Artículo 16 del AI Act: obligaciones del proveedor de IA de alto riesgo y cómo verificarlas

Qué regula el artículo 16 y a quién alcanza

El artículo 16 del Reglamento (UE) 2024/1689 enumera las obligaciones de los proveedores de sistemas de inteligencia artificial de alto riesgo. No es una lista autónoma de todos los requisitos técnicos aplicables al sistema: establece quién debe asegurar el cumplimiento y qué actuaciones organizativas y documentales debe asumir el proveedor, junto con otras obligaciones previstas en el Reglamento.

La primera tarea es identificar correctamente el papel de la organización. El artículo 16 se dirige al proveedor, mientras que el artículo 26 establece deberes para el responsable del despliegue, es decir, quien utiliza el sistema bajo su autoridad. El artículo 25 contempla supuestos en que otras entidades pueden pasar a ser consideradas proveedoras, por ejemplo, en determinadas modificaciones o cambios de función. Por eso, la etiqueta contractual de una empresa no resuelve por sí sola su papel jurídico.

Las ocho obligaciones del proveedor

El artículo 16 contiene ocho letras. En síntesis, el proveedor debe asegurar que el sistema cumple los requisitos aplicables del capítulo III, sección 2; indicar su nombre o marca y una dirección de contacto; disponer de un sistema de gestión de la calidad; conservar la documentación correspondiente; conservar los registros generados automáticamente cuando estén bajo su control; completar la evaluación de conformidad aplicable; preparar la declaración UE de conformidad y colocar el marcado CE; y cumplir las obligaciones de registro previstas.

El texto remite a otros artículos para determinar qué significa cumplir cada tarea. Por ejemplo, el contenido y la conservación de la documentación técnica se concretan en el artículo 11 y el anexo IV; la gestión de calidad, en el artículo 17; la evaluación de conformidad, en el artículo 43; y la declaración y el marcado, en los artículos 47 y 48. El artículo 16, por tanto, no debe leerse como sustituto de esas disposiciones, sino como la asignación de responsabilidades al proveedor.

Cómo convertir las obligaciones en controles demostrables

El artículo 16 no prescribe una herramienta de gestión, un formato único de expediente ni un modelo técnico determinado. La prueba de cumplimiento debe construirse alrededor de la obligación concreta y de las disposiciones a las que esta remite. Una matriz de trazabilidad útil identifica cada requisito, el documento o control que lo respalda, la persona responsable, la fecha de revisión y cualquier limitación pendiente.

La documentación debe corresponder a la versión realmente puesta en el mercado. Un expediente correcto para una versión anterior puede dejar de ser suficiente tras cambios de diseño, datos, finalidad prevista o componentes. El equipo debería mantener un proceso de control de cambios que determine cuándo revisar pruebas, documentación, evaluación de conformidad y registro. Esta recomendación es una práctica operativa: el artículo 16 asigna obligaciones, pero no detalla por sí solo el flujo interno de ingeniería.

Proveedor y responsable del despliegue: reparto de tareas

El artículo 16 asigna al proveedor tareas vinculadas al cumplimiento del sistema antes y durante su puesta en el mercado o servicio, incluidas la documentación, la evaluación de conformidad y el registro que corresponda. El artículo 26 se ocupa de quien despliega el sistema. Entre sus obligaciones figuran utilizarlo conforme a las instrucciones de uso, asignar supervisión humana a personas competentes y autorizadas, vigilar su funcionamiento y, cuando proceda, suspender el uso e informar de riesgos o incidentes siguiendo el Reglamento.

El reparto no significa que la información fluya automáticamente ni que toda responsabilidad recaiga en una sola parte. El proveedor debe facilitar instrucciones e información necesarias en los términos aplicables; el responsable del despliegue debe operar el sistema conforme a ellas y atender sus propios deberes. En contratos y procedimientos de incidentes conviene especificar canales, responsables, plazos internos y datos mínimos para escalar problemas, sin presentar esos acuerdos privados como sustitutos de las obligaciones legales.

Vigilancia, registros e incidentes: evitar atribuciones imprecisas

El artículo 16 distingue conservar registros generados automáticamente cuando estén bajo el control del proveedor de otras tareas de vigilancia o notificación que aparecen en disposiciones relacionadas. No debe resumirse todo ello como una obligación general e idéntica de «supervisar» el uso en cualquier entorno: el artículo 26 impone obligaciones operativas al responsable del despliegue, mientras que el artículo 16 remite al proveedor a sus obligaciones correspondientes en el conjunto del Reglamento.

La notificación de incidentes graves y la cooperación con autoridades se regulan en otros preceptos del Reglamento. En particular, el artículo 16 no contiene por sí solo el procedimiento completo, sus destinatarios ni todos sus plazos. El proveedor debe mapear las remisiones normativas aplicables, preparar un canal de escalado y conservar evidencias de las comunicaciones exigibles. Cuando la aplicabilidad de una obligación dependa de circunstancias concretas, debe confirmarse con el texto completo y vigente, no inferirse de una checklist genérica.

Fechas de aplicación y sanciones: confirmar antes de calendarizar

El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 y establece una aplicación escalonada. La aplicación general está prevista desde el 2 de agosto de 2026, mientras que determinados capítulos y disposiciones se aplican antes o después conforme al calendario del artículo 113 y sus modificaciones. La fecha exacta para un sistema concreto debe verificarse junto con sus disposiciones transitorias y su categoría: no es seguro deducir que todas las obligaciones del artículo 16 comienzan simultáneamente para todos los sistemas.

El artículo 99 establece multas administrativas por incumplimientos del Reglamento, con importes máximos que varían según la infracción y, para empresas, pueden expresarse como una cantidad fija o un porcentaje del volumen de negocios anual mundial total del ejercicio anterior, aplicándose el importe que sea mayor cuando así lo dispone el artículo. No todas las infracciones del artículo 16 llevan necesariamente el mismo máximo. La autoridad competente debe considerar las circunstancias y los criterios del Reglamento. Antes de usar una cifra en una decisión empresarial, hay que revisar la categoría exacta del incumplimiento, el artículo sancionador aplicable y cualquier regla especial pertinente.

Checklist de cumplimiento y errores frecuentes

Una revisión eficaz debe separar lo que el Reglamento impone de las decisiones internas que ayudan a demostrarlo. Son obligaciones legales las tareas que figuran en el artículo 16 y las exigencias de los artículos a los que remite. Son prácticas recomendadas, por ejemplo, asignar un responsable por letra, usar una matriz de evidencias y programar revisiones periódicas: no deben presentarse como formatos expresamente prescritos por el artículo 16.

También conviene evitar tres errores: tratar al proveedor y al responsable del despliegue como si fueran el mismo actor; suponer que la lista del artículo 16 contiene todos los requisitos técnicos; y atribuir al artículo 16 fechas, procedimientos de incidentes o sanciones que se detallan en otros artículos. El artículo no obliga por sí mismo a usar un modelo específico ni una tecnología determinada. La aplicabilidad de obligaciones concretas depende de la configuración del sistema y del resto del Reglamento.

Continúa explorando

Correcciones y transparencia

Si detectas un dato incorrecto o desactualizado, puedes enviarnos una corrección indicando la página y la fuente que debemos revisar.