Obligaciones del Reglamento de IA de la UE para la IA en vehículos autónomos, gestión del tráfico, aviación, ferrocarril e infraestructuras críticas. Cubre el Annex I (NLF) y la categoría 2 del Annex III.

Por qué el transporte es un sector prioritario del Reglamento de IA de la UE

El Reglamento de IA de la UE (Reglamento (UE) 2024/1689) asigna sus obligaciones más exigentes a los ámbitos en los que los fallos de la IA tienen consecuencias directas sobre la seguridad física, la continuidad de los servicios críticos y la seguridad pública. El transporte y las infraestructuras críticas ocupan un lugar central en esta arquitectura por dos razones jurídicas independientes: el despliegue generalizado de la IA como componentes de seguridad en productos de transporte regulados (que activa el Art. 6(1) a través del Annex I) y la enumeración expresa de la IA de gestión de infraestructuras críticas como de alto riesgo en el Annex III, punto 2.

El sector del transporte también se distingue por la densidad y madurez de sus marcos regulatorios preexistentes. La homologación de tipo de vehículos en virtud del Reglamento General de Seguridad (UE) 2019/2144, la certificación de aviación en virtud del Reglamento de Base de EASA (UE) 2018/1139, la interoperabilidad y seguridad ferroviaria en virtud del Reglamento ERA (UE) 2016/796 y la Directiva de Seguridad 2016/798, y la ciberseguridad de infraestructuras críticas en virtud de la Directiva NIS2 (UE) 2022/2555 crean obligaciones jurídicas preexistentes que se superponen a —y en algunos casos interactúan estructuralmente con— el Reglamento de IA de la UE.

Para las organizaciones del sector del transporte, la consecuencia práctica es que el cumplimiento en materia de IA no puede gestionarse como un área de trabajo regulatoria aislada. Debe integrarse en los programas existentes de homologación de tipo, certificación, gestión de la seguridad y ciberseguridad. No lograr esta integración conlleva el riesgo de incumplir no solo el Reglamento de IA, sino también las normativas sectoriales, que cuentan con sus propias autoridades de control y consecuencias sobre el acceso al mercado.

IA como componente de seguridad (Annex I) frente a IA de infraestructuras críticas (Annex III, punto 2)

El Reglamento de IA de la UE establece dos vías de alto riesgo distintas relevantes para el transporte. Determinar qué vía resulta aplicable —y si ambas se aplican simultáneamente— es el primer paso analítico en cualquier programa de cumplimiento de IA en el sector del transporte.

Annex I — Componentes de seguridad de productos regulados por el NLF

El Art. 6(1) del Reglamento de IA de la UE clasifica como de alto riesgo todo sistema de IA que sea un componente de seguridad de un producto regulado por la legislación del Nuevo Marco Legislativo (NLF) enumerada en el Annex I. Para el transporte, los instrumentos NLF clave son:

Un sistema de IA es un componente de seguridad de un producto de transporte si su fallo o mal funcionamiento pudiera poner en peligro la salud o la seguridad de las personas. Para los vehículos de carretera, esto incluye los sistemas de frenado de emergencia autónomo, la IA de mantenimiento de carril, el control de crucero adaptativo en SAE L2 y superiores, y todos los sistemas de conducción automatizada L3–L5. Para la aviación, incluye la IA en los sistemas de gestión de vuelo, los componentes del piloto automático y los sistemas de aviso de proximidad al terreno. Para el ferrocarril, incluye la IA en la protección automática de trenes, la señalización asistida por IA y la maniobra autónoma.

La clasificación en virtud del Art. 6(1) es categórica. No requiere que el sistema de IA demuestre de forma independiente una probabilidad significativa de daño: la designación como componente de seguridad es suficiente. Esto implica que los proveedores de tales sistemas deben cumplir los requisitos del Capítulo III, Sección 2 (Arts. 9–15), que abarcan la gestión de riesgos, la gobernanza de datos, la documentación técnica, el registro automático, la transparencia, la supervisión humana, y la exactitud y robustez.

Annex III, punto 2 — Gestión de infraestructuras críticas

Con independencia de la vía del componente de seguridad, el Annex III, punto 2 enumera expresamente como de alto riesgo los sistemas de IA destinados a utilizarse como componentes de seguridad en la gestión y explotación de infraestructuras críticas, en particular:

Los sistemas de IA que entran en esta categoría incluyen: plataformas de gestión del tráfico en autopistas que utilicen IA para el control dinámico de velocidad y la detección de incidentes, sistemas basados en IA para la estabilidad y el equilibrio de carga de redes eléctricas inteligentes en los que un fallo de la red pudiera afectar a las operaciones de transporte, y sistemas de IA que gestionen infraestructuras portuarias a nivel de operación de servicio esencial.

