El artículo 59 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 59. Tratamiento ulterior de datos personales para el desarrollo de determinados sistemas de IA en favor del interés público en el espacio controlado de pruebas para la IA
1. En el espacio controlado de pruebas, los datos personales recabados lícitamente con otros fines podrán tratarse únicamente con el objetivo de desarrollar, entrenar y probar determinados sistemas de IA en el espacio controlado de pruebas cuando se cumplan todas las condiciones siguientes:
(En el espacio controlado de pruebas, los datos personales reunidos lícitamente con otros fines podrán tratarse únicamente con el objetivo de desarrollar, entrenar y probar determinados sistemas de IA en el espacio controlado de pruebas cuando se cumplan todos los requisitos siguientes: )
a)
que los sistemas de IA se desarrollen para que una autoridad pública u otra persona física o jurídica proteja un interés público esencial en uno o varios de los siguientes ámbitos:
(que los sistemas de IA se desarrollen para que una autoridad pública u otra persona física o jurídica proteja un interés público básico en uno o varios de los siguientes ámbitos:)
i)
la seguridad y la salud públicas, incluidos la detección, el diagnóstico, la prevención, el control y el tratamiento de enfermedades y la mejora de los sistemas sanitarios,
(la seguridad y la salud públicas, incluidos la comprobación, el diagnóstico, la evitación, el control y el tratamiento de enfermedades y la mejora de los sistemas sanitarios, )
ii)
un elevado nivel de protección y mejora de la calidad del medio ambiente, la protección de la biodiversidad, la protección contra la contaminación, las medidas de transición ecológica, la mitigación del cambio climático y las medidas de adaptación a este,
(un alto nivel de protección y mejora de la calidad del medio ambiente, la protección de la biodiversidad, la protección contra la contaminación, las medidas de transición ecológica, la disminución del cambio climático y las medidas de adecuación a este, )
iii)
la sostenibilidad energética,
iv)
la seguridad y la resiliencia de los sistemas de transporte y la movilidad, las infraestructuras críticas y las redes,
(la seguridad y la resistencia de los sistemas de transporte y la movilidad, las infraestructuras críticas y las redes,)
v)
la eficiencia y la calidad de la administración pública y de los servicios públicos;
b)
que los datos tratados resulten necesarios para cumplir uno o varios de los requisitos mencionados en el capítulo III, sección 2, cuando dichos requisitos no puedan cumplirse efectivamente mediante el tratamiento de datos anonimizados o sintéticos o de otro tipo de datos no personales;
(que los datos tratados resulten necesarios para cumplir uno o varios de los requisitos mencionados en el capítulo III, sección 2, cuando dichos requisitos no puedan cumplirse realmente mediante el tratamiento de datos separados o sintéticos o de otro tipo de datos no personales; )
c)
que existan mecanismos de supervisión eficaces para detectar si pueden producirse durante la experimentación en el espacio controlado de pruebas riesgos elevados para los derechos y libertades de los interesados, mencionados en el artículo 35 del Reglamento (UE) 2016/679 y en el artículo 39 del Reglamento (UE) 2018/1725, así como mecanismos de respuesta para mitigar sin demora dichos riesgos y, en su caso, detener el tratamiento;
(que existan mecanismos de control eficaces para comprobar si pueden producirse durante la experimentación en el espacio controlado de pruebas riesgos altos para los derechos y libertades de los interesados, mencionados en el artículo 35 del Reglamento (UE) 2016/679 y en el artículo 39 del Reglamento (UE) 2018/1725, así como mecanismos de respuesta para disminuir sin tardanza dichos riesgos y, en su caso, detener el tratamiento; )
d)
que los datos personales que se traten en el contexto del espacio controlado de pruebas se encuentren en un entorno de tratamiento de datos funcionalmente separado, aislado y protegido, bajo el control del proveedor potencial, y que únicamente las personas autorizadas tengan acceso a dichos datos;
(que los datos personales que se traten en el contexto del espacio controlado de pruebas estén en un entorno de tratamiento de datos estructuralmente separado, aislado y protegido, bajo el control del suministrador hipotético, y que únicamente las personas autorizadas tengan acceso a dichos datos; )
e)
que los proveedores solo puedan compartir los datos recabados originalmente de conformidad con el Derecho de la Unión en materia de protección de datos; los datos personales creados en el espacio controlado de pruebas no pueden salir del espacio controlado de pruebas;
(que los suministradores solo puedan compartir los datos reunidos inicialmente de acuerdo con el Derecho de la Unión en materia de protección de datos; los datos personales creados en el espacio controlado de pruebas no pueden salir del espacio controlado de pruebas; )
f)
que el tratamiento de datos personales en el contexto del espacio controlado de pruebas no dé lugar a medidas o decisiones que afecten a los interesados ni afecte a la aplicación de sus derechos establecidos en el Derecho de la Unión en materia de protección de datos personales;
(que el tratamiento de datos personales en el contexto del espacio controlado de pruebas no dé lugar a medidas o decisiones que perjudiquen a los interesados ni influya a la aplicación de sus derechos establecidos en el Derecho de la Unión en materia de protección de datos personales; )
g)
que los datos personales tratados en el contexto del espacio controlado de pruebas se protejan mediante medidas técnicas y organizativas adecuadas y se eliminen una vez concluida la participación en dicho espacio o cuando los datos personales lleguen al final de su período de conservación;
(que los datos personales tratados en el contexto del espacio controlado de pruebas se protejan mediante medidas técnicas y organizativas adecuadas y se eliminen una vez concluida la participación en dicho espacio o cuando los datos personales lleguen al final de su período de mantenimiento; )
h)
que los archivos de registro del tratamiento de datos personales en el contexto del espacio controlado de pruebas se conserven mientras dure la participación en el espacio controlado de pruebas, salvo que se disponga otra cosa en el Derecho de la Unión o el Derecho nacional;
(que los archivos de registro del tratamiento de datos personales en el contexto del espacio controlado de pruebas se mantengan mientras dure la participación en el espacio controlado de pruebas, salvo que se disponga otra cosa en el Derecho de la Unión o el Derecho nacional; )
i)
que se conserve una descripción completa y detallada del proceso y la lógica subyacentes al entrenamiento, la prueba y la validación del sistema de IA junto con los resultados del proceso de prueba como parte de la documentación técnica a que se refiere el anexo IV;
(que se conserve una descripción completa y detallada del proceso y la lógica básicos al entrenamiento, la prueba y la aprobación del sistema de IA junto con los resultados del proceso de prueba como parte de la documentación técnica a que se refiere el anexo IV;)
j)
que se publique una breve síntesis del proyecto de IA desarrollado en el espacio controlado de pruebas, junto con sus objetivos y resultados previstos, en el sitio web de las autoridades competentes; esta obligación no comprenderá los datos operativos sensibles relativos a las actividades de las autoridades garantes del cumplimiento del Derecho, del control fronterizo, de la inmigración o del asilo.
(que se publique un breve resumen del proyecto de IA desarrollado en el espacio controlado de pruebas, junto con sus objetivos y resultados proyectados, en el sitio web de las autoridades competentes; esta obligación no incluirá los datos funcionales sensibles relativos a las actividades de las autoridades aseguradoras del cumplimiento del Derecho, del control fronterizo, de la inmigración o del asilo. )
2. Cuando se lleve a cabo con fines de prevención, investigación, detección o enjuiciamiento de delitos o de ejecución de sanciones penales, incluidas la protección frente a amenazas para la seguridad pública y la prevención de dichas amenazas, y bajo el control y la responsabilidad de las autoridades garantes del cumplimiento del Derecho, el tratamiento de datos personales en los espacios controlados de pruebas para la IA se basará en un Derecho específico, de la Unión o nacional y cumplirá las condiciones acumulativas que se indican en el apartado 1.
(Cuando se lleve a cabo con fines de evitación, investigación, descubrimiento o juzgamiento de delitos o de ejecución de sanciones penales, incluidas la protección frente a amenazas para la seguridad pública y la evitación de dichas amenazas, y bajo el control y la responsabilidad de las autoridades aseguradoras del cumplimiento del Derecho, el tratamiento de datos personales en los espacios controlados de pruebas para la IA se basará en un Derecho determinado, de la Unión o nacional y cumplirá los requsitos acumulados que se indican en el apartado 1. )
3. El apartado 1 se entiende sin perjuicio del Derecho de la Unión o nacional que proscriba el tratamiento de datos personales con fines distintos de los expresamente mencionados en dichos actos, así como sin perjuicio del Derecho de la Unión o nacional que establezca las bases para el tratamiento de datos personales necesario para desarrollar, probar o entrenar sistemas innovadores de IA o de cualquier otra base jurídica, de conformidad con el Derecho de la Unión en materia de protección de datos personales.»
(El apartado 1 se entiende sin que afecte al Derecho de la Unión o nacional que prohíba el tratamiento de datos personales con fines distintos de los expresamente mencionados en dichos actos, así como sin que afecte al Derecho de la Unión o nacional que establezca las bases para el tratamiento de datos personales necesario para desarrollar, probar o entrenar sistemas innovadores de IA o de cualquier otra base jurídica, de acuerdo con el Derecho de la Unión en materia de protección de datos personales.)
El artículo 102 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 102. Modificación del Reglamento (CE) n.o 300/2008
En el artículo 4, apartado 3, del Reglamento (CE) n.o 300/2008, se añade el párrafo siguiente:
«Al adoptar medidas detalladas relativas a las especificaciones técnicas y los procedimientos de aprobación y utilización del equipo de seguridad en relación con sistemas de inteligencia artificial en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*1), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento. «
(«Al tomar medidas detalladas relativas a las determinaciones técnicas y los procedimientos de aprobación y utilización del equipo de seguridad en relación con sistemas de inteligencia artificial en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*1), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento. )
El artículo 103 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 103. Modificación del Reglamento (UE) n.o 167/2013
En el artículo 17, apartado 5, del Reglamento (UE) n.o 167/2013, se añade el párrafo siguiente:
«Al adoptar actos delegados en virtud del párrafo primero relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*2), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.»
(Al aprobar actos delegados en aplicación del párrafo primero relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*2), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.)
El artículo 104 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 104. Modificación del Reglamento (UE) n.o 168/2013
En el artículo 22, apartado 5, del Reglamento (UE) n.o 168/2013, se añade el párrafo siguiente:
«Al adoptar actos delegados en virtud del párrafo primero relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*3), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento. «
(«Al aprobar actos delegados en aplicación del párrafo primero relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*3), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento. )
El artículo 105 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 105. Modificación de la Directiva 2014/90/UE
«En el artículo 8 de la Directiva 2014/90/UE, se añade el apartado siguiente:
«5. En el caso de los sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*4), la Comisión tendrá en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento al desempeñar sus actividades con arreglo al apartado 1 y al adoptar especificaciones técnicas y normas de ensayo de conformidad con los apartados 2 y 3.»
(En el caso de los sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*4), la Comisión tendrá en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento al realizar sus actividades de acuerdo con el apartado 1 y al aprobar determinaciones técnicas y normas de ensayo de acuerdo con los apartados 2 y 3.)
El artículo 106 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 106. Modificación de la Directiva (UE) 2016/797
En el artículo 5 de la Directiva (UE) 2016/797, se añade el apartado siguiente:
«12. Al adoptar actos delegados en virtud del apartado 1 y actos de ejecución en virtud del apartado 11 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*5), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento. «
(Al aprobar actos delegados en aplicación del apartado 1 y actos de ejecución en aplicación del apartado 11 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*5), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento. )
El artículo 107 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 107. Modificación del Reglamento (UE) 2018/858
En el artículo 5 del Reglamento (UE) 2018/858, se añade el apartado siguiente:
«4. Al adoptar actos delegados en virtud del apartado 3 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/… del Parlamento Europeo y del Consejo (*6), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.»
(Al aprobar actos delegados en aplicación del apartado 3 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/… del Parlamento Europeo y del Consejo (*6), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.)
El artículo 108 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 108. Modificación del Reglamento (UE) 2018/1139
El Reglamento (UE) 2018/1139 se modifica como sigue:
1)
En el artículo 17, se añade el apartado siguiente:
«3. Sin perjuicio de lo dispuesto en el apartado 2, al adoptar actos de ejecución en virtud del apartado 1 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*7), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.
(Sin que afecte a lo dispuesto en el apartado 2, al aprobar actos de ejecución en aplicación del apartado 1 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*7), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento. )
(*7) Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) (DO L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj).».»
En el artículo 19, se añade el apartado siguiente:
«4. Al adoptar actos delegados en virtud de los apartados 1 y 2 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689, se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.».
.(Al aprobar actos delegados en aplicación de los apartados 1 y 2 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689, se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.».)
3)
En el artículo 43, se añade el apartado siguiente:
«4. Al adoptar actos de ejecución en virtud del apartado 1 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689, se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.».
(Al aprobar actos de ejecución en aplicación del apartado 1 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689, se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.». )
4)
En el artículo 47, se añade el apartado siguiente:
«3. Al adoptar actos delegados en virtud de los apartados 1 y 2 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689, se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.».
(Al aprobar actos delegados en aplicación de los apartados 1 y 2 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689, se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.».)
5)
En el artículo 57, se añade el párrafo siguiente:
«Al adoptar dichos actos de ejecución relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689, se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.».
(Al aprobar dichos actos de ejecución relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689, se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.».)
6)
En el artículo 58, se añade el apartado siguiente:
«3. Al adoptar actos delegados en virtud de los apartados 1 y 2 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689, se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.».»
(Al aprobar actos delegados en aplicación de los apartados 1 y 2 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689, se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento.)
El artículo 109 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 109. Modificación del Reglamento (UE) 2019/2144
En el artículo 11 del Reglamento (UE) 2019/2144, se añade el párrafo siguiente:
«3. Al adoptar actos de ejecución en virtud del apartado 2 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*8), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento. «
(Al aprobar actos de ejecución en aplicación del apartado 2 relativos a sistemas de inteligencia artificial que sean componentes de seguridad en el sentido del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (*8), se tendrán en cuenta los requisitos establecidos en el capítulo III, sección 2, de dicho Reglamento. )
El artículo 110 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 110. Modificación de la Directiva (UE) 2020/1828
En el anexo I de la Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo (58) se añade el punto siguiente:
«68)
Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 1689, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) (DO L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj).».
(Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 1689, por el que se establecen normas unificadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) (DO L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj).»).
El artículo 111 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 111. Sistemas de IA ya introducidos en el mercado o puestos en servicio y modelos de IA de uso general ya introducidos en el mercado
1. Sin perjuicio de que se aplique el artículo 5 con arreglo a lo dispuesto en el artículo 113, párrafo tercero, letra a), los sistemas de IA que sean componentes de los sistemas informáticos de gran magnitud establecidos en virtud de los actos legislativos enumerados en el anexo X que se hayan introducido en el mercado o se hayan puesto en servicio antes del 2 de agosto de 2027 deberán estar en conformidad con el presente Reglamento a más tardar el 31 de diciembre de 2030.
(Sin que obste a que se aplique el artículo 5 de acuerdo con lo dispuesto en el artículo 113, párrafo tercero, letra a), los sistemas de IA que sean componentes de los sistemas informáticos de gran magnitud establecidos en aplicación de los actos legislativos enumerados en el anexo X que se hayan incluido en el mercado o se hayan puesto en servicio antes del 2 de agosto de 2027 deberán estar en adecuación con este Reglamento lo más tarde el 31 de diciembre de 2030. )
Los requisitos establecidos en el presente Reglamento se tendrán en cuenta en la evaluación de cada sistema informático de gran magnitud establecido en virtud de los actos jurídicos enumerados en el anexo X que se efectúe de conformidad con lo dispuesto en dichos actos jurídicos y cuando dichos actos jurídicos hayan sido sustituidos o modificados.
(Los requisitos establecidos en este Reglamento se tendrán en cuenta en la valoración de cada sistema informático de gran amplitud establecido en aplicación de los actos jurídicos enumerados en el anexo X que se efectúe de acuerdo con lo dispuesto en dichos actos jurídicos y cuando dichos actos jurídicos hayan sido sustituidos o modificados.)
2. Sin perjuicio de que se aplique el artículo 5 con arreglo a lo dispuesto en el artículo 113, párrafo tercero, letra a), el presente Reglamento se aplicará a los operadores de sistemas de IA de alto riesgo, distintos de los mencionados en el apartado 1 del presente artículo, que se hayan introducido en el mercado o puesto en servicio antes de la fecha de aplicación del capítulo III a que se refiere el artículo 113, únicamente si, a partir de esa fecha, dichos sistemas se ven sometidos a cambios significativos en sus diseños. En cualquier caso, los proveedores y los responsables del despliegue de los sistemas de IA de alto riesgo destinados a ser utilizados por las autoridades públicas adoptarán las medidas necesarias para cumplir los requisitos y obligaciones establecidas en el presente Reglamento a más tardar el 2 de agosto de 2030.
(Sin que obste a que se aplique el artículo 5 de acuerdo con lo dispuesto en el artículo 113, párrafo tercero, letra a), el presente Reglamento se aplicará a los operadores de sistemas de IA de alto riesgo, distintos de los mencionados en el apartado 1 del presente artículo, que se hayan introducido en el mercado o puesto en servicio antes de la fecha de aplicación del capítulo III a que se refiere el artículo 113, únicamente si, desde esa fecha, dichos sistemas se ven expuestos a cambios significativos en sus diseños. En cualquier caso, los suministradores y los responsables del desarrollo de los sistemas de IA de alto riesgo destinados a ser utilizados por las autoridades públicas tomarán las medidas necesarias para cumplir los requisitos y obligaciones establecidas en este Reglamento lo más tarde el 2 de agosto de 2030. )
3. Los proveedores de modelos de IA de uso general que se hayan introducido en el mercado antes del 2 de agosto de 2025 adoptarán las medidas necesarias para cumplir las obligaciones establecidas en el presente Reglamento a más tardar el 2 de agosto de 2027.
(Los proveedores de modelos de IA de uso general que se hayan incluido en el mercado antes del 2 de agosto de 2025 aprobarán las medidas necesarias para cumplir las obligaciones establecidas en el presente Reglamento lo más tarde el 2 de agosto de 2027. )
4. Los proveedores de sistemas de IA, incluidos los sistemas de IA de uso general, que generen contenido sintético de audio, imagen, vídeo o texto y se hayan introducido en el mercado antes del 2 de agosto de 2026 adoptarán las medidas necesarias para cumplir lo dispuesto en el artículo 50, apartado 2, a más tardar el 2 de diciembre de 2026.»
(Los suministradores de sistemas de IA, incluidos los sistemas de IA de uso general, que creen contenido sintético de audio, imagen, vídeo o texto y se hayan introducido en el mercado antes del 2 de agosto de 2026 aprobarán las medidas necesarias para cumplir lo dispuesto en el artículo 50, apartado 2, lo más tarde el 2 de diciembre de 2026.)
El artículo 112 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 112. Evaluación y revisión
1. La Comisión evaluará la necesidad de modificar la lista del anexo III y la lista de prácticas de IA prohibidas previstas en el artículo 5 una vez al año a partir de la entrada en vigor del presente Reglamento y hasta el final del período de delegación de poderes previsto en el artículo 97. La Comisión presentará las conclusiones de dicha evaluación al Parlamento Europeo y al Consejo.
