Los tres artículos anteriores de esta serie se descartan limpiamente para quien despliega: no construye, no tiene lo que se conserva y el Anexo IV ni siquiera manda.
Con la vigilancia poscomercialización el reparto deja de ser limpio, y conviene decirlo antes que nada: aquí no vale la conclusión cómoda. El Art. 72 es del proveedor, sí. Pero quien despliega tiene deberes conexos, están en otro artículo, y uno de ellos es de los más exigentes de todo el Reglamento.
Serie Art. 26 → Este artículo desarrolla el apartado 5; el mapa de los doce apartados dice qué artículo trata cada uno.
La figura reparte entre el proveedor y el responsable del despliegue las obligaciones del AI Act, una por fila. La fila resaltada es la de vigilar el sistema en funcionamiento (artículos 72 y 26(5)): al proveedor le toca el sistema de vigilancia poscomercialización; al responsable del despliegue, vigilar el funcionamiento según las instrucciones de uso, informar al proveedor y, si hay riesgo, suspender el uso.
Qué obliga el Art. 72, y a quién
«Los proveedores establecerán y documentarán un sistema de vigilancia poscomercialización de forma proporcionada a la naturaleza de las tecnologías de IA y a los riesgos de los sistemas de IA de alto riesgo.»
El apartado 2 describe qué hace ese sistema: recopila, documenta y analiza «de manera activa y sistemática» los datos sobre el funcionamiento del sistema durante toda su vida útil, para que el proveedor pueda evaluar si sigue cumpliendo los requisitos.
Y ahí aparece la pieza que decide el reparto. Los datos que ese sistema analiza son, textualmente, «los datos pertinentes que pueden facilitar los responsables del despliegue o que pueden recopilarse a través de otras fuentes».
Quien despliega no monta el sistema de vigilancia: es una de sus fuentes. Y esa posición no es decorativa, porque el Reglamento se la impone en otro sitio.
Lo que el Art. 26(5) sí te obliga a hacer
El apartado 5 del Art. 26 es corto y contiene tres deberes distintos. Merece leerse entero antes de dar nada por descartado. Y, como todo el Art. 26, se aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza.
Primero, vigilar. «Los responsables del despliegue vigilarán el funcionamiento del sistema de IA de alto riesgo basándose en las instrucciones de uso y, cuando proceda, informarán a los proveedores con arreglo al artículo 72.»
Nótese la remisión: tu deber de informar se define por referencia al sistema del proveedor. No son dos mundos separados — eres el informante designado del mecanismo que él está obligado a mantener.
Segundo, avisar y suspender. Cuando tengas motivos para considerar que usar el sistema conforme a sus instrucciones puede dar lugar a un riesgo en el sentido del Art. 79(1), informarás «sin demora indebida» al proveedor o distribuidor y a la autoridad de vigilancia del mercado, y suspenderás el uso.
Esa última obligación no suele aparecer en ninguna lista, y es la más dura del apartado: no es informar y esperar instrucciones. Es dejar de usarlo.
Tercero, escalar incidentes graves. Si detectas un incidente grave, informarás «inmediatamente» — y el artículo fija el orden: primero al proveedor, después al importador o distribuidor y a la autoridad de vigilancia del mercado. Y si no consigues contactar con el proveedor, el Art. 73 se te aplica mutatis mutandis.
Por qué la lectura cómoda es peligrosa aquí
En los tres artículos anteriores, «esto es del proveedor» agotaba el asunto. Aquí no, y confundirlo tiene consecuencias reales.
Una empresa que concluya «la vigilancia poscomercialización no es mía» y archive el tema habrá acertado en el sujeto del Art. 72 y fallado en todo lo demás: seguirá teniendo el deber de vigilar el funcionamiento, el de informar, el de avisar a la autoridad y el de suspender el uso ante un riesgo.
La diferencia entre «esta obligación no es mía» y «no tengo ninguna obligación relacionada» es exactamente donde se rompen los planes de cumplimiento. Y es un error que no se detecta leyendo el Art. 72: hay que ir al 26.
Qué hace falta para poder cumplir el 26(5)
Tres cosas, y ninguna es un documento nuevo.
Saber quién vigila cada sistema. «Vigilar el funcionamiento basándose en las instrucciones de uso» necesita una persona concreta que lo haga y que sepa que le toca. Sin nombre, el deber no está asignado — está enunciado.
Tener las instrucciones de uso a mano. El apartado ancla la vigilancia en ellas. Si nadie sabe dónde están, la referencia se queda sin contenido.
Saber a quién avisar y en qué orden. Proveedor primero. Después importador o distribuidor, y la autoridad de vigilancia del mercado. Averiguar esos contactos el día del incidente es perder el tiempo que el propio apartado pide no perder, porque el aviso ha de darse inmediatamente. Y la razón de fondo se explica en el artículo sobre el Art. 73: quien notifica el incidente grave a la autoridad es el proveedor, y su plazo general vence «a más tardar quince días después de que el proveedor o, en su caso, el responsable del despliegue, tengan conocimiento del incidente grave».
Lo que este caso enseña sobre los demás
Este bloque ha ido descartando artículos del proveedor uno a uno, por motivos materiales distintos. El Art. 72 es el que enseña el límite del método: descartar el sujeto de un artículo no descarta el asunto.
Y es un buen recordatorio de por qué el trabajo real no está en leer el Reglamento, sino en tener escrito —por sistema y con fecha— quién lo vigila, dónde están sus instrucciones y a quién se llama si algo va mal. Eso no se improvisa el día que hace falta, que es precisamente el único día en que se necesita.
Contenido con arreglo a los artículos 26, 72 y 73 del Reglamento (UE) 2024/1689.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.