Artículo 93 — Poder para solicitar medidas (Reglamento de IA de la UE)

Artículo 93 del Reglamento (UE) 2024/1689 — Poder para solicitar medidas. Texto oficial, interpretación práctica, obligaciones clave e implicaciones de cumplimiento.

Resumen del texto oficial

El artículo 93 del Reglamento (UE) 2024/1689 (el Reglamento de IA) se sitúa en el capítulo IX, sección 5 — la sección que otorga a la Comisión, actuando a través de la Oficina de IA, competencias exclusivas de supervisión sobre los proveedores de modelos de IA de uso general (GPAI). Dentro de esa sección constituye el tercer y más severo peldaño de una escalera de ejecución gradual: el artículo 91 permite a la Comisión solicitar documentación e información, el artículo 92 le permite realizar evaluaciones de un modelo, y el artículo 93 le permite exigir que el proveedor actúe sobre lo que esos pasos revelaron. A diferencia de las competencias de vigilancia del mercado del resto del capítulo IX, estas competencias no las ejercen las autoridades nacionales: para los modelos GPAI, la Comisión es el único ejecutor en toda la Unión.

El artículo 93, apartado 1, faculta a la Comisión, cuando sea necesario y apropiado, para solicitar al proveedor una de estas tres cosas: a) adoptar las medidas adecuadas para cumplir las obligaciones de proveedor de los artículos 53 y 54; b) aplicar medidas de mitigación cuando la evaluación realizada con arreglo al artículo 92 haya suscitado preocupaciones serias y fundadas sobre un riesgo sistémico a escala de la Unión; o c) restringir la comercialización del modelo, retirarlo o recuperarlo. Las tres vertientes forman su propia escalada interna, desde el cumplimiento ordinario, pasando por la mitigación selectiva, hasta la retirada del modelo del mercado de la Unión.

Los dos apartados restantes incorporan la desescalada. Según el artículo 93, apartado 2, antes de solicitar una medida, la Oficina de IA puede entablar un diálogo estructurado con el proveedor. Según el artículo 93, apartado 3, si un proveedor de un modelo GPAI con riesgo sistémico ofrece compromisos de aplicar medidas de mitigación, la Comisión puede, mediante decisión, declararlos vinculantes y constatar que no hay motivos para nuevas actuaciones — cerrando el procedimiento sin que llegue a imponerse medida formal alguna.

Qué significa en la práctica

Formalmente, la vertiente a) alcanza a cualquier proveedor de un modelo GPAI que incumpla sus obligaciones del artículo 53 (documentación técnica, información a proveedores posteriores, política de derechos de autor, resumen de los contenidos de entrenamiento) o del artículo 54 (representante autorizado para proveedores de fuera de la UE). En la práctica, el centro de gravedad es el pequeño grupo de proveedores cuyos modelos están clasificados como de riesgo sistémico conforme a los artículos 51 y 52 — con el umbral de presunción en un cómputo de entrenamiento superior a 10²⁵ FLOPs —, porque las vertientes de mitigación y recuperación están ligadas a constataciones de riesgo sistémico derivadas de evaluaciones del artículo 92.

Para esos proveedores, el artículo 93 es donde la supervisión adquiere dientes. Una solicitud de documentación es una carga administrativa; una evaluación es un escrutinio; una solicitud de medidas es una orden con un mecanismo sancionador detrás. La negativa expone al proveedor a multas del artículo 101 de hasta el 3 % del volumen de negocios anual mundial o 15 millones de euros, si esta cifra es superior — y el incumplimiento de la solicitud es un motivo de multa autónomo, independiente de la infracción subyacente.

La vertiente con mayor radio de impacto es la c). La restricción, retirada o recuperación de un modelo de frontera es existencial para su proveedor, pero no se detiene ahí: cada sistema de IA posterior construido sobre ese modelo hereda la perturbación. Una organización que ha integrado un modelo de riesgo sistémico en sus productos soporta, de hecho, una dependencia regulatoria que no controla. Los proveedores posteriores y responsables del despliegue prudentes siguen por ello la situación regulatoria de su modelo original y tratan contractualmente el escenario de recuperación — compromisos de continuidad, asistencia a la migración, deberes de notificación.