(La Comisión valorará la necesidad de modificar la lista del anexo III y la lista de prácticas de IA prohibidas establecidas en el artículo 5 una vez al año desde la entrada en vigor del presente Reglamento y hasta el final del período de delegación de poderes establecido en el artículo 97. La Comisión presentará las conclusiones de dicha valoración al Parlamento Europeo y al Consejo.)
2. A más tardar el 2 de agosto de 2028, y posteriormente cada cuatro años, la Comisión evaluará los puntos siguientes e informará de ello al Parlamento Europeo y al Consejo:
(Lo más tarde el 2 de agosto de 2028, y posteriormente cada cuatro años, la Comisión valorará los puntos siguientes e informará de ello al Parlamento Europeo y al Consejo:)
a)
la necesidad de ampliar los ámbitos enumerados en el anexo III o de añadir nuevos ámbitos;
b)
la necesidad de modificar la lista de sistemas de IA que requieren medidas de transparencia adicionales con arreglo al artículo 50;
(la necesidad de modificar la lista de sistemas de IA que necesitan medidas de transparencia adicionales de acuerdo con el artículo 50; )
c)
la necesidad de mejorar la eficacia del sistema de supervisión y gobernanza.
(la necesidad de mejorar la eficacia del sistema de control y dirección.)
3. A más tardar el 2 de agosto de 2029, y posteriormente cada cuatro años, la Comisión presentará al Parlamento Europeo y al Consejo un informe sobre la evaluación y revisión del presente Reglamento. El informe incluirá una evaluación de la estructura de control del cumplimiento y de la posible necesidad de que una agencia de la Unión resuelva las deficiencias detectadas. En función de sus conclusiones, dicho informe irá acompañado, en su caso, de una propuesta de modificación del presente Reglamento. Los informes se harán públicos.
(Lo más tarde el 2 de agosto de 2029, y posteriormente cada cuatro años, la Comisión presentará al Parlamento Europeo y al Consejo un informe sobre la valoración y revisión del presente Reglamento. El informe incluirá una valoración de la estructura de control del cumplimiento y de la posible necesidad de que una agencia de la Unión resuelva las deficiencias comprobadas. En función de sus conclusiones, dicho informe irá acompañado, en su caso, de una propuesta de modificación de este Reglamento. Los informes se harán públicos. )
4. En los informes mencionados en el apartado 2 se prestará una atención especial a lo siguiente:
(En los informes mencionados en el apartado 2 se pondrá una atención especial a lo siguiente:)
a)
el estado de los recursos financieros, técnicos y humanos de las autoridades nacionales competentes para desempeñar de forma eficaz las funciones que les hayan sido asignadas en virtud del presente Reglamento;
(el estado de los medios financieros, técnicos y humanos de las autoridades nacionales competentes para ejecutar de forma eficaz las funciones que les hayan sido asignadas en aplicación de este Reglamento; )
b)
el estado de las sanciones, en particular, de las multas administrativas a que se refiere el artículo 99, apartado 1, aplicadas por los Estados miembros a las infracciones de las disposiciones del presente Reglamento;
(el estado de los castigos, en especial, de las multas administrativas a que se refiere el artículo 99, apartado 1, aplicadas por los Estados miembros a las infracciones de las disposiciones del presente Reglamento; )
c)
las normas armonizadas adoptadas y las especificaciones comunes desarrolladas en apoyo del presente Reglamento;
(las normas unificadas aprobadas y las determinaciones comunes desarrolladas en apoyo del presente Reglamento;)
d)
el número de empresas que entran en el mercado después de que se empiece a aplicar el presente Reglamento y, de entre ellas, el número de pymes.
5. A más tardar el 2 de agosto de 2028, la Comisión evaluará el funcionamiento de la Oficina de IA, si se le han otorgado poderes y competencias suficientes para desempeñar sus funciones, y si sería pertinente y necesario para la correcta aplicación y ejecución del presente Reglamento mejorar la Oficina de IA y sus competencias de ejecución, así como aumentar sus recursos. La Comisión presentará un informe sobre su evaluación al Parlamento Europeo y al Consejo.
(Lo más tarde el 2 de agosto de 2028, la Comisión valorará el funcionamiento de la Oficina de IA, si se le han atribuido poderes y competencias suficientes para desarrollar sus funciones, y si sería procedente y necesario para la correcta aplicación y ejecución del presente Reglamento mejorar la Oficina de IA y sus competencias de ejecución, así como aumentar sus medios. La Comisión presentará un informe sobre su valoración al Parlamento Europeo y al Consejo.)
6. A más tardar el 2 de agosto de 2028 y posteriormente cada cuatro años, la Comisión presentará un informe sobre la revisión de los avances en la elaboración de documentos de normalización sobre el desarrollo eficiente desde el punto de vista energético de modelos de IA de uso general y evaluará la necesidad de medidas o acciones adicionales, incluidas medidas o acciones vinculantes. Este informe se remitirá al Parlamento Europeo y al Consejo y se hará público.
(Lo más tarde el 2 de agosto de 2028 y posteriormente cada cuatro años, la Comisión presentará un informe sobre la revisión de los avances en la preparación de documentos de unificación sobre el desarrollo eficiente desde el punto de vista energético de modelos de IA de uso general y valorará la necesidad de medidas o acciones adicionales, incluidas medidas o acciones exigibles. Este informe se enviará al Parlamento Europeo y al Consejo y se hará público.)
7. A más tardar el 2 de agosto de 2028 y posteriormente cada tres años, la Comisión evaluará la incidencia y la eficacia de los códigos de conducta voluntarios por lo que respecta a promover la aplicación de los requisitos establecidos en el capítulo III, sección 2, a sistemas de IA que no sean de alto riesgo y, en su caso, de otros requisitos adicionales aplicables a los sistemas de IA que no sean sistemas de IA de alto riesgo, como, por ejemplo, requisitos relativos a la sostenibilidad medioambiental.
( Lo más tarde el 2 de agosto de 2028 y posteriormente cada tres años, la Comisión valorará la influencia y la eficacia de los códigos de conducta voluntarios por lo que respecta a impulsar la aplicación de los requisitos establecidos en el capítulo III, sección 2, a sistemas de IA que no sean de alto riesgo y, en su caso, de otros requisitos adicionales aplicables a los sistemas de IA que no sean sistemas de IA de alto riesgo, como, por ejemplo, requisitos relativos a la sostenibilidad medioambiental. )
8. A efectos de lo dispuesto en los apartados 1 a 7, el Consejo de IA, los Estados miembros y las autoridades nacionales competentes facilitarán información a la Comisión, cuando así lo solicite, y sin demora indebida.
(A los fines de lo dispuesto en los apartados 1 a 7, el Consejo de IA, los Estados miembros y las autoridades nacionales competentes facilitarán información a la Comisión, cuando así lo solicite, y sin tardanza indebida. )
9. Al llevar a cabo las evaluaciones y revisiones mencionadas en los apartados 1 a 7, la Comisión tendrá en cuenta las posiciones y conclusiones del Consejo de IA, el Parlamento Europeo, el Consejo y los demás organismos o fuentes pertinentes.
(Al llevar a cabo las valoraciones y revisiones mencionadas en los apartados 1 a 7, la Comisión tendrá en cuenta las posiciones y conclusiones del Consejo de IA, el Parlamento Europeo, el Consejo y los demás organismos o fuentes correspondientes. )
10. La Comisión presentará, en caso necesario, las propuestas oportunas de modificación del presente Reglamento, en particular teniendo en cuenta la evolución de la tecnología y el efecto de los sistemas de IA en la salud y la seguridad y en los derechos fundamentales, y a la vista de los avances en la sociedad de la información.
(La Comisión presentará, en caso necesario, las propuestas oportunas de modificación del presente Reglamento, en especial teniendo en cuenta la valoración de la tecnología y el efecto de los sistemas de IA en la salud y la seguridad y en los derechos fundamentales, y a la vista de los avances en la sociedad de la información.)
11. Para orientar las evaluaciones y revisiones a que se refieren los apartados 1 a 7 del presente artículo, la Oficina de IA se encargará de desarrollar una metodología objetiva y participativa para la evaluación de los niveles de riesgo a partir de los criterios expuestos en los artículos pertinentes y la inclusión de nuevos sistemas en:
( Para orientar las valoraciones y revisiones a que se refieren los apartados 1 a 7 de este artículo, la Oficina de IA se encargará de desarrollar un método objetivo y participativo para la valoración de los niveles de riesgo partiendo de los criterios expuestos en los artículos correspondientes y la inclusión de nuevos sistemas en: )
a)
la lista establecida en el anexo III, incluida la ampliación de los ámbitos existentes o la inclusión de nuevos ámbitos en dicho anexo;
b)
la lista de prácticas prohibidas establecida en el artículo 5, y
c)
la lista de sistemas de IA que requieren medidas de transparencia adicionales con arreglo al artículo 50.
(la lista de sistemas de IA que exigen medidas de transparencia adicionales con arreglo al artículo 50.)
12. Las modificaciones del presente Reglamento con arreglo al apartado 10, o los actos delegados o de ejecución pertinentes, que afecten a los actos legislativos de armonización de la Unión sectoriales que se enumeran en el anexo I, sección B, tendrán en cuenta las particularidades normativas de cada sector y los mecanismos de gobernanza, evaluación de la conformidad y ejecución vigentes, así como las autoridades establecidas en ellos.
( Las modificaciones de este Reglamento de acuerdo con el apartado 10, o los actos delegados o de ejecución correspondientes, que influyan a los actos legislativos de unificación de la Unión sectoriales que se enumeran en el anexo I, sección B, tendrán en cuenta las particularidades normativas de cada sector y los mecanismos de dirección, valoración de la adecuación y ejecución en vigor, así como las autoridades establecidas en ellos. )
13. A más tardar el 2 de agosto de 2031, la Comisión evaluará la ejecución del presente Reglamento e informará al respecto al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo, teniendo en cuenta los primeros años de aplicación del presente Reglamento. En función de sus conclusiones, dicho informe irá acompañado, en su caso, de una propuesta de modificación del presente Reglamento en lo que respecta a la estructura de ejecución y a la necesidad de que una agencia de la Unión resuelva las deficiencias detectadas.»
(Lo más tarde el 2 de agosto de 2031, la Comisión valorará la ejecución de este Reglamento e informará al respecto al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo, teniendo en cuenta los primeros años de aplicación de este Reglamento. En función de sus conclusiones, dicho informe irá acompañado, en su caso, de una propuesta de modificación del presente Reglamento en lo que respecta a la estructura de ejecución y a la necesidad de que una agencia de la Unión resuelva las deficiencias comprobadas.)
(sigue el artículo 2 del Reglamento (UE) 2024/1689)
3. El presente Reglamento no se aplicará a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión y, en cualquier caso, no afectará a las competencias de los Estados miembros en materia de seguridad nacional, independientemente del tipo de entidad a la que los Estados miembros hayan encomendado el desempeño de tareas en relación con dichas competencias.
(Este Reglamento no se aplicará a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión y, en cualquier caso, no influirá en las competencias de los Estados miembros en materia de seguridad nacional, independientemente del tipo de entidad a la que los Estados miembros hayan encargado el ejercicio de tareas en relación con dichas competencias.)
El presente Reglamento no se aplicará a los sistemas de IA que, y en la medida en que, se introduzcan en el mercado, se pongan en servicio o se utilicen, con o sin modificaciones, exclusivamente con fines militares, de defensa o de seguridad nacional, independientemente del tipo de entidad que lleve a cabo estas actividades.
(Este Reglamento no se aplicará a los sistemas de IA que, y en la medida en que, se incluyan en el mercado, se pongan en servicio o se utilicen, con o sin modificaciones, exclusivamente con fines militares, de defensa o de seguridad nacional, independientemente del tipo de entidad que lleve a cabo estas actividades. )
El presente Reglamento no se aplicará a los sistemas de IA que no se introduzcan en el mercado o no se pongan en servicio en la Unión en los casos en que sus resultados de salida se utilicen en la Unión exclusivamente con fines militares, de defensa o de seguridad nacional, independientemente del tipo de entidad que lleve a cabo estas actividades.
(Este Reglamento no se aplicará a los sistemas de IA que no se incluyan en el mercado o no se pongan en servicio en la Unión en los casos en que sus resultados de salida se utilicen en la Unión exclusivamente con fines militares, de defensa o de seguridad nacional, independientemente del tipo de entidad que lleve a cabo estas actividades. )
4. El presente Reglamento no se aplicará a las autoridades públicas de terceros países ni a las organizaciones internacionales que entren dentro del ámbito de aplicación de este Reglamento conforme al apartado 1 cuando dichas autoridades u organizaciones utilicen sistemas de IA en el marco de acuerdos o de la cooperación internacionales con fines de garantía del cumplimiento del Derecho y cooperación judicial con la Unión o con uno o varios Estados miembros, siempre que tal tercer país u organización internacional ofrezca garantías suficientes con respecto a la protección de los derechos y libertades fundamentales de las personas.
( Este Reglamento no se aplicará a las autoridades públicas de países ajenos ni a las organizaciones internacionales que entren dentro del ámbito de aplicación de este Reglamento conforme al apartado 1 cuando dichas autoridades u organizaciones utilicen sistemas de IA en el ámbito de acuerdos o de la cooperación internacionales con fines de garantía del cumplimiento del Derecho y cooperación judicial con la Unión o con uno o varios Estados miembros, siempre que dicho país ajeno u organización internacional ofrezca garantías suficientes con respecto a la protección de los derechos y libertades fundamentales de las personas. )
5. El presente Reglamento no afectará a la aplicación de las disposiciones relativas a la responsabilidad de los prestadores de servicios intermediarios que figuran en el capítulo II del Reglamento (UE) 2022/2065.
( Este Reglamento no influirá a la aplicación de las disposiciones relativas a la responsabilidad de los prestadores de servicios intermediarios que figuran en el capítulo II del Reglamento (UE) 2022/2065. )
6. El presente Reglamento no se aplicará a los sistemas o modelos de IA, incluidos sus resultados de salida, desarrollados y puestos en servicio específicamente con la investigación y el desarrollo científicos como única finalidad.
7. El Derecho de la Unión en materia de protección de los datos personales, la intimidad y la confidencialidad de las comunicaciones se aplicará a los datos personales tratados en relación con los derechos y obligaciones establecidos en el presente Reglamento. Sin perjuicio de sus artículos 4 bis y 59, el presente Reglamento no afectará a los Reglamentos (UE) 2016/679 o (UE) 2018/1725 ni a las Directivas 2002/58/CE o (UE) 2016/680.
8. El presente Reglamento no se aplicará a ninguna actividad de investigación, prueba o desarrollo relativa a sistemas de IA o modelos de IA antes de su introducción en el mercado o puesta en servicio. Estas actividades se llevarán a cabo de conformidad con el Derecho de la Unión aplicable. Las pruebas en condiciones reales no estarán cubiertas por esa exclusión.
(Este Reglamento no se aplicará a ninguna actividad de investigación, prueba o desarrollo relativa a sistemas de IA o modelos de IA antes de su inclusión en el mercado o puesta en servicio. Estas actividades se llevarán a cabo de acuerdo con el Derecho de la Unión aplicable. Las pruebas en situaciones reales no estarán inclidas en esa exclusión. )
9. El presente Reglamento se entenderá sin perjuicio de las normas establecidas por otros actos jurídicos de la Unión relativos a la protección de los consumidores y a la seguridad de los productos.
(Este Reglamento se entenderá sin que afecte a las normas establecidas por otros actos jurídicos de la Unión relativos a la protección de los consumidores y a la seguridad de los productos. )
10. El presente Reglamento no se aplicará a las obligaciones de los responsables del despliegue que sean personas físicas que utilicen sistemas de IA en el ejercicio de una actividad puramente personal de carácter no profesional.
( Este Reglamento no se aplicará a las obligaciones de los responsables del desarrollo que sean personas físicas que utilicen sistemas de IA en el ejercicio de una actividad puramente personal de carácter no profesional. )
11. El presente Reglamento no impedirá que la Unión o los Estados miembros mantengan o introduzcan disposiciones legales, reglamentarias o administrativas que sean más favorables a los trabajadores en lo que atañe a la protección de sus derechos respecto al uso de sistemas de IA por parte de los empleadores ni que fomenten o permitan la aplicación de convenios colectivos que sean más favorables a los trabajadores.
(Este Reglamento no impedirá que la Unión o los Estados miembros mantengan o incluyan disposiciones legales, reglamentarias o administrativas que sean más favorables a los trabajadores en lo que se refiere a la protección de sus derechos respecto al uso de sistemas de IA por parte de los empleadores ni que impulsen o admitan la aplicación de convenios colectivos que sean más favorables a los trabajadores. )
12. El presente Reglamento no se aplicará a los sistemas de IA divulgados con arreglo a licencias libres y de código abierto, a menos que se introduzcan en el mercado o se pongan en servicio como sistemas de IA de alto riesgo o como sistemas de IA que entren en el ámbito de aplicación del artículo 5 o del artículo 50.
(Este Reglamento no se aplicará a los sistemas de IA difundidos con arreglo a licencias libres y de código abierto, salvo que se incluyan en el mercado o se pongan en servicio como sistemas de IA de alto riesgo o como sistemas de IA que entren en el ámbito de aplicación del artículo 5 o del artículo 50. )
13. En el caso de los sistemas de IA de alto riesgo a que se refiere el artículo 6, apartado 1, la aplicación de los requisitos u obligaciones específicos establecidos en los artículos 9 a 15 y 17 a 25 podrá limitarse cuando y en la medida en que:
a)
los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, establezcan requisitos u obligaciones que proporcionen un nivel de protección de la salud, la seguridad o los derechos fundamentales equivalente o superior al del requisito u obligación de que se trate, y
(los actos legislativos de unificación de la Unión enumerados en el anexo I, sección A, establezcan requisitos u obligaciones que faciliten un nivel de protección de la salud, la seguridad o los derechos fundamentales igual o superior al del requisito u obligación de que se trate, y )
b)
dicha limitación no reduzca el nivel global de protección previsto en el presente Reglamento.
A más tardar el 2 de agosto de 2027, la Comisión adoptará actos delegados con arreglo al artículo 97 a fin de completar el presente Reglamento especificando los sistemas de IA de alto riesgo afectados, los requisitos u obligaciones que pueden limitarse, las condiciones en las que se aplica dicha limitación y el alcance de la limitación.»
(Lo más tarde el 2 de agosto de 2027, la Comisión aprobará actos delegados con arreglo al artículo 97 a fin de completar este Reglamento detallando los sistemas de IA de alto riesgo aquejados, los requisitos u obligaciones que pueden limitarse, las condiciones en las que se aplica dicha limitación y el alcance de la limitación.)
Por otro lado, el artículo 4 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 4. Alfabetización en materia de IA
1. Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas. Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.
(Los suministradores y responsables del desarrollo de sistemas de IA tomarán medidas para apoyar el impulso de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto proyectado de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas. Esta obligación no exige que los proveedores o los responsables del desarrollo garanticen un nivel concreto de alfabetización en materia de IA de ninguna persona en especial.)
