«Conservar la documentación diez años» es una de esas obligaciones que suenan aplicables a cualquiera. Guardar papeles lo puede hacer todo el mundo, así que cuando aparece en una lista de tareas nadie la cuestiona.
El Art. 18 del Reglamento (UE) 2024/1689 no dice eso, y la razón por la que no te toca no es de rango: es que no tienes lo que hay que conservar.
Los cinco documentos, y de dónde sale cada uno
El apartado 1 fija el sujeto, el plazo y la lista: «Durante un período de diez años a contar desde la introducción en el mercado o la puesta en servicio del sistema de IA de alto riesgo, el proveedor mantendrá a disposición de las autoridades nacionales competentes:»
- a) la documentación técnica del Art. 11;
- b) la documentación relativa al sistema de gestión de la calidad del Art. 17;
- c) la documentación relativa a los cambios aprobados por los organismos notificados, si procede;
- d) las decisiones y otros documentos expedidos por los organismos notificados, si procede;
- e) la declaración UE de conformidad del Art. 47.
Léela como inventario, no como obligación. La pregunta útil no es «¿puedo guardar esto?», sino «¿tengo esto?».
La documentación técnica del Art. 11 la elabora quien construye el sistema. La del Art. 17 es la del sistema de gestión de la calidad, que —como vimos— tampoco establece quien despliega. Los documentos de los organismos notificados se expiden al proveedor en el marco de la evaluación de la conformidad, un procedimiento en el que un responsable del despliegue no es parte. Y la declaración UE de conformidad la firma el proveedor bajo su responsabilidad.
Ninguno de los cinco existe en manos de quien contrata el sistema. No es que no pueda conservarlos: es que no los tiene, no los recibe y no hay procedimiento por el que le lleguen.
El detalle del plazo, que confirma lo mismo
Los diez años cuentan «desde la introducción en el mercado o la puesta en servicio» del sistema.
Es una fecha del ciclo de vida del producto, no de tu relación con él. Un sistema puede llevar cuatro años en el mercado cuando tú lo contratas: el reloj del Art. 18 arrancó sin ti y terminará seis años después, con independencia de que sigas usándolo, lo cambies o cierres.
Una obligación cuyo plazo se cuenta desde un hecho ajeno es una señal clara de a quién se dirige.
El artículo prevé además qué ocurre si el proveedor quiebra o cesa antes de que termine el plazo: lo resuelve cada Estado miembro fijando las condiciones para que la documentación siga disponible. Tampoco ahí aparece el responsable del despliegue como depositario sustituto.
Qué sí conservas tú, y por qué se confunde
Quien despliega también conserva cosas, y ahí está el origen del equívoco: existe un deber de conservación en el régimen del responsable del despliegue, pero su objeto es otro.
Lo tuyo son los registros que genera el propio sistema durante su uso —los logs que el sistema produce mientras tú lo operas— y la traza de tus decisiones: qué configuración elegiste, quién supervisó, cuándo revisaste. Es documentación de uso, y la produces tú porque nace de lo que haces.
La del Art. 18 es documentación de producto, y la produce quien lo fabricó. Dos conservaciones distintas, dos objetos distintos, dos sujetos distintos. Que ambas se llamen «conservar documentación» es lo único que tienen en común.
Qué hacer con el Art. 18 si eres deployer
Lo mismo que con el Art. 17, y por la misma razón: preguntarlo, no asumirlo.
Un proveedor de un sistema de alto riesgo está sujeto a este deber durante diez años. Si tu sistema entra en el Anexo III, saber que ese soporte documental existe —y que seguirá existiendo mientras tú lo uses— es información que te importa, aunque conservarlo no sea tu obligación.
Hay un caso en que importa más de lo habitual: si el proveedor desaparece. El artículo remite a cada Estado miembro para esa situación, pero quien se queda con un sistema de alto riesgo en producción y sin fabricante detrás eres tú. Preguntar de antemano qué pasa con la documentación en ese escenario es parte de lo que conviene resolver antes de firmar, no cuando ocurre.
La forma del error, otra vez
El Art. 17 no te toca porque no construyes. El Art. 18 no te toca porque no tienes lo que se conserva. Son dos motivos distintos, y esa es la parte que importa: no se trata de que «los artículos del proveedor» sean un bloque que se descarta en conjunto, sino de que cada uno se cae por su propio contenido.
Comprobarlo artículo por artículo cuesta más que descartarlos en bloque, y es la única forma de saber cuáles sí. Porque los hay —el Art. 26 existe, y sus deberes son perfectamente exigibles a quien despliega—; simplemente no son estos.
Lo que decide si una empresa lo tiene claro no es haber leído el Reglamento. Es tener escrito, por sistema, quién es el proveedor, por qué vía es o no de alto riesgo y qué le corresponde a cada parte — con la fecha en que se decidió. Un documento que responde eso en dos líneas vale más que una carpeta con las obligaciones de otro.
Contenido con arreglo al artículo 18 del Reglamento (UE) 2024/1689.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.