Los tres artículos anteriores de esta serie se descartan limpiamente para quien despliega: no construye, no tiene lo que se conserva y el Anexo IV ni siquiera manda.
Con la vigilancia poscomercialización el reparto deja de ser limpio, y conviene decirlo antes que nada: aquí no vale la conclusión cómoda. El Art. 72 es del proveedor, sí. Pero quien despliega tiene deberes conexos, están en otro artículo, y uno de ellos es de los más exigentes de todo el Reglamento.
Qué obliga el Art. 72, y a quién
«Los proveedores establecerán y documentarán un sistema de vigilancia poscomercialización de forma proporcionada a la naturaleza de las tecnologías de IA y a los riesgos de los sistemas de IA de alto riesgo.»
El apartado 2 describe qué hace ese sistema: recopila, documenta y analiza «de manera activa y sistemática» los datos sobre el funcionamiento del sistema durante toda su vida útil, para que el proveedor pueda evaluar si sigue cumpliendo los requisitos.
Y ahí aparece la pieza que decide el reparto. Los datos que ese sistema analiza son, textualmente, «los datos pertinentes que pueden facilitar los responsables del despliegue o que pueden recopilarse a través de otras fuentes».
Quien despliega no monta el sistema de vigilancia: es una de sus fuentes. Y esa posición no es decorativa, porque el Reglamento se la impone en otro sitio.
Lo que el Art. 26(5) sí te obliga a hacer
El apartado 5 del Art. 26 es corto y contiene tres deberes distintos. Merece leerse entero antes de dar nada por descartado.
Primero, vigilar. «Los responsables del despliegue vigilarán el funcionamiento del sistema de IA de alto riesgo basándose en las instrucciones de uso y, cuando proceda, informarán a los proveedores con arreglo al artículo 72.»
Nótese la remisión: tu deber de informar se define por referencia al sistema del proveedor. No son dos mundos separados — eres el informante designado del mecanismo que él está obligado a mantener.
Segundo, avisar y suspender. Cuando tengas motivos para considerar que usar el sistema conforme a sus instrucciones puede dar lugar a un riesgo en el sentido del Art. 79(1), informarás «sin demora indebida» al proveedor o distribuidor y a la autoridad de vigilancia del mercado, y suspenderás el uso.
Esa última obligación no suele aparecer en ninguna lista, y es la más dura del apartado: no es informar y esperar instrucciones. Es dejar de usarlo.
Tercero, escalar incidentes graves. Si detectas un incidente grave, informarás «inmediatamente» — y el artículo fija el orden: primero al proveedor, después al importador o distribuidor y a la autoridad de vigilancia del mercado.
Por qué la lectura cómoda es peligrosa aquí
En los tres artículos anteriores, «esto es del proveedor» agotaba el asunto. Aquí no, y confundirlo tiene consecuencias reales.
Una empresa que concluya «la vigilancia poscomercialización no es mía» y archive el tema habrá acertado en el sujeto del Art. 72 y fallado en todo lo demás: seguirá teniendo el deber de vigilar el funcionamiento, el de informar, el de avisar a la autoridad y el de suspender el uso ante un riesgo.
La diferencia entre «esta obligación no es mía» y «no tengo ninguna obligación relacionada» es exactamente donde se rompen los planes de cumplimiento. Y es un error que no se detecta leyendo el Art. 72: hay que ir al 26.
Qué hace falta para poder cumplir el 26(5)
Tres cosas, y ninguna es un documento nuevo.
Saber quién vigila cada sistema. «Vigilar el funcionamiento basándose en las instrucciones de uso» necesita una persona concreta que lo haga y que sepa que le toca. Sin nombre, el deber no está asignado — está enunciado.
Tener las instrucciones de uso a mano. El apartado ancla la vigilancia en ellas. Si nadie sabe dónde están, la referencia se queda sin contenido.
Saber a quién avisar y en qué orden. Proveedor primero. Después importador o distribuidor, y la autoridad de vigilancia del mercado. Averiguar esos contactos el día del incidente es perder las horas que el propio Reglamento considera críticas — y la razón de fondo la veremos al tratar el Art. 73, donde los plazos de notificación empiezan a contar desde que tú tienes conocimiento del incidente.
Lo que este caso enseña sobre los demás
Este bloque ha ido descartando artículos del proveedor uno a uno, por motivos materiales distintos. El Art. 72 es el que enseña el límite del método: descartar el sujeto de un artículo no descarta el asunto.
Y es un buen recordatorio de por qué el trabajo real no está en leer el Reglamento, sino en tener escrito —por sistema y con fecha— quién lo vigila, dónde están sus instrucciones y a quién se llama si algo va mal. Eso no se improvisa el día que hace falta, que es precisamente el único día en que se necesita.
Contenido con arreglo a los artículos 26 y 72 del Reglamento (UE) 2024/1689.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.