2. La Comisión y los Estados miembros apoyarán y facilitarán los esfuerzos de los proveedores y responsables del despliegue de sistemas de IA, en particular de las pymes, en el cumplimiento de su obligación en virtud del apartado 1 del presente artículo. A tal fin, la Comisión publicará ejemplos prácticos de cómo cumplir dicha obligación en la plataforma única de información a que se refiere el artículo 62, apartado 3, letra b).
(La Comisión y los Estados miembros apoyarán y facilitarán los esfuerzos de los suministradores y responsables del desarrollo de sistemas de IA, en especial de las pymes, en el cumplimiento de su obligación en aplicación del apartado 1 de este artículo. A tal fin, la Comisión publicará ejemplos prácticos de cómo cumplir dicha obligación en la plataforma única de información a que se refiere el artículo 62, apartado 3, letra b).)
El artículo 62 del Reglamento (UE) 2024/1689 dispone lo siguiente:
Artículo 62. Medidas dirigidas a proveedores y responsables del despliegue, en particular pymes, incluidas las empresas emergentes
1. Los Estados miembros adoptarán las medidas siguientes:
(Los Estados miembros aprobarán las medidas siguientes:)
a)
proporcionarán a las pymes, incluidas las empresas emergentes, que tengan un domicilio social o una sucursal en la Unión un acceso prioritario a los espacios controlados de pruebas para la IA, siempre que cumplan las condiciones de admisibilidad y los criterios de selección; el acceso prioritario no impedirá que otras pymes, incluidas las empresas emergentes, distintas de las mencionadas en el presente apartado accedan al espacio controlado de pruebas para la IA, siempre que también cumplan las condiciones de admisibilidad y los criterios de selección;
(suministrarán a las pymes, incluidas las empresas emergentes, que tengan un domicilio social o una sucursal en la Unión un acceso prioritario a los espacios controlados de pruebas para la IA, siempre que cumplan los requisitos de admisibilidad y los criterios de selección; el acceso prioritario no impedirá que otras pymes, incluidas las empresas emergentes, distintas de las mencionadas en este apartado accedan al espacio controlado de pruebas para la IA, siempre que también cumplan los requisitos de admisibilidad y los criterios de selección; )
b)
organizarán actividades de sensibilización y formación específicas sobre la aplicación del presente Reglamento adaptadas a las necesidades de las pymes, incluidas las empresas emergentes, los responsables del despliegue y, en su caso, las autoridades públicas locales;
(organizarán actividades de sensibilización y formación determinadas sobre la aplicación del presente Reglamento adecuadas a las necesidades de las pymes, incluidas las empresas emergentes, los responsables del desarrollo y, en su caso, las autoridades públicas locales; )
c)
utilizarán canales específicos existentes y establecerán, en su caso, nuevos canales para la comunicación con las pymes, incluidas las empresas emergentes, los responsables del despliegue y otros agentes innovadores, así como, en su caso, las autoridades públicas locales, a fin de proporcionar asesoramiento y responder a las dudas planteadas acerca de la aplicación del presente Reglamento, también en relación con la participación en los espacios controlados de pruebas para la IA;
(utilizarán canales concretos existentes y establecerán, en su caso, nuevos canales para la comunicación con las pymes, incluidas las empresas emergentes, los responsables del desarrollo y otros agentes innovadores, así como, en su caso, las autoridades públicas locales, a fin de suministrar asesoramiento y responder a las dudas planteadas acerca de la aplicación del presente Reglamento, también en relación con la participación en los espacios controlados de pruebas para la IA; )
d)
fomentarán la participación de las pymes y otras partes interesadas pertinentes en el proceso de desarrollo de la normalización.
(impulsarán la participación de las pymes y otras partes interesadas procedentes en el proceso de desarrollo de la normalización. )
2. Se tendrán en cuenta los intereses y necesidades específicos de los proveedores que sean pymes, incluidas las empresas emergentes, a la hora de fijar las tasas para la evaluación de la conformidad en virtud del artículo 43, y se reducirán dichas tasas en proporción a su tamaño, al tamaño del mercado y a otros indicadores pertinentes.
(Se tendrán en cuenta los intereses y necesidades concretos de los suministradores que sean pymes, incluidas las empresas emergentes, a la hora de fijar las tasas para la valoración de la adecuación en aplicación del artículo 43, y se reducirán dichas tasas en relación a su tamaño, al tamaño del mercado y a otros indicadores procedentes. )
3. La Oficina de IA adoptará las medidas siguientes:
(La Oficina de IA tomará las medidas siguientes:)
a)
proporcionará modelos normalizados para los ámbitos regulados por el presente Reglamento, tal como especifique el Consejo de IA en su solicitud;
(facilitará modelos unificados para los ámbitos regulados por este Reglamento, tal como determine el Consejo de IA en su solicitud; )
b)
desarrollará y mantendrá una plataforma única de información que proporcione información fácil de usar en relación con el presente Reglamento destinada a todos los operadores de la Unión;
(desarrollará y mantendrá una plataforma única de información que facilite información fácil de usar en relación con este Reglamento destinada a todos los operadores de la Unión;)
d)
evaluará y fomentará la convergencia de las mejores prácticas en los procedimientos de contratación pública en relación con los sistemas de IA.»
(valorará e impulsará la coincidencia de las mejores prácticas en los procedimientos de contratación pública en relación con los sistemas de IA.)
(sigue el artículo 4 del Reglamento (UE) 2024/1689)
3. El Consejo de IA adoptará recomendaciones, teniendo en cuenta los marcos europeos de competencias, con vistas a apoyar a la Comisión y a los Estados miembros en la promoción de la alfabetización en materia de IA exigida en virtud del apartado 1, incluido mediante el establecimiento de objetivos comunes.».»
(El Consejo de IA aprobará recomendaciones, teniendo en cuenta los ámbitos europeos de competencias, con vistas a apoyar a la Comisión y a los Estados miembros en el impulso de la alfabetización en materia de IA exigida en aplicación del apartado 1, incluido mediante la fijación de objetivos comunes.»)
Por lo que se refiere a la protección de datos, el artículo 4 bis del Reglamento (UE) dispone lo siguiente:
«Artículo 4 bis. Tratamiento de categorías especiales de datos personales para la detección y corrección de sesgos
1. En la medida en que sea estrictamente necesario para garantizar la detección y corrección de los sesgos asociados a los sistemas de IA de alto riesgo de conformidad con lo dispuesto en el artículo 10, apartado 2, letras f) y g), del presente Reglamento, los proveedores de dichos sistemas podrán tratar excepcionalmente las categorías especiales de datos personales siempre que ofrezcan las garantías adecuadas en relación con los derechos y las libertades fundamentales de las personas físicas. Además de las disposiciones establecidas en los Reglamentos (UE) 2016/679 y (UE) 2018/1725 y la Directiva (UE) 2016/680, según proceda, para que se produzca dicho tratamiento deberán cumplirse todas las condiciones siguientes:
(En la medida en que sea estrictamente necesario para garantizar la comprobación y corrección de los sesgos asociados a los sistemas de IA de alto riesgo de acuerdo con lo dispuesto en el artículo 10, apartado 2, letras f) y g), del presente Reglamento, los suministradores de dichos sistemas podrán tratar excepcionalmente las categorías especiales de datos personales siempre que ofrezcan las garantías adecuadas en relación con los derechos y las libertades fundamentales de las personas físicas. Además de las disposiciones establecidas en los Reglamentos (UE) 2016/679 y (UE) 2018/1725 y la Directiva (UE) 2016/680, según corresponda, para que se produzca dicho tratamiento deberán cumplirse todos los requisitos siguientes: )
El artículo 10 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 10. Datos y gobernanza de datos
1. Los sistemas de IA de alto riesgo que utilizan técnicas que implican el entrenamiento de modelos de IA con datos se desarrollarán a partir de conjuntos de datos de entrenamiento, validación y prueba que cumplan los criterios de calidad a que se refieren los apartados 2, 3 y 4 del presente artículo y el artículo 4 bis, apartado 1, siempre que se utilicen dichos conjuntos de datos.
(Los sistemas de IA de alto riesgo que utilizan técnicas que conllevan el entrenamiento de modelos de IA con datos se desarrollarán partiendo de grupos de datos de entrenamiento, aprobación y prueba que cumplan los criterios de calidad a que se refieren los apartados 2, 3 y 4 de este artículo y el artículo 4 bis, apartado 1, siempre que se utilicen dichos grupos de datos. )
2. Los conjuntos de datos de entrenamiento, validación y prueba se someterán a prácticas de gobernanza y gestión de datos adecuadas para la finalidad prevista del sistema de IA de alto riesgo. Dichas prácticas se centrarán, en particular, en lo siguiente:
( Los grupos de datos de entrenamiento, aprobación y prueba se sujetarán a prácticas de dirección y gestión de datos adecuadas para la finalidad proyectada del sistema de IA de alto riesgo. Dichas prácticas se centrarán, en especial, en lo siguiente: )
a)
las decisiones pertinentes relativas al diseño;
(las decisiones procedentes relativas al diseño;)
b)
los procesos de recogida de datos y el origen de los datos y, en el caso de los datos personales, la finalidad original de la recogida de datos;
c)
las operaciones de tratamiento oportunas para la preparación de los datos, como la anotación, el etiquetado, la depuración, la actualización, el enriquecimiento y la agregación;
d)
la formulación de supuestos, en particular en lo que respecta a la información que se supone que miden y representan los datos;
(la presentación de supuestos, en especial en lo que respecta a la información que se entiende que miden y representan los datos; )
e)
una evaluación de la disponibilidad, la cantidad y la adecuación de los conjuntos de datos necesarios;
(una valoración de la disponibilidad, la cantidad y la adecuación de los grupos de datos necesarios; )
f) el examen atendiendo a posibles sesgos que puedan afectar a la salud y la seguridad de las personas, afectar negativamente a los derechos fundamentales o dar lugar a algún tipo de discriminación prohibida por el Derecho de la Unión, especialmente cuando las salidas de datos influyan en las informaciones de entrada de futuras operaciones;
(el examen atendiendo a posibles sesgos que puedan influir en la salud y la seguridad de las personas, influir negativamente a los derechos fundamentales o dar lugar a algún tipo de discriminación prohibida por el Derecho de la Unión, especialmente cuando las salidas de datos influyan en las informaciones de entrada de futuras operaciones; )
g)
medidas adecuadas para detectar, prevenir y mitigar posibles sesgos detectados con arreglo a la letra f);
(medidas adecuadas para comprobar, evitar y disminuir posibles sesgos descubiertos con arreglo a la letra f);)
h)
la detección de lagunas o deficiencias pertinentes en los datos que impidan el cumplimiento del presente Reglamento, y la forma de subsanarlas.
(la comprobación de lagunas o deficiencias procedientes en los datos que impidan el cumplimiento del presente Reglamento, y la forma de corregirlas. )
3. Los conjuntos de datos de entrenamiento, validación y prueba serán pertinentes, suficientemente representativos y, en la mayor medida posible, carecerán de errores y estarán completos en vista de su finalidad prevista. Asimismo, tendrán las propiedades estadísticas adecuadas, por ejemplo, cuando proceda, en lo que respecta a las personas o los colectivos de personas en relación con los cuales está previsto que se utilice el sistema de IA de alto riesgo. Los conjuntos de datos podrán reunir esas características para cada conjunto de datos individualmente o para una combinación de estos.
(Los grupos de datos de entrenamiento, aprobación y prueba serán procedentes, suficientemente representativos y, en la mayor medida posible, carecerán de errores y estarán completos en vista de su finalidad proyectada. Asimismo, tendrán las propiedades estadísticas adecuadas, por ejemplo, cuando corresponda, en lo que respecta a las personas o los colectivos de personas en relación con los cuales está establecido que se utilice el sistema de IA de alto riesgo. Los conjuntos de datos podrán reunir esas características para cada grupo de datos individualmente o para una unión de estos.)
4. Los conjuntos de datos tendrán en cuenta, en la medida necesaria para la finalidad prevista, las características o elementos particulares del entorno geográfico, contextual, conductual o funcional específico en el que está previsto que se utilice el sistema de IA de alto riesgo.
(Los grupos de datos tendrán en cuenta, en la medida necesaria para la finalidad proyectada, las características o elementos concretos del entorno geográfico, contextual, conductual o funcional específico en el que está programado que se utilice el sistema de IA de alto riesgo.)
5. Suprimido.
6. Para el desarrollo de sistemas de IA de alto riesgo que no emplean técnicas que implican el entrenamiento de modelos de IA, los apartados 2, 3 y 4 del presente artículo y el artículo 4 bis, apartado 1, se aplicarán únicamente a los conjuntos de datos de prueba.»
(Para el desarrollo de sistemas de IA de alto riesgo que no utilicen técnicas que conllevan el entrenamiento de modelos de IA, los apartados 2, 3 y 4 del presente artículo y el artículo 4 bis, apartado 1, se aplicarán únicamente a los grupos de datos de prueba.)
(sigue el artículo 4 bis del Reglamento (UE) 2024/1689)
a)
que el tratamiento de otros datos, como los sintéticos o los anonimizados, no permita efectuar de forma efectiva la detección y corrección de sesgos;
(que el tratamiento de otros datos, como los sintéticos o los separados, no posibiliten efectuar de forma efectiva la comprobación y corrección de sesgos; )
b)
que las categorías especiales de datos personales estén sujetas a limitaciones técnicas relativas a la reutilización de los datos personales y a medidas avanzadas en materia de seguridad y protección de la intimidad, incluida la pseudonimización;
(que las categorías especiales de datos personales estén sujetas a limitaciones técnicas relativas a la reutilización de los datos personales y a medidas punteras en materia de seguridad y protección de la intimidad, incluido el enmascaramiento de datos; )
c)
que las categorías especiales de datos personales estén sujetas a medidas para garantizar que los datos personales tratados estén asegurados, protegidos y sujetos a garantías adecuadas, incluidos controles estrictos y documentación del acceso, a fin de evitar el uso indebido y garantizar que solo las personas autorizadas tengan acceso a dichos datos personales con obligaciones de confidencialidad adecuadas;
d)
que las categorías especiales de datos personales no se transmitan ni transfieran a terceros y que estos no puedan acceder de ningún otro modo a ellos;
(que las categorías especiales de datos personales no se transmitan ni transfieran a otros y que estos no puedan acceder de ningún otro modo a ellos; )
e)
que las categorías especiales de datos personales se eliminen una vez que se haya corregido el sesgo o los datos personales hayan llegado al final de su período de conservación, si esta fecha es anterior, y
(que las categorías especiales de datos personales se eliminen una vez que se haya corregido el sesgo o los datos personales hayan llegado al final de su período de mantenimiento, si esta fecha es anterior, y )
f)
que los registros de las actividades de tratamiento en virtud de los Reglamentos (UE) 2016/679 y (UE) 2018/1725 y la Directiva (UE) 2016/680 incluyan las razones por las que el tratamiento de categorías especiales de datos personales era estrictamente necesario para detectar y corregir sesgos, y por las que ese objetivo no podía alcanzarse mediante el tratamiento de otros datos.
(que los registros de las actividades de tratamiento en aplicación de los Reglamentos (UE) 2016/679 y (UE) 2018/1725 y la Directiva (UE) 2016/680 incluyan las razones por las que el tratamiento de categorías especiales de datos personales era estrictamente necesario para comprobar y corregir sesgos, y por las que ese objetivo no podía alcanzarse mediante el tratamiento de otros datos. )
2. Los proveedores y responsables del despliegue de otros sistemas y modelos de IA y los responsables del despliegue de sistemas de IA de alto riesgo podrán excepcionalmente tratar categorías especiales de datos personales en la medida en que:
(Los suministradores y responsables del desarrollo de otros sistemas y modelos de IA y los responsables del desarrollo de sistemas de IA de alto riesgo podrán excepcionalmente tratar categorías especiales de datos personales en la medida en que: )
a)
dicho tratamiento sea estrictamente necesario para garantizar la detección y corrección de sesgos atendiendo a posibles sesgos que afecten probablemente a la salud y la seguridad de las personas, tengan consecuencias negativas para los derechos fundamentales o den lugar a una discriminación prohibida por el Derecho de la Unión, especialmente cuando las salidas de datos influyan en las informaciones de entrada de futuras operaciones, y
(dicho tratamiento sea estrictamente necesario para garantizar la comprobación y corrección de sesgos atendiendo a posibles sesgos que influyan probablemente a la salud y la seguridad de las personas, tengan consecuencias negativas para los derechos fundamentales o den lugar a una discriminación prohibida por el Derecho de la Unión, especialmente cuando las salidas de datos influyan en las informaciones de entrada de futuras operaciones, y)
b)
se apliquen todas las condiciones y garantías previstas en el apartado 1.
El presente apartado no crea obligación alguna de llevar a cabo dicha detección y corrección de sesgos.»
(El presente apartado no crea obligación alguna de llevar a cabo dicha comprobación y corrección de sesgos.)
