamento. En particular, estas autoridades pueden solicitar la evaluación de impacto sobre los derechos fundamentales exigida a determinados responsables del despliegue en virtud del Artículo 27, los registros generados automáticamente por el sistema de IA conservados conforme al Artículo 26(6) y cualquier otra documentación pertinente que demuestre el cumplimiento.
En virtud del Artículo 77(2), cuando dicha autoridad tenga motivos razonables para creer que un sistema de IA de alto riesgo presenta un riesgo para los derechos fundamentales o para la salud y seguridad de las personas, deberá informar a la autoridad de vigilancia del mercado pertinente designada en virtud del Artículo 70 y podrá facilitarle toda la información pertinente de que disponga. La autoridad de vigilancia del mercado es entonces responsable de adoptar las medidas de investigación y corrección adecuadas de conformidad con sus competencias en virtud del Capítulo VII.
El Artículo 77 crea así un mecanismo de cooperación estructurada entre los organismos sectoriales de derechos fundamentales y la infraestructura principal de vigilancia del mercado, sin conferir poderes de ejecución directos sobre el cumplimiento de los sistemas de IA a estas autoridades con independencia del marco establecido de vigilancia del mercado.
Qué significa esto en la práctica
El Artículo 77 tiene consecuencias operativas directas para los responsables del despliegue de sistemas de IA de alto riesgo, especialmente aquellos que operan en ámbitos sensibles como el empleo, la educación, el acceso a servicios esenciales, el cumplimiento de la ley, la migración y la administración de justicia, donde la exposición a los derechos fundamentales es más aguda.
Los responsables del despliegue deben estar preparados para responder a solicitudes de documentación de un mayor número de autoridades públicas que únicamente la autoridad principal de vigilancia del mercado. Una autoridad de protección de datos que realice una investigación sobre una herramienta de selección de personal asistida por IA, un organismo de igualdad que investigue un sistema automatizado de determinación de prestaciones, o una agencia de protección del consumidor que examine una plataforma de puntuación crediticia basada en IA pueden invocar el Artículo 77 para obtener la evaluación de impacto sobre los derechos fundamentales y los registros del sistema del responsable del despliegue.
En términos prácticos, esto significa que los responsables del despliegue deben asegurarse de que su evaluación de impacto sobre los derechos fundamentales del Artículo 27 esté completada, actualizada y sea fácilmente accesible antes del despliegue, y no tratarla como un ejercicio a posteriori. Del mismo modo, las obligaciones de registro en virtud del Artículo 26 deben estar operativas para que los registros puedan presentarse a petición sin demora.
Para los proveedores, el Artículo 77 subraya la importancia de producir y mantener una documentación técnica completa en virtud del Artículo 11 e instrucciones de uso en virtud del Artículo 13 que sean suficientemente detalladas para apoyar el cumplimiento por parte de los responsables del despliegue. Si una autoridad de derechos fundamentales plantea preocupaciones y notifica a la autoridad de vigilancia del mercado, la documentación del proveedor será central en cualquier investigación posterior.
Las organizaciones que despliegan sistemas de IA de alto riesgo deben identificar qué autoridades de derechos fundamentales tienen jurisdicción sobre sus actividades y evaluar de forma proactiva cómo es probable que esas autoridades interpreten su mandato en relación con la supervisión de la IA.
Obligaciones clave
- Los responsables del despliegue deben presentar documentación a petición: A solicitud de una autoridad competente de derechos fundamentales, los responsables del despliegue de sistemas de IA de alto riesgo deben proporcionar acceso a la evaluación de impacto sobre los derechos fundamentales (Artículo 27), los registros generados automáticamente (Artículo 26(6)) y cualquier otra documentación pertinente para la evaluación de la autoridad.
- Las autoridades de derechos fundamentales deben notificar a las autoridades de vigilancia del mercado: Cuando una autoridad de derechos fundamentales tenga motivos razonables para creer que un sistema de IA de alto riesgo plantea riesgos para los derechos fundamentales o para la salud y la seguridad, está obligada a informar a la autoridad de vigilancia del mercado pertinente designada en virtud del Artículo 70 y a compartir toda la información relevante.
- Las evaluaciones de impacto sobre los derechos fundamentales deben estar actualizadas y ser accesibles: Dado que el Artículo 77 crea un derecho de solicitud de documentación en tiempo real, los responsables del despliegue sujetos al Artículo 27 no pueden diferir ni descuidar la evaluación de impacto: debe existir y ser recuperable cuando una autoridad ejerza sus poderes.
- La conservación de registros debe estar operativa antes del despliegue: Los responsables del despliegue deben garantizar que los mecanismos de registro exigidos en virtud del Artículo 26(6) estén activos y que los registros se conserven de manera que permitan su presentación oportuna a las autoridades que invoquen el Artículo 77.
- Se requiere cooperación entre autoridades: Los responsables del despliegue y los proveedores deben estar preparados para relacionarse simultáneamente con múltiples organismos competentes —la autoridad de derechos fundamentales que inicia la investigación y la autoridad de vigilancia del mercado a la que informa— sin crear contradicciones en la información facilitada a cada uno.
Relación con otros artículos
El Artículo 77 se sitúa en la intersección del marco de seguimiento posterior a la comercialización (Capítulo IX) y la arquitectura más amplia de vigilancia del mercado (Capítulo VII), y debe leerse junto con otras disposiciones.