La distinción entre el punto 2 y la vía del Annex I radica en que el Annex III, punto 2 se aplica a los operadores de infraestructuras y no únicamente a los fabricantes de productos. Una autoridad pública o un concesionario privado que opere un centro de gestión del tráfico basado en IA está sujeto a las obligaciones del punto 2 como desplegador o, si ha desarrollado el sistema de IA por sí mismo, como proveedor.

Clasificación dual

Cuando un sistema de IA es tanto un componente de seguridad de un producto regulado por el NLF como está desplegado en la gestión de infraestructuras críticas (por ejemplo, un sistema de IA integrado en una plataforma de autopista inteligente que también interactúa con los sistemas del vehículo), se aplican ambas vías. Prevalecen las obligaciones más exigentes.

Proveedor frente a desplegador en el contexto del transporte — OEM frente a operador

La atribución de obligaciones entre proveedores (Art. 16) y desplegadores (Art. 26) es especialmente compleja en el transporte, donde la cadena de suministro entre el desarrollador de IA, el integrador de sistemas, el OEM, el operador de infraestructuras y la flota del usuario final puede involucrar a múltiples entidades jurídicas, cada una con responsabilidades distintas en virtud del Reglamento de IA.

Los OEM de vehículos como proveedores

Un OEM que integra un sistema de conducción por IA —desarrollado internamente o procedente de un proveedor de primer o segundo nivel— y comercializa el vehículo en el mercado de la UE bajo su propia marca es el proveedor del sistema de IA en virtud del Art. 16. Esto es así incluso cuando la tecnología de IA fue desarrollada originalmente por un tercero, siempre que el OEM no se haya limitado a revender un sistema sin modificar bajo la marca de dicho tercero. Las obligaciones del proveedor incluyen:

Operadores de flotas y concesionarios como desplegadores

Una empresa que opera una flota de vehículos autónomos, una autoridad local que despliega un sistema de gestión del tráfico basado en IA, o un administrador de infraestructuras ferroviarias que utiliza herramientas de mantenimiento asistido por IA es un desplegador en virtud del Art. 26. Las obligaciones del desplegador incluyen:

Interacción con las regulaciones sectoriales — EASA, ERA y homologación de tipo

Vehículos de carretera — GSR 2019/2144 y homologación de tipo

El Reglamento General de Seguridad (UE) 2019/2144 obliga a incluir funciones específicas de ADAS y conducción autónoma en los nuevos tipos de vehículos y establece requisitos técnicos para su desempeño. La homologación de tipo de vehículos —realizada por las autoridades nacionales de homologación de tipo (por ejemplo, KBA en Alemania, DREAL en Francia, Rijksdienst voor het Wegverkeer en los Países Bajos)— es el mecanismo principal de acceso al mercado para los vehículos de carretera.

El Reglamento de IA de la UE no desplaza a la homologación de tipo. El Art. 8(1) del Reglamento de IA establece que, cuando la legislación sectorial específica imponga requisitos de rigor equivalente o superior, es posible la alineación procedimental, pero las obligaciones del Reglamento de IA subsisten. En la práctica, la evaluación de conformidad de un sistema de conducción por IA debe abordar tanto los requisitos técnicos del GSR (evaluados como parte de la homologación de tipo) como los requisitos del Reglamento de IA (documentación técnica, gobernanza de datos, registro, supervisión humana, seguimiento poscomercialización). Los OEM deben planificar una evaluación integrada que cubra ambos marcos para evitar esfuerzos duplicados y posibles lagunas.

Aviación — EASA y la hoja de ruta de IA

EASA ejerce la autoridad de certificación sobre aeronaves, motores y componentes en virtud del Reglamento (UE) 2018/1139. La hoja de ruta de IA de EASA (publicada en sucesivas ediciones desde 2020) aborda la fiabilidad de la IA en los sistemas de IA aerotransportados y es la referencia principal de certificación para la IA en aplicaciones críticas de vuelo.

El Reglamento de IA de la UE se aplica a la IA de aviación en tierra (gestión del tráfico, diagnóstico de mantenimiento, sistemas de gestión de cabina) que quede fuera del perímetro de aeronavegabilidad de EASA. Para los sistemas de IA aerotransportados certificados por EASA, la alineación en virtud del Art. 8(1) es posible, pero la superposición entre los requisitos de aeronavegabilidad de EASA y las obligaciones del Reglamento de IA (en particular, sobre registro y supervisión humana) debe analizarse sistema por sistema. El concepto de «nivel de garantía de IA» de EASA no se corresponde directamente con la clasificación de alto riesgo del Reglamento de IA de la UE ni con sus requisitos de evaluación de conformidad.

