Obligaciones en los sistemas de alto riesgo

Requisitos del sistema y deberes del proveedor

Los artículos 9 a 15 exigen un sistema de gestión de riesgos, gobernanza de los datos de entrenamiento, validación y prueba, documentación técnica, registro automático de eventos, instrucciones de uso claras, supervisión humana efectiva y niveles adecuados de precisión, solidez y ciberseguridad.

Además, el proveedor implanta un sistema de gestión de la calidad (art. 17), somete el sistema a evaluación de la conformidad (art. 43), lo registra en la base de datos de la UE cuando procede (art. 49), mantiene una vigilancia poscomercialización (art. 72) y notifica los incidentes graves a más tardar quince días después de conocerlos (art. 73.2).

Tras el Ómnibus, las pymes y las pequeñas empresas de mediana capitalización pueden presentar la documentación técnica en un formulario simplificado de la Comisión (art. 11.1), y el sistema de gestión de la calidad se aplica en proporción al tamaño del proveedor (art. 17.2).

Qué hace quien despliega el sistema

El artículo 26 obliga al responsable del despliegue a usar el sistema según sus instrucciones, encomendar la supervisión humana a personas con competencia, formación y autoridad, asegurarse de que los datos de entrada que controla son pertinentes, vigilar el funcionamiento y suspender el uso si detecta un riesgo, y conservar los registros que genera el sistema al menos seis meses.

Si el sistema se usa en el trabajo, el empleador informa antes a los representantes de los trabajadores y a los afectados (art. 26.7). Si se usa para tomar o apoyar decisiones sobre personas en un ámbito del anexo III, informa a esas personas (art. 26.11).

Evaluación de impacto en los derechos fundamentales

El artículo 27 la exige antes del despliegue a los organismos públicos, a las entidades privadas que prestan servicios públicos y a quienes usan sistemas de evaluación de solvencia o de fijación de precios en seguros de vida y salud (anexo III, punto 5, letras b y c).

El Ómnibus permite remitirse a las partes pertinentes de la evaluación de impacto de protección de datos del artículo 35 del RGPD o incorporarlas, y encarga a la Oficina de IA un cuestionario modelo para simplificarla (art. 27.4 y 27.5).

Desde cuándo

Estas obligaciones se aplican desde el 2 de diciembre de 2027 para los sistemas del anexo III y desde el 2 de agosto de 2028 para los del anexo I (art. 113, letra c). Los sistemas de alto riesgo ya en el mercado antes de esa fecha solo quedan sujetos si después cambian de forma significativa su diseño; los destinados a autoridades públicas deben cumplir a más tardar el 2 de agosto de 2030 (art. 111.2).

Lo que suele pedir el auditor

• Instrucciones de uso del proveedor recibidas y archivadas
• Personas designadas para la supervisión humana, con formación y autoridad para intervenir
• Registros del sistema conservados un mínimo de seis meses
• Representantes de los trabajadores informados antes de usar el sistema en el trabajo
• Evaluación de impacto en derechos fundamentales hecha cuando el artículo 27 la exige

Cómo abordarlo en la práctica

1. 1Pide al proveedor las instrucciones de uso y la declaración de conformidad del sistema y guárdalas con el contrato.
2. 2Nombra a quien supervisa cada sistema de alto riesgo y deja por escrito qué puede hacer cuando el resultado no le convence.
3. 3Fija la conservación de los registros y el aviso a la plantilla dentro de los procedimientos de protección de datos que ya tengas.