Ya explicamos en qué es la IA de alto riesgo según el AI Act qué convierte a un sistema de inteligencia artificial en "de alto riesgo" y qué obligaciones generales conlleva esa categoría. Entre esas obligaciones se menciona, casi siempre de pasada, una en concreto que genera bastante confusión: el registro del sistema. Este artículo se centra únicamente en esa pieza: qué es, quién tiene que llevarlo y qué debe guardar tu empresa aunque no sea la responsable directa de registrar nada.
Aviso importante: este contenido es divulgativo y no sustituye asesoría legal. El AI Act es un reglamento extenso y en fase de aplicación progresiva; para saber con certeza qué obligaciones concretas aplican a tu empresa y en qué plazos, consulta con un abogado o una asesoría especializada en cumplimiento normativo.
Qué es el registro de sistemas de IA de alto riesgo
El AI Act europeo prevé, en términos generales, una base de datos pública a nivel de la Unión Europea en la que determinados sistemas de IA de alto riesgo deben quedar registrados antes de comercializarse o ponerse en servicio. La idea de fondo es que exista un registro centralizado y consultable de qué sistemas de alto riesgo están operando, quién los ha desarrollado y para qué finalidad, de forma que autoridades y, en cierta medida, el público, puedan tener visibilidad sobre estos sistemas.
Quién debe llevarlo: proveedor vs responsable del despliegue
El AI Act distingue entre dos papeles que conviene no confundir. El proveedor es quien desarrolla el sistema de IA y lo pone en el mercado; sobre él recae, con carácter general, la obligación principal de registrar el sistema en la base de datos europea antes de su comercialización. El responsable del despliegue es la empresa que usa ese sistema en su actividad, como haría la mayoría de pymes que contratan un servicio de IA a un tercero en lugar de desarrollarlo. En determinados supuestos, particularmente cuando el responsable del despliegue es una entidad del sector público, también recaen sobre él obligaciones de registro propias. Para una pyme privada que compra un sistema de IA de alto riesgo como servicio, lo habitual es que la obligación de registro en la base de datos europea corresponda principalmente al proveedor, mientras que la empresa usuaria asume otro tipo de obligaciones, distintas pero igual de reales.
Qué debe guardar tu empresa aunque no sea quien registra el sistema
Aquí está el matiz que más se pasa por alto: no tener la obligación de registrar el sistema en la base de datos europea no significa no tener ninguna obligación de documentación. Como responsable del despliegue, tu empresa debe poder acreditar, en términos generales, que usa el sistema conforme a las instrucciones del proveedor, que existe una supervisión humana efectiva sobre sus resultados, y que se conservan los registros de funcionamiento que el propio sistema genera automáticamente, durante el tiempo que corresponda. En la práctica, esto se traduce en mantener un archivo interno, aunque sea sencillo, con qué sistema se usa, desde cuándo, quién lo supervisa y qué incidencias relevantes se han detectado.
Si tu empresa desarrolla el sistema en lugar de contratarlo
Todo lo anterior asume el escenario más habitual entre pymes: contratar un sistema de IA de alto riesgo como servicio a un tercero. Si en cambio tu empresa desarrolla el sistema internamente, o lo hace desarrollar a medida y lo pone en el mercado bajo su propia marca, la posición cambia por completo: pasas a ser el proveedor a efectos del AI Act, y sobre ti recae entonces la obligación principal de registro en la base de datos europea, no solo las obligaciones más ligeras de quien únicamente usa el sistema. Esta distinción conviene tenerla clara desde el principio del proyecto, porque afecta directamente a qué documentación hay que empezar a preparar y en qué momento del desarrollo, no solo al final antes de lanzarlo al mercado.
Por qué esto importa incluso si "solo" eres el usuario del sistema
Es un error extendido pensar que, al no desarrollar tecnología propia, una pyme queda al margen de este tipo de obligaciones. El AI Act reparte responsabilidades entre quien desarrolla y quien usa un sistema de IA de alto riesgo, precisamente porque el impacto real sobre las personas se produce en el momento del uso, no solo en el momento del desarrollo. Preguntar a tu proveedor si el sistema que ofrece está registrado, y pedirle constancia de ello, sigue siendo la forma más directa de empezar a poner orden en esta parte del cumplimiento.
Qué pasa si no se cumple
Sin entrar en cifras concretas de sanciones, que varían y conviene consultar con un profesional actualizado en la materia, el AI Act contempla un régimen de consecuencias para el incumplimiento de sus obligaciones, incluidas las relativas al registro y la documentación de sistemas de alto riesgo. Más allá de la sanción económica en sí, el riesgo real para una pyme suele ser otro: no poder demostrar, ante una inspección o ante un cliente que lo pregunte, que el sistema que usa cumple con lo que exige la normativa, lo que puede convertirse en un problema comercial además de legal, como desarrollamos en sanciones por incumplir el AI Act.
Conclusión
El registro de sistemas de IA de alto riesgo no es una obligación abstracta que solo afecta a grandes desarrolladores de tecnología: reparte responsabilidades entre quien construye el sistema y quien lo usa, y tu empresa, como usuaria, tiene su propia parte de documentación que mantener aunque no sea quien registra nada en la base de datos europea. En MG Solutions ayudamos a nuestros clientes a identificar qué documentación les corresponde mantener, siempre en coordinación con su asesoría legal. Reserva tu primera reunión y lo revisamos juntos.