Este es el último artículo del bloque de atribución, y el que mejor muestra por qué el bloque no podía cerrarse con un «no te toca».
El post anterior dejó dicho el límite del método: descartar el sujeto de un artículo no descarta el asunto. El Art. 73 lleva esa idea a su forma más incómoda, porque aquí la obligación es inequívocamente ajena y aun así tu conducta decide si se cumple.
Serie Art. 26 → Este artículo desarrolla el apartado 5; el mapa de los doce apartados dice qué artículo trata cada uno.
La figura ordena la secuencia ante un incidente grave: quien despliega informa primero al proveedor y, a continuación, al importador o distribuidor y a la autoridad de vigilancia del mercado; el proveedor es quien notifica a la autoridad conforme al Art. 73.
Quién notifica
«Los proveedores de sistemas de IA de alto riesgo introducidos en el mercado de la Unión notificarán cualquier incidente grave a las autoridades de vigilancia del mercado de los Estados miembros en los que se haya producido dicho incidente.»
Sin ambigüedad. La notificación a la autoridad es del proveedor, y también lo son las obligaciones posteriores: investigar sin demora, evaluar el riesgo del incidente y las medidas correctoras, cooperar con las autoridades, y no modificar el sistema de un modo que pueda repercutir en la evaluación posterior de las causas del incidente sin haber informado antes a las autoridades competentes.
Nada de eso es tuyo. Y sin embargo.
Los plazos, y desde cuándo cuentan
El artículo fija tres ventanas según la gravedad:
- Regla general: inmediatamente después de establecer el vínculo causal —o la probabilidad razonable de que exista— y, en cualquier caso, a más tardar quince días.
- Infracción generalizada o incidente grave del Art. 3, punto 49, letra b): de manera inmediata y a más tardar dos días.
- Fallecimiento de una persona: de manera inmediata después de haber establecido «—o tan pronto como sospeche—» una relación causal, en un plazo no superior a diez días.
Merece detenerse en el tercero, porque la lectura rápida lo cuenta mal. Diez días es más que los dos del caso anterior, así que no es «el plazo más corto». Lo que cambia es el disparador: no hace falta haber establecido la relación causal, basta sospecharla. Es más estricto en cuándo empieza, no en cuánto dura.
Y ahora la frase que sostiene este artículo entero. Las tres ventanas se cuentan desde el mismo momento, que el apartado 2 formula así: «el proveedor o, en su caso, el responsable del despliegue, tengan conocimiento del incidente grave».
Tu conocimiento arranca el reloj del proveedor.
Lo que eso significa en la práctica
Combínalo con lo que el Art. 26(5) ya te obliga a hacer: ante un incidente grave, informar «inmediatamente», primero al proveedor y, a continuación, al importador o distribuidor y a la autoridad de vigilancia del mercado pertinente.
El resultado es concreto y no suele decirse:
Un responsable del despliegue que tarda una semana en escalar un incidente grave ha consumido media ventana del proveedor. Si el caso cae en el supuesto de dos días, la ha consumido entera — y el incumplimiento del plazo será del proveedor, sobre un reloj que empezó a correr en tu oficina.
En el caso general, la notificación no es tuya: es que tu demora incumple el plazo de otro. Hay una excepción, y la fija el propio Art. 26(5): si no consigues contactar con el proveedor, el Art. 73 se aplica mutatis mutandis, y en ese supuesto la notificación sí es tuya. Lo primero es la forma más sutil de todo el bloque, y la que menos aparece en las listas de tareas, porque no se parece a una obligación: se parece a una cortesía.
El artículo prevé además que, si hace falta para notificar a tiempo, el proveedor —o, en su caso, el responsable del despliegue— pueda presentar primero una notificación incompleta y después la completa. Es decir: el Reglamento prefiere una notificación imperfecta a tiempo antes que una perfecta tarde. Esperar a tener todos los datos antes de avisar no es prudencia — va contra la lógica del artículo.
Qué hace falta para no ser el eslabón lento
Tres cosas, y las tres se preparan antes, no durante.
Saber qué cuenta como incidente grave. Tiene definición propia en el Reglamento, y no coincide con la intuición de «algo salió mal». Sin ese criterio escrito, la decisión de escalar la toma quien primero lo ve, con el criterio que tenga ese día.
Saber a quién se avisa y por qué canal. Proveedor primero. Buscar el contacto correcto mientras el reloj corre es exactamente el tiempo que el artículo considera crítico.
Saber quién decide. Un incidente detectado un viernes por la tarde por alguien que no sabe si le corresponde escalarlo es la situación que convierte quince días en dos semanas de silencio.
Ninguna de las tres requiere criterio jurídico. Las tres requieren que la respuesta esté escrita antes, con nombre y fecha.
El cierre del bloque
Cinco artículos, cinco motivos distintos: no construyes, no tienes lo que se conserva, el Anexo IV ni siquiera manda, la vigilancia es del proveedor pero tú eres su informante, y la notificación es del proveedor pero el plazo lo arrancas tú.
Si el bloque hubiera terminado en «esos cinco no son tuyos», habría sido tranquilizador y falso en su mitad final. Lo útil es lo contrario: comprobar artículo por artículo cuesta más que descartarlos en bloque, y es la única forma de encontrar los dos casos en que el asunto sí te alcanza aunque el sujeto no seas tú.
Esa comprobación se hace una vez. Lo que no se hace una vez es recordarla: por eso lo que decide, el día del incidente, no es haber leído el Reglamento — es tener escrito quién avisa a quién, en qué orden y con qué criterio, con la fecha de la última vez que alguien lo revisó.
Contenido con arreglo a los artículos 26 y 73 del Reglamento (UE) 2024/1689.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.