Cuando se habla de qué puede pedirte una autoridad, el artículo que aparece citado casi siempre es el Art. 21, «Cooperación con las autoridades competentes». Es un nombre que invita.
Y no es tuyo.
Lo que dice el Art. 21, y a quién
«Los proveedores de sistemas de IA de alto riesgo, previa solicitud motivada de una autoridad competente, proporcionarán a dicha autoridad toda la información y la documentación necesarias para demostrar la conformidad del sistema de IA de alto riesgo con los requisitos establecidos en la sección 2…»
Proveedores. El artículo entero —sus tres apartados— se dirige a quien construye y pone el sistema en el mercado. Su objeto es demostrar la conformidad del sistema, que es precisamente lo que un responsable del despliegue no puede hacer: no tiene la documentación técnica porque no la elabora.
Dos consecuencias que conviene tener claras.
No te obliga. Si alguien te dice que el Art. 21 exige que entregues documentación de conformidad, está cometiendo el error de atribución que recorre medio Reglamento.
Y no contiene ningún plazo. Ni en el 21 ni en sus apartados hay un número de días. Habla de «solicitud motivada», no de plazos de respuesta. Cualquier cifra que se cite como «el plazo del Art.21» no está en el artículo.
El que sí te alcanza
Al final del Art. 26, entre las obligaciones del responsable del despliegue:
«12. Los responsables del despliegue cooperarán con las autoridades competentes pertinentes en cualquier medida que estas adopten en relación con el sistema de IA de alto riesgo…»
Es un deber de cooperación general, sin lista tasada de documentos y sin plazo propio. Lo que la autoridad pueda pedirte se determina, en la práctica, por lo que las otras obligaciones del Art. 26 te exigen tener.
Y ahí sí hay una lista, aunque no se llame así:
- Que uses el sistema con arreglo a sus instrucciones, con las medidas técnicas y organizativas que hayas adoptado — 26(1).
- Quién tiene encomendada la supervisión humana, con competencia, formación y autoridad — 26(2).
- Qué datos de entrada usas, en la medida en que los controles — 26(4).
- Cómo vigilas el funcionamiento y qué has comunicado al proveedor — 26(5).
- Los registros que el sistema genere, en la medida en que estén bajo tu control — 26(6).
- Qué has informado a los trabajadores expuestos, si eres empleador — 26(7).
Léase la lista al revés y se ve lo que realmente se te puede pedir: no la conformidad del sistema, sino la diligencia de tu uso. Son dos cosas distintas y solo una es tuya.
El procedimiento nacional concreto no está publicado
Aquí hace falta ser explícito, porque es donde más se improvisa.
El Reglamento sitúa la vigilancia del mercado en su capítulo correspondiente y atribuye a las autoridades nacionales los poderes de comprobación, requerimiento y medidas correctoras. Eso es el marco.
Lo que no existe hoy es un procedimiento español publicado que detalle paso a paso cómo se sustancia una actuación: quién notifica, en qué forma, con qué plazos de alegación, con qué recursos. Ese procedimiento es materia de Derecho nacional, y este artículo no lo describe ni lo anticipa: cualquier descripción detallada del «paso a paso» que circule hoy es una previsión, no un procedimiento.
Y conviene decirlo así en lugar de rellenar el hueco: describir un procedimiento que no está publicado es exactamente el tipo de afirmación que después nadie puede verificar. Para quién es AESIA y cómo encaja en el mapa de autoridades, ya hay un artículo que lo trata; lo que este añade es de quién es cada obligación cuando llegue el requerimiento.
Y la fecha, que ordena todo lo anterior
Nada del Art. 26 —incluido su apartado 12— es exigible hoy. El régimen del alto riesgo del Anexo III empieza el 2 de diciembre de 2027, y la fecha que circula en muchas guías es otra.
Lo que sí puede preguntarte hoy una autoridad tiene que ver con lo que hoy obliga: el Art. 4 de alfabetización y el Art. 5 de prácticas prohibidas, en vigor desde el 2 de febrero de 2025, y —por una vía completamente distinta y con su propia autoridad— todo lo que el RGPD exige desde hace años.
Lo que conviene tener, que no es documentación de conformidad
Tres cosas, y las tres son tuyas por definición.
Qué sistemas usas y para qué. Sin eso no hay respuesta posible a ninguna pregunta.
Quién responde de cada uno. No el proveedor: alguien dentro de tu organización.
Y qué decidiste, cuándo y con qué criterio. Porque la pregunta que una autoridad te hace no es sobre el sistema —esa se la hace al proveedor— sino sobre ti: «¿qué hiciste antes de usarlo?».
Contenido con arreglo a los artículos 4, 5, 21 y 26 y al Anexo III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.