Notificación de incidentes graves de IA (art. 73 del Reglamento de IA): plazos de 2, 10 y 15 días

Referencia y estado

• Norma: Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA o AI Act), art. 73, «Notificación de incidentes graves», en la sección 2 («Intercambio de información sobre incidentes graves») del capítulo IX.
• Fecha de aplicación: el art. 113 no fija una fecha especial para este artículo, así que se aplica desde la fecha general, el 2 de agosto de 2026. La obligación recae sobre sistemas de alto riesgo introducidos en el mercado; las obligaciones del capítulo III de los sistemas del anexo III aplican desde el 2 de diciembre de 2027 tras el Ómnibus.
• Ómnibus: el Reglamento (UE) 2026/1744 no modifica el art. 73.

Qué es un incidente grave

El art. 3, punto 49, define «incidente grave» como un incidente o defecto de funcionamiento de un sistema de IA que, directa o indirectamente, tenga alguna de estas consecuencias:

• a) el fallecimiento de una persona o un perjuicio grave para su salud;
• b) una alteración grave e irreversible de la gestión o el funcionamiento de infraestructuras críticas;
• c) el incumplimiento de obligaciones del Derecho de la Unión destinadas a proteger los derechos fundamentales;
• d) daños graves a la propiedad o al medio ambiente.

Ver el glosario.

Qué dice

Qué significa en la práctica

• Quien despliega el sistema también tiene un papel. El art. 26, apartado 5, obliga al responsable del despliegue a informar, ante un incidente grave, primero al proveedor y después al importador o distribuidor y a la autoridad, y si no localiza al proveedor se aplica el art. 73 por analogía. Ver la ficha del art. 26.
• El reloj empieza con el conocimiento, no con la investigación completa: hay que tener un canal interno para detectar y escalar incidentes.
• No conviene «arreglar» el sistema primero. Modificarlo de forma que impida analizar las causas sin avisar a las autoridades incumple el apartado 6.
• La notificación inicial incompleta es válida. Es mejor notificar a tiempo con lo que se sabe que esperar a tener todo.
• Sanidad: los sistemas que son productos sanitarios tienen un régimen especial. Ver la guía de IA en sanidad.

Quién está obligado

Desde cuándo

• 2 de agosto de 2026: aplicación formal del art. 73.
• 2 de diciembre de 2027 (anexo III) y 2 de agosto de 2028 (anexo I): aplicación de las obligaciones del capítulo III de los sistemas sobre los que opera.

Ver el calendario.

Qué hacer ahora

1. Crea un procedimiento de incidentes: cómo se detectan, quién los clasifica y cómo se escalan, con los plazos del art. 73.
2. Define quién notifica y a qué autoridad, y revisa las obligaciones paralelas del RGPD.
3. Pacta con tus proveedores cómo se comunican los incidentes y en qué plazo.
4. Conserva los registros del sistema para poder reconstruir lo ocurrido (art. 26).

Relación con otras normas

• RGPD: si el incidente implica una brecha de datos personales, pueden aplicarse además sus propias obligaciones de notificación. Ver RGPD y Reglamento de IA.
• Autoridad en España: qué autoridad recibirá estas notificaciones depende de la ley española pendiente. Ver el análisis de la ley española.

Preguntas frecuentes

¿En cuánto tiempo hay que notificar un incidente grave?

Como máximo 15 días desde que el proveedor o el responsable del despliegue tienen conocimiento. Son 10 días si hay un fallecimiento y 2 días si es una infracción generalizada o afecta a infraestructuras críticas.

¿Quién notifica, el proveedor o quien usa el sistema?

El proveedor notifica a la autoridad. Quien despliega el sistema debe informar al proveedor y, además, a la autoridad (art. 26.5); si no localiza al proveedor, se aplica el art. 73.

¿Puedo notificar sin tener toda la información?

Sí. El apartado 5 permite una notificación inicial incompleta, seguida de otra completa.

¿Qué pasa si modifico el sistema tras el incidente?

No debes hacerlo de modo que afecte al análisis de las causas sin avisar antes a las autoridades.