El artículo 5 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 5. Prácticas de IA prohibidas
1. Quedan prohibidas las siguientes prácticas de IA:
a)
la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que se sirva de técnicas subliminales que trasciendan la conciencia de una persona o de técnicas deliberadamente manipuladoras o engañosas con el objetivo o el efecto de alterar de manera sustancial el comportamiento de una persona o un colectivo de personas, mermando de manera apreciable su capacidad para tomar una decisión informada y haciendo que tomen una decisión que de otro modo no habrían tomado, de un modo que provoque, o sea razonablemente probable que provoque, perjuicios considerables a esa persona, a otra persona o a un colectivo de personas;
(la inclusión en el mercado, la puesta en servicio o la utilización de un sistema de IA que se valga de técnicas subliminales que traspasen la conciencia de una persona o de técnicas deliberadamente manipuladoras o engañosas con el objetivo o la consecuencia de alterar de manera significativa el comportamiento de una persona o un colectivo de personas,reduciendo de manera apreciable su capacidad para tomar una decisión informada y haciendo que tomen una decisión que de otro modo no habrían tomado, de un modo que provoque, o sea razonablemente probable que provoque, perjuicios considerables a esa persona, a otra persona o a un colectivo de personas; )
b)
la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que explote alguna de las vulnerabilidades de una persona física o un determinado colectivo de personas derivadas de su edad o discapacidad, o de una situación social o económica específica, con la finalidad o el efecto de alterar de manera sustancial el comportamiento de dicha persona o de una persona que pertenezca a dicho colectivo de un modo que provoque, o sea razonablemente probable que provoque, perjuicios considerables a esa persona o a otra;
(la inclusión en el mercado, la puesta en servicio o la utilización de un sistema de IA que utilice alguna de las vulnerabilidades de una persona física o un determinado colectivo de personas derivadas de su edad o discapacidad, o de una situación social o económica concreta, con la finalidad ola consecuencia de alterar de manera significativa el comportamiento de dicha persona o de una persona que pertenezca a dicho colectivo de un modo que provoque, o sea razonablemente probable que provoque, perjuicios considerables a esa persona o a otra; )
b bis)
la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que genere o manipule imágenes, vídeos o audios realistas o material similar de las partes íntimas de una persona física identificable, o de una persona física identificable que participe en actividades sexualmente explícitas, sin el consentimiento libre, específico, informado e inequívoco y explícito de dicha persona para tal generación o manipulación;
(la inclusión en el mercado, la puesta en servicio o la utilización de un sistema de IA que cree o manipule imágenes, vídeos o audios realistas o material similar de las partes íntimas de una persona física identificable, o de una persona física identificable que participe en actividades sexualmente expresas, sin el consentimiento libre, concreto, informado e inequívoco y expreso de dicha persona para dicha creación o manipulación; )
b ter)
la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que genere o manipule material o espectáculos en el sentido del artículo 2, letras c) y e), de la Directiva 2011/93/UE, excepto cuando se aplique una defensa de «forma ilícita» en virtud del Derecho nacional;
(la inclusión en el mercado, la puesta en servicio o la utilización de un sistema de IA que cree o manipule material o espectáculos en el sentido del artículo 2, letras c) y e), de la Directiva 2011/93/UE, salvo cuando se aplique una defensa de «forma ilícita» en aplicación del Derecho nacional;)
c)
la introducción en el mercado, la puesta en servicio o la utilización de sistemas de IA para evaluar o clasificar a personas físicas o a colectivos de personas durante un período determinado de tiempo atendiendo a su comportamiento social o a características personales o de su personalidad conocidas, inferidas o predichas, de forma que la puntuación ciudadana resultante provoque una o varias de las situaciones siguientes:
(la inclusión en el mercado, la puesta en servicio o la utilización de sistemas de IA para valorar o clasificar a personas físicas o a colectivos de personas durante un período determinado de tiempo en función de su comportamiento social o a características personales o de su personalidad conocidas, concluidas o predichas, de forma que la puntuación ciudadana resultante provoque una o varias de las situaciones siguientes: )
i)
un trato perjudicial o desfavorable hacia determinadas personas físicas o colectivos de personas en contextos sociales que no guarden relación con los contextos donde se generaron o recabaron los datos originalmente,
(un trato perjudicial o desfavorable hacia determinadas personas físicas o colectivos de personas en contextos sociales que no guarden relación con los contextos donde se crearon o reunieron los datos inicialmente, )
ii)
un trato perjudicial o desfavorable hacia determinadas personas físicas o colectivos de personas que sea injustificado o desproporcionado con respecto a su comportamiento social o la gravedad de este;
(un trato perjudicial o desfavorable hacia determinadas personas físicas o colectivos de personas que sea injustificado o desequilibrado con respecto a su comportamiento social o la gravedad de este; )
d)
la introducción en el mercado, la puesta en servicio para este fin específico o el uso de un sistema de IA para realizar evaluaciones de riesgos de personas físicas con el fin de valorar o predecir el riesgo de que una persona física cometa un delito basándose únicamente en la elaboración del perfil de una persona física o en la evaluación de los rasgos y características de su personalidad; esta prohibición no se aplicará a los sistemas de IA utilizados para apoyar la valoración humana de la implicación de una persona en una actividad delictiva que ya se base en hechos objetivos y verificables directamente relacionados con una actividad delictiva;
(la inclusión en el mercado, la puesta en servicio para este fin concreto o el uso de un sistema de IA para realizar valoraciones de riesgos de personas físicas con el fin de valorar o predecir el riesgo de que una persona física cometa un delito basándose únicamente en la realización del perfil de una persona física o en la valoración de los rasgos y características de su personalidad; esta prohibición no se aplicará a los sistemas de IA utilizados para apoyar la valoración humana de la intervención de una persona en una actividad delictiva que ya se base en hechos objetivos y comprobables directamente relacionados con una actividad delictiva;)
e)
la introducción en el mercado, la puesta en servicio para este fin específico o el uso de sistemas de IA que creen o amplíen bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión
f)
la introducción en el mercado, la puesta en servicio para este fin específico o el uso de sistemas de IA para inferir las emociones de una persona física en los lugares de trabajo y en los centros educativos, excepto cuando el sistema de IA esté destinado a ser instalado o introducido en el mercado por motivos médicos o de seguridad;
(la inclusión en el mercado, la puesta en servicio para este fin concreto o el uso de sistemas de IA para concluir las emociones de una persona física en los lugares de trabajo y en los centros educativos, salvo cuando el sistema de IA esté destinado a ser instalado o introducido en el mercado por razones médicas o de seguridad;)
g)
la introducción en el mercado, la puesta en servicio para este fin específico o el uso de sistemas de categorización biométrica que clasifiquen individualmente a las personas físicas sobre la base de sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual; esta prohibición no incluye el etiquetado o filtrado de conjuntos de datos biométricos adquiridos lícitamente, como imágenes, basado en datos biométricos ni la categorización de datos biométricos en el ámbito de la garantía del cumplimiento del Derecho;
(la inclusión en el mercado, la puesta en servicio para este fin concreto o el uso de sistemas de categorización biométrica que clasifiquen individualmente a las personas físicas sobre la base de sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual; esta prohibición no incluye el etiquetado o filtrado de grupos de datos biométricos obtenidos lícitamente, como imágenes, basado en datos biométricos ni la categorización de datos biométricos en el ámbito de la garantía del cumplimiento del Derecho; )
h)
el uso de sistemas de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho, salvo y en la medida en que dicho uso sea estrictamente necesario para alcanzar uno o varios de los objetivos siguientes:
i)
la búsqueda selectiva de víctimas concretas de secuestro, trata de seres humanos o explotación sexual de seres humanos, así como la búsqueda de personas desaparecidas,
(la búsqueda específica de víctimas concretas de secuestro, trata de seres humanos o explotación sexual de seres humanos, así como la búsqueda de personas desaparecidas, )
ii)
la prevención de una amenaza específica, importante e inminente para la vida o la seguridad física de las personas físicas o de una amenaza real y actual o real y previsible de un atentado terrorista,
(la evitación de una amenaza concreta, importante y próxima para la vida o la seguridad física de las personas físicas o de una amenaza real y actual o real y predecible de un atentado terrorista,)
iii)
la localización o identificación de una persona sospechosa de haber cometido un delito a fin de llevar a cabo una investigación o un enjuiciamiento penales o de ejecutar una sanción penal por alguno de los delitos mencionados en el anexo II que en el Estado miembro de que se trate se castigue con una pena o una medida de seguridad privativas de libertad cuya duración máxima sea de al menos cuatro años.
(la localización o identificación de una persona sospechosa de haber cometido un delito a fin de llevar a cabo una investigación o un juzgamiento penales o de ejecutar un castigo penal por alguno de los delitos mencionados en el anexo II que en el Estado miembro de que se trate se castigue con una pena o una medida de seguridad privativas de libertad cuya duración máxima sea de al menos cuatro años.)
El párrafo primero, letra h), se entiende sin perjuicio de lo dispuesto en el artículo 9 del Reglamento (UE) 2016/679 en lo que respecta al tratamiento de datos biométricos con fines distintos de la garantía del cumplimiento del Derecho.
(El párrafo primero, letra h), se entiende sin que afecte a lo dispuesto en el artículo 9 del Reglamento (UE) 2016/679 en lo que respecta al tratamiento de datos biométricos con fines distintos de la garantía del cumplimiento del Derecho. )
1 bis. A efectos del apartado 1, párrafo primero, letras b bis) y b ter):
a)
la introducción en el mercado o la puesta en servicio de un sistema de IA que genere o manipule el material o los espectáculos a que se refiere el apartado 1, párrafo primero, letras b bis) o b ter), solo estará prohibida cuando:
(la inclusión en el mercado o la puesta en servicio de un sistema de IA que cree o manipule el material o los espectáculos a que se refiere el apartado 1, párrafo primero, letras b bis) o b ter), solo estará prohibida cuando: )
i)
dicha generación o manipulación sea la finalidad prevista del sistema de IA, o
(dicha creación o manipulación sea la finalidad proyectada del sistema de IA, o )
ii)
el diseño, el entrenamiento, la arquitectura, las capacidades o las funcionalidades orientadas al usuario del sistema hagan que esa generación o manipulación sea un resultado razonablemente previsible y reproducible, sin requerir modificaciones técnicas sustanciales, y el sistema no disponga de medidas técnicas de seguridad razonables y adecuadas y de otras salvaguardias para evitar de forma fiable dicha generación o manipulación, tomando en consideración un uso indebido razonablemente previsible, ni para corregir el uso indebido observado o notificado;
(el diseño, el entrenamiento, la estructura, las capacidades o las funcionalidades orientadas al usuario del sistema hagan que esa creación o manipulación sea un resultado razonablemente previsible y reproducible, sin exigir modificaciones técnicas significativas, y el sistema no disponga de medidas técnicas de seguridad razonables y adecuadas y de otras proteccione para evitar de forma fiable dicha creación o manipulación, tomando en consideración un uso indebido razonablemente predecible, ni para corregir el uso indebido observado o notificado; )
b)
la utilización de un sistema de IA que genere o manipule el material o los espectáculos a que se refiere el apartado 1, párrafo primero, letras b bis) y b ter), solo está prohibida cuando el responsable del despliegue utilice el sistema con el fin de generar o manipular dicho material o espectáculos.
(la utilización de un sistema de IA que cree o manipule el material o los espectáculos a que se refiere el apartado 1, párrafo primero, letras b bis) y b ter), solo está prohibida cuando el responsable del desarrollo utilice el sistema con el fin de crear o manipular dicho material o espectáculos. )
1 ter. A efectos del apartado 1, párrafo primero, letra b bis), no constituirán manipulación los sistemas de IA que manipulen el material en un modo que no aumente la exposición de ninguna parte íntima representada ni altere la naturaleza de ninguna actividad sexualmente explícita representada.
(A los fines del apartado 1, párrafo primero, letra b bis), no representarán manipulación los sistemas de IA que manipulen el material en un modo que no aumente la exposición de ninguna parte íntima representada ni altere la naturaleza de ninguna actividad sexualmente expresa representada.)
2. El uso de sistemas de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho para cualquiera de los objetivos mencionados en el apartado 1, párrafo primero, letra h), debe desplegarse para los fines establecidos en dicha letra, únicamente para confirmar la identidad de la persona que constituya el objetivo específico y tendrá en cuenta los siguientes aspectos:
(El uso de sistemas de identificación biométrica alejada «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho para cualquiera de los objetivos mencionados en el apartado 1, párrafo primero, letra h), debe distribuirse para los fines establecidos en dicha letra, únicamente para confirmar la identidad de la persona que configure el objetivo concreto y tendrá en cuenta los siguientes aspectos: )
a)
la naturaleza de la situación que dé lugar al posible uso, y en particular la gravedad, probabilidad y magnitud del perjuicio que se produciría de no utilizarse el sistema;
(la naturaleza de la situación que dé lugar al posible uso, y en concreto la gravedad, posibilidad e importancia del perjuicio que se produciría de no utilizarse el sistema; )
b)
las consecuencias que tendría el uso del sistema en los derechos y las libertades de las personas implicadas, y en particular la gravedad, probabilidad y magnitud de dichas consecuencias.
(las consecuencias que tendría el uso del sistema en los derechos y las libertades de las personas aquejadas, y en concreto la gravedad, posibilidad e importancia de dichas consecuencias. )
Además, el uso de sistemas de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho para cualquiera de los objetivos mencionados en el apartado 1, párrafo primero, letra h), del presente artículo deberá cumplir garantías y condiciones necesarias y proporcionadas en relación con el uso de conformidad con el Derecho nacional que autorice dicho uso, en particular en lo que respecta a las limitaciones temporales, geográficas y personales. El uso del sistema de identificación biométrica remota «en tiempo real» en espacios de acceso público solo se autorizará si la autoridad garante del cumplimiento del Derecho ha completado una evaluación de impacto relativa a los derechos fundamentales según lo dispuesto en el artículo 27 y ha registrado el sistema en la base de datos de la UE de conformidad con el artículo 49. No obstante, en casos de urgencia debidamente justificados, se podrá empezar a utilizar tales sistemas sin el registro en la base de datos de la UE, siempre que dicho registro se complete sin demora indebida.
(Además, el uso de sistemas de identificación biométrica alejada «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho para cualquiera de los objetivos mencionados en el apartado 1, párrafo primero, letra h), del presente artículo deberá cumplir garantías y requisitos necesarios y adecuados en relación con el uso de acuerdo con el Derecho nacional que autorice dicho uso, en especial en lo que respecta a las limitaciones temporales, geográficas y personales. El uso del sistema de identificación biométrica alejada «en tiempo real» en espacios de acceso público solo se autorizará si la autoridad aseguradora del cumplimiento del Derecho ha completado una valoración de incidencia relativa a los derechos fundamentales según lo dispuesto en el artículo 27 y ha registrado el sistema en la base de datos de la UE de acuerdo con el artículo 49. Aun así, en casos de urgencia debidamente justificados, se podrá empezar a utilizar dichos sistemas sin el registro en la base de datos de la UE, siempre que dicho registro se complete sin tardanza indebida. )
El artículo 27 del Reglamento (UE) 2024/1689 dispone lo siguiente:
Artículo 27. Evaluación de impacto relativa a los derechos fundamentales para los sistemas de IA de alto riesgo
1. Antes de desplegar uno de los sistemas de IA de alto riesgo a que se refiere el artículo 6, apartado 2, con excepción de los sistemas de IA de alto riesgo destinados a ser utilizados en el ámbito enumerado en el anexo III, punto 2, los responsables del despliegue que sean organismos de Derecho público, o entidades privadas que prestan servicios públicos, y los responsable del despliegue de sistemas de IA de alto riesgo a que se refiere el anexo III, punto 5, letras b) y c), llevarán a cabo una evaluación del impacto que la utilización de dichos sistemas puede tener en los derechos fundamentales. A tal fin, los responsables del despliegue llevarán a cabo una evaluación que consistirá en:
(Antes de distribuir uno de los sistemas de IA de alto riesgo a que se refiere el artículo 6, apartado 2, con excepción de los sistemas de IA de alto riesgo destinados a ser utilizados en el ámbito enumerado en el anexo III, punto 2, los responsables de la distribución que sean organismos de Derecho público, o entidades privadas que suministran servicios públicos, y los responsable de la distribución de sistemas de IA de alto riesgo a que se refiere el anexo III, punto 5, letras b) y c), llevarán a cabo una valoración de la incidencia que la utilización de dichos sistemas puede tener en los derechos fundamentales. A este fin, los responsables de la distribución llevarán a cabo una valoración que consistirá en: )
a)
una descripción de los procesos del responsable del despliegue en los que se utilizará el sistema de IA de alto riesgo en consonancia con su finalidad prevista;
(una descripción de los procesos del responsable de la distribución en los que se utilizará el sistema de IA de alto riesgo en coincidencia con su finalidad proyectada; )
b)
una descripción del período de tiempo durante el cual se prevé utilizar cada sistema de IA de alto riesgo y la frecuencia con la que está previsto utilizarlo;
c)
las categorías de personas físicas y colectivos que puedan verse afectados por su utilización en el contexto específico
(las categorías de personas físicas y colectivos que puedan verse aquejados por su utilización en el contexto concreto )
d)
los riesgos de perjuicio específicos que puedan afectar a las categorías de personas físicas y colectivos determinadas con arreglo a la letra c) del presente apartado, teniendo en cuenta la información facilitada por el proveedor con arreglo al artículo 13;
(los riesgos de perjuicio concretos que puedan perjudicar a las categorías de personas físicas y colectivos determinadas con arreglo a la letra c) del presente apartado, teniendo en cuenta la información facilitada por el suministrador de acuerdo con el artículo 13)
e)
una descripción de la aplicación de medidas de supervisión humana, de acuerdo con las instrucciones de uso;
(una descripción de la aplicación de medidas de control humano, de acuerdo con las instrucciones de uso; )
f)
las medidas que deben adoptarse en caso de que dichos riesgos se materialicen, incluidos los acuerdos de gobernanza interna y los mecanismos de reclamación.
(las medidas que deben tomarse en caso de que dichos riesgos se materialicen, incluidos los acuerdos de dirección interna y los medios de reclamación. )
2. La obligación descrita con arreglo al apartado 1 se aplicará al primer uso del sistema de IA de alto riesgo. En casos similares, el responsable del despliegue podrá basarse en evaluaciones de impacto relativas a los derechos fundamentales realizadas previamente o a evaluaciones de impacto existentes realizadas por los proveedores. Si, durante el uso del sistema de IA de alto riesgo, el responsable del despliegue considera que alguno de los elementos enumerados en el apartado 1 ha cambiado o ha dejado de estar actualizado, adoptará las medidas necesarias para actualizar la información.
(La obligación descrita con arreglo al apartado 1 se aplicará al primer uso del sistema de IA de alto riesgo. En casos similares, el responsable de la distribución podrá basarse en valoraciones de influencia relativas a los derechos fundamentales realizadas anteriormente o a valoraciones de influencia existentes realizadas por los suministradores. Si, durante el uso del sistema de IA de alto riesgo, el responsable de la distribución valora que alguno de los elementos enumerados en el apartado 1 ha cambiado o ha dejado de estar actualizado, tomará las medidas necesarias para actualizar la información.)
3. Una vez realizada la evaluación a que se refiere el apartado 1 del presente artículo, el responsable del despliegue notificará sus resultados a la autoridad de vigilancia del mercado, presentando el modelo cumplimentado a que se refiere el apartado 5 del presente artículo. En el caso contemplado en el artículo 46, apartado 1, los responsables del despliegue podrán quedar exentos de esta obligación de notificación.
(Una vez realizada la valoración a que se refiere el apartado 1 del presente artículo, el responsable de la distribución notificará sus resultados a la autoridad de vigilancia del mercado, presentando el modelo rellenado a que se refiere el apartado 5 de este artículo. En el caso mencionado en el artículo 46, apartado 1, los responsables de la distribución podrán quedar exentos de esta obligación de notificación. )
4. Si ya se cumplen cualesquiera de las obligaciones establecidas en el presente artículo mediante la evaluación de impacto relativa a la protección de datos realizada en virtud del artículo 35 del Reglamento (UE) 2016/679 o del artículo 27 de la Directiva (UE) 2016/680, el responsable del despliegue podrá, al llevar a cabo la evaluación de impacto relativa a los derechos fundamentales a que se refiere el apartado 1 del presente artículo, incluir referencias cruzadas a las secciones pertinentes de dicha evaluación de impacto relativa a la protección de datos o incluir las partes pertinentes de esta en la evaluación de impacto relativa a los derechos fundamentales.
(Si ya se cumplen cualesquiera de las obligaciones establecidas en este artículo mediante la valoración de influencia relativa a la protección de datos realizada en aplicación del artículo 35 del Reglamento (UE) 2016/679 o del artículo 27 de la Directiva (UE) 2016/680, el responsable de la distribución podrá, al llevar a cabo la valoración de influencia relativa a los derechos fundamentales a que se refiere el apartado 1 de este artículo, incluir referencias cruzadas a las secciones correspondientes de dicha valoración de influencia relativa a la protección de datos o incluir las partes procedentes de esta en la valoración de influencia relativa a los derechos fundamentales. )
5. La Oficina de IA elaborará un modelo de cuestionario, incluido mediante una herramienta automatizada, a fin de facilitar que los responsables del despliegue cumplan sus obligaciones en virtud del presente artículo de manera simplificada. Este modelo ofrecerá a los responsables del despliegue, cuando proceda, la posibilidad de incluir referencias cruzadas a las secciones pertinentes de la evaluación de impacto relativa a la protección de datos o de incluir las partes pertinentes de esta en la evaluación de impacto relativa a los derechos fundamentales, en virtud del apartado 4.»
