Cuando un sistema de IA sugiere, la decisión sigue siendo de una persona y el rastro relevante es lo que esa persona decidió. Cuando actúa —envía el correo, reserva la cita, aprueba el gasto, escala el ticket—, el rastro tiene que explicar algo más: por qué el sistema hizo eso y no otra cosa.
Ese cambio no crea obligaciones nuevas. No hay un régimen de agentes en el AI Act: hay obligaciones que aplican igual con o sin agente, y problemas prácticos que la autonomía agrava. Este artículo trata de dos que se confunden constantemente.
Lo que el AI Act pide sobre registros
Para los sistemas de alto riesgo —y solo para ellos: el Art. 26 no alcanza a ningún otro—, el Art. 26(6) impone al responsable del despliegue conservar los registros que el sistema genere automáticamente, en la medida en que estén bajo su control, «durante un período de tiempo adecuado para la finalidad prevista del sistema de IA de alto riesgo, de al menos seis meses, salvo que se disponga otra cosa en el Derecho de la Unión o nacional aplicable, en particular en el Derecho de la Unión en materia de protección de datos personales». Se aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del Anexo III.
Es una obligación de conservación, y su objeto son los logs del sistema. No pide construir un sistema de trazabilidad ni documentar el razonamiento del modelo: pide guardar lo que la herramienta produce.
Con un sistema que sugiere, eso suele bastar para reconstruir qué pasó: hay un log de la sugerencia y una decisión humana identificable. Con un agente que encadena acciones, el mismo log puede no responder la pregunta que importa — qué acción disparó cuál, y con qué criterio.
Ahí está la diferencia práctica, y no es jurídica: la obligación es la misma; lo que cambia es cuánto explica el registro que la cubre.
El Art. 22 del RGPD, y su umbral
Aquí es donde el contenido que circula sobre agentes suele excederse. La forma corta —«si tienes agentes, aplica el Art.22»— es cierta en su dirección y falsa en su alcance.
El artículo dice:
«Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.»
Esa última cláusula es el artículo. No basta con que la decisión sea automatizada: tiene que producir efectos jurídicos en la persona, o afectarle significativamente de modo similar.
Un agente que reordena una bandeja de entrada, prepara un borrador, agenda una reunión interna o clasifica tickets por prioridad no llega a ese umbral. Tampoco lo alcanza, por sí solo, el hecho de que la acción sea autónoma: el Art. 22 mira el efecto sobre la persona, no el grado de automatización del sistema que lo produce.
Sí lo alcanzan las decisiones que se reconocen enseguida cuando se nombran: denegar una solicitud, descartar una candidatura, resolver una reclamación, fijar un precio o una condición que afecta a alguien concreto. Ahí el derecho existe, y con él las salvaguardas del apartado 3 —intervención humana, expresar el punto de vista, impugnar la decisión— cuando la decisión se apoya en un contrato o en el consentimiento explícito.
Dos cosas distintas que conviene no fundir
Se citan juntas y no se parecen.
| Art. 26(6) AI Act | Art. 22 RGPD | |
|---|---|---|
| Qué es | obligación de conservar registros | derecho del interesado |
| A quién obliga | responsable del despliegue de sistemas de alto riesgo | responsable del tratamiento |
| Qué activa | que el sistema sea de alto riesgo | que la decisión produzca efectos jurídicos o similares |
| Sobre qué | logs generados por el sistema | decisiones basadas únicamente en tratamiento automatizado |
Se relacionan —si tienes que atender un derecho del Art. 22, los registros del Art. 26(6) son parte de lo que te permite responder— pero no se derivan uno del otro. Un sistema puede estar sujeto al primero y no al segundo, y al revés.
Fundirlos produce las dos versiones equivocadas que circulan: «conserva logs porque el RGPD lo exige» —no es de ahí de donde viene— y «tienes agentes, luego hay derecho a intervención humana» —solo si la decisión cruza el umbral—.
Qué cambia de verdad cuando el sistema actúa
Tres cosas, y ninguna es una obligación nueva.
El rastro tiene que reconstruir una cadena, no un evento. Con acciones encadenadas, saber que ocurrieron no basta: hay que poder decir en qué orden y por qué. Es el mismo deber de conservación, con más que conservar.
La pregunta «¿quién responde?» deja de tener respuesta obvia. Un sistema que sugiere tiene un humano al final. Uno que actúa necesita que alguien esté designado de antemano — y esa designación no la exige un artículo concreto: la exige poder contestar cuando pregunten.
El umbral del Art. 22 hay que evaluarlo por acción, no por sistema. Un mismo agente puede hacer cosas que no lo cruzan y una que sí. La evaluación no es del agente: es de lo que hace.
Y esa es la parte incómoda: son tres preguntas que se responden antes, y que ningún registro automático contesta solo. Quién decide qué acciones puede ejecutar el agente sin intervención, dónde está el límite, quién lo revisó y cuándo — la diferencia de siempre entre marcar una casilla y tener evidencia, aplicada a un sistema que ya no espera confirmación.
Sobre las obligaciones GPAI
Un apunte, porque aparece cada vez que se habla de agentes: los Arts. 53 a 55 del AI Act —los de modelos de propósito general— son obligaciones del proveedor del modelo. Para una empresa que despliega un agente construido sobre uno de esos modelos, no son deberes propios: verificar la documentación del proveedor es diligencia interna, no obligación legal directa.
Es la misma distinción que separa las obligaciones del proveedor de las de quien despliega: lo que te alcanza a ti va por el Art. 26, no por el capítulo del proveedor.
Contenido con arreglo al artículo 26 del Reglamento (UE) 2024/1689 y al artículo 22 del Reglamento (UE) 2016/679, citado según el texto publicado en el DOUE L 119 de 4.5.2016 y verificado contra la versión consolidada.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.