Este artículo es para quien despliega, o va a desplegar, un sistema de IA de alto riesgo y quiere ver de un vistazo qué le pide el Art. 26 del AI Act. Es el artículo que reúne las obligaciones del responsable del despliegue, y tiene doce apartados. No todos obligan a todos: algunos se dirigen a un tipo concreto de responsable, y dos no tocan a una empresa privada. Aquí están los doce, a quién obliga cada uno y qué artículo del blog lo desarrolla.
Antes de la tabla, la fecha, que es la misma para todos. El artículo 26 aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza. Hasta entonces, lo que hay es preparación, y el Reglamento (UE) 2026/1744 no modificó el Art. 26: solo la fecha en que empieza a aplicarse.
Los doce apartados
| Apartado | A quién obliga | Qué pide | Dónde lo desarrollamos |
|---|---|---|---|
| 1 | Todo responsable del despliegue de un sistema de alto riesgo | Medidas técnicas y organizativas para usarlo con arreglo a sus instrucciones de uso | Un agente con permisos amplios puede salirse de la finalidad prevista |
| 2 | Todo responsable del despliegue | Encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias | Cuando un agente encadena acciones, ¿quién responde? |
| 3 | Ninguno: es una salvedad | Los apartados 1 y 2 no afectan a otras obligaciones ni a la libertad de organizar los propios recursos para aplicar la supervisión humana que indique el proveedor | Pendiente: sin artículo propio |
| 4 | Quien ejerza el control sobre los datos de entrada, en esa medida | Que los datos de entrada sean pertinentes y suficientemente representativos para la finalidad prevista | Sin artículo propio; lo tratan riesgo mínimo o alto riesgo y qué te puede pedir una autoridad |
| 5 | Todo responsable del despliegue | Vigilar el funcionamiento según las instrucciones de uso e informar al proveedor; ante un riesgo o un incidente grave, informar en cadena | Vigilancia poscomercialización e incidentes graves |
| 6 | Todo responsable del despliegue, para los registros bajo su control | Conservar los archivos de registro que el sistema genere automáticamente, al menos seis meses salvo otra norma | Agentes de IA: qué registrar |
| 7 | Solo quien sea empleador | Informar a los representantes de los trabajadores y a los trabajadores afectados antes de usar el sistema en el lugar de trabajo | IA en selección de personal |
| 8 | Solo autoridades públicas e instituciones, órganos y organismos de la Unión | Cumplir las obligaciones de registro del Art. 49 y no usar un sistema que no esté registrado | No aplica a una empresa privada |
| 9 | Todo responsable del despliegue, cuando proceda | Usar la información del proveedor del Art. 13 para la evaluación de impacto del Art. 35 del RGPD | La lista de la AEPD del Art. 35(4) |
| 10 | Solo quien use identificación biométrica remota en diferido en una investigación penal | Pedir autorización judicial o administrativa | No aplica a una empresa privada |
| 11 | Quien despliegue un sistema del anexo III que tome o ayude a tomar decisiones sobre personas físicas | Informar a esas personas de que están expuestas al sistema | Pendiente: sin artículo propio |
| 12 | Todo responsable del despliegue | Cooperar con las autoridades competentes en las medidas que adopten sobre el sistema | Qué te puede pedir una autoridad |
Cómo leer la tabla
Los que obligan a todos. Los apartados 1, 2, 5, 6, 9 y 12 alcanzan a cualquier responsable del despliegue de un sistema de alto riesgo, con los matices que cada uno lleva: el 6 se limita a los archivos de registro «en la medida en que dichos archivos estén bajo su control», y el 9 se aplica «cuando proceda», es decir, cuando haya una evaluación de impacto que hacer. El 4 obliga en la medida en que controles los datos de entrada; si los aporta el proveedor, no son tuyos.
Los que eligen a su destinatario. El 7 solo mira a quien es empleador y usa el sistema en el lugar de trabajo. El 11 solo a quien despliega un sistema del anexo III que decide, o ayuda a decidir, sobre personas físicas. Una empresa puede quedar dentro de uno y fuera del otro con el mismo sistema. Y el 11 se aplica «sin perjuicio de lo dispuesto en el artículo 50»: informar a las personas de que están expuestas a un sistema del anexo III no sustituye los avisos de transparencia del Art. 50, cuando esos avisos proceden.
Los que no tocan a una empresa privada. El 8 obliga a autoridades públicas e instituciones de la Unión a registrarse y a no usar un sistema sin registro. El 10 regula la identificación biométrica remota en diferido cuando se busca a una persona sospechosa o condenada por un delito. Conviene saber que existen, para no incluirlos en una lista de tareas que no te corresponde.
La salvedad. El 3 no añade nada: aclara que los apartados 1 y 2 no desplazan otras obligaciones ni quitan libertad para organizar los propios medios. Es la razón de que la supervisión humana pueda organizarse como mejor funcione en cada empresa.
La cadena del apartado 5
El apartado 5 es el que más se confunde, porque mezcla dos cosas. La primera es continua: vigilar el funcionamiento del sistema según sus instrucciones y avisar al proveedor cuando proceda. La segunda es un evento: si hay motivos para considerar que el sistema presenta un riesgo, o si se detecta un incidente grave, el responsable del despliegue informa en primer lugar al proveedor y, a continuación, al importador o distribuidor y a la autoridad de vigilancia del mercado. La notificación del Art. 73 es del proveedor, pero si no consigues contactar con él, el Art. 73 se te aplica mutatis mutandis.
Lo que la tabla no incluye
Tres cosas se atribuyen a menudo al Art. 26 y no están en él. El sistema de gestión de la calidad, la documentación técnica y la vigilancia poscomercialización son del proveedor, y lo explicamos en el Art. 17 no lo tienes que montar tú. La evaluación de impacto sobre derechos fundamentales es del Art. 27, con otro perímetro y una sola fecha. Y el inventario no aparece en ningún apartado, aunque sin él no se puede cumplir casi ninguno.
Tampoco hay en el Art. 26 un cargo que haya que nombrar. La supervisión humana del apartado 2 se encarga a personas con competencia, formación y autoridad, pero el Reglamento no crea un puesto: el AI Officer es un rol interno, útil y voluntario.
Por dónde empezar
Si despliegas un sistema de alto riesgo, la preparación sensata sigue el orden de la tabla al revés: primero saber qué sistemas tienes y cuáles son de alto riesgo, después decidir quién supervisa cada uno y dónde se guardan sus registros, y por último escribir qué harás si algo falla. El calendario tiene las fechas, y el módulo de alto riesgo ordena el trabajo de quien despliega.
¿Y quién comprueba todo esto? En España está la AESIA, organismo estatal con competencias generales de supervisión en materia de inteligencia artificial; su designación como autoridad de vigilancia del mercado del AI Act está pendiente de aprobación definitiva. No está sola, y la que te toca depende del sistema: quién vigila el AI Act en España y cómo será una actuación de vigilancia.
Los apartados sin artículo propio, el 3 y el 11, están en la agenda del blog. Cuando se publiquen, esta tabla los enlazará.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.