Cuando se habla de qué puede pedirte una autoridad, el artículo que aparece citado casi siempre es el Art. 21, «Cooperación con las autoridades competentes». Es un nombre que invita.
Y no es tuyo.
Serie Art. 26 → Este artículo desarrolla el apartado 12; el mapa de los doce apartados dice qué artículo trata cada uno.
La figura reparte entre el proveedor y el responsable del despliegue las obligaciones del AI Act, una por fila, y marca en cada celda si es obligación, control interno o nada. Sin fila resaltada, el foco está en la columna del responsable del despliegue: son las obligaciones que definen lo que una autoridad puede pedirle —entre ellas, uso según instrucciones, supervisión humana, vigilancia, registros e información a trabajadores y afectados—, mientras que la documentación técnica y la conformidad quedan en la columna del proveedor.
Lo que dice el Art. 21, y a quién
«Los proveedores de sistemas de IA de alto riesgo, previa solicitud motivada de una autoridad competente, proporcionarán a dicha autoridad toda la información y la documentación necesarias para demostrar la conformidad del sistema de IA de alto riesgo con los requisitos establecidos en la sección 2 […]»
Proveedores. Los dos apartados que imponen deberes —el 1 y el 2— se dirigen a quien construye el sistema y lo pone en el mercado; el 3 trata la confidencialidad de la información que obtenga la autoridad. El objeto del apartado 1 es demostrar la conformidad del sistema, que es precisamente lo que un responsable del despliegue no puede hacer: no tiene la documentación técnica porque no la elabora.
Dos consecuencias que conviene tener claras.
No te obliga. Si alguien te dice que el Art. 21 exige que entregues documentación de conformidad, está cometiendo el error de atribución que recorre medio Reglamento.
Y no contiene ningún plazo. Ni en el 21 ni en sus apartados hay un número de días. Habla de «solicitud motivada», no de plazos de respuesta. Cualquier cifra que se cite como «el plazo del Art.21» no está en el artículo.
El que sí te alcanza
Al final del Art. 26, entre las obligaciones del responsable del despliegue:
«12. Los responsables del despliegue cooperarán con las autoridades competentes pertinentes en cualquier medida que estas adopten en relación con el sistema de IA de alto riesgo con el objetivo de aplicar el presente Reglamento.»
Es un deber de cooperación general, sin lista tasada de documentos y sin plazo propio, y acotado por su última frase: se coopera en las medidas que la autoridad adopte «con el objetivo de aplicar el presente Reglamento». Lo que la autoridad pueda pedirte se determina, en la práctica, por lo que las otras obligaciones del Art. 26 te exigen tener.
Y ahí sí hay una lista, aunque no se llame así:
- Que uses el sistema con arreglo a sus instrucciones, con las medidas técnicas y organizativas que hayas adoptado — 26(1).
- Quién tiene encomendada la supervisión humana, con competencia, formación y autoridad — 26(2).
- Qué datos de entrada usas, en la medida en que los controles — 26(4).
- Cómo vigilas el funcionamiento y qué has comunicado al proveedor — 26(5).
- Los registros que el sistema genere, en la medida en que estén bajo tu control — 26(6).
- Qué has informado a los trabajadores expuestos, si eres empleador — 26(7).
Léase la lista al revés y se ve lo que realmente se te puede pedir: no la conformidad del sistema, sino la diligencia de tu uso. Son dos cosas distintas y solo una es tuya.
El procedimiento nacional concreto no está publicado
Aquí hace falta ser explícito, porque es donde más se improvisa.
El marco lo fija el Art. 74(1), y lo fija por remisión: «El Reglamento (UE) 2019/1020 se aplicará a los sistemas de IA regulados por el presente Reglamento.» A esos efectos, toda referencia de ese reglamento a un operador económico incluye a todos los operadores mencionados en el artículo 2, apartado 1, del AI Act, y toda referencia a un producto, a todos los sistemas de IA comprendidos en su ámbito. Los poderes con que actúan las autoridades de vigilancia del mercado son, por tanto, los que atribuye el Reglamento (UE) 2019/1020. Eso es el marco.
Lo que no existe hoy es un procedimiento español publicado que detalle paso a paso cómo se sustancia una actuación: quién notifica, en qué forma, con qué plazos de alegación, con qué recursos. Ese procedimiento es materia de Derecho nacional, y este artículo no lo describe ni lo anticipa: cualquier descripción detallada del «paso a paso» que circule hoy es una previsión, no un procedimiento.
Y conviene decirlo así en lugar de rellenar el hueco: describir un procedimiento que no está publicado es exactamente el tipo de afirmación que después nadie puede verificar. Para quién es AESIA y cómo encaja en el mapa de autoridades, ya hay un artículo que lo trata; lo que este añade es de quién es cada obligación cuando llegue el requerimiento.
Y la fecha, que ordena todo lo anterior
Nada del Art. 26 —incluido su apartado 12— es exigible hoy: se aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza. Y para el anexo III, la fecha que circula en muchas guías es otra.
Lo que sí puede preguntarte hoy una autoridad tiene que ver con lo que hoy obliga: el Art. 4 de alfabetización y el Art. 5 de prácticas prohibidas, en vigor desde el 2 de febrero de 2025, y —por una vía completamente distinta y con su propia autoridad— todo lo que el RGPD exige desde hace años.
Lo que conviene tener, que no es documentación de conformidad
Tres cosas, y las tres son tuyas por definición.
Qué sistemas usas y para qué. Sin eso no hay respuesta posible a ninguna pregunta.
Quién responde de cada uno. No el proveedor: alguien dentro de tu organización.
Y qué decidiste, cuándo y con qué criterio. Porque la pregunta que una autoridad te hace no es sobre el sistema —esa se la hace al proveedor— sino sobre ti: «¿qué hiciste antes de usarlo?».
Contenido con arreglo a los artículos 4, 5, 21, 26 y 74 y al Anexo III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.