Artículo 26 de la Ley de IA de la UE: Obligaciones del Desplegado para la IA de Alto Riesgo

¿Quién es un Desplegado?

Un desplegado es cualquier persona física o jurídica que utilice un sistema de IA bajo su propia autoridad en el curso de una actividad profesional (las personas que utilizan IA para razones personales y no profesionales están excluidas).

Las obligaciones del desplegado se encuentran junto con, y no en lugar de, las obligaciones del proveedor. El proveedor construye y documenta el sistema; el desplegado es responsable de cómo se utiliza realmente. Si un desplegado modifica sustancialmente un sistema de alto riesgo o pone su propio nombre en él, también puede asumir obligaciones del proveedor según el Artículo 25.

Las Obligaciones Básicas del Desplegado

El Artículo 26 impone un conjunto definido de obligaciones operativas a los desplegados de sistemas de IA de alto riesgo:

• Uso según las instrucciones — tomar medidas técnicas y organizativas apropiadas para utilizar el sistema de acuerdo con las instrucciones de uso del proveedor
• Asignar supervisión humana competente — encomendar la supervisión a personas físicas que tengan la competencia, la formación, la autoridad y el apoyo necesarios para llevarla a cabo según el Artículo 14
• Controlar los datos de entrada — cuando el desplegado controle los datos de entrada, asegurarse de que sean relevantes y suficientemente representativos en vista del propósito previsto del sistema
• Monitorear la operación — monitorear la operación del sistema contra las instrucciones de uso e informar al proveedor o distribuidor cuando surja un riesgo
• Mantener los registros generados automáticamente — retener los registros que el sistema genera automáticamente, en la medida en que estén bajo el control del desplegado, durante al menos seis meses (a menos que una ley de la Unión o nacional establezca un período más largo)
• Informar a los trabajadores y representantes — antes de poner un sistema de alto riesgo en servicio en el lugar de trabajo, informar a los trabajadores y representantes afectados de que estarán sujetos a él
• Evaluación de impacto de protección de datos — cuando sea relevante, utilizar la información proporcionada según el Artículo 13 para realizar una evaluación de impacto de protección de datos según el RGPD
• Suspender y informar sobre un riesgo grave — cuando el sistema presente un riesgo para la salud, la seguridad o los derechos fundamentales, o cuando ocurra un incidente grave, suspender el uso, informar al proveedor, distribuidor y autoridades relevantes, y cooperar

El Piso de Retención de Registros de Seis Meses

Los desplegados deben mantener los registros generados automáticamente por el sistema de IA de alto riesgo durante un período adecuado para el propósito previsto, y en cualquier caso durante al menos seis meses — a menos que una ley de la Unión o nacional requiera un período de retención más largo.

Esto se aplica a los registros que están bajo el control del desplegado. Es el contraparte del lado del desplegado del diseño de registro del proveedor bajo los Artículos 12 y 19: el proveedor construye la capacidad de registro, y el desplegado es responsable de retener y poder producir los registros resultantes. Las reglas del sector (por ejemplo, en finanzas o salud) a menudo establecen un piso más largo, así que trate los seis meses como el mínimo, no el objetivo.

Las autoridades públicas que actúan como desplegados tienen obligaciones adicionales de transparencia y registro según los Artículos 26 y 49.