Artículo 78 — Confidencialidad (Reglamento de IA de la UE)

Artículo 78 del Reglamento (UE) 2024/1689 — Confidencialidad. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento normativo.

Resumen del texto oficial

El Artículo 78 del Reglamento (UE) 2024/1689 establece un marco de confidencialidad vinculante que regula el tratamiento de la información obtenida por las autoridades competentes —incluidas las autoridades nacionales de vigilancia del mercado, las autoridades notificantes, los organismos notificados y la Comisión— en el ejercicio de sus funciones en virtud del Reglamento de IA de la UE.

El artículo exige a todas las partes que ejercen funciones en virtud del Reglamento que protejan la información sujeta a obligaciones de secreto profesional. Esto abarca secretos comerciales, datos de carácter comercialmente sensible, propiedad intelectual y datos personales obtenidos durante auditorías, investigaciones, procedimientos de evaluación de la conformidad, procedimientos de acción correctiva o cualquier otra actividad de supervisión. La obligación se aplica tanto a las propias autoridades como a su personal, incluidos los expertos externos que colaboran en tareas de ejecución.

El Artículo 78 permite no obstante el intercambio de información entre autoridades competentes dentro de un Estado miembro, entre Estados miembros y con la Comisión cuando dicho intercambio sea necesario para el desempeño de las tareas en virtud del Reglamento. Toda información compartida de este modo conserva su carácter confidencial y el organismo receptor asume las mismas obligaciones de protección.

El artículo no impide a las autoridades publicar conclusiones agregadas, anonimizadas o no sensibles, ni anula los requisitos de divulgación obligatoria derivados de procedimientos judiciales. Actúa en conjunción con el Reglamento (UE) 2016/679 (RGPD) y los regímenes de confidencialidad sectoriales aplicables, sin desplazarlos.

Qué significa esto en la práctica

Para los proveedores y responsables del despliegue de IA, el Artículo 78 ofrece una protección procesal significativa. Cuando una autoridad nacional de vigilancia del mercado abre una investigación —por ejemplo, porque un sistema de IA de alto riesgo ha sido señalado por incumplimiento de los requisitos de evaluación de la conformidad del Artículo 43, o porque se ha notificado un incidente grave en virtud del Artículo 73— el proveedor debe cooperar y facilitar la documentación técnica, los detalles algorítmicos y los resultados de las pruebas. El Artículo 78 garantiza que esta información de carácter comercialmente sensible no salga del ámbito regulatorio sin justificación legal.

A quién afecta. Las obligaciones directas recaen sobre las autoridades competentes y su personal. Los proveedores y responsables del despliegue son los beneficiarios indirectos, obteniendo la garantía de que los secretos comerciales divulgados durante la ejecución están protegidos. Los organismos notificados, que evalúan la conformidad de los sistemas de IA de alto riesgo y, por tanto, reciben presentaciones técnicas detalladas, están igualmente vinculados.

Escenarios concretos. Un proveedor de un sistema de IA de alto riesgo utilizado en la evaluación crediticia presenta su documentación técnica a la autoridad nacional de vigilancia del mercado tras una reclamación. En virtud del Artículo 78, la autoridad no puede compartir dicha documentación con un competidor ni publicarla de forma que revele la arquitectura del modelo propietario. Del mismo modo, un empleado de un organismo notificado que revise la composición de los datos de entrenamiento durante una evaluación de la conformidad está vinculado por el secreto profesional con respecto a dichos datos.

Medidas prácticas para los proveedores. Las organizaciones deben etiquetar los documentos de carácter comercialmente sensible presentados a las autoridades y llevar un registro de qué información se ha divulgado, a quién y en virtud de qué obligación reglamentaria. Cuando una solicitud de divulgación parezca exceder los poderes de la autoridad, los proveedores conservan el derecho a oponerse ante los tribunales competentes.