Ferrocarril — ERA y sistemas de gestión de la seguridad

ERA (Agencia de la Unión Europea para los Ferrocarriles) supervisa la interoperabilidad ferroviaria y el marco común de seguridad en virtud de las Directivas 2016/797 y 2016/798. Las empresas ferroviarias y los administradores de infraestructuras deben mantener un Sistema de Gestión de la Seguridad (SGS) que abarque la evaluación de riesgos, la investigación de accidentes y la mejora continua.

Los requisitos de gestión de riesgos del Reglamento de IA en virtud del Art. 9 son muy similares a los requisitos del SGS de ERA. Las organizaciones que cuenten con un SGS maduro están en buena posición para integrar la documentación de gestión de riesgos del Reglamento de IA en el marco existente. ERA y la Comisión Europea han manifestado su preferencia por enfoques de cumplimiento integrados que eviten la duplicación entre el SGS y las obligaciones del Reglamento de IA. Los sistemas de IA utilizados en la operación automática de trenes, los componentes de IA del ETCS (Sistema Europeo de Control de Trenes) o el mantenimiento predictivo que alimente decisiones de seguridad crítica son de alto riesgo en virtud del Annex I (componente de seguridad de vehículos ferroviarios o infraestructuras).

Autoridades de control y certificación

El cumplimiento de la normativa de IA en el transporte implica a múltiples organismos de control con jurisdicción parcialmente superpuesta, en función de la finalidad del sistema de IA y del producto en el que se integra.

EASA es la autoridad de certificación de la IA en aeronaves y productos aeronáuticos. Puede llevar a cabo investigaciones sobre fallos de sistemas de IA que afecten a la aeronavegabilidad, y sus decisiones repercuten en el acceso al mercado en toda la UE y en las jurisdicciones asociadas por acuerdos bilaterales.

ERA supervisa el marco común de seguridad para el ferrocarril. Los certificados de seguridad ferroviaria y las autorizaciones de operación están condicionados a la conformidad con el SGS, que intersecta cada vez más con el cumplimiento del Reglamento de IA para los sistemas ferroviarios con IA integrada.

Las autoridades nacionales de homologación de tipo de vehículos —entre ellas KBA (Alemania), los organismos delegados por ANFIA (Italia) y Rijksdienst voor het Wegverkeer (Países Bajos)— expiden y pueden retirar las homologaciones de tipo de vehículos de carretera. La no conformidad con los requisitos del Reglamento de IA para los componentes de seguridad de IA puede constituir motivo de suspensión de la homologación de tipo o de llamada a revisión.

Las autoridades nacionales competentes en materia de NIS2 —designadas por cada Estado miembro, habitualmente una agencia nacional de ciberseguridad como BSI (Alemania), ANSSI (Francia) o NCSC-NL (Países Bajos)— hacen cumplir las obligaciones de NIS2 para los operadores de transporte de servicios esenciales. La aplicación de NIS2 puede dar lugar a instrucciones vinculantes, multas y, en casos graves, a la suspensión de operaciones.

Las autoridades nacionales de supervisión de IA designadas en virtud del Art. 70 del Reglamento de IA de la UE tendrán poderes generales de vigilancia del mercado, con mecanismos de coordinación con las autoridades sectoriales específicas para evitar conflictos de jurisdicción.

Prioridades de cumplimiento para operadores y proveedores del sector del transporte

Paso 1: Inventario y clasificación de sistemas de IA

Realice un inventario estructurado de todos los sistemas de IA en desarrollo o despliegue en el conjunto de productos de transporte o de la cartera operacional. Para cada sistema, determine si es un componente de seguridad de un producto regulado por el NLF (vía Art. 6(1)), un sistema de IA de gestión de infraestructuras críticas (Annex III, punto 2), o ambos. Documente por escrito la justificación de la clasificación. Los sistemas que no puedan excluirse definitivamente de la clasificación de alto riesgo deben tratarse como de alto riesgo en tanto no se disponga de un análisis jurídico definitivo.

Paso 2: Planificación de la vía de evaluación de conformidad

Para los sistemas de IA que sean componentes de seguridad de vehículos, aeronaves o productos ferroviarios, identifique el procedimiento de certificación sectorial aplicable y mapéelo con los requisitos de evaluación de conformidad del Reglamento de IA. Determine si se requiere un organismo notificado (Art. 43(3)) o si basta una autoevaluación con auditoría técnica de terceros. Coordine el calendario de la evaluación de conformidad del Reglamento de IA con el programa de homologación de tipo o de certificación para evitar retrasos en el acceso al mercado.