El mecanismo de compromisos del artículo 93, apartado 3, hará gran parte del trabajo real. Refleja las decisiones de compromisos del Derecho de la competencia de la UE: el proveedor ofrece un paquete de mitigaciones, la Comisión lo declara vinculante y ambas partes evitan una medida contenciosa. Un ejemplo práctico: una evaluación del artículo 92 de un modelo de frontera suscita preocupaciones serias y fundadas de que sus capacidades podrían facilitar de forma significativa la creación de amenazas biológicas. La Oficina de IA abre un diálogo estructurado; el proveedor ofrece controles de acceso escalonados, refuerzo del entrenamiento de rechazo y red-teaming independiente con calendario definido; la Comisión declara vinculantes esos compromisos y cierra el expediente. Sin recuperación, pero con una mejora de seguridad exigible.

Obligaciones clave

• Responder a una solicitud de medidas en sus propios términos. Una solicitud del artículo 93, apartado 1, no es consultiva; ignorarla es sancionable de forma autónoma según el artículo 101.
• Mantener demostrables las obligaciones subyacentes de los artículos 53 y 54 — documentación técnica, información a los proveedores posteriores, política de derechos de autor, resumen de contenidos de entrenamiento y representante autorizado cuando proceda —, pues la vertiente a) convierte cualquier laguna persistente en una orden ejecutable.
• Para proveedores de riesgo sistémico, mantener el aparato del artículo 55 (evaluaciones de modelo, pruebas adversarias, notificación de incidentes, ciberseguridad): son las medidas que una solicitud de mitigación exigirá reforzar en la práctica.
• Participar en el diálogo estructurado. El artículo 93, apartado 2, existe para resolver las preocupaciones antes de medidas formales; tratarlo como un pleito desperdicia la salida más barata.
• Considerar los compromisos pronto. Un paquete de compromisos bien diseñado del artículo 93, apartado 3, cierra el procedimiento con la constatación de que no hay motivos para nuevas actuaciones.
• Operadores posteriores: sin deber directo del artículo 93, pero con exposición real a la vertiente c) — vigilar la situación del modelo original y prever contractualmente la restricción, retirada o recuperación.

Relación con otros artículos

El artículo 93 completa la cadena de ejecución del capítulo IX, sección 5. El artículo 88 establece la competencia de ejecución exclusiva de la Comisión sobre los proveedores GPAI; el artículo 89 organiza el seguimiento; el artículo 90 canaliza las alertas de riesgo sistémico del grupo científico — a menudo el detonante de todo lo demás. El artículo 91 (documentación e información) y el artículo 92 (evaluaciones) son los peldaños de investigación inmediatamente inferiores, y una constatación de preocupaciones serias y fundadas según el artículo 92 es la condición expresa de una solicitud de mitigación del artículo 93, apartado 1, letra b). El artículo 94 garantiza los derechos procesales de los operadores económicos afectados.

Las obligaciones sustantivas que una solicitud hace cumplir figuran en los artículos 53 y 54 (todos los proveedores GPAI) y en el artículo 55 (proveedores de modelos con riesgo sistémico), mientras que la clasificación y designación se rigen por los artículos 51 y 52. La adhesión a un código de buenas prácticas del artículo 56 es la vía práctica para demostrar el cumplimiento — y, por tanto, el seguro más barato contra recibir jamás una solicitud. La red sancionadora es el artículo 101. Para el contexto general de la regulación GPAI, véase el hub GPAI; para la exposición sancionadora en todo el Reglamento, véase el artículo 99.

Calendario de cumplimiento

El Reglamento entró en vigor el 1 de agosto de 2024. Las obligaciones sustantivas GPAI que el artículo 93 hace cumplir — artículos 53 a 55 — se aplican desde el 2 de agosto de 2025. Las competencias de ejecución de la Comisión del capítulo IX, sección 5, incluido el poder para solicitar medidas, se aplican a partir del 2 de agosto de 2026, junto con la potestad sancionadora del artículo 101 sobre los proveedores GPAI.

El Ómnibus Digital de 2026 no tocó esta vía: aplazó las obligaciones de alto riesgo de los anexos III y I al 2 de diciembre de 2027 y al 2 de agosto de 2028 respectivamente, pero dejó intacto el marco GPAI y sus fechas de ejecución. Para los proveedores de modelos con riesgo sistémico, la preparación práctica es fácil de enunciar y exigente de ejecutar: mantener actualizadas las pruebas de los artículos 53 a 55, adherirse a un código de buenas prácticas, ensayar el escenario del diálogo estructurado y tener lista una estrategia de compromisos antes de que llame la Oficina de IA.