(La Oficina de IA preparará un modelo de cuestionario, incluido mediante una herramienta mecánica, a fin de facilitar que los responsables de la distribución cumplan sus obligaciones en aplicación de este artículo de manera simplificada. Este modelo ofrecerá a los responsables de la distribución, cuando corrsponda, la posibilidad de incluir referencias cruzadas a las secciones procedentes de la valoración de influencia relativa a la protección de datos o de incluir las partes procedentes de esta en la valoración de influencia relativa a los derechos fundamentales, en aplicaicón del apartado 4.)
(sigue el artículo 5 del Reglamento (UE) 2024/1689)
3. A los efectos del apartado 1, párrafo primero, letra h), y el apartado 2, todo uso de un sistema de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho estará supeditado a la concesión de una autorización previa por parte de una autoridad judicial o una autoridad administrativa independiente cuya decisión sea vinculante del Estado miembro en el que vaya a utilizarse dicho sistema, que se expedirá previa solicitud motivada y de conformidad con las normas detalladas del Derecho nacional mencionadas en el apartado 5. No obstante, en una situación de urgencia debidamente justificada, se podrá empezar a utilizar tal sistema sin autorización siempre que se solicite dicha autorización sin demora indebida, a más tardar en un plazo de veinticuatro horas. Si se rechaza dicha autorización, el uso se interrumpirá con efecto inmediato y todos los datos, así como los resultados y la información de salida generados por dicho uso, se desecharán y suprimirán inmediatamente.
( A los fines del apartado 1, párrafo primero, letra h), y el apartado 2, todo uso de un sistema de identificación biométrica alejada «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho estará subordinado a la adjudicación de una autorización previa por parte de una autoridad judicial o una autoridad administrativa independiente cuya decisión sea exigible del Estado miembro en el que vaya a utilizarse dicho sistema, que se emitirá previa solicitud justificada y de acuerdo con las normas detalladas del Derecho nacional mencionadas en el apartado 5. Aun así, en una situación de urgencia debidamente justificada, se podrá empezar a utilizar dicho sistema sin autorización siempre que se solicite dicha autorización sin tardanza indebida, lo más tarde en un plazo de veinticuatro horas. Si se rechaza dicha autorización, el uso se interrumpirá con efectos inmediatos y todos los datos, así como los resultados y la información de salida creados por dicho uso, se desecharán y suprimirán inmediatamente. )
La autoridad judicial competente o una autoridad administrativa independiente cuya decisión sea vinculante únicamente concederá la autorización cuando tenga constancia, sobre la base de pruebas objetivas o de indicios claros que se le aporten, de que el uso del sistema de identificación biométrica remota «en tiempo real» es necesario y proporcionado para alcanzar alguno de los objetivos especificados en el apartado 1, párrafo primero, letra h), el cual se indicará en la solicitud, y, en particular, se limita a lo estrictamente necesario en lo que se refiere al período de tiempo, así como al ámbito geográfico y personal. Al pronunciarse al respecto, esa autoridad tendrá en cuenta los aspectos mencionados en el apartado 2. Dicha autoridad no podrá adoptar ninguna decisión que produzca efectos jurídicos adversos para una persona exclusivamente sobre la base de los resultados de salida del sistema de identificación biométrica remota «en tiempo real».
(La autoridad judicial competente o una autoridad administrativa independiente cuya decisión sea exigible únicamente adjudicará la autorización cuando tenga constancia, sobre la base de pruebas objetivas o de indicios claros que se le presenten, de que el uso del sistema de identificación biométrica alejada «en tiempo real» es necesario y adecuado para alcanzar alguno de los objetivos determinados en el apartado 1, párrafo primero, letra h), el cual se indicará en la solicitud, y, en concreto, se limita a lo estrictamente necesario en lo que se refiere al período de tiempo, así como al ámbito geográfico y personal. Al expresarse al respecto, esa autoridad tendrá en cuenta los datos mencionados en el apartado 2. Dicha autoridad no podrá tomar ninguna decisión que produzca efectos jurídicos contrarios para una persona exclusivamente sobre la base de los resultados de salida del sistema de identificación biométrica alejadaa «en tiempo real».)
4. Sin perjuicio de lo dispuesto en el apartado 3, todo uso de un sistema de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho se notificará a la autoridad de vigilancia del mercado pertinente y a la autoridad nacional de protección de datos de conformidad con las normas nacionales a que se refiere el apartado 5. La notificación contendrá, como mínimo, la información especificada en el apartado 6 y no incluirá datos operativos sensibles.
( Sin que afecte a lo dispuesto en el apartado 3, todo uso de un sistema de identificación biométrica alejada «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho se notificará a la autoridad de vigilancia del mercado correspondiente y a la autoridad nacional de protección de datos de acuerdo con las normas nacionales a que se refiere el apartado 5. La notificación incluirá, como mínimo, la información determinada en el apartado 6 y no incluirá datos operativos sensibles.)
5. Los Estados miembros podrán decidir contemplar la posibilidad de autorizar, ya sea total o parcialmente, el uso de sistemas de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho dentro de los límites y en las condiciones que se indican en el apartado 1, párrafo primero, letra h), y los apartados 2 y 3. Los Estados miembros de que se trate deberán establecer en sus respectivos Derechos nacionales las normas detalladas necesarias aplicables a la solicitud, la concesión y el ejercicio de las autorizaciones a que se refiere el apartado 3, así como a la supervisión y la presentación de informes relacionadas con estas. Dichas normas especificarán también para qué objetivos de los enumerados en el apartado 1, párrafo primero, letra h), y en su caso en relación con qué delitos de los indicados en la letra h), inciso iii), se podrá autorizar a las autoridades competentes para que utilicen esos sistemas con fines de garantía del cumplimiento del Derecho. Los Estados miembros notificarán dichas normas a la Comisión a más tardar treinta días después de su adopción. Los Estados miembros podrán adoptar, de conformidad con el Derecho de la Unión, leyes más restrictivas sobre el uso de sistemas de identificación biométrica remota.
(Los Estados miembros podrán decidir valorar la posibilidad de autorizar, ya sea total o parcialmente, el uso de sistemas de identificación biométrica alejada «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho dentro de los límites y con los requisitos que se indican en el apartado 1, párrafo primero, letra h), y los apartados 2 y 3. Los Estados miembros de que se trate deberán establecer en sus respectivos Derechos nacionales las normas detalladas necesarias aplicables a la solicitud, la adjudicación y el ejercicio de las autorizaciones a que se refiere el apartado 3, así como al control y la presentación de informes relacionadas con estas. Dichas normas concretarán también para qué objetivos de los enumerados en el apartado 1, párrafo primero, letra h), y en su caso en relación con qué delitos de los indicados en la letra h), inciso iii), se podrá autorizar a las autoridades competentes para que utilicen esos sistemas con fines de garantía del cumplimiento del Derecho. Los Estados miembros notificarán dichas normas a la Comisión lo más tarde treinta días después de su aprobación. Los Estados miembros podrán aprobar, de acuerdo con el Derecho de la Unión, leyes más limitativas sobre el uso de sistemas de identificación biométrica alejada.)
6. Las autoridades nacionales de vigilancia del mercado y las autoridades nacionales de protección de datos de los Estados miembros a las que se haya notificado el uso de sistemas de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho con arreglo al apartado 4 presentarán a la Comisión informes anuales sobre dicho uso. A tal fin, la Comisión facilitará a los Estados miembros y a las autoridades nacionales de vigilancia del mercado y de protección de datos un modelo que incluya información sobre el número de decisiones adoptadas por las autoridades judiciales competentes o una autoridad administrativa independiente cuya decisión sea vinculante en relación con las solicitudes de autorización de conformidad con el apartado 3, así como su resultado.
(Las autoridades nacionales de vigilancia del mercado y las autoridades nacionales de protección de datos de los Estados miembros a las que se haya notificado el uso de sistemas de identificación biométrica alejada «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho de acuerdo con el apartado 4 presentarán a la Comisión informes anuales sobre dicho uso. A dicho fin, la Comisión facilitará a los Estados miembros y a las autoridades nacionales de vigilancia del mercado y de protección de datos un modelo que incluya información sobre el número de decisiones tomadas por las autoridades judiciales competentes o una autoridad administrativa independiente cuya decisión sea exigible en relación con las solicitudes de autorización de acuerdo con el apartado 3, así como su resultado.)
7. La Comisión publicará informes anuales sobre el uso de sistemas de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho elaborados basados en datos agregados relativos a los Estados miembros sobre la base de los informes anuales a que se refiere el apartado 6. Dichos informes anuales no incluirán datos operativos sensibles de las actividades de garantía del cumplimiento del Derecho conexas.
(La Comisión publicará informes anuales sobre el uso de sistemas de identificación biométrica alejada «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho preparados basados en datos añadidos relativos a los Estados miembros sobre la base de los informes anuales a que se refiere el apartado 6. Dichos informes anuales no incluirán datos operativos sensibles de las actividades de garantía del cumplimiento del Derecho afines. )
8. El presente artículo no afectará a las prohibiciones aplicables cuando una práctica de IA infrinja otras disposiciones de Derecho de la Unión.»
(El presente artículo no perjudicará a las prohibiciones aplicables cuando una práctica de IA infrinja otras disposiciones de Derecho de la Unión)
Por otro lado, el artículo 6 del Reglamento (UE) 2024/1689 establece lo siguiente:
«Artículo 6. Reglas de clasificación de los sistemas de IA de alto riesgo
1. Con independencia de si se ha introducido en el mercado o se ha puesto en servicio sin estar integrado en los productos que se mencionan en las letras a) y b), un sistema de IA se considerará de alto riesgo cuando reúna las dos condiciones que se indican a continuación:
(Con independencia de si se ha introducido en el mercado o se ha puesto en servicio sin estar incluido en los productos que se mencionan en las letras a) y b), un sistema de IA se calificará de alto riesgo cuando reúna los dos requisitos que se indican a continuación:)
a)
que el sistema de IA esté destinado a ser utilizado como componente de seguridad de un producto que entre en el ámbito de aplicación de los actos legislativos de armonización de la Unión enumerados en el anexo I, o que el propio sistema de IA sea uno de dichos productos, y
(que el sistema de IA esté destinado a ser utilizado como componente de seguridad de un producto que entre en el ámbito de aplicación de los actos legislativos de unificación de la Unión enumerados en el anexo I, o que el propio sistema de IA sea uno de dichos productos, y)
El anexo I del Reglamento (UE) 2024/1689 establece lo siguiente:
«ANEXO I. Lista de actos legislativos de armonización de la Unión
Sección A — Lista de actos legislativos de armonización de la Unión basados en el nuevo marco legislativo
1. Suprimido.
2.
Directiva 2009/48/CE del Parlamento Europeo y del Consejo, de 18 de junio de 2009, sobre la seguridad de los juguetes (DO L 170 de 30.6.2009, p. 1)
3.
Directiva 2013/53/UE del Parlamento Europeo y del Consejo, de 20 de noviembre de 2013, relativa a las embarcaciones de recreo y a las motos acuáticas, y por la que se deroga la Directiva 94/25/CE (DO L 354 de 28.12.2013, p. 90)
4.
Directiva 2014/33/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre la armonización de las legislaciones de los Estados miembros en materia de ascensores y componentes de seguridad para ascensores (DO L 96 de 29.3.2014, p. 251)
5.
Directiva 2014/34/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre la armonización de las legislaciones de los Estados miembros en materia de aparatos y sistemas de protección para uso en atmósferas potencialmente explosivas (DO L 96 de 29.3.2014, p. 309)
6.
Directiva 2014/53/UE del Parlamento Europeo y del Consejo, de 16 de abril de 2014, relativa a la armonización de las legislaciones de los Estados miembros sobre la comercialización de equipos radioeléctricos, y por la que se deroga la Directiva 1999/5/CE (DO L 153 de 22.5.2014, p. 62)
7.
Directiva 2014/68/UE del Parlamento Europeo y del Consejo, de 15 de mayo de 2014, relativa a la armonización de las legislaciones de los Estados miembros sobre la comercialización de equipos a presión (DO L 189 de 27.6.2014, p. 164)
8.
Reglamento (UE) 2016/424 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, relativo a las instalaciones de transporte por cable y por el que se deroga la Directiva 2000/9/CE (DO L 81 de 31.3.2016, p. 1)
9.
Reglamento (UE) 2016/425 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, relativo a los equipos de protección individual y por el que se deroga la Directiva 89/686/CEE del Consejo (DO L 81 de 31.3.2016, p. 51)
10.
Reglamento (UE) 2016/426 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, sobre los aparatos que queman combustibles gaseosos y por el que se deroga la Directiva 2009/142/CE (DO L 81 de 31.3.2016, p. 99)
11.
Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo, de 5 de abril de 2017, sobre los productos sanitarios, por el que se modifican la Directiva 2001/83/CE, el Reglamento (CE) n.o 178/2002 y el Reglamento (CE) n.o 1223/2009 y por el que se derogan las Directivas 90/385/CEE y 93/42/CEE del Consejo (DO L 117 de 5.5.2017, p. 1)
12.
Reglamento (UE) 2017/746 del Parlamento Europeo y del Consejo, de 5 de abril de 2017, sobre los productos sanitarios para diagnóstico in vitro y por el que se derogan la Directiva 98/79/CE y la Decisión 2010/227/UE de la Comisión (DO L 117 de 5.5.2017, p. 176)
Sección B — Lista de otros actos legislativos de armonización de la Unión
13.
Reglamento (CE) n.o 300/2008 del Parlamento Europeo y del Consejo, de 11 de marzo de 2008, sobre normas comunes para la seguridad de la aviación civil y por el que se deroga el Reglamento (CE) n.o 2320/2002 (DO L 97 de 9.4.2008, p. 72)
14.
Reglamento (UE) n.o 168/2013 del Parlamento Europeo y del Consejo, de 15 de enero de 2013, relativo a la homologación de los vehículos de dos o tres ruedas y los cuatriciclos, y a la vigilancia del mercado de dichos vehículos (DO L 60 de 2.3.2013, p. 52)
15.
Reglamento (UE) n.o 167/2013 del Parlamento Europeo y del Consejo, de 5 de febrero de 2013, relativo a la homologación de los vehículos agrícolas o forestales, y a la vigilancia del mercado de dichos vehículos (DO L 60 de 2.3.2013, p. 1)
16.
Directiva 2014/90/UE del Parlamento Europeo y del Consejo, de 23 de julio de 2014, sobre equipos marinos, y por la que se deroga la Directiva 96/98/CE del Consejo (DO L 257 de 28.8.2014, p. 146)
17.
Directiva (UE) 2016/797 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, sobre la interoperabilidad del sistema ferroviario dentro de la Unión Europea (DO L 138 de 26.5.2016, p. 44)
18.
Reglamento (UE) 2018/858 del Parlamento Europeo y del Consejo, de 30 de mayo de 2018, sobre la homologación y la vigilancia del mercado de los vehículos de motor y sus remolques y de los sistemas, los componentes y las unidades técnicas independientes destinados a dichos vehículos, por el que se modifican los Reglamentos (CE) n.o 715/2007 y (CE) n.o 595/2009 y por el que se deroga la Directiva 2007/46/CE (DO L 151 de 14.6.2018, p. 1)
19.
Reglamento (UE) 2019/2144 del Parlamento Europeo y del Consejo, de 27 de noviembre de 2019, relativo a los requisitos de homologación de tipo de los vehículos de motor y de sus remolques, así como de los sistemas, componentes y unidades técnicas independientes destinados a esos vehículos, en lo que respecta a su seguridad general y a la protección de los ocupantes de los vehículos y de los usuarios vulnerables de la vía pública, por el que se modifica el Reglamento (UE) 2018/858 del Parlamento Europeo y del Consejo y se derogan los Reglamentos (CE) n.o 78/2009, (CE) n.o 79/2009 y (CE) n.o 661/2009 del Parlamento Europeo y del Consejo y los Reglamentos (CE) n.o 631/2009, (UE) n.o 406/2010, (UE) n.o 672/2010, (UE) n.o 1003/2010, (UE) n.o 1005/2010, (UE) n.o 1008/2010, (UE) n.o 1009/2010, (UE) n.o 19/2011, (UE) n.o 109/2011, (UE) n.o 458/2011, (UE) n.o 65/2012, (UE) n.o 130/2012, (UE) n.o 347/2012, (UE) n.o 351/2012, (UE) n.o 1230/2012 y (UE) 2015/166 de la Comisión (DO L 325 de 16.12.2019, p. 1)
20.
Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo, de 4 de julio de 2018, sobre normas comunes en el ámbito de la aviación civil y por el que se crea una Agencia de la Unión Europea para la Seguridad Aérea y por el que se modifican los Reglamentos (CE) n.o 2111/2005, (CE) n.o 1008/2008, (UE) n.o 996/2010 y (UE) n.o 376/2014 y las Directivas 2014/30/UE y 2014/53/UE del Parlamento Europeo y del Consejo y se derogan los Reglamentos (CE) n.o 552/2004 y (CE) n.o 216/2008 del Parlamento Europeo y del Consejo y el Reglamento (CEE) n.o 3922/91 del Consejo (DO L 212 de 22.8.2018, p. 1), en la medida en que afecte al diseño, la producción y la introducción en el mercado de aeronaves a que se refiere el artículo 2, apartado 1, letras a) y b), por lo que respecta a las aeronaves no tripuladas y sus motores, hélices, componentes y equipos para controlarlas a distancia
21.
Reglamento (UE) 2023/1230 del Parlamento Europeo y del Consejo, de 14 de junio de 2023, relativo a las máquinas, y por el que se derogan la Directiva 2006/42/CE del Parlamento Europeo y del Consejo y la Directiva 73/361/CEE del Consejo (DO L 165 de 29.6.2023, p. 1, ELI: http://data.europa.eu/eli/reg/2023/1230/oj).»
(sigue el artículo 6 del Reglamento (UE) 2024/1689)
b)
que el producto del que el sistema de IA sea componente de seguridad con arreglo a la letra a), o el propio sistema de IA como producto, deba someterse a una evaluación de la conformidad de terceros para su introducción en el mercado o puesta en servicio con arreglo a los actos legislativos de armonización de la Unión enumerados en el anexo I.
(que el producto del que el sistema de IA sea componente de seguridad con arreglo a la letra a), o el propio sistema de IA como producto, deba exponerse a una valoración de la adecuación de otros para su inclusión en el mercado o puesta en servicio de acuerdo con los actos legislativos de unificación de la Unión enumerados en el anexo I. )
1 bis. A efectos del presente Reglamento, incluido el apartado 1 del presente artículo, los sistemas de IA que se utilicen únicamente para aspectos no relacionados con la seguridad en los ámbitos de la asistencia al usuario, la optimización del rendimiento, la eficiencia del servicio, la automatización, la comodidad o el control de calidad no se considerarán componentes de seguridad.
(A los fines de este Reglamento, incluido el apartado 1 de este artículo, los sistemas de IA que se utilicen únicamente para aspectos no relacionados con la seguridad en los ámbitos de la asistencia al usuario, la potenciación del rendimiento, la eficiencia del servicio, la mecanización, la comodidad o el control de calidad no se calificarán componentes de seguridad. )
1 ter. No obstante lo dispuesto en el apartado 1 bis, los sistemas de IA cuyo fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad se considerarán componentes de seguridad.
