Guía de actores
sujetos al RIA

Garantizar que el sistema de IA contar con el sistema de gestión de riesgos contemplado en el art. 9 RIA.

Garantizar que el sistema cumple con los requisitos de gobernanza de datos del art. 10 RIA.

Garantizar que el sistema cuenta con la documentación técnica que se contempla en el art. 11 RIA.

Garantizar que el sistema pueda mantener registros automáticos de  su funcionamiento tal como exige el art. 12 RIA, y conservar estos registros cuando éstos estén bajo su control, de acuerdo con el art. 19 RIA.

Garantizar que el sistema cumple con los requisitos de transparencia e información a los desarrolladores contemplados en el art. 13 RIA.

Garantizar que el sistema cumple con los requisitos de supervisión humana exigidos por el art. 14 RIA.

Garantizar que el sistema cuenta con los requisitos de precisión, robusteza y seguridad contemplados en el art. 15 RIA.

Informar en el sistema de alto riesgo o la documentación que le acompaña su nombre, nombre comercial registrado o marca registrada así como la dirección a la que se puede contactar con ellos.

Contar con un sistema de gestión de calidad que cumpla con los requisitos del art. 17 RIA.

Conservar y mantener a disposición de las autoridades nacionales competentes la documentación enumerada en el art. 18 RIA por un periodo de 10 años desde la comercialización o puesta en servicio del sistema.

Garantizar que, antes de la comercialización o puesta en servicio de los sistemas de IA, éste haya sido sometido a la evaluación de conformidad que se prevé  en el art. 43 RIA.

Elaborar la declaración de responsabilidad que el art. 47 RIA exige para cada sistema de alto riesgo, el cual rúa de ser legible por máquina y deberá mantenerse a disposición de las autoridades competentes por un período de 10 años desde la comercialización y o puesta en servicio del sistema.

Colocar el marcado CE en el sistema o, si ello no es posible, en su embalaje o en la documentación que lo acompaña, de conformidad con el art. 48 RIA.

En caso de que se trate de un sistema de los enumerados en el Anexo III del Reglamento (a excepción de los sistemas contemplar en los puntos 2 del mismo), deberá registrarse en la base de datos de la UE regulado en el art. 71 RIA, de acuerdo con el art. 49 RIA.

Llevar a cabo las medidas correctivas y de información contempladas en el art. 20 RIA cuando tenga sospechas de que un sistema ya comercializado o puesto en servicio pueda incumplir alguna disposición del RIA.

Demostrar que el sistema cumple con los requisitos de los arts. 9 a 15 RIA cuando una autoridad nacional competente lo solicite de conformidad con el art. 21 RIA.

Garantizar que el sistema de IA de alto riesgo cumple los requisitos de accesibilidad de acuerdo con las Directivas (UE) 2016/2102 y (UE) 2019/882.

Los proveedores de sistemas que interactúen directamente con personas físicas deben garantizar que estos estén diseñados y desarrollados de manera que las afectadas estén informadas de que están interactuando con él.

Los proveedores de sistemas de IA generativa deben garantizar que sus resultados estén marcados en un formato legible por máquina y detectables como generados o manipulados artificialmente.

Elaborar y mantener actualizada la documentación técnica del modelo, incluyendo su proceso de entrenamiento, testeo y los resultados de la evaluación, y que contenga, como mínimo, la información detallada en el Anexo XI RIA. Esta documentación debe ser facilitada a la Oficina Europea de IA y las autoridades nacionales competentes, cuando lo soliciten.  

Se presumirá la conformidad del sistema de IA cuando el proveedor cumpla con las normas armonizadas europeas, previstas  en el art. 40 RIA, aprobadas, en la medida en que tales normas regulas dichas obligaciones. Mientras no se publiquen normas armonizadas, se podrá recurrir a los códigos de buenas prácticas aprobados. En caso contrario, habrá que demostrar el cumplimiento a la Comisión a través de medios alternativos adecuados.

A tales efectos, recomendamos la adhesión al Código de buenas prácticas para modelos de propósito general de la Oficina europea de IA, especialmente en lo que se refiere al capítulo sobre transparencia.

Cuando otro proveedor pretenda integrar el modelo de propósito general a su sistema, el proveedor del modelo de propósito general deberá entregarle documentación que contenga, como mínimo, los elementos detallados  en el Anexo XII RIA, así como facilitarle información que le permita conocer bien las capacidades y las limitaciones del modelo de propósito general y cumplir sus obligaciones de acuerdo con el RIA.

Establecer una política para cumplir la legislación europea en materia de derechos de autoría y derechos afines y, en particular, para identificar una reserva de derechos expresada de conformidad con el art. 4.3 de la Directiva (UE) 2019/790. A tales efectos, recomendamos la adhesión al Código de buenas prácticas para modelos de propósito general de la Oficina europea de IA, en especial con respecto al capítulo sobre derechos de autoría.

