Un responsable del despliegue es, en la palabra del Reglamento de IA, toda persona física o jurídica, autoridad pública, órgano u organismo que utiliza un sistema de IA bajo su propia autoridad, salvo cuando el uso es personal y no profesional (artículo 3(4)). Eso son la mayoría de las empresas: el equipo de recursos humanos que licencia una herramienta de cribado, el prestamista que compra un modelo de puntuación, la compañía de suministro que ejecuta el software de control de un proveedor. Para un sistema de alto riesgo, sus obligaciones están reunidas en el artículo 26 del Reglamento (UE) 2024/1689, doce apartados que el Reglamento (UE) 2026/1744, el ómnibus digital sobre IA, dejó tal como se adoptaron mientras aplazaba la fecha desde la que se aplican: 2 de diciembre de 2027 para los sistemas de alto riesgo según el anexo III, 2 de agosto de 2028 para los componentes de seguridad de los productos del anexo I (artículo 113 modificado). Este artículo lee los doce apartados en orden, después la evaluación de impacto del artículo 27, las tres formas en que un responsable del despliegue se convierte en proveedor, el derecho de la persona afectada a una explicación, el techo de las multas y el registro ISO/IEC 42001 detrás de cada uno, a partir de los dos Reglamentos en CELLAR el 12 de septiembre de 2026. No es asesoramiento jurídico.
Si es usted responsable del despliegue, para empezar
El artículo 26 se aplica a los responsables del despliegue de sistemas de IA de alto riesgo, así que la primera pregunta es si el sistema es de alto riesgo: un componente de seguridad de un producto del anexo I que necesita una evaluación de la conformidad por terceros, o un sistema destinado a uno de los usos enumerados en el anexo III, salvo que una de las condiciones del artículo 6(3) lo saque. La determinación gratuita recorre las preguntas con la lista del anexo III literal. Si el sistema no es de alto riesgo, el artículo 26 no se aplica; el artículo 4 sobre alfabetización en materia de IA y el artículo 50 sobre transparencia siguen aplicándose.
La segunda pregunta es si usted es el responsable del despliegue o ha pasado a ser el proveedor, lo que responde el artículo 25 y trata una sección posterior. Hasta entonces, suponga que utiliza un sistema que un proveedor introdujo en el mercado con su propio nombre, y que las instrucciones de uso del proveedor según el artículo 13 venían con él.
Los doce apartados del artículo 26
26(1), uso conforme a las instrucciones. Adoptar medidas técnicas y organizativas adecuadas para garantizar que el sistema se utiliza de acuerdo con las instrucciones de uso que lo acompañan. Las instrucciones son el documento del proveedor según el artículo 13: la finalidad prevista, el nivel de precisión y solidez, las circunstancias conocidas que conducen a riesgos, las medidas de vigilancia humana, la vida útil esperada y el mantenimiento. Todo lo demás en el artículo 26 remite a ellas.
26(2), vigilancia humana a cargo de personas competentes. Encomendar la vigilancia humana a personas físicas que tengan la competencia, la formación y la autoridad necesarias, así como el apoyo necesario. Este es el apartado que da al artículo 4, la alfabetización en materia de IA, sus dientes para un responsable del despliegue: las personas que vigilan un sistema de alto riesgo están nombradas, y lo que tenían que saber es un registro.
26(3), su propia organización. Las dos obligaciones anteriores se entienden sin perjuicio de otras obligaciones con arreglo al Derecho de la Unión o nacional y de la libertad del responsable del despliegue de organizar sus propios recursos y actividades para aplicar las medidas de vigilancia indicadas por el proveedor. Cómo dota de personal la vigilancia es cosa suya; que la dote, no.
26(4), los datos de entrada. En la medida en que controle los datos de entrada, garantizar que sean pertinentes y suficientemente representativos en vista de la finalidad prevista. Una herramienta de cribado alimentada solo con las candidaturas que llegaron a una bandeja de entrada concreta es un problema del responsable del despliegue, no del proveedor.
26(5), vigilar, y parar cuando hay un riesgo. Vigilar el funcionamiento sobre la base de las instrucciones de uso y, cuando proceda, informar al proveedor según el artículo 72. Cuando tenga motivos para considerar que el uso conforme a las instrucciones puede dar lugar a que el sistema presente un riesgo en el sentido del artículo 79(1), informar sin demora indebida al proveedor o distribuidor y a la autoridad de vigilancia del mercado, y suspender el uso. Cuando detecte un incidente grave, informar inmediatamente primero al proveedor, después al importador o distribuidor y a las autoridades de vigilancia del mercado; si no puede localizar al proveedor, el artículo 73 se le aplica a usted como al proveedor. Las entidades financieras sujetas al Derecho de servicios financieros de la Unión cumplen la obligación de vigilancia mediante sus normas de gobernanza interna.
26(6), conservar los registros. Conservar los registros que el sistema genera automáticamente, en la medida en que estén bajo su control, durante un periodo adecuado a la finalidad prevista y de al menos seis meses, salvo que el Derecho de la Unión o nacional, en particular el de protección de datos, disponga otra cosa. Las entidades financieras los conservan como parte de su documentación de servicios financieros.
26(7), informar antes a los trabajadores. Antes de poner en servicio o utilizar un sistema de alto riesgo en el lugar de trabajo, un empleador informa a los representantes de los trabajadores y a los trabajadores afectados de que estarán sujetos a su uso, con arreglo a las normas de la Unión y nacionales sobre información a los trabajadores cuando se apliquen. Es una obligación que corre antes del primer uso, no después.
26(8), los organismos públicos se registran. Los responsables del despliegue que son autoridades públicas o instituciones, órganos u organismos de la Unión cumplen las obligaciones de registro del artículo 49; si el sistema que prevén utilizar no está en la base de datos de la UE del artículo 71, no lo utilizan e informan al proveedor o distribuidor.
26(9), la EIPD. Cuando proceda, utilizar la información facilitada por el proveedor según el artículo 13 para realizar la evaluación de impacto relativa a la protección de datos según el artículo 35 del RGPD o el artículo 27 de la Directiva (UE) 