Blog
Análisis regulatorio del AI Act y el RGPD para pymes
Vigilancia poscomercialización: el sistema es del proveedor, la información es tuya
El Art. 72 obliga al proveedor a establecer un sistema de vigilancia poscomercialización. Quien despliega no lo monta, pero el Art. 26(5) le impone vigilar el funcionamiento, informar con arreglo a ese artículo y, en su caso, suspender el uso.
Qué te puede pedir una autoridad: el artículo que suele citarse es del proveedor, no tuyo
El Art. 21 —cooperación con las autoridades— obliga a los proveedores y no fija ningún plazo. Al responsable del despliegue le alcanza el Art. 26(12). La diferencia cambia qué se te puede exigir y qué no.
El Anexo IV no es una obligación: es el índice de un documento ajeno
El Anexo IV aparece en listas de tareas de empresas que despliegan IA. No impone nada a nadie: especifica qué debe contener la documentación técnica que exige el Art. 11 al proveedor.
Riesgo mínimo o alto riesgo: qué exige cada uno, artículo por artículo
La diferencia entre las dos clasificaciones no es de grado. Un sistema de riesgo mínimo se resuelve con el Art. 4. Uno de alto riesgo abre el Art. 26 entero, y ninguna de sus obligaciones se cumple sola.
Conservar diez años una documentación que no generas
El Art. 18 obliga a conservar cinco documentos durante diez años desde la introducción en el mercado. Los cinco los produce o recibe el proveedor, y el plazo cuenta desde un hecho en el que quien despliega no participó.
Lo que ningún sistema puede hacer por ti, y lo que sí: dónde está la frontera
Un sistema sostiene el registro, las relaciones entre decisiones y la detección de lo que caducó. No sostiene la decisión ni la responsabilidad. La frontera es nítida y conviene conocerla antes de comprar nada.
El sistema de gestión de la calidad del Art. 17 no lo tienes que montar tú
El Art. 17 exige un sistema de gestión de la calidad documentado para sistemas de IA de alto riesgo. Lo dice de los proveedores, y su contenido es de diseño y desarrollo del producto: nada que una empresa que despliega pueda establecer.
Cambias la finalidad de un sistema: ¿qué deja de ser cierto en todo lo que habías documentado?
Las obligaciones del Art. 26 están encadenadas. La clasificación decide quién supervisa, que decide qué registros importan, que decide a quién hay que informar. Cambia el primer eslabón y decae la mitad — sin que nada lo señale.
Las ocho prácticas prohibidas originales del Art. 5: cuáles pueden rozar a una empresa normal
Decir que ninguna te afecta es tan falso como decir que todas. Tres de las ocho originales tienen supuestos que una empresa privada puede alcanzar sin proponérselo — y una que suele darse por peligrosa no lo es al leer su literal.
Las multas de 35 millones y el apartado que casi nadie cita
El titular de los 35 M€ corresponde a las prácticas prohibidas del Art. 5. Para pymes, el Art. 99(6) permite fijar la multa en la menor de las dos magnitudes, no en la mayor. Y la mayoría de usos de IA en una empresa mediana no llega a ese tramo.