Elaborar y poner a disposición del público un resumen suficientemente detallado sobre el contenido utilizado para el entrenamiento del modelo llevado a cabo de acuerdo con la plantilla elaborada por la Oficina europea de IA.

Cooperar con la Comisión y las autoridades nacionales competentes en el ejercicio de sus competencias y facultades.

Evaluar el modelo de conformidad con protocolos y herramientas normalizadas que reflejen el estado de la técnica, incluida la realización y la documentación de pruebas contradictorias con para identificar y mitigar los riesgos sistémicos.

Evaluar y mitigar los posibles riesgos sistémicos a escala de la Unión que puedan derivarse del desarrollo, comercialización o uso del sistema, incluidas sus fuentes.

Llevar un registro, documentar y comunicar sin demora a la Oficina Europea de IA y, en su caso, a las autoridades nacionales competentes, la información pertinente sobre incidentes graves y las posibles medidas correctivas para hacerle frente.

Garantizar un nivel de ciberseguridad adecuado para el modelo y su infraestructura física.

Para cumplir con las obligaciones contenidas en este artículo, recomendamos la adhesión al Código de buenas prácticas para modelos de propósito general de la Oficina europea de IA, y seguir las indicaciones contenidas en el capítulo sobre seguridad y protección, relativas a la elaboración de un marco de seguridad y protección.

Llevar a cabo las tareas especificadas en el mandato recibido del proveedor, del que debe proporcionar una copia a las autoridades competentes, previa solicitud, en inglés, francés o alemán, según éstas indiquen. El mandato deberá facultar al representante autorizado a llevar a cabo, como mínimo, las tareas que se mencionan en los siguientes recuadros.

Verificar que se ha elaborado la declaración de conformidad a la que se refiere el art. 47 RIA y la documentación técnica a que se refiere el art. 11 RIA, y que el proveedor ha llevado a cabo un procedimiento de evaluación de la conformidad adecuado.

Conservar los datos de contacto del proveedor, una copia de la declaración UE de conformidad, la documentación técnica y, si procede, el certificado expedido por el organismo notificado a disposición de las autoridades competentes durante un periodo de 10 años después de que el sistema se haya introducido en el mercado o puesto en servicio.

Proporcionar a una autoridad competente, previa solicitud motivada, toda la información y la documentación necesaria para demostrar la conformidad de un sistema de IA de alto riesgo con el RIA, incluido el acceso a los registros automáticos previstos en el art. 12 RIA si éstos estuvieran bajo el control del proveedor;

Cooperar con las autoridades competentes, previa solicitud motivada, en cualquier acción que éstas tomen en relación con el sistema, en particular para reducir y mitigar los riesgos que plantee.

Cumplir con las obligaciones de registro a que se refiere el artículo 49.1 RIA o, si el registro lo lleva a cabo el mismo proveedor, garantizar que la información relativa a su nombre, dirección y detalles de contacto sea correcta.

Rescindir el mandato si considera que el proveedor actúa de manera contraria a sus obligaciones en virtud del RIA. En este caso, debe informar inmediatamente a la autoridad de vigilancia del mercado y al organismo notificado pertinentes.

Llevar a cabo las tareas especificadas en el mandato recibido del proveedor, del que debe proporcionar una copia a las autoridades competentes, previa solicitud, en la lengua oficial de las instituciones de la UE que éstas indiquen. El mandato deberá facultar al representante autorizado a llevar a cabo, como mínimo, las tareas que se mencionan en los siguientes recuadros.

Comprobar que se ha elaborado la documentación técnica especificada  en el Anexo XI y que el proveedor ha cumplido todas las obligaciones previstas  en el art. 53 y, en caso de que se trate de un modelo de propósito general de riesgo sistémico, en el art. 55 RIA.

Conservar una copia de la documentación técnica mencionada a disposición de las autoridades nacionales competentes y la Oficina Europea de IA durante un periodo de 10 años a partir de la comercialización del modelo, así como los datos de contacto del proveedor.

Facilitar a la Oficina Europea de IA, previa solicitud motivada, toda la información y documentación necesaria para demostrar el cumplimiento del RIA.

Cooperar con la Oficina Europea de IA y las autoridades competentes, previa solicitud motivada, en cualquier acción relacionada con el modelo, incluso cuando éste se integre en sistemas comercializados o puestos en servicio en la UE.

Poner fin al mandato si considera que el proveedor actúa de forma contraria a sus obligaciones. En este caso, también informará inmediatamente a la Oficina Europea de AI de la terminación del mandato y de los motivos de la misma.