El Artículo 26 (Obligaciones de los responsables del despliegue) establece las obligaciones fundamentales de seguimiento y registro que producen la documentación a la que las autoridades del Artículo 77 están facultadas para acceder. El Artículo 27 (Evaluación de impacto sobre los derechos fundamentales para sistemas de IA de alto riesgo) crea el documento principal que las autoridades de derechos fundamentales buscarán; los dos artículos están operativamente vinculados.
El Artículo 70 (Designación de autoridades nacionales competentes y puntos de contacto únicos) identifica las autoridades de vigilancia del mercado a las que los organismos de derechos fundamentales deben informar en virtud del Artículo 77(2). Los Artículos 74 y 75 definen los poderes de investigación y corrección que dichas autoridades de vigilancia del mercado pueden ejercer tras la notificación.
El Artículo 13 (Transparencia y provisión de información a los responsables del despliegue) y el Artículo 11 (Documentación técnica) son pertinentes porque la adecuación de la documentación suministrada por el proveedor condiciona directamente la capacidad del responsable del despliegue para responder a las solicitudes del Artículo 77. El Artículo 9 (Sistema de gestión de riesgos) proporciona el marco analítico de referencia que debe fundamentar la evaluación de impacto sobre los derechos fundamentales mencionada en el Artículo 77.
Para las organizaciones sujetas al RGPD, el Artículo 77 también debe leerse junto con los Artículos 35 y 51 a 59 del Reglamento (UE) 2016/679, que regulan las evaluaciones de impacto sobre la protección de datos y las facultades de las autoridades de supervisión, competencias que se superponen sustancialmente con el marco del Artículo 77 en los despliegues de IA que implican el tratamiento de datos personales.
Calendario de cumplimiento
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial de la Unión Europea.
El calendario de aplicación por fases es el siguiente:
- 2 de febrero de 2025: La prohibición de prácticas de IA de riesgo inaceptable (Artículo 5) se hizo aplicable.
- 2 de agosto de 2025: Las normas sobre modelos de IA de uso general (Título VIII, Artículos 51 a 56) y las obligaciones de gobernanza (Título VII) se hicieron aplicables.
- 2 de agosto de 2026: El Artículo 77, junto con el marco completo para los sistemas de IA de alto riesgo enumerados en el Annex III (incluidas las aplicaciones de empleo, educación, servicios esenciales, cumplimiento de la ley, migración y justicia), se hace aplicable. Este es el principal plazo de cumplimiento para la mayoría de los responsables del despliegue que probablemente se enfrenten a solicitudes del Artículo 77 por parte de las autoridades de derechos fundamentales.
- 2 de agosto de 2027: El marco del Artículo 77, y las obligaciones más amplias sobre sistemas de IA de alto riesgo, se hace aplicable a los sistemas de IA regulados por la legislación de armonización de la Unión enumerada en el Annex I (incluidos dispositivos médicos, maquinaria, aviación civil y componentes de vehículos de motor).
Los responsables del despliegue que operen sistemas de IA de alto riesgo en ámbitos sensibles desde el punto de vista de los derechos fundamentales deben completar sus evaluaciones de impacto sobre los derechos fundamentales del Artículo 27 y verificar que su infraestructura de registro del Artículo 26 esté operativa con suficiente antelación a la fecha límite del 2 de agosto de 2026.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
El Artículo 77 otorga poderes a las autoridades públicas nacionales responsables de proteger los derechos fundamentales —como las autoridades de protección de datos, los organismos de igualdad y las agencias de protección del consumidor— para solicitar acceso a documentación y llevar a cabo actividades de vigilancia del mercado cuando tengan motivos fundados para creer que un sistema de IA de alto riesgo puede plantear riesgos para los derechos fundamentales.
El Artículo 77 se aplica a cualquier autoridad o entidad pública nacional responsable de supervisar o hacer cumplir las obligaciones relacionadas con los derechos fundamentales, incluidas las autoridades de supervisión en virtud del RGPD, los organismos de igualdad y otras autoridades competentes cuyo mandato afecte a ámbitos en los que se despliegan sistemas de IA de alto riesgo.
Estas autoridades pueden solicitar a los responsables del despliegue que proporcionen la evaluación de impacto sobre los derechos fundamentales realizada conforme al Artículo 27, el acceso a los registros mantenidos por los responsables del despliegue en virtud del Artículo 26 y cualquier otra documentación necesaria para evaluar el cumplimiento. También pueden notificar a la autoridad de vigilancia del mercado si identifican posibles incumplimientos.
Las autoridades de protección de datos que actúan como autoridades de supervisión en virtud del RGPD se encuentran entre las autoridades explícitamente previstas en el Artículo 77. Cuando los sistemas de IA tratan datos personales y pueden afectar a los derechos fundamentales, estas autoridades pueden ejercer los poderes otorgados por el Artículo 77 en coordinación con sus competencias de ejecución del RGPD.
El Artículo 77 se aplica a partir del 2 de agosto de 2026 para la mayoría de los sistemas de IA de alto riesgo enumerados en el Annex III, y a partir del 2 de agosto de 2027 para los sistemas de IA de alto riesgo cubiertos por la legislación de armonización sectorial de la Unión vigente enumerada en el Annex I. Las disposiciones generales del Reglamento de IA de la UE entraron en vigor el 1 de agosto de 2024.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.