Paso 3: Documentación técnica y gobernanza de datos

Elabore la documentación técnica en virtud del Annex IV para cada sistema de IA de alto riesgo. Para la IA en el transporte, esta documentación debe incluir: la finalidad prevista con precisión suficiente para respaldar la clasificación tanto en virtud del Reglamento de IA como de la normativa sectorial; la procedencia de los datos de entrenamiento, incluidos los datos de conducción real, operacionales o de sensores utilizados; las descripciones del entorno de simulación para los sistemas de IA validados mediante pruebas virtuales; y los planes de seguimiento poscomercialización alineados con las obligaciones de información específicas del sector.

Paso 4: Integración de NIS2 para operadores de infraestructuras críticas

Los operadores de transporte de servicios esenciales deben integrar los requisitos de ciberseguridad del Reglamento de IA en virtud del Art. 15 con las obligaciones de gestión de riesgos de ciberseguridad de NIS2. Establezca un proceso único de evaluación de riesgos de seguridad que abarque ambos marcos. Asegúrese de que los proveedores de software de IA —incluidos los desarrolladores de modelos de IA y los proveedores de datos— estén sujetos a los requisitos de seguridad de la cadena de suministro coherentes con el Art. 21(2)(d) de NIS2 y el Art. 25 del Reglamento de IA (obligaciones relativas a herramientas de terceros).

Paso 5: Supervisión humana en contextos operacionales

Diseñe mecanismos de supervisión humana en virtud del Art. 14 que sean operativamente viables en los entornos de transporte. Para los sistemas de conducción autónoma, defina las condiciones en las que el conductor debe poder tomar el control (L3) o un operador remoto debe poder intervenir (L4). Para la IA de gestión del tráfico aéreo, especifique los puntos del flujo de trabajo en los que un controlador debe revisar y aprobar las instrucciones generadas por la IA. Para la IA de mantenimiento ferroviario, defina los protocolos de escalada cuando el sistema detecte anomalías de seguridad crítica. Los mecanismos de supervisión deben documentarse en la documentación técnica y reflejarse en las instrucciones de uso facilitadas a los desplegadores.

Paso 6: Seguimiento poscomercialización y notificación de incidentes

Establezca sistemas de seguimiento poscomercialización que satisfagan tanto los requisitos del Art. 72 del Reglamento de IA como las obligaciones sectoriales específicas de notificación de seguridad (notificación de accidentes de ERA, notificación de sucesos de EASA en virtud del Reglamento (UE) 376/2014, notificación de incidentes de NIS2). Los incidentes graves que afecten a sistemas de IA de alto riesgo deben notificarse a la autoridad nacional de supervisión de IA en virtud del Art. 73 en un plazo de 15 días hábiles desde que se tenga conocimiento de ellos. Este plazo debe conciliarse con el requisito de notificación inicial en 24 horas de NIS2 para incidentes de ciberseguridad significativos, que puede cubrir el mismo evento si el fallo del sistema de IA es atribuible a una vulneración de ciberseguridad.

Official AI Act Compliance Deadline Calendar

Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.

Obligation Applies to Original date New date Status Countdown Legal basis
Prohibited Practices (Art. 5) All providers and deployers active — AI Act Art. 5
GPAI Rules (Chapter 5) GPAI model providers active — AI Act Art. 51-56
High-risk AI — Annex III (standalone) Providers of standalone Annex III systems deferred — AI Omnibus 2026 Art. 6(2)
High-risk AI — Annex I (embedded) AI embedded in Annex I regulated products deferred — AI Omnibus 2026 Art. 6(1)
AI-Generated Content Marking Providers of generative GPAI systems active — AI Act Art. 50(2)
Regulatory Sandboxes National competent authorities active — AI Act Art. 57

⬇ Download JSON · CC BY 4.0

AI Act meets DORA and NIS2

Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth.

Explore regulation-dora.eu ↗

Frequently Asked Questions

Sí, en la mayoría de las configuraciones comercialmente relevantes. Un sistema de IA que constituya un componente de seguridad de un tipo de vehículo de carretera homologado en virtud del Reglamento General de Seguridad (UE) 2019/2144 se clasifica automáticamente como de alto riesgo en virtud del Art. 6(1) del Reglamento de IA de la UE, en relación con el Annex I (Nuevo Marco Legislativo). Esto se aplica desde los sistemas de asistencia al conductor SAE Nivel 2+ que influyen en la dirección, el frenado o la aceleración, hasta los sistemas de conducción autónoma L4 y L5. La clasificación es categórica y no requiere una evaluación separada de la probabilidad de daño. Tanto la evaluación de conformidad del Reglamento de IA como el procedimiento de homologación de tipo en virtud del GSR 2019/2144 deben cumplirse antes de que el vehículo se comercialice en el mercado de la UE.