Verificar que el proveedor del sistema ha llevado a cabo el procedimiento de evaluación de la conformidad pertinente de acuerdo con el art. 43 RIA.

Verificar que el proveedor ha elaborado la documentación técnica de acuerdo con el art. 11 y el Anexo IV RIA.

Verificar que el sistema lleva el marcado CE requerido y va acompañado de la declaración UE de conformidad, en virtud del art. 47 RIA, y las instrucciones de uso.

En su caso, verificar que el proveedor ha nombrado un representante autorizado, de acuerdo con el art. 22.1 RIA.

Cuando tenga motivos suficientes para considerar que un sistema no es conforme con el RIA, o está falsificado o va acompañado de documentación falsificada, no debe comercializarlo hasta que no se haya puesto en conformidad.

Informar al proveedor del sistema, al representante autorizado y a las autoridades de vigilancia del mercado cuando el sistema pueda presentar un riesgo para salud, la seguridad o los derechos fundamentales, de acuerdo con el art. 79.1 RIA.

Indicar su nombre, nombre comercial registrado o marca registrada y la dirección de contacto al sistema y a su embalaje o a la documentación que lo acompaña.

Garantizar que, mientras un sistema esté bajo su responsabilidad, las condiciones de almacenamiento o transporte no pongan en peligro su cumplimiento legal.

Conservar una copia del certificado expedido por el organismo notificado, en su caso, de las instrucciones de uso y de la declaración UE de conformidad prevista  en el art. 47 RIA, durante un período de 10 años desde que el sistema se haya introducido en el mercado o puesto en servicio.

Proporcionar a las autoridades competentes, previa solicitud motivada, toda la información y la documentación necesarias para demostrar la conformidad de un sistema con el RIA.

Cooperar con las autoridades competentes en cualquier acción que éstas adopten en relación con un sistema que hayan introducido en el mercado, en particular para reducir y mitigar los riesgos que éste plantee.

Verificar que el sistema lleva el marcado CE requerido, va acompañado de la declaración UE de conformidad, en virtud del art. 47 RIA, así como las instrucciones de uso, y que el proveedor y el importador cumplen con sus obligaciones, antes de su comercialización.

Garantizar que mientras un sistema esté bajo su responsabilidad las condiciones de almacenamiento o transporte no pongan en peligro el cumplimiento del RIA.

Adoptar las medidas correctoras necesarias, cuando considere que un sistema que ha puesto a disposición del mercado no es conforme con los requisitos del RIA, para corregir la falta de conformidad, retirarlo o recuperarlo, o de asegurar que otros operadores tomen estas medidas.

Informar inmediatamente al proveedor o al importador del sistema, así como a las autoridades competentes, cuando el sistema pueda presentar un riesgo para salud, la seguridad o los derechos fundamentales, de acuerdo con el art. 79.1 RIA.

Proporcionar a las autoridades competentes, previa solicitud motivada, toda la información y la documentación relativas a sus acciones necesarias para demostrar la conformidad del sistema con el RIA.

Cooperar con las autoridades competentes en cualquier acción que adopten en relación con un sistema que hayan puesto a disposición del mercado, en particular para reducir o mitigar el riesgo que éste pueda plantear.

Adoptar las medidas técnicas y organizativas adecuadas para garantizar que utilizan los sistemas de acuerdo con las instrucciones de uso que los acompañan.

Asignar la supervisión humana a personas físicas que tengan la competencia, la formación y la autoridad necesarias, y darles el apoyo necesario.

Asegurar que los datos de entrada sean relevantes y suficientemente representativos teniendo en cuenta la finalidad prevista del sistema, en la medida en que ejerza control sobre los datos de entrada.

Supervisar el funcionamiento del sistema en base a las instrucciones de uso y, en su caso, informar a los proveedores tal como se prevé en el art. 72.2 RIA.

Informar inmediatamente al proveedor o distribuidor, así como a la autoridad de vigilancia del mercado pertinente, y suspender el uso de un sistema cuando éste, a pesar de seguir las instrucciones de uso, pueda presentar un riesgo para salud, la seguridad o los derechos fundamentales, en los términos previstos en el art. 79.1 RIA.

Informar inmediatamente, primero al proveedor y, después, al importador o distribuidor y a las autoridades de vigilancia del mercado pertinentes, cuando identifique un incidente grave. Si no puede contactar con el proveedor, deberá cumplir con la obligación de notificación de incidentes graves que el art. 73 RIA impone a los proveedores.

En caso de que el desarrollador sea una institución financiera, esta obligación se llevará a cabo cumpliendo con las normas sobre disposiciones, procesos y mecanismos de gobernanza interna de acuerdo con la legislación de servicios financieros pertinente.

Conservar los registros generados automáticamente por el sistema en la medida en que estos registros estén bajo su control, durante un período adecuado a la finalidad prevista del sistema que será, de al menos, 6 meses, salvo que exista una norma legal que indique otra cosa.

