Registro en la base de datos de la UE y vigilancia poscomercialización de la IA de alto riesgo (arts. 49, 71 y 72)

Referencia y estado

• Norma: Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA o AI Act): art. 49 (registro), art. 71 (base de datos de la UE) y art. 72 (vigilancia poscomercialización).
• Fecha: el art. 49 está en la sección 5 del capítulo III, el art. 71 en el capítulo VIII y el art. 72 en el capítulo IX; ninguno figura entre las partes que el Ómnibus retrasa (capítulo III, secciones 1 a 3). Formalmente se aplican desde la fecha general, el 2 de agosto de 2026; en la práctica operan sobre sistemas de alto riesgo cuyos requisitos son exigibles desde el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I). Ver el calendario.
• Cambios del Ómnibus: sustituye el art. 72, apartado 3: en lugar de un acto de ejecución con el modelo del plan, la Comisión adoptará orientaciones con un modelo a más tardar el 2 de septiembre de 2027.

Qué dice

Registro (art. 49)

Base de datos de la UE (art. 71)

• La Comisión, con los Estados miembros, la crea y la mantiene.
• El proveedor introduce los datos de las secciones A y B del anexo VIII; el responsable del despliegue público, los de la sección C.
• La información registrada es pública, fácil de navegar y legible por máquina, salvo las secciones seguras. Solo las autoridades de vigilancia del mercado y la Comisión acceden a lo registrado por pruebas en condiciones reales, salvo consentimiento.
• Solo contiene datos personales necesarios, como nombres y datos de contacto de quienes registran.

Vigilancia poscomercialización (art. 72)

• El proveedor establece y documenta un sistema de vigilancia poscomercialización, proporcionado a la tecnología y a los riesgos.
• El sistema recopila, documenta y analiza de forma activa y sistemática los datos pertinentes sobre el funcionamiento durante toda la vida útil, que pueden aportar los responsables del despliegue u otras fuentes, para evaluar el cumplimiento permanente de los requisitos.
• Se basa en un plan, que forma parte de la documentación técnica del anexo IV.
• Productos del anexo I, sección A, y ciertos sistemas financieros: pueden integrar estos elementos en los sistemas y planes que ya existan por su normativa, si el nivel de protección es equivalente (apartado 4).

Qué significa en la práctica

• Sin registro, no se puede usar en el sector público. El responsable del despliegue que sea autoridad pública no usa un sistema que no esté registrado (art. 26.8). Ver la guía de IA en el sector público.
• El registro también aplica a lo que no es alto riesgo cuando el proveedor lo excluye por el art. 6.3: la excepción se documenta y se declara.
• La vigilancia es un ciclo. Lo que se aprende tras comercializar alimenta la gestión de riesgos y la notificación de incidentes. Ver incidentes graves.
• Los responsables del despliegue alimentan el sistema con datos de funcionamiento y sus propias vigilancias (art. 26.5).

Quién está obligado

Desde cuándo

• 2 de agosto de 2026: fecha formal general de estos artículos.
• 2 de diciembre de 2027 y 2 de agosto de 2028: fechas desde las que los sistemas de alto riesgo del anexo III y del anexo I deben cumplir sus requisitos.
• 2 de septiembre de 2027: fecha límite para las orientaciones de la Comisión con el modelo de plan de vigilancia.

Qué hacer ahora

1. Si eres proveedor, prepara los datos del anexo VIII y el plan de vigilancia dentro de tu documentación técnica.
2. Si eres autoridad pública, comprueba en la contratación que el proveedor registra el sistema.
3. Diseña el flujo de datos de funcionamiento entre quien usa el sistema y el proveedor.
4. Conecta la vigilancia con la gestión de riesgos y con el procedimiento de incidentes.

Preguntas frecuentes

¿Quién tiene que registrar un sistema de IA de alto riesgo?

El proveedor, antes de comercializarlo. Además, las autoridades públicas que lo usen deben registrar su utilización.

¿Es pública la base de datos?

Sí, con excepción de las secciones seguras de policía, migración, asilo y fronteras y de lo registrado por pruebas en condiciones reales.

¿Qué es la vigilancia poscomercialización?

Un sistema con el que el proveedor recoge y analiza datos del funcionamiento del sistema durante su vida útil para comprobar que sigue cumpliendo los requisitos.

¿Cuándo habrá un modelo de plan?

La Comisión publicará orientaciones con un modelo a más tardar el 2 de septiembre de 2027.