Qué es la base de datos de sistemas de IA de la UE
El AI Act (Reglamento UE 2024/1689) crea una base de datos pública gestionada por la Comisión Europea donde tienen que registrarse los sistemas de IA de alto riesgo antes de ser comercializados o puestos en servicio en la Unión Europea. La base de datos está regulada en el artículo 71 del reglamento y es de acceso público: cualquier persona puede consultar qué sistemas están registrados, quiénes son sus proveedores y cuál es el propósito declarado.
El objetivo de este registro es doble. Por un lado, permite a las autoridades de vigilancia del mercado y a las personas potencialmente afectadas saber qué sistemas están operando y bajo qué condiciones. Por otro, crea un incentivo para que los proveedores y desplegadores hagan el ejercicio de clasificación de sus sistemas antes de lanzarlos: si tienes que registrar el sistema como de alto riesgo, eso implica haber completado también el resto de las obligaciones que acompañan a esa clasificación.
Quién tiene que registrarse
La obligación de registro recae principalmente sobre los proveedores de sistemas de IA de alto riesgo antes de ponerlos en el mercado europeo. Un proveedor es quien desarrolla el sistema y lo comercializa con su nombre o lo encarga desarrollar para eso.
Los desplegadores de sistemas de alto riesgo listados en el Anexo III también tienen obligación de registrarse cuando utilizan estos sistemas en el ejercicio de su actividad profesional, con excepciones para determinados ámbitos como la aplicación de la ley y la gestión de fronteras, donde el registro tiene carácter confidencial.
Los importadores que introducen en el mercado europeo sistemas de IA desarrollados fuera de la UE asumen las obligaciones del proveedor si este no tiene representante designado en Europa, lo que incluye la obligación de registro.
No tienen que registrarse en esta base de datos pública los sistemas de riesgo limitado o mínimo, ni los sistemas de alto riesgo integrados en productos regulados por otras directivas europeas (dispositivos médicos, maquinaria, vehículos), que tienen su propio régimen de notificación.
Qué información hay que declarar
El artículo 49 del AI Act establece los datos que los proveedores tienen que incluir en el registro. La información varía según si el registrante es proveedor o desplegador.
Los proveedores tienen que declarar: nombre y datos de contacto, nombre del sistema y versiones cubiertas, descripción del propósito del sistema, estado del sistema (en el mercado, retirado, en desarrollo), países donde se ha puesto en el mercado, la declaración de conformidad de la UE, instrucciones de uso, enlace al sitio web del proveedor, y la identificación de la notificación presentada al organismo notificado cuando la evaluación de conformidad ha requerido intervención de terceros.
Los desplegadores tienen que declarar: nombre e información de contacto, categoría del sistema de IA según el Anexo III bajo la que se usa, una descripción del uso concreto, y la población potencialmente afectada. La declaración del desplegador es menos extensa pero igual de obligatoria en los contextos donde aplica.
Toda esta información es pública, con excepciones limitadas para información comercialmente sensible o para categorías de uso en las que la publicidad podría comprometer la seguridad (como ciertos usos en seguridad pública o control de fronteras).
El proceso de registro paso a paso
La Comisión Europea gestiona la base de datos a través del portal EU AI Office, accesible en la web de la Comisión. El proceso de registro requiere tener una cuenta en el sistema de identificación europeo (EU Login) o el equivalente que designen los estados miembros.
Antes de registrar el sistema, el proveedor tiene que haber completado las obligaciones previas de alto riesgo: elaborar la documentación técnica según el Anexo IV, implementar el sistema de gestión de calidad, realizar la evaluación de conformidad (propia o con organismo notificado), redactar la declaración de conformidad UE, y aplicar el marcado CE cuando corresponda según la legislación sectorial.
El registro en la base de datos no sustituye estas obligaciones previas: las presupone. No se puede registrar un sistema como conforme si no se ha completado el proceso de evaluación de conformidad.