Antes de poner en servicio o utilizar un sistema en el puesto de trabajo, los desarrolladores que son empleadores deben informar a los representantes de los trabajadores y a los trabajadores afectados por su uso, sienton las normas existentes en materia de información de los trabajadores y sus representantes.

Los desarrolladores que sean autoridades públicas deben cumplir las obligaciones de registro recogidas en el art. 49 RIA. Cuando encuentren que el sistema que pretenden utilizar no se ha registrado en la base de datos de la UE prevista  en el art. 71 RIA, no lo utilizarán e informarán al proveedor o al distribuidor.

Utilizar la información que les ha sido facilitada en virtud del art. 13 RIA

 (sobre la transparencia y la información a los desarrolladores), para llevar a cabo una evaluación de impacto sobre la protección de datos cuando ésta les sea obligatoria en virtud del art. 35 del Reglamento 2016/679 (general de protección de datos) o  del art. 27 de la Directiva (UE) 2016/680.

Los desarrolladores de sistemas de identificación biométrica remota en diferido deberán cumplir con los requisitos establecidos en el art. 26.10 RIA, así como con las restricciones previstas en el Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680 que sean aplicables.

Informar a las personas sujetas al uso de un sistema de alto riesgo de los recogidos en el Anexo III RIA cuando éste tome o ayude a tomar decisiones relacionadas con personas físicas.

Cooperar con las autoridades competentes pertinentes en cualquier acción que éstas tomen en relación con el sistema con el fin de aplicar el RIA.

El desarrollador de un sistema de reconocimiento de emociones o categorización biométrica debe informar a las personas físicas expuestas al mismo, y tratar sus datos personales de acuerdo con los Reglamentos (UE) 2016/679 y (UE) 2018/1725 y la Directiva (UE) 2016/680.

El desarrollador de un sistema que genere o manipule contenido de imagen, audio o vídeo que constituya un deepfake, debe revelar que el contenido ha sido generado o manipulado artificialmente.

El desarrollador de un sistema que genera o manipula texto publicado con la finalidad de informar sobre cuestiones de interés público debe revelar que el texto ha sido generado o manipulado artificialmente, excepto cuando el contenido generado haya sido sometido a un proceso de revisión humana o control editorial y una persona física o jurídica tenga la responsabilidad de su publicación.

La información descrita en los dos puntos anteriores debe ser facilitada de manera clara y distinguible, a más tardar en el momento de la primera exposición, y ajustándose a los requisitos de accesibilidad aplicables.

Cualquier actor será considerado proveedor a efectos del RIA, y quedará sujeto a las obligaciones previstas en el art. 16 RIA, si, en relación con un sistema ya introducido en el mercado o puesto en servicio:

1. Pone su nombre o marca en un sistema de alto riesgo, sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otra manera;
2. Hace una modificación sustancial en un sistema de alto riesgo, siempre que éste siga siendo un sistema de alto riesgo de acuerdo con el art.6 RIA; o

Modifica la finalidad prevista de un sistema, incluido un sistema hubiera sido clasificado como de alto riesgo, de manera que el sistema en cuestión se convierta en un sistema de alto riesgo de acuerdo con el art. 6 RIA.

En los casos descritos, el proveedor que inicialmente comercializó o puso en servicio el sistema dejará de ser considerado proveedor de este sistema específico. El antiguo proveedor cooperará estrechamente con los nuevos y pondrá a disposición la información y otras asistencias necesarias para el cumplimiento de las obligaciones exigidas por el RIA.

No obstante, quedará exento de esta obligación si especificó claramente que su sistema no debe convertirse en un sistema de alto riesgo.

Se considerará proveedor de un sistema de IA de alto riesgo, quedando sujeto a las obligaciones contenidas  en el art. 16 RIA, al proveedor de un producto de los cubiertos por las normas enumeradas en el Anexo I RIA al que se le ha incorporado un sistema de IA como componente de seguridad, si:

1. El sistema se pone en el mercado junto con el producto con el nombre o la marca comercial del fabricante del producto;

El sistema se pone en servicio con el nombre o la marca comercial del fabricante del producto después de que éste se haya puesto en el mercado.

El proveedor de un sistema de alto riesgo y el tercero que suministra otros sistemas, herramientas, componentes o procesos de IA que se integren en el sistema de alto riesgo deben especificar, mediante un acuerdo escrito, la información otras asistencias necesarias con el fin de permitir al proveedor del sistema de alto riesgo cumplir plenamente las obligaciones que el RIA le impone.

Esta obligación no operará si estas otras herramientas se han hecho accesibles al público bajo una licencia libre y de código abierto, excepto si se tratan de modelos de propósito general.