Obligaciones de quien usa IA de alto riesgo (art. 26 del Reglamento de IA): la lista completa

Referencia y estado

• Norma: Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA o AI Act), art. 26, «Obligaciones de los responsables del despliegue de sistemas de IA de alto riesgo».
• Responsable del despliegue es quien usa un sistema de IA bajo su autoridad en una actividad profesional (art. 3, punto 4). Es el papel de la mayoría de las empresas. Ver el glosario.
• Aplicable desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I (art. 113, en la redacción del Reglamento (UE) 2026/1744).
• Cambios del Ómnibus: el Reglamento (UE) 2026/1744 no modifica el texto del art. 26; solo retrasa su aplicación.

Qué dice

El apartado 3 aclara que estas obligaciones se suman a las de otras normas y que la empresa organiza libremente cómo aplicar la supervisión humana que indica el proveedor.

Qué significa en la práctica

• Leer y seguir las instrucciones de uso del proveedor: son la referencia de casi todas las obligaciones.
• Nombrar a quién supervisa cada sistema y darle formación y autoridad para corregir o detener sus resultados. Ver la pieza sobre supervisión humana.
• Guardar los registros del sistema al menos seis meses, salvo que otra norma exija otro plazo.
• Avisar antes de usarlo con la plantilla, y a las personas sobre las que decide o ayuda a decidir (por ejemplo, candidatos en un proceso de selección).
• Tener un procedimiento para suspender el uso y avisar si el sistema falla o presenta riesgos.
• Las entidades financieras cumplen la vigilancia y la conservación de registros con sus propias normas de gobernanza (apartados 5 y 6).

Quién está obligado

Desde cuándo

• 2 de diciembre de 2027: sistemas de alto riesgo del anexo III, como empleo, educación o evaluación de solvencia.
• 2 de agosto de 2028: sistemas de alto riesgo integrados en productos regulados del anexo I.
• Calendario completo en el calendario del Reglamento.

Sanciones

El incumplimiento de las obligaciones del art. 26 está entre las infracciones del art. 99, apartado 4, letra e): multas de hasta 15 millones de euros o el 3 % del volumen de negocios mundial, si es superior. Para pymes se aplica la cuantía menor. El régimen sancionador español sigue pendiente de ley: ver el análisis de la ley española.

Qué hacer ahora

1. Identifica tus sistemas de alto riesgo con un inventario y la ficha del art. 6.
2. Pide al proveedor las instrucciones de uso y la información del art. 13.
3. Designa y forma a las personas que supervisarán cada sistema.
4. Prepara los avisos a la plantilla y a las personas afectadas, y el procedimiento de suspensión e incidentes.
5. Fija la conservación de registros y revisa tus evaluaciones de impacto del RGPD.

Relación con otras normas

• RGPD: si el sistema trata datos personales, la evaluación de impacto del art. 35 del RGPD se apoya en la información del proveedor (apartado 9). Ver RGPD y Reglamento de IA.
• Evaluación de impacto en derechos fundamentales: algunos responsables del despliegue deben hacerla además del art. 26. Ver la ficha del art. 27.
• Clasificación: el art. 26 solo aplica a sistemas de alto riesgo. Ver la ficha del art. 6 y el anexo III.

Preguntas frecuentes

¿Qué es un responsable del despliegue?

Quien usa un sistema de IA bajo su autoridad en una actividad profesional, aunque no lo haya desarrollado. Por ejemplo, una empresa que usa una herramienta de selección de personal con IA.

¿Cuánto tiempo hay que guardar los registros?

Un período adecuado a la finalidad del sistema, de al menos seis meses, salvo que otra norma de la UE o nacional disponga otra cosa.

¿Hay que avisar a la plantilla?

Sí. Antes de usar un sistema de alto riesgo en el lugar de trabajo, el empleador debe informar a los representantes de los trabajadores y a los trabajadores afectados.

¿Desde cuándo aplica?

Desde el 2 de diciembre de 2027 para los sistemas del anexo III y desde el 2 de agosto de 2028 para los del anexo I, tras el Ómnibus de 2026.