Obligaciones clave

• Las autoridades competentes, las autoridades notificantes, los organismos notificados, la Comisión y su personal deben tratar como confidencial toda información obtenida en el ejercicio de sus funciones que tenga la condición de secreto comercial, datos de carácter comercialmente sensible o datos personales.
• Las obligaciones de confidencialidad se extienden a los expertos externos y a cualquier otra persona que participe en tareas regulatorias en virtud del Reglamento de IA, como los evaluadores técnicos o los asesores científicos.
• Se permite el intercambio de información entre autoridades —dentro de un Estado miembro, entre Estados miembros y con la Comisión— cuando sea necesario para la ejecución, pero la información compartida conserva su carácter confidencial y el organismo receptor asume obligaciones de protección equivalentes.
• Las autoridades no pueden divulgar a terceros, incluido el público, ninguna información que pueda perjudicar los intereses comerciales de los proveedores o responsables del despliegue, a menos que una base jurídica específica, como una orden judicial o un interés público prevalente, justifique la divulgación.
• Las obligaciones de confidencialidad deben conciliarse con las normas de protección de datos aplicables en virtud del RGPD, pero sin desplazarlas; los datos personales contenidos en los expedientes de supervisión deben tratarse en cumplimiento de ambos marcos simultáneamente.
• Las autoridades conservan la capacidad de publicar conclusiones no sensibles, anonimizadas o agregadas —como informes de tendencias sectoriales o estadísticas de vigilancia del mercado— siempre que no pueda deducirse de los contenidos publicados ninguna información confidencial de un proveedor concreto.

Relación con otros artículos

El Artículo 78 está estructuralmente conectado con la arquitectura más amplia de vigilancia del mercado y ejecución del Reglamento de IA de la UE. Apoya el Artículo 74 (vigilancia del mercado a nivel nacional), el Artículo 75 (vigilancia del mercado a nivel de la Unión y coordinación) y el Artículo 76 (supervisión de modelos de IA de uso general), todos los cuales exigen que las autoridades recopilen y traten información operativa y técnica sensible. El régimen de confidencialidad que establece es una condición previa para la cooperación efectiva en virtud del Artículo 101 (cooperación de la Oficina de IA con los Estados miembros).

También se intersecta directamente con el Artículo 73 (notificación de incidentes graves) y el Artículo 72 (seguimiento posterior a la comercialización), ya que ambos mecanismos generan divulgaciones de datos técnicos y comerciales potencialmente sensibles a los organismos de supervisión.

Dentro de la cadena de evaluación de la conformidad, el Artículo 78 refuerza las obligaciones de los organismos notificados designados en virtud de los Artículos 33 a 39, que reciben habitualmente documentación técnica detallada. Por último, debe leerse junto con el Artículo 70 (obligaciones de confidencialidad de los operadores en sentido más amplio) y el Considerando 145, que aclara que los objetivos de transparencia del Reglamento no pueden utilizarse para justificar la divulgación de información comercial genuinamente confidencial.

Calendario de cumplimiento

El Artículo 78 entró en vigor el 1 de agosto de 2024, veinte días después de la publicación del Reglamento (UE) 2024/1689 en el Diario Oficial de la Unión Europea. Sin embargo, su relevancia práctica está vinculada al calendario de aplicación por fases del Reglamento en su conjunto.

Las primeras obligaciones vinculantes en virtud del Reglamento de IA —las prohibiciones de prácticas de IA de riesgo inaceptable en virtud del Artículo 5— se hicieron aplicables el 2 de febrero de 2025. A partir de esa fecha, las autoridades de vigilancia del mercado comenzaron a ejercer poderes de ejecución activos, haciendo que las protecciones de confidencialidad del Artículo 78 resultasen operativas de inmediato para cualquier investigación iniciada.

El marco para los modelos de IA de uso general (Título IV) se aplicó a partir del 2 de agosto de 2025, extendiendo las protecciones del Artículo 78 a la información recopilada en la supervisión de los proveedores de GPAI y las actividades de supervisión de la Oficina de IA.

La oleada más sustancial de obligaciones —relativa a los sistemas de IA de alto riesgo enumerados en el Annex III— se aplica a partir del 2 de agosto de 2026, con ciertos sistemas en los sectores del Annex I sujetos a una transición adicional hasta el 2 de agosto de 2027. A medida que la actividad de evaluación de la conformidad y el seguimiento posterior a la comercialización en virtud de los Artículos 72 a 73 se intensifiquen a lo largo de 2026 y 2027, el Artículo 78 se convertirá en una disposición invocada con frecuencia en la relación cotidiana entre los reguladores y la industria de la IA.