Si tu empresa usa un sistema de IA de alto riesgo que ha desarrollado otro, «conservar la documentación diez años» es una de esas obligaciones que suenan aplicables a cualquiera. Guardar papeles lo puede hacer todo el mundo, así que cuando aparece en una lista de tareas nadie la cuestiona.
El Art. 18 del Reglamento (UE) 2024/1689 no dice eso, y la razón por la que no te toca no es de rango: es que no tienes lo que hay que conservar. Salvo que el Art. 25, apartado 1, te convierta en proveedor —si pones tu nombre o marca en un sistema de alto riesgo ya introducido en el mercado o puesto en servicio, sin perjuicio de los acuerdos contractuales que asignen las obligaciones de otro modo; si lo modificas sustancialmente de forma que siga siendo de alto riesgo, o si modificas la finalidad prevista de uno que no lo era de modo que pase a serlo—: entonces las obligaciones del proveedor del Art. 16, entre ellas conservar esta documentación, pasan a ser tuyas.
La figura reparte entre el proveedor y el responsable del despliegue las obligaciones del AI Act, una por fila. La fila resaltada es la de la documentación técnica, el sistema de gestión de la calidad y la conformidad (artículos 11, 17, 18 y 43 y anexo IV): la columna del proveedor dice elaborarla, conservarla y someter el sistema a evaluación de la conformidad; la del responsable del despliegue está vacía.
Los cinco documentos, y de dónde sale cada uno
El apartado 1 fija el sujeto, el plazo y la lista: «Durante un período de diez años a contar desde la introducción en el mercado o la puesta en servicio del sistema de IA de alto riesgo, el proveedor mantendrá a disposición de las autoridades nacionales competentes:»
- a) la documentación técnica del Art. 11;
- b) la documentación relativa al sistema de gestión de la calidad del Art. 17;
- c) la documentación relativa a los cambios aprobados por los organismos notificados, si procede;
- d) las decisiones y otros documentos expedidos por los organismos notificados, si procede;
- e) la declaración UE de conformidad del Art. 47.
Léela como inventario, no como obligación. La pregunta útil no es «¿puedo guardar esto?», sino «¿tengo esto?».
La documentación técnica del Art. 11 la elabora quien construye el sistema. La del Art. 17 es la del sistema de gestión de la calidad, que —como vimos— tampoco establece quien despliega. Los documentos de los organismos notificados se expiden al proveedor en el marco de la evaluación de la conformidad, un procedimiento en el que un responsable del despliegue no es parte. Y la declaración UE de conformidad la firma el proveedor bajo su responsabilidad.
Ninguno de los cinco lo produce quien contrata el sistema. No es que no pueda conservarlos: es que no los genera, y el Art. 18 no le pide tenerlos: obliga al proveedor a mantenerlos a disposición de las autoridades nacionales competentes.
El detalle del plazo, que confirma lo mismo
Los diez años cuentan «desde la introducción en el mercado o la puesta en servicio» del sistema.
Es una fecha del ciclo de vida del producto, no de tu relación con él. Un sistema puede llevar cuatro años en el mercado cuando tú lo contratas: el reloj del Art. 18 arrancó sin ti y terminará seis años después, con independencia de que sigas usándolo, lo cambies o cierres.
Una obligación cuyo plazo se cuenta desde un hecho ajeno es una señal clara de a quién se dirige.
El artículo prevé además qué ocurre si el proveedor, o su representante autorizado establecido en el territorio de un Estado miembro, quiebra o cesa en su actividad antes de que termine el plazo: cada Estado miembro determina las condiciones en que la documentación sigue a disposición de las autoridades nacionales competentes. Tampoco ahí aparece el responsable del despliegue como depositario sustituto.
Qué sí conservas tú, y por qué se confunde
Quien despliega también conserva cosas, y ahí está el origen del equívoco: existe un deber de conservación en el régimen del responsable del despliegue, pero su objeto es otro.
Lo tuyo, por el Art. 26, apartado 6, son los archivos de registro que el sistema de alto riesgo genera automáticamente —los logs que produce mientras tú lo operas—, en la medida en que estén bajo tu control, durante un período adecuado a su finalidad prevista y de al menos seis meses, salvo que se disponga otra cosa en el Derecho de la Unión o nacional aplicable, en particular en el Derecho de la Unión en materia de protección de datos personales. A eso conviene sumar, como buena práctica, la traza de tus decisiones: qué configuración elegiste, quién supervisó, cuándo revisaste. Es documentación de uso, y la produces tú porque nace de lo que haces.
La del Art. 18 es documentación de producto, y la produce quien lo fabricó. Dos conservaciones distintas, dos objetos distintos, dos sujetos distintos. Que ambas se llamen «conservar documentación» es lo único que tienen en común.
Qué hacer con el Art. 18 si eres deployer
Lo mismo que con el Art. 17, y por la misma razón: preguntarlo, no asumirlo.
Un proveedor de un sistema de alto riesgo está sujeto a este deber durante diez años, y el Art. 18, que está en la sección 3 del capítulo III, le aplica desde el 2 de diciembre de 2027 para los sistemas del Anexo III y desde el 2 de agosto de 2028 para los del Anexo I, salvo los productos de su sección B. Si tu sistema es de alto riesgo por cualquiera de esas dos vías, saber que ese soporte documental existe —y que seguirá existiendo mientras tú lo uses— es información que te importa, aunque conservarlo no sea tu obligación.
Hay un caso en que importa más de lo habitual: si el proveedor desaparece. El artículo remite a cada Estado miembro para esa situación, pero quien se queda con un sistema de alto riesgo en producción y sin fabricante detrás eres tú. Preguntar de antemano qué pasa con la documentación en ese escenario es parte de lo que conviene resolver antes de firmar, no cuando ocurre.
La forma del error, otra vez
El Art. 17 no te toca porque no construyes. El Art. 18 no te toca porque no tienes lo que se conserva. Son dos motivos distintos, y esa es la parte que importa: no se trata de que «los artículos del proveedor» sean un bloque que se descarta en conjunto, sino de que cada uno se cae por su propio contenido.
Comprobarlo artículo por artículo cuesta más que descartarlos en bloque, y es la única forma de saber cuáles sí. Porque los hay —el Art. 26 existe, y sus deberes recaen sobre quien despliega—; simplemente no son estos. El artículo 26 aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza.
Lo que decide si una empresa lo tiene claro no es haber leído el Reglamento. Es tener escrito, por sistema, quién es el proveedor, por qué vía es o no de alto riesgo y qué le corresponde a cada parte — con la fecha en que se decidió. Un documento que responde eso en dos líneas vale más que una carpeta con las obligaciones de otro.
Contenido con arreglo al artículo 18 del Reglamento (UE) 2024/1689.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.