(Pese a lo dispuesto en el apartado 1 bis, los sistemas de IA cuyo fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad se calificarán componentes de seguridad.)
1 quater. Se considerará que no cumplen la condición establecida en el apartado 1, letra b), los productos que deban someterse a una evaluación de la conformidad de terceros únicamente debido a riesgos distintos de los riesgos para la salud y la seguridad, en particular los riesgos relacionados con la distribución del espectro radioeléctrico o las interferencias electromagnéticas que no afecten a la salud y la seguridad.
(Se entenderá que no cumplen el requisito establecido en el apartado 1, letra b), los productos que deban exponerse a una valoración de la adecuación de ajenos únicamente debido a riesgos distintos de los riesgos para la salud y la seguridad, en especial los riesgos relacionados con la distribución del espectro radioeléctrico o las interferencias electromagnéticas que no perjudiquen a la salud y la seguridad. )
2. Además de los sistemas de IA de alto riesgo a que se refiere el apartado 1, también se considerarán de alto riesgo los sistemas de IA contemplados en el anexo III.
(Además de los sistemas de IA de alto riesgo a que se refiere el apartado 1, también se valorarán de alto riesgo los sistemas de IA mencionados en el anexo III. )
3. No obstante lo dispuesto en el apartado 2, un sistema de IA a que se refiere el anexo III no se considerará de alto riesgo cuando no plantee un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales de las personas físicas, también al no influir sustancialmente en el resultado de la toma de decisiones.
(Con independencia lo dispuesto en el apartado 2, un sistema de IA a que se refiere el anexo III no se valorará de alto riesgo cuando no presente un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales de las personas físicas, también al no influir significativamente en el resultado de la toma de decisiones. )
El párrafo primero se aplicará cuando se cumpla cualquiera de las condiciones siguientes:
(El párrafo primero se aplicará cuando se cumpla cualquiera de los requisitos siguientes:
a)
que el sistema de IA esté destinado a realizar una tarea de procedimiento limitada;
b)
que el sistema de IA esté destinado a mejorar el resultado de una actividad humana previamente realizada;
c)
que el sistema de IA esté destinado a detectar patrones de toma de decisiones o desviaciones con respecto a patrones de toma de decisiones anteriores y no esté destinado a sustituir la valoración humana previamente realizada sin una revisión humana adecuada, ni a influir en ella, o
(que el sistema de IA esté destinado a descubrir patrones de toma de decisiones o desviaciones con respecto a patrones de toma de decisiones anteriores y no esté destinado a sustituir la valoración humana anteriormente realizada sin una revisión humana adecuada, ni a influir en ella, o )
d)
que el sistema de IA esté destinado a realizar una tarea preparatoria para una evaluación que sea pertinente a efectos de los casos de uso enumerados en el anexo III.
(que el sistema de IA esté destinado a realizar una tarea preparatoria para una valoración que sea procedente a los fines de los casos de uso enumerados en el anexo III. )
No obstante lo dispuesto en el párrafo primero, los sistemas de IA a que se refiere el anexo III siempre se considerarán de alto riesgo cuando el sistema de IA efectúe la elaboración de perfiles de personas físicas.
(Con independencia de lo dispuesto en el párrafo primero, los sistemas de IA a que se refiere el anexo III siempre se valorarán de alto riesgo cuando el sistema de IA efectúe la preparación de perfiles de personas físicas. )
4. El proveedor que considere que un sistema de IA contemplado en el anexo III no es de alto riesgo documentará su evaluación antes de que dicho sistema sea introducido en el mercado o puesto en servicio. Dicho proveedor estará sujeto a la obligación de registro establecida en el artículo 49, apartado 2. A petición de las autoridades nacionales competentes, el proveedor facilitará la documentación de la evaluación.
(El suministrador que entienda que un sistema de IA contemplado en el anexo III no es de alto riesgo documentará su valoración antes de que dicho sistema sea incluido en el mercado o puesto en servicio. Dicho suministrador estará sujeto a la obligación de registro establecida en el artículo 49, apartado 2. A petición de las autoridades nacionales competentes, el suministro facilitará la documentación de la valoración.)
5. La Comisión, previa consulta al Consejo Europeo de Inteligencia Artificial (en lo sucesivo, «Consejo de IA»), y a más tardar el 2 de febrero de 2026, proporcionará directrices que especifiquen la aplicación práctica del presente artículo en consonancia con el artículo 96, junto con una lista exhaustiva de ejemplos prácticos de casos de uso de sistemas de IA que sean de alto riesgo y que no sean de alto riesgo.
(La Comisión, previa consulta al Consejo Europeo de Inteligencia Artificial (en lo sucesivo, «Consejo de IA»), y lo más tarde el 2 de febrero de 2026, suministrará directrices que determinen la aplicación práctica de este artículo en coincidencia con el artículo 96, junto con una lista cerrada de ejemplos prácticos de casos de uso de sistemas de IA que sean de alto riesgo y que no sean de alto riesgo. )
6. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 97 al objeto de modificar el apartado 3, párrafo segundo, del presente artículo, añadiendo nuevas condiciones a las establecidas en dicho apartado, o modificando estas, cuando existan pruebas concretas y fiables de la existencia de sistemas de IA que entren en el ámbito de aplicación del anexo III, pero que no planteen un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales de las personas físicas.
( La Comisión estará habilitada para aprobar actos delegados de acuerdo con el artículo 97 al objeto de modificar el apartado 3, párrafo segundo, de este artículo, añadiendo nuevas condiciones a las establecidas en dicho apartado, o modificando estas, cuando existan pruebas concretas y fiables de la existencia de sistemas de IA que entren en el ámbito de aplicación del anexo III, pero que no presenten un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales de las personas físicas.)
7. La Comisión adoptará actos delegados con arreglo al artículo 97 al objeto de modificar el apartado 3, párrafo segundo, del presente artículo, suprimiendo cualquiera de las condiciones establecidas en él, cuando existan pruebas concretas y fiables de que es necesario para mantener el nivel de protección de la salud, la seguridad y los derechos fundamentales previsto en el presente Reglamento.
(La Comisión aprobará actos delegados de acuerdo con el artículo 97 al objeto de modificar el apartado 3, párrafo segundo, de este artículo, suprimiendo cualquiera de los requisitos establecidos en él, cuando existan pruebas concretas y fiables de que es necesario para mantener el nivel de protección de la salud, la seguridad y los derechos fundamentales establecido en este Reglamento. )
8. Ninguna modificación de las condiciones establecidas en el apartado 3, párrafo segundo, adoptada de conformidad con los apartados 6 y 7 del presente artículo, reducirá el nivel global de protección de la salud, la seguridad y los derechos fundamentales previsto en el presente Reglamento, y cualquier modificación garantizará la coherencia con los actos delegados adoptados con arreglo al artículo 7, apartado 1, y tendrá en cuenta la evolución tecnológica y del mercado.»
(Ninguna modificación de los requisitos establecidas en el apartado 3, párrafo segundo, aprobada de acuerdo con los apartados 6 y 7 de este artículo, reducirá el nivel global de protección de la salud, la seguridad y los derechos fundamentales establecido en este Reglamento, y cualquier modificación garantizará la coherencia con los actos delegados aprobados de acuerdo con el artículo 7, apartado 1, y tendrá en cuenta la evolución tecnológica y del mercado.)
El artículo 8 del Reglamento (UE) 2024/1698 establece lo siguiente:
Artículo 8. Cumplimiento de los requisitos
1. Los sistemas de IA de alto riesgo cumplirán los requisitos establecidos en la presente sección, teniendo en cuenta sus finalidades previstas, así como el estado actual de la técnica generalmente reconocido en materia de IA y tecnologías relacionadas con la IA. A la hora de garantizar el cumplimiento de dichos requisitos se tendrá en cuenta el sistema de gestión de riesgos a que se refiere el artículo 9.
( Los sistemas de IA de alto riesgo cumplirán los requisitos establecidos en la presente sección, teniendo en cuenta sus finalidades proyectadas, así como el estado actual de la técnica generalmente aceptado en materia de IA y tecnologías relacionadas con la IA. A la hora de garantizar el cumplimiento de dichos requisitos se tendrá en cuenta el sistema de gestión de riesgos a que se refiere el artículo 9. )
El artículo 9 del Reglamento (UE) 2024/1698 establece lo siguiente:
«Artículo 9. Sistema de gestión de riesgos
1. Se establecerá, implantará, documentará y mantendrá un sistema de gestión de riesgos en relación con los sistemas de IA de alto riesgo.
( Se establecerá, instalará, documentará y mantendrá un sistema de gestión de riesgos en relación con los sistemas de IA de alto riesgo. )
2. El sistema de gestión de riesgos se entenderá como un proceso iterativo continuo planificado y ejecutado durante todo el ciclo de vida de un sistema de IA de alto riesgo, que requerirá revisiones y actualizaciones sistemáticas periódicas. Constará de las siguientes etapas:
a)
la determinación y el análisis de los riesgos conocidos y previsibles que el sistema de IA de alto riesgo pueda plantear para la salud, la seguridad o los derechos fundamentales cuando el sistema de IA de alto riesgo se utilice de conformidad con su finalidad prevista;
(la determinación y el análisis de los riesgos conocidos y previsibles que el sistema de IA de alto riesgo pueda presentar para la salud, la seguridad o los derechos fundamentales cuando el sistema de IA de alto riesgo se utilice de acuerdo con su finalidad planeada;)
b)
la estimación y la evaluación de los riesgos que podrían surgir cuando el sistema de IA de alto riesgo se utilice de conformidad con su finalidad prevista y cuando se le dé un uso indebido razonablemente previsible;
(la estimación y la valoración de los riesgos que podrían nacer cuando el sistema de IA de alto riesgo se utilice de acuerdo con su finalidad planeada y cuando se le dé un uso indebido razonablemente predecible; )
c)
la evaluación de otros riesgos que podrían surgir, a partir del análisis de los datos recogidos con el sistema de vigilancia poscomercialización a que se refiere el artículo 72;
(la valoración de otros riesgos que podrían nacer, partiendo del análisis de los datos recogidos con el sistema de vigilancia poscomercialización a que se refiere el artículo 72; )
d)
la adopción de medidas adecuadas y específicas de gestión de riesgos diseñadas para hacer frente a los riesgos detectados con arreglo a la letra a).
(la aprobación de medidas adecuadas y concretas de gestión de riesgos diseñadas para hacer frente a los riesgos descubiertos de acuerdo con la letra a). )
3. Los riesgos a que se refiere el presente artículo son únicamente aquellos que pueden mitigarse o eliminarse razonablemente mediante el desarrollo o el diseño del sistema de IA de alto riesgo o el suministro de información técnica adecuada.
(Los riesgos a que se refiere el presente artículo son únicamente aquellos que pueden reducirse o eliminarse razonablemente mediante el desarrollo o el diseño del sistema de IA de alto riesgo o el suministro de información técnica adecuada.)
4. Las medidas de gestión de riesgos mencionadas en el apartado 2, letra d), tendrán debidamente en cuenta los efectos y la posible interacción derivados de la aplicación combinada de los requisitos establecidos en la presente sección, con vistas a reducir al mínimo los riesgos de manera más eficaz al tiempo que se logra un equilibrio adecuado en la aplicación de las medidas para cumplir dichos requisitos.
5. Las medidas de gestión de riesgos mencionadas en el apartado 2, letra d), considerarán aceptables los riesgos residuales pertinentes asociados a cada peligro, así como el riesgo residual general de los sistemas de IA de alto riesgo.
(Las medidas de gestión de riesgos mencionadas en el apartado 2, letra d), entenderán aceptables los riesgos remanentes correspondientes unidos a cada peligro, así como el riesgo remanente general de los sistemas de IA de alto riesgo.)
A la hora de determinar las medidas de gestión de riesgos más adecuadas, se procurará:
a)
eliminar o reducir los riesgos detectados y evaluados de conformidad con el apartado 2 en la medida en que sea técnicamente viable mediante un diseño y un desarrollo adecuados del sistema de IA de alto riesgo;
(eliminar o reducir los riesgos descubiertos y valorados de acuerdo con el apartado 2 en la medida en que sea técnicamente viable mediante un diseño y un desarrollo adecuados del sistema de IA de alto riesgo; )
b)
implantar, cuando proceda, unas medidas de mitigación y control apropiadas que hagan frente a los riesgos que no puedan eliminarse;
c)
proporcionar la información requerida conforme al artículo 13 y, cuando proceda, impartir formación a los responsables del despliegue.
(facilitar la información exigida conforme al artículo 13 y, cuando corresponda, impartir formación a los responsables de la distribución. )
Con vistas a eliminar o reducir los riesgos asociados a la utilización del sistema de IA de alto riesgo, se tendrán debidamente en cuenta los conocimientos técnicos, la experiencia, la educación y la formación que se espera que posea el responsable del despliegue, así como el contexto en el que está previsto que se utilice el sistema.
(Con vistas a eliminar o reducir los riesgos vinculados a la utilización del sistema de IA de alto riesgo, se tendrán debidamente en cuenta los conocimientos técnicos, la experiencia, la educación y la formación que se espera que posea el responsable de la distribución, así como el contexto en el que está proyectado que se utilice el sistema.)
6. Los sistemas de IA de alto riesgo serán sometidos a pruebas destinadas a determinar cuáles son las medidas de gestión de riesgos más adecuadas y específicas. Dichas pruebas comprobarán que los sistemas de IA de alto riesgo funcionan de manera coherente con su finalidad prevista y cumplen los requisitos establecidos en la presente sección.
(Los sistemas de IA de alto riesgo serán expuestos a pruebas destinadas a determinar cuáles son las medidas de gestión de riesgos más adecuadas y determinadas. Dichas pruebas comprobarán que los sistemas de IA de alto riesgo funcionan de manera coherente con su finalidad proyectada y cumplen los requisitos establecidos en la presente sección. )
7. Los procedimientos de prueba podrán incluir pruebas en condiciones reales de conformidad con el artículo 60.
(Los procedimientos de prueba podrán incluir pruebas en situaciones reales de conformidad con el artículo 60.)
8. Las pruebas de los sistemas de IA de alto riesgo se realizarán, según proceda, en cualquier momento del proceso de desarrollo y, en todo caso, antes de su introducción en el mercado o puesta en servicio. Las pruebas se realizarán utilizando parámetros y umbrales de probabilidades previamente definidos que sean adecuados para la finalidad prevista del sistema de IA de alto riesgo.
(Las pruebas de los sistemas de IA de alto riesgo se realizarán, según proceda, en cualquier momento del proceso de desarrollo y, en todo caso, antes de su introducción en el mercado o puesta en servicio. Las pruebas se realizarán utilizando parámetros y márgenes de probabilidades previamente definidos que sean adecuados para la finalidad proyectada del sistema de IA de alto riesgo.)
9. Cuando se implante el sistema de gestión de riesgos previsto en los apartados 1 a 7, los proveedores prestarán atención a si, en vista de su finalidad prevista, es probable que el sistema de IA de alto riesgo afecte negativamente a las personas menores de dieciocho años y, en su caso, a otros colectivos vulnerables.
(Cuando se instale el sistema de gestión de riesgos previsto en los apartados 1 a 7, los suministradores pondrán atención a si, en vista de su finalidad proyectada, es probable que el sistema de IA de alto riesgo influya negativamente a las personas menores de dieciocho años y, en su caso, a otros colectivos vulnerables. )
10. En el caso de los proveedores de sistemas de IA de alto riesgo que estén sujetos a requisitos relativos a procesos internos de gestión de riesgos con arreglo a otras disposiciones pertinentes del Derecho de la Unión, los aspectos previstos en los apartados 1 a 9 podrán formar parte de los procedimientos de gestión de riesgos establecidos con arreglo a dicho Derecho, o combinarse con ellos.»
(En el caso de los suministrdores de sistemas de IA de alto riesgo que estén sujetos a requisitos relativos a procesos internos de gestión de riesgos con arreglo a otras disposiciones correspondientes del Derecho de la Unión, los aspectos establecidos en los apartados 1 a 9 podrán formar parte de los procedimientos de gestión de riesgos establecidos con arreglo a dicho Derecho, o unirse con ellos.)
(sigue el artículo 8 del Reglamento (UE) 2024/1698)
2. Cuando un producto contenga un sistema de IA al que se apliquen los requisitos del presente Reglamento, así como los requisitos de los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, los proveedores serán responsables de garantizar que su producto cumpla plenamente todos los requisitos aplicables en virtud de los actos legislativos de armonización de la Unión que sean aplicables. Para garantizar el cumplimiento de los sistemas de IA de alto riesgo a que se refiere el apartado 1 de los requisitos establecidos en la presente sección, y con el fin de garantizar la coherencia, evitar duplicidades y reducir al mínimo las cargas adicionales, los proveedores podrán optar por integrar, según proceda, los procesos de prueba y presentación de información necesarios, y la información y la documentación que faciliten con respecto a su producto en documentación y procedimientos que ya existan y exijan los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A.»
(Cuando un producto incluyaun sistema de IA al que se apliquen los requisitos del presente Reglamento, así como los requisitos de los actos legislativos de unificación de la Unión enumerados en el anexo I, sección A, los suministradores serán responsables de garantizar que su producto cumpla plenamente todos los requisitos aplicables en apllicación de los actos legislativos de unificación de la Unión que sean aplicables. Para garantizar el cumplimiento de los sistemas de IA de alto riesgo a que se refiere el apartado 1 de los requisitos establecidos en la presente sección, y con el fin de garantizar la coherencia, evitar duplicidades y reducir al mínimo las cargas adicionales, los suministradores podrán optar por incluir, según proceda, los procesos de prueba y presentación de información necesarios, y la información y la documentación que faciliten con respecto a su producto en documentación y procedimientos que ya existan y exijan los actos legislativos de unificación de la Unión enumerados en el anexo I, sección A.)
El artículo 10 del Reglamento(UE) 2024/1689 establece lo siguiente:
«Artículo 10. Datos y gobernanza de datos
1. Los sistemas de IA de alto riesgo que utilizan técnicas que implican el entrenamiento de modelos de IA con datos se desarrollarán a partir de conjuntos de datos de entrenamiento, validación y prueba que cumplan los criterios de calidad a que se refieren los apartados 2, 3 y 4 del presente artículo y el artículo 4 bis, apartado 1, siempre que se utilicen dichos conjuntos de datos.
(Los sistemas de IA de alto riesgo que utilizan técnicas que conllevan el entrenamiento de modelos de IA con datos se desarrollarán partiendo de grupos de datos de entrenamiento, comprobación y prueba que cumplan los criterios de calidad a que se refieren los apartados 2, 3 y 4 del presente artículo y el artículo 4 bis, apartado 1, siempre que se utilicen dichos grupos de datos. )
2. Los conjuntos de datos de entrenamiento, validación y prueba se someterán a prácticas de gobernanza y gestión de datos adecuadas para la finalidad prevista del sistema de IA de alto riesgo. Dichas prácticas se centrarán, en particular, en lo siguiente:
(Los grupos de datos de entrenamiento, comprobación y prueba se expondrán a prácticas de dirección y gestión de datos adecuadas para la finalidad proyectada del sistema de IA de alto riesgo. Dichas prácticas se centrarán, en concreto, en lo siguiente:)
a)
las decisiones pertinentes relativas al diseño;
b)
los procesos de recogida de datos y el origen de los datos y, en el caso de los datos personales, la finalidad original de la recogida de datos;
(los procesos de recogida de datos y el origen de los datos y, en el caso de los datos personales, la finalidad inicial de la recogida de datos; )
c)
las operaciones de tratamiento oportunas para la preparación de los datos, como la anotación, el etiquetado, la depuración, la actualización, el enriquecimiento y la agregación;
d)
la formulación de supuestos, en particular en lo que respecta a la información que se supone que miden y representan los datos;
(la presentación de supuestos, en especial en lo que respecta a la información que se entiende que miden y representan los datos;
e)
una evaluación de la disponibilidad, la cantidad y la adecuación de los conjuntos de datos necesarios;
(una valoración de la disponibilidad, la cantidad y la adecuación de los grupos de datos necesarios;)
f)
el examen atendiendo a posibles sesgos que puedan afectar a la salud y la seguridad de las personas, afectar negativamente a los derechos fundamentales o dar lugar a algún tipo de discriminación prohibida por el Derecho de la Unión, especialmente cuando las salidas de datos influyan en las informaciones de entrada de futuras operaciones;
(el examen atendiendo a posibles sesgos que puedan perjudicar a la salud y la seguridad de las personas, influir negativamente a los derechos fundamentales o dar lugar a algún tipo de discriminación prohibida por el Derecho de la Unión, especialmente cuando las salidas de datos influyan en las informaciones de entrada de futuras operaciones;)
g)
medidas adecuadas para detectar, prevenir y mitigar posibles sesgos detectados con arreglo a la letra f);
(medidas adecuadas para descubrir, evitar y reducir posibles sesgos descubiertos de acuerdo con la letra f);)
h)
la detección de lagunas o deficiencias pertinentes en los datos que impidan el cumplimiento del presente Reglamento, y la forma de subsanarlas
(el descubrimiento de lagunas o deficiencias procedentes en los datos que impidan el cumplimiento del presente Reglamento, y la forma de corregirlas )
3. Los conjuntos de datos de entrenamiento, validación y prueba serán pertinentes, suficientemente representativos y, en la mayor medida posible, carecerán de errores y estarán completos en vista de su finalidad prevista. Asimismo, tendrán las propiedades estadísticas adecuadas, por ejemplo, cuando proceda, en lo que respecta a las personas o los colectivos de personas en relación con los cuales está previsto que se utilice el sistema de IA de alto riesgo. Los conjuntos de datos podrán reunir esas características para cada conjunto de datos individualmente o para una combinación de estos.
4. Los conjuntos de datos tendrán en cuenta, en la medida necesaria para la finalidad prevista, las características o elementos particulares del entorno geográfico, contextual, conductual o funcional específico en el que está previsto que se utilice el sistema de IA de alto riesgo.
( Los grupos de datos tendrán en cuenta, en la medida necesaria para la finalidad proyectada, las características o elementos concretos del entorno geográfico, contextual, conductual o funcional determinado en el que está proyectado que se utilice el sistema de IA de alto riesgo. )
5. Suprimido.
6. Para el desarrollo de sistemas de IA de alto riesgo que no emplean técnicas que implican el entrenamiento de modelos de IA, los apartados 2, 3 y 4 del presente artículo y el artículo 4 bis, apartado 1, se aplicarán únicamente a los conjuntos de datos de prueba.»
(Para el desarrollo de sistemas de IA de alto riesgo que no utilizan técnicas que conllevan el entrenamiento de modelos de IA, los apartados 2, 3 y 4 del presente artículo y el artículo 4 bis, apartado 1, se aplicarán únicamente a los grupos de datos de prueba.)
Así mismo, el artículo 15 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 15. Precisión, solidez y ciberseguridad
1. Los sistemas de IA de alto riesgo se diseñarán y desarrollarán de modo que alcancen un nivel adecuado de precisión, solidez y ciberseguridad y funcionen de manera uniforme en esos sentidos durante todo su ciclo de vida.
2. Para abordar los aspectos técnicos sobre la forma de medir los niveles adecuados de precisión y solidez establecidos en el apartado 1 y cualquier otro parámetro de rendimiento pertinente, la Comisión, en cooperación con las partes interesadas y organizaciones pertinentes, como las autoridades de metrología y de evaluación comparativa, fomentará, según proceda, el desarrollo de parámetros de referencia y metodologías de medición.
(Para abordar los aspectos técnicos sobre la forma de medir los niveles adecuados de precisión y seriedad establecidos en el apartado 1 y cualquier otro parámetro de rendimiento procedente, la Comisión, en cooperación con las partes interesadas y organizaciones correspondientes, como las autoridades de metrología y de valoaración comparativa, impulsará, según proceda, el desarrollo de parámetros de referencia y método de medición.)
3. En las instrucciones de uso que acompañen a los sistemas de IA de alto riesgo se indicarán los niveles de precisión de dichos sistemas, así como los parámetros pertinentes para medirla.
4. Los sistemas de IA de alto riesgo serán lo más resistentes posible en lo que respecta a los errores, fallos o incoherencias que pueden surgir en los propios sistemas o en el entorno en el que funcionan, en particular a causa de su interacción con personas físicas u otros sistemas. Se adoptarán medidas técnicas y organizativas a este respecto.
( Los sistemas de IA de alto riesgo serán lo más resistentes posible en lo que respecta a los errores, fallos o incoherencias que pueden nacer en los propios sistemas o en el entorno en el que funcionan, en especial a causa de su interacción con personas físicas u otros sistemas. Se aprobarán medidas técnicas y organizativas a este respecto.)
La solidez de los sistemas de IA de alto riesgo puede lograrse mediante soluciones de redundancia técnica, tales como copias de seguridad o planes de prevención contra fallos.
Los sistemas de IA de alto riesgo que continúan aprendiendo tras su introducción en el mercado o puesta en servicio se desarrollarán de tal modo que se elimine o reduzca lo máximo posible el riesgo de que los resultados de salida que pueden estar sesgados influyan en la información de entrada de futuras operaciones (bucles de retroalimentación) y se garantice que dichos bucles se subsanen debidamente con las medidas de reducción de riesgos adecuadas.
(Los sistemas de IA de alto riesgo que continúan aprendiendo tras su inclusión en el mercado o puesta en servicio se desarrollarán de tal modo que se elimine o reduzca lo máximo posible el riesgo de que los resultados de salida que pueden estar sesgados influyan en la información de entrada de futuras operaciones (bucles de retroalimentación) y se garantice que dichos bucles se corrijan debidamente con las medidas de reducción de riesgos adecuadas.)
5. Los sistemas de IA de alto riesgo serán resistentes a los intentos de terceros no autorizados de alterar su uso, sus resultados de salida o su funcionamiento aprovechando las vulnerabilidades del sistema.
Las soluciones técnicas encaminadas a garantizar la ciberseguridad de los sistemas de IA de alto riesgo serán adecuadas a las circunstancias y los riesgos pertinentes.
(Las soluciones técnicas dirigidas a garantizar la ciberseguridad de los sistemas de IA de alto riesgo serán adecuadas a las circunstancias y los riesgos correspondientes.)
Entre las soluciones técnicas destinadas a subsanar vulnerabilidades específicas de la IA figurarán, según corresponda, medidas para prevenir, detectar, combatir, resolver y controlar los ataques que traten de manipular el conjunto de datos de entrenamiento («envenenamiento de datos»), o los componentes entrenados previamente utilizados en el entrenamiento («envenenamiento de modelos»), la información de entrada diseñada para hacer que el modelo de IA cometa un error («ejemplos adversarios» o «evasión de modelos»), los ataques a la confidencialidad o los defectos en el modelo.»
(Entre las soluciones técnicas destinadas a corregirvulnerabilidades determinadass de la IA figurarán, según corresponda, medidas para evitar, descubrir, luchar, resolver y controlar los ataques que traten de manipular el conjunto de datos de entrenamiento («envenenamiento de datos»), o los componentes entrenados previamente utilizados en el entrenamiento («envenenamiento de modelos»), la información de entrada diseñada para hacer que el modelo de IA cometa un error («ejemplos adversarios» o «evasión de modelos»), los ataques a la confidencialidad o los defectos en el modelo.)
Por otro lado , el artículo 16 del Reglamento (UE) 2024/1689 dispone lo siguiente:
Artículo 16. Obligaciones de los proveedores de sistemas de IA de alto riesgo
Los proveedores de sistemas de IA de alto riesgo:
(Los suministradores de sistemas de IA de alto riesgo:)
a) velarán por que sus sistemas de IA de alto riesgo cumplan los requisitos definidos en la sección 2;
(vigilarán que sus sistemas de IA de alto riesgo cumplan los requisitos definidos en la sección 2;)
b)
indicarán en el sistema de IA de alto riesgo o, cuando no sea posible, en el embalaje del sistema o en la documentación que lo acompañe, según proceda, su nombre, su nombre comercial registrado o marca registrada y su dirección de contacto;
c)
contarán con un sistema de gestión de la calidad que cumpla lo dispuesto en el artículo 17;
(dispondrán de un sistema de gestión de la calidad que cumpla lo dispuesto en el artículo 17; )
d)
conservarán la documentación a que se refiere el artículo 18;
(guardarán la documentación a que se refiere el artículo 18; )
e)
cuando estén bajo su control, conservarán los archivos de registro generados automáticamente por sus sistemas de IA de alto riesgo a que se refiere el artículo 19;
(cuando estén bajo su control, guardarán los archivos de registro creados mecánicamente por sus sistemas de IA de alto riesgo a que se refiere el artículo 19; )
f)
se asegurarán de que los sistemas de IA de alto riesgo sean sometidos al procedimiento pertinente de evaluación de la conformidad a que se refiere el artículo 43 antes de su introducción en el mercado o puesta en servicio;
(se asegurarán de que los sistemas de IA de alto riesgo sean expuestos al procedimiento correspondiente de valoración de la adecuación a que se refiere el artículo 43 antes de su inclusión en el mercado o puesta en servicio;)
g)
elaborarán una declaración UE de conformidad en virtud de lo dispuesto en el artículo 47;
(realizarán una declaración UE de adecuación en aplicación de lo dispuesto en el artículo 47;
h)
colocará el marcado CE en el sistema de IA de alto riesgo o, cuando no sea posible, en su embalaje o en la documentación que lo acompañe, para indicar la conformidad con el presente Reglamento, de acuerdo con lo dispuesto en el artículo 48;
i)
cumplirán las obligaciones de registro a que se refiere el artículo 49, apartado 1;
j)
adoptarán las medidas correctoras necesarias y facilitarán la información exigida en el artículo 20;
(tomarán las medidas correctoras necesarias y facilitarán la información exigida en el artículo 20;)
k)
demostrarán, previa solicitud motivada de la autoridad nacional competente, la conformidad del sistema de IA de alto riesgo con los requisitos establecidos en la sección 2;
(demostrarán, previa solicitud justificada de la autoridad nacional competente, la adecuación del sistema de IA de alto riesgo con los requisitos establecidos en la sección 2;)
l)
velarán por que el sistema de IA de alto riesgo cumpla requisitos de accesibilidad de conformidad con las Directivas (UE) 2016/2102 y (UE) 2019/882.
(vigilaránr que el sistema de IA de alto riesgo cumpla requisitos de accesibilidad de conformidad con las Directivas (UE) 2016/2102 y (UE) 2019/882. )
El artículo 17 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 17. Sistema de gestión de la calidad
1. Los proveedores de sistemas de IA de alto riesgo establecerán un sistema de gestión de la calidad que garantice el cumplimiento del presente Reglamento. Dicho sistema deberá consignarse de manera sistemática y ordenada en documentación en la que se recojan las políticas, los procedimientos y las instrucciones e incluirá, al menos, los siguientes aspectos:
(Los suministradores de sistemas de IA de alto riesgo establecerán un sistema de gestión de la calidad que garantice el cumplimiento del presente Reglamento. Dicho sistema deberá registrarse de manera estructurada y ordenada en documentación en la que se recojan las políticas, los procedimientos y las instrucciones e incluirá, al menos, los siguientes aspectos: )
a)
una estrategia para el cumplimiento de la normativa, incluido el cumplimiento de los procedimientos de evaluación de la conformidad y de los procedimientos de gestión de las modificaciones de los sistemas de IA de alto riesgo
(una estrategia para el cumplimiento de la normativa, incluido el cumplimiento de los procedimientos de valoración de la adecuación y de los procedimientos de gestión de las modificaciones de los sistemas de IA de alto riesgo)
b)
las técnicas, los procedimientos y las actuaciones sistemáticas que se utilizarán en el diseño y el control y la verificación del diseño del sistema de IA de alto riesgo;
(las técnicas, los procedimientos y las actuaciones organizadas que se utilizarán en el diseño y el control y la comprobación del diseño del sistema de IA de alto riesgo; )
c)
las técnicas, los procedimientos y las actuaciones sistemáticas que se utilizarán en el desarrollo del sistema de IA de alto riesgo y en el control y el aseguramiento de la calidad de este;
d)
los procedimientos de examen, prueba y validación que se llevarán a cabo antes, durante y después del desarrollo del sistema de IA de alto riesgo, así como la frecuencia con que se ejecutarán;
(los procedimientos de examen, prueba y comprobación que se llevarán a cabo antes, durante y después del desarrollo del sistema de IA de alto riesgo, así como la frecuencia con que se ejecutarán; )
e)
las especificaciones técnicas, incluidas las normas, que se aplicarán y, cuando las normas armonizadas pertinentes no se apliquen en su totalidad o no cubran todos los requisitos pertinentes establecidos en la sección 2, los medios que se utilizarán para velar por que el sistema de IA de alto riesgo cumpla dichos requisitos;
(las determinaciones técnicas, incluidas las normas, que se aplicarán y, cuando las normas unificadas correspondientes no se apliquen en su totalidad o no reúnan todos los requisitos procedentes establecidos en la sección 2, los medios que se utilizarán para vigilar que el sistema de IA de alto riesgo cumpla dichos requisitos; )
f)
los sistemas y procedimientos de gestión de datos, lo que incluye su adquisición, recopilación, análisis, etiquetado, almacenamiento, filtrado, prospección, agregación, conservación y cualquier otra operación relacionada con los datos que se lleve a cabo antes de la introducción en el mercado o puesta en servicio de sistemas de IA de alto riesgo y con esa finalidad;
(los sistemas y procedimientos de gestión de datos, lo que incluye su compra, reunión, análisis, etiquetado, almacenamiento, filtrado, prospección, añadido, guarda y cualquier otra operación relacionada con los datos que se lleve a cabo antes de la inclusión en el mercado o puesta en servicio de sistemas de IA de alto riesgo y con esa finalidad;)
g)
el sistema de gestión de riesgos que se menciona en el artículo 9;
h)
el establecimiento, aplicación y mantenimiento de un sistema de vigilancia poscomercialización de conformidad con el artículo 72;
i)
los procedimientos asociados a la notificación de un incidente grave con arreglo al artículo 73;
j)
la gestión de la comunicación con las autoridades nacionales competentes, otras autoridades pertinentes, incluidas las que permiten acceder a datos o facilitan el acceso a ellos, los organismos notificados, otros operadores, los clientes u otras partes interesadas;
(la gestión de la comunicación con las autoridades nacionales competentes, otras autoridades procedentes, incluidas las que posibilitan acceder a datos o facilitan el acceso a ellos, los organismos notificados, otros operadores, los clientes u otras partes interesadas; )
k)
los sistemas y procedimientos para llevar un registro de toda la documentación e información pertinente;
la documentación e información pertinente;
l)
la gestión de los recursos, incluidas medidas relacionadas con la seguridad del suministro;
(la gestión de los medios, incluidas medidas relacionadas con la seguridad del suministro; )
m)
un marco de rendición de cuentas que defina las responsabilidades del personal directivo y de otra índole en relación con todos los aspectos enumerados en este apartado.
2. La aplicación de los aspectos mencionados en el apartado 1 será proporcional al tamaño de la organización del proveedor, en particular si el proveedor es una pyme, incluidas las empresas emergentes o las pequeñas empresas de mediana capitalización. Los proveedores respetarán, en todo caso, el grado de rigor y el nivel de protección requerido para garantizar la conformidad de sus sistemas de IA de alto riesgo con el presente Reglamento.
(La aplicación de los aspectos mencionados en el apartado 1 será adecuada al tamaño de la organización del suministrador, en especial si el suministrador es una pyme, incluidas las empresas emergentes o las pequeñas empresas de mediana capitalización. Los suministradores respetarán, en todo caso, el grado de rigor y el nivel de protección exigido para garantizar la adecuación de sus sistemas de IA de alto riesgo con este Reglamento. )
3. Los proveedores de sistemas de IA de alto riesgo que estén sujetos a obligaciones relativas a los sistemas de gestión de la calidad o una función equivalente con arreglo al Derecho sectorial pertinente de la Unión podrán incluir los aspectos enumerados en el apartado 1 como parte de los sistemas de gestión de la calidad con arreglo a dicho Derecho.
(Los suministradores de sistemas de IA de alto riesgo que estén sujetos a obligaciones relativas a los sistemas de gestión de la calidad o una función similar con arreglo al Derecho sectorial correspondiente de la Unión podrán incluir los aspectos enumerados en el apartado 1 como parte de los sistemas de gestión de la calidad con arreglo a dicho Derecho.)
4. En el caso de los proveedores que sean entidades financieras sujetas a requisitos relativos a su gobernanza, sus sistemas o sus procesos internos en virtud del Derecho de la Unión en materia de servicios financieros, se considerará que se ha cumplido la obligación de establecer un sistema de gestión de la calidad, salvo en relación con lo dispuesto en el apartado 1, letras g), h) e i), del presente artículo cuando se respeten las normas sobre los sistemas o procesos de gobernanza interna de acuerdo con el Derecho pertinente de la Unión en materia de servicios financieros. A tal fin, se tendrán en cuenta todas las normas armonizadas que se mencionan en el artículo 40.»
(En el caso de los suministradores que sean entidades financieras sujetas a requisitos relativos a su dirección, sus sistemas o sus procesos internos en virtud del Derecho de la Unión en materia de servicios financieros, se entenderá que se ha cumplido la obligación de establecer un sistema de gestión de la calidad, salvo en relación con lo dispuesto en el apartado 1, letras g), h) e i), del presente artículo cuando se respeten las normas sobre los sistemas o procesos de dirección interna de acuerdo con el Derecho correspondiente de la Unión en materia de servicios financieros. A tal fin, se tendrán en cuenta todas las normas unificadas que se mencionan en el artículo 40.)
El artículo 28 del Reglamento (UE) 2024/1689 dispone lo siguiente:
Artículo 28. Autoridades notificantes
1. Cada Estado miembro nombrará o constituirá al menos una autoridad notificante que será responsable de establecer y llevar a cabo los procedimientos necesarios para la evaluación, designación y notificación de los organismos de evaluación de la conformidad, así como de su supervisión. Dichos procedimientos se desarrollarán por medio de la cooperación entre las autoridades notificantes de todos los Estados miembros.
(Cada Estado miembro nombrará o creará al menos una autoridad notificante que será responsable de establecer y llevar a cabo los procedimientos necesarios para la valoración, designación y notificación de los organismos de valoración de la adecuación, así como de su control. Dichos procedimientos se desarrollarán por medio de la cooperación entre las autoridades notificantes de todos los Estados miembros. )
2. Los Estados miembros podrán decidir que la evaluación y la supervisión contempladas en el apartado 1 sean realizadas por un organismo nacional de acreditación en el sentido del Reglamento (CE) n.o 765/2008 y con arreglo a este.
(Los Estados miembros podrán decidir que la valoración y el control mencionados en el apartado 1 sean realizados por un organismo nacional de demostración en el sentido del Reglamento (CE) n.o 765/2008 y de acuerdo con este.)
3. Las autoridades notificantes se constituirán, se organizarán y funcionarán de forma que no surjan conflictos de intereses con los organismos de evaluación de la conformidad y que se garantice la imparcialidad y objetividad de sus actividades.
(Las autoridades notificantes se crearán, se organizarán y funcionarán de forma que no nazcan conflictos de intereses con los organismos de valoración de la adecuación y que se garantice la imparcialidad y objetividad de sus actividades. )
4. Las autoridades notificantes se organizarán de forma que las decisiones relativas a la notificación de los organismos de evaluación de la conformidad sean adoptadas por personas competentes distintas de las que llevaron a cabo la evaluación de dichos organismos.
(Las autoridades notificantes se organizarán de forma que las decisiones relativas a la notificación de los organismos de valoración de la adecuación sean aprobadas por personas competentes distintas de las que llevaron a cabo la valoración de dichos organismos.)
5. Las autoridades notificantes no ofrecerán ni ejercerán ninguna actividad que efectúen los organismos de evaluación de la conformidad, ni ningún servicio de consultoría de carácter comercial o competitivo.
(Las autoridades notificantes no ofrecerán ni ejercerán ninguna actividad que efectúen los organismos de valoración de la adecuación, ni ningún servicio de consultoría de carácter comercial o competitivo.)
6. Las autoridades notificantes preservarán la confidencialidad de la información obtenida, de conformidad con lo dispuesto en el artículo 78.
(Las autoridades notificantes protegerán la confidencialidad de la información obtenida, de conformidad con lo dispuesto en el artículo 78. )
7. Las autoridades notificantes dispondrán de suficiente personal competente para efectuar adecuadamente sus tareas. Cuando proceda, el personal competente tendrá los conocimientos especializados necesarios para ejercer sus funciones, en ámbitos como las tecnologías de la información, la IA y el Derecho, incluida la supervisión de los derechos fundamentales.
(Las autoridades notificantes dispondrán de suficiente personal competente para efectuar adecuadamente sus tareas. Cuando proceda, el personal competente tendrá los conocimientos especializados necesarios para ejercer sus funciones, en ámbitos como las tecnologías de la información, la IA y el Derecho, incluido el control de los derechos fundamentales.)
8. Las autoridades notificantes designadas en virtud del presente Reglamento que sean responsables de los sistemas de IA regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, garantizarán que el organismo de evaluación de la conformidad que solicite la designación tanto en virtud del presente Reglamento como de los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, pueda presentar una solicitud única y someterse a un procedimiento de evaluación unificado para ser designado en virtud del presente Reglamento y de los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, cuando la legislación de armonización pertinente de la Unión disponga dicha solicitud única y dicho procedimiento de evaluación unificado. A tal fin, las autoridades notificantes designadas en virtud del presente Reglamento y las designadas en virtud de los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, cooperarán en sus evaluaciones.
(Las autoridades notificantes designadas en aplicación de este Reglamento que sean responsables de los sistemas de IA regulados por los actos legislativos de unificacion de la Unión enumerados en el anexo I, sección A, garantizarán que el organismo de valoración de la adecuación que solicite la designación tanto en virtud del presente Reglamento como de los actos legislativos de unificación de la Unión enumerados en el anexo I, sección A, pueda presentar una solicitud única y exponerse a un procedimiento de valoración unificado para ser designado en aplicaicón del presente Reglamento y de los actos legislativos de unificación de la Unión enumerados en el anexo I, sección A, cuando la legislación de unificación correspondiente de la Unión disponga dicha solicitud única y dicho procedimiento de valoración unificado. A tal fin, las autoridades notificantes designadas en virtud del presente Reglamento y las designadas en virtud de los actos legislativos de unificación de la Unión enumerados en el anexo I, sección A, cooperarán en sus valoraciones. )
La solicitud única y el procedimiento de evaluación unificado a que se refiere el presente apartado también se pondrán a disposición de los organismos notificados ya designados en virtud de los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, cuando dichos organismos notificados soliciten su designación en virtud del presente Reglamento, siempre que la legislación de armonización de la Unión pertinente disponga dicho procedimiento.
(La solicitud única y el procedimiento de valoración unificado a que se refiere el presente apartado también se pondrán a disposición de los organismos notificados ya designados en virtud de los actos legislativos de unifiación de la Unión enumerados en el anexo I, sección A, cuando dichos organismos notificados soliciten su designación en virtud del presente Reglamento, siempre que la legislación de unificación de la Unión procedente disponga dicho procedimiento. )
Un organismo de evaluación de la conformidad designado en virtud de más de uno de los actos de la legislación de armonización de la Unión enumerado en el anexo I, sección A, solo tendrá que presentar una única solicitud para ser designado en virtud del presente Reglamento. La designación en virtud del presente Reglamento será aplicable a todos los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, para los cuales se designe al organismo de evaluación de la conformidad.
(Un organismo de valoración de la adecuación designado en aplicaciónd de más de uno de los actos de la legislación de adecuación de la Unión enumerado en el anexo I, sección A, solo tendrá que presentar una única solicitud para ser designado en virtud del presente Reglamento. La designación en aplicación del presente Reglamento será aplicable a todos los actos legislativos de unificación de la Unión enumerados en el anexo I, sección A, para los cuales se designe al organismo de valoración de la ádecuación.)
La solicitud única y el procedimiento de evaluación unificado evitarán duplicidades innecesarias, se basarán en los procedimientos existentes de designación con arreglo a los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, y garantizarán el cumplimiento de los requisitos relativos a los organismos notificados con arreglo tanto al presente Reglamento como a los actos legislativos de armonización de la Unión pertinentes.
(La solicitud única y el procedimiento de valoración unificado evitarán duplicidades innecesarias, se basarán en los procedimientos existentes de designación con arreglo a los actos legislativos de unificación de la Unión enumerados en el anexo I, sección A, y garantizarán el cumplimiento de los requisitos relativos a los organismos notificados con arreglo tanto al presente Reglamento como a los actos legislativos de unifcación de la Unión correspondientes. )
9. Una autoridad notificante que haya sido designada en virtud de los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, es también la autoridad notificante a efectos de la solicitud única y del procedimiento de evaluación unificado a que se refiere el apartado 8, a menos que el Estado miembro designe otra autoridad notificante a efectos del presente Reglamento.
(Una autoridad notificante que haya sido designada en aplicación de los actos legislativos de unificación de la Unión enumerados en el anexo I, sección A, es también la autoridad notificante a los fines de la solicitud única y del procedimiento de valoración unificado a que se refiere el apartado 8, salvo que el Estado miembro designe otra autoridad notificante a los fines del presente Reglamento.)
El artículo 45 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 45. Obligaciones de información de los organismos notificados
1. Los organismos notificados informarán a la autoridad notificante:
a)
de cualquier certificado de la Unión de evaluación de la documentación técnica, de cualquier suplemento a dichos certificados y de cualesquiera aprobaciones de sistemas de gestión de la calidad expedidas con arreglo a los requisitos establecidos en el anexo VII;
(de cualquier certificado de la Unión de valorción de la documentación técnica, de cualquier suplemento a dichos certificados y de cualesquiera aprobaciones de sistemas de gestión de la calidad emitidas con arreglo a los requisitos establecidos en el anexo VII;)
b)
de cualquier denegación, restricción, suspensión o retirada de un certificado de la Unión de evaluación de la documentación técnica o de una aprobación de un sistema de gestión de la calidad expedida con arreglo a los requisitos establecidos en el anexo VII;
(de cualquier denegación, limitación, suspensión o retirada de un certificado de la Unión de valoración de la documentación técnica o de una aprobación de un sistema de gestión de la calidad emitida de acuerdo con los requisitos establecidos en el anexo VII; )
c)
de cualquier circunstancia que afecte al ámbito de aplicación o a las condiciones de notificación;
d)
de cualquier solicitud de información sobre las actividades de evaluación de la conformidad que hayan recibido de las autoridades de vigilancia del mercado;
(de cualquier solicitud de información sobre las actividades de valoración de la adecuación que hayan recibido de las autoridades de vigilancia del mercado; )
e)
previa solicitud, de las actividades de evaluación de la conformidad realizadas dentro del ámbito de aplicación de su notificación y de cualquier otra actividad realizada, incluidas las actividades transfronterizas y las subcontrataciones.
(previa solicitud, de las actividades de valoración de la adecuaicón realizadas dentro del ámbito de aplicación de su notificación y de cualquier otra actividad realizada, incluidas las actividades transfronterizas y las subcontrataciones.)
2. Cada organismo notificado informará a los demás organismos notificados:
a)
de las aprobaciones de sistemas de gestión de la calidad que haya rechazado, suspendido o retirado y, previa solicitud, de las aprobaciones de sistemas de gestión de la calidad que haya expedido;
(de las aprobaciones de sistemas de gestión de la calidad que haya rechazado, suspendido o retirado y, previa solicitud, de las aprobaciones de sistemas de gestión de la calidad que haya emitido; )
b)
de los certificados de la Unión de evaluación de la documentación técnica o los suplementos a dichos certificados que haya rechazado, retirado, suspendido o restringido de cualquier otro modo y, previa solicitud, de los certificados o los suplementos a estos que haya expedido.
(de los certificados de la Unión de valoración de la documentación técnica o los suplementos a dichos certificados que haya rechazado, retirado, suspendido o limitado de cualquier otro modo y, previa solicitud, de los certificados o los suplementos a estos que haya emitido.)
3. Cada organismo notificado proporcionará a los demás organismos notificados que realicen actividades de evaluación de la conformidad similares y relativas a los mismos tipos de sistemas de IA información pertinente sobre cuestiones relacionadas con resultados negativos y, previa solicitud, con resultados positivos de las evaluaciones de la conformidad.
(Cada organismo notificado faciitará a los demás organismos notificados que realicen actividades de valoración de la adecuacion similares y relativas a los mismos tipos de sistemas de IA información pertinente sobre cuestiones relacionadas con resultados negativos y, previa solicitud, con resultados positivos de las valoraciones de la adecuación).
4. Los organismos notificados protegerán la confidencialidad de la información obtenida, de conformidad con lo dispuesto en el artículo 78.»
El artículo 46 del Reglamento (UE) 2024/1689 dispone lo siguiente:
«Artículo 46. Exención del procedimiento de evaluación de la conformidad
1. Como excepción a lo dispuesto en el artículo 43 y previa solicitud debidamente motivada, cualquier autoridad de vigilancia del mercado podrá autorizar la introducción en el mercado o la puesta en servicio de sistemas de IA de alto riesgo específicos en el territorio del Estado miembro de que se trate por motivos excepcionales de seguridad pública o con el fin de proteger la vida y la salud de las personas, el medio ambiente o activos fundamentales de la industria y de las infraestructuras. Dicha autorización se concederá por un período limitado, mientras se lleven a cabo los procedimientos de evaluación de la conformidad necesarios, teniendo en cuenta los motivos excepcionales que justifiquen la exención. La conclusión de los procedimientos de que se trate se alcanzará sin demora indebida.
(Como excepción a lo dispuesto en el artículo 43 y previa solicitud debidamente justificada, cualquier autoridad de vigilancia del mercado podrá autorizar la introducción en el mercado o la puesta en servicio de sistemas de IA de alto riesgo determinados en el territorio del Estado miembro de que se trate por razones excepcionales de seguridad pública o con el fin de proteger la vida y la salud de las personas, el medio ambiente o activos fundamentales de la industria y de las infraestructuras. Dicha autorización se adjudicará por un período limitado, mientras se lleven a cabo los procedimientos de valoración de la adecuación necesarios, teniendo en cuenta las razones excepcionales que justifiquen la exención. La conclusión de los procedimientos de que se trate se alcanzará sin tardanza indebida. )
2. En una situación de urgencia debidamente justificada por motivos excepcionales de seguridad pública o en caso de amenaza específica, importante e inminente para la vida o la seguridad física de las personas físicas, las autoridades garantes del cumplimiento del Derecho o las autoridades de protección civil podrán poner en servicio un sistema de IA de alto riesgo específico sin la autorización a que se refiere el apartado 1, siempre que se solicite dicha autorización durante o después de la utilización sin demora indebida. Si se deniega la autorización a que se refiere el apartado 1, se suspenderá el uso del sistema de IA de alto riesgo con efecto inmediato y se desecharán inmediatamente todos los resultados y toda la información de salida producidos por dicho uso.
3. La autorización a que se refiere el apartado 1 solo se expedirá si la autoridad de vigilancia del mercado llega a la conclusión de que el sistema de IA de alto riesgo cumple los requisitos establecidos en la sección 2. La autoridad de vigilancia del mercado informará a la Comisión y a los demás Estados miembros de toda autorización expedida de conformidad con los apartados 1 y 2. Esta obligación no comprenderá los datos operativos sensibles relativos a las actividades de las autoridades garantes del cumplimiento del Derecho.
(La autorización a que se refiere el apartado 1 solo se emitirá si la autoridad de vigilancia del mercado llega a la conclusión de que el sistema de IA de alto riesgo cumple los requisitos establecidos en la sección 2. La autoridad de vigilancia del mercado informará a la Comisión y a los demás Estados miembros de toda autorización emitida de adecuación con los apartados 1 y 2. Esta obligación no incluirá los datos operativos sensibles relativos a las actividades de las autoridades garantes del cumplimiento del Derecho. )
4. Si, en el plazo de quince días naturales tras la recepción de la información indicada en el apartado 3, ningún Estado miembro ni la Comisión presentan objeción alguna sobre una autorización expedida por una autoridad de vigilancia del mercado de un Estado miembro con arreglo al apartado 1, la autorización se considerará justificada.
(Si, en el plazo de quince días naturales tras la llegada de la información indicada en el apartado 3, ningún Estado miembro ni la Comisión presentan objeción alguna sobre una autorización emitida por una autoridad de vigilancia del mercado de un Estado miembro de acuerdo con el apartado 1, la autorización se valorará justificada. )
5. Si, en el plazo de quince días naturales tras la recepción de la notificación a que se refiere el apartado 3, un Estado miembro formula objeciones contra una autorización expedida por una autoridad de vigilancia del mercado de otro Estado miembro, o si la Comisión considera que la autorización vulnera el Derecho de la Unión o que la conclusión de los Estados miembros relativa al cumplimiento del sistema a que se refiere el apartado 3 es infundada, la Comisión celebrará consultas con el Estado miembro pertinente sin demora. Se consultará a los operadores de que se trate y se les ofrecerá la posibilidad de exponer sus puntos de vista. En vista de todo ello, la Comisión decidirá si la autorización está justificada o no. La Comisión enviará su decisión al Estado miembro afectado y a los operadores pertinentes.
(Si, en el plazo de quince días naturales tras la llegada de la notificación a que se refiere el apartado 3, un Estado miembro presenta objeciones contra una autorización emitida por una autoridad de vigilancia del mercado de otro Estado miembro, o si la Comisión valora que la autorización vulnera el Derecho de la Unión o que la conclusión de los Estados miembros relativa al cumplimiento del sistema a que se refiere el apartado 3 es injustificada, la Comisión celebrará consultas con el Estado miembro corrspondiente sin tardanza. Se consultará a los operadores de que se trate y se les ofrecerá la posibilidad de exponer sus puntos de vista. En vista de todo ello, la Comisión decidirá si la autorización está justificada o no. La Comisión enviará su decisión al Estado miembro interesado y a los operadores correspondientes. )
6. Si la Comisión considera que la autorización no está justificada, la autoridad de vigilancia del mercado del Estado miembro de que se trate la vigilancia..
(Si la Comisión valora que la autorización no está justificada, la autoridad de vigilancia del mercado del Estado miembro de que se trate la vigilancia.).
7. Si la Comisión considera que la autorización no está justificada, la autoridad de vigilancia del mercado del Estado miembro de que se trate la vigilancia..
(Si la Comisión valora que la autorización no está justificada, la autoridad de vigilancia del mercado del Estado miembro de que se trate la vigilancia..)
El artíuculo 48 del Reglamento (UE) 2024/1689 dispondrá lo siguiente:
«Artículo 48. Marcado CE
1. El marcado CE estará sujeto a los principios generales establecidos en el artículo 30 del Reglamento (CE) n.o 765/2008.
2. En el caso de los sistemas de IA de alto riesgo que se proporcionan digitalmente, se utilizará un marcado CE digital, únicamente si es fácilmente accesible a través de la interfaz desde la que se accede a dicho sistema o mediante un código fácilmente accesible legible por máquina u otros medios electrónicos.
(En el caso de los sistemas de IA de alto riesgo que se suministren digitalmente, se utilizará un marcado CE digital, únicamente si es fácilmente accesible a través de la interfaz desde la que se accede a dicho sistema o mediante un código fácilmente accesible legible por máquina u otros medios electrónicos. )
3. El marcado CE se colocará de manera visible, legible e indeleble en los sistemas de IA de alto riesgo. Cuando esto no sea posible o no pueda garantizarse debido a la naturaleza del sistema de IA de alto riesgo, se colocará en el embalaje o en los documentos adjuntos, según proceda.
( El marcado CE se colocará de manera visible, legible e imborrable en los sistemas de IA de alto riesgo. Cuando esto no sea posible o no pueda garantizarse debido a la naturaleza del sistema de IA de alto riesgo, se colocará en el embalaje o en los documentos adjuntos, según proceda.)
4. En su caso, el marcado CE irá seguido del número de identificación del organismo notificado responsable de los procedimientos de evaluación de la conformidad establecidos en el artículo 43. El número de identificación del organismo notificado lo colocará él mismo o, siguiendo sus instrucciones, el proveedor o el representante autorizado del proveedor. El número de identificación figurará también en todo el material publicitario en el que se mencione que el sistema de IA de alto riesgo cumple los requisitos de marcado CE.
(En su caso, el marcado CE irá seguido del número de identificación del organismo notificado responsable de los procedimientos de valoración de la adecuación establecidos en el artículo 43. El número de identificación del organismo notificado lo colocará él mismo o, siguiendo sus instrucciones, el suministrador o el representante autorizado del suministrador. El número de identificación figurará también en todo el material publicitario en el que se mencione que el sistema de IA de alto riesgo cumple los requisitos de marcado CE.)
5. Cuando los sistemas de IA de alto riesgo estén sujetos a otras disposiciones del Derecho de la Unión que también requieran la colocación del marcado CE, este indicará que los sistemas de IA de alto riesgo también cumplen los requisitos de esas otras disposiciones. «
(Cuando los sistemas de IA de alto riesgo estén sujetos a otras disposiciones del Derecho de la Unión que también exijan la colocación del marcado CE, este indicará que los sistemas de IA de alto riesgo también cumplen los requisitos de esas otras disposiciones.)