Una vez completado el formulario de registro, el sistema recibe un identificador único que tiene que aparecer en la documentación técnica y en los materiales que acompañan al sistema. Cualquier cambio significativo en el sistema que altere los datos declarados obliga a actualizar el registro.
Plazos para el registro
Los plazos del AI Act para los sistemas de alto riesgo del Anexo III arrancan en agosto de 2026. Para esa fecha, los sistemas de alto riesgo que ya estén en el mercado o en servicio tienen que estar registrados o el proveedor tiene que haber iniciado el proceso de conformidad.
Los sistemas de alto riesgo integrados en productos regulados tienen plazos más largos (hasta 2027 o 2028 según el sector), y sus registros se gestionan parcialmente a través de los mecanismos existentes de esos sectores.
Para los sistemas nuevos que se pongan en el mercado después de agosto de 2026, el registro es una condición previa a la comercialización: no se puede vender o poner en servicio un sistema de alto riesgo sin que esté registrado.
Consecuencias de no registrarse
No registrar un sistema de alto riesgo cuando es obligatorio es una infracción del AI Act. Las multas van desde 10.000 euros hasta 15 millones de euros o el 3% de la facturación global anual, la cifra que sea mayor. Para las PYMEs y las startups, el reglamento prevé que las autoridades nacionales tengan en cuenta la proporcionalidad, pero la infracción sigue existiendo.
Las autoridades de vigilancia del mercado pueden ordenar la retirada del sistema del mercado si no cumple los requisitos de registro y conformidad. En casos de infracción grave o continuada, pueden suspender o prohibir la comercialización en toda la UE.
Además de las sanciones administrativas, la falta de registro puede generar responsabilidad civil en caso de que el sistema cause daño, ya que la infracción del reglamento puede ser invocada en procedimientos judiciales.
Diferencia entre el registro del AI Act y el marcado CE
Son dos cosas distintas aunque relacionadas. El marcado CE es la declaración de que un producto cumple la legislación europea aplicable y es una condición para comercializar muchos productos en la UE. Para los sistemas de IA de alto riesgo que son componentes de productos regulados por directivas europeas de seguridad (dispositivos médicos, maquinaria, juguetes, equipos de radio…), el marcado CE ya existía antes del AI Act y el reglamento lo amplía para incluir los requisitos de IA.
El registro en la base de datos de la UE es un mecanismo específico del AI Act que no tiene equivalente directo en otras regulaciones. Mientras que el marcado CE certifica conformidad, el registro en la base de datos crea transparencia pública sobre qué sistemas están operando y bajo qué condiciones.
Para un sistema de IA de alto riesgo que sea componente de un dispositivo médico, habría que cumplir los requisitos del AI Act (incluyendo el registro en la base de datos), además de los requisitos del Reglamento de Dispositivos Médicos (MDR) que ya incluían el marcado CE.
Prepararse para el registro antes de que sea obligatorio
El registro es el último paso de un proceso largo. Las empresas que empiecen a prepararse ahora tienen que trabajar hacia atrás desde el registro: primero identificar qué sistemas son de alto riesgo, luego elaborar la documentación técnica, después completar la evaluación de conformidad, y finalmente registrar.
La Comisión Europea ha publicado plantillas de documentación técnica y formularios preliminares para el registro que permiten prepararse antes de que el sistema esté operativo. Usar estas plantillas desde el inicio del desarrollo del sistema, no al final, es la forma más eficiente de gestionar el cumplimiento.
Las empresas que actúan como desplegadoras de sistemas de IA de alto riesgo desarrollados por terceros tienen que asegurarse de que el sistema que compran o licencian ya está registrado por su proveedor, o de que el proveedor se compromete contractualmente a completar el registro antes del despliegue. Desplegar un sistema sin registro cuando la obligación recae sobre el proveedor no exime al desplegador de su responsabilidad por el uso que hace del sistema.
]]>