La atribución depende de la estructura contractual y técnica de la integración. Cuando el OEM incorpora un sistema de IA de un tercero en el tipo de vehículo sin modificación alguna y lo comercializa bajo su propio nombre, el OEM es el proveedor en virtud del Art. 16 del Reglamento de IA de la UE y asume todas las obligaciones del proveedor, incluida la evaluación de conformidad, el marcado CE y el registro en la base de datos de IA de la UE. El desarrollador original del sistema de IA puede ser un subproveedor, pero no es automáticamente el proveedor a efectos del Reglamento de IA. Si el OEM realiza modificaciones sustanciales en el sistema de IA antes de su comercialización, las obligaciones del proveedor se confirman en su totalidad. Las flotas o empresas de alquiler que posteriormente despliegan el vehículo con el sistema de IA activo son desplegadores en virtud del Art. 26.

No. La certificación de EASA en virtud del Reglamento de Base (UE) 2018/1139 y la evaluación de conformidad del Reglamento de IA son obligaciones jurídicas distintas que operan en paralelo. La hoja de ruta de IA de EASA y la orientación prevista sobre la fiabilidad de la IA para la aviación abordan los requisitos de aeronavegabilidad y seguridad operacional en virtud del derecho aeronáutico. Los requisitos del Reglamento de IA de la UE —incluida la documentación técnica en virtud del Annex IV, el registro automático en virtud del Art. 12 y la supervisión humana en virtud del Art. 14— son obligaciones separadas que deben cumplirse de forma independiente. El Art. 8(1) del Reglamento de IA reconoce la legislación sectorial específica y puede permitir la alineación procedimental cuando los requisitos de EASA sean equivalentes, pero no elimina las obligaciones del Reglamento de IA para los sistemas de IA en tierra ni para los sistemas de IA de cabina que queden fuera del perímetro de aeronavegabilidad de EASA.

Depende del contexto operacional. Los sistemas de IA utilizados para la gestión y operación de infraestructuras críticas de tráfico vial están expresamente enumerados como de alto riesgo en el Annex III, punto 2 del Reglamento de IA de la UE. Un sistema que gestione el flujo de tráfico en autopistas, el control adaptativo de señales en una red vial metropolitana o la asignación dinámica de carriles en la aproximación a un túnel cumplirá probablemente el umbral de «infraestructura crítica de tráfico vial». Un sistema de IA independiente que optimice el ciclo de semáforos en una única intersección rural con escaso volumen de tráfico y sin interdependencias críticas para la seguridad puede quedar fuera de esta definición, pero esta valoración debe documentarse. Los operadores deben adoptar una interpretación de precaución: si un fallo o error de cálculo en la salida del sistema de IA pudiera generar un riesgo material de accidentes, cascadas de congestión o retrasos en vehículos de emergencia a gran escala, la clasificación como de alto riesgo es el criterio por defecto.

Los operadores ferroviarios que sean operadores de servicios esenciales en virtud de la Directiva NIS2 (UE) 2022/2555 se enfrentan a una doble obligación de cumplimiento. En virtud de NIS2, deben implementar medidas de gestión de riesgos de ciberseguridad, cumplir los plazos de notificación de incidentes (incidentes significativos dentro de las 24 horas a la autoridad nacional competente, informe completo en 72 horas) y garantizar la seguridad de la cadena de suministro, incluida la de los proveedores de software de IA. En virtud del Reglamento de IA de la UE, los sistemas de IA integrados en operaciones ferroviarias de seguridad crítica —IA de mantenimiento predictivo, señalización asistida por IA, sistemas de maniobra autónoma— son de alto riesgo en virtud del Art. 6(1) (como componentes de seguridad bajo la legislación ferroviaria de ERA) o del Annex III, punto 2. Los requisitos de ciberseguridad y robustez del Reglamento de IA en virtud del Art. 15 deben satisfacerse de manera coherente y complementaria con las obligaciones de NIS2. Un sistema integrado de gestión de riesgos que aborde ambos marcos es operativamente preferible y coherente con los requisitos del Sistema de Gestión de la Seguridad de ERA en virtud de la Directiva 2016/798.

Stay ahead of AI Act changes

Get compliance alerts when deadlines or obligations change.

No spam. One-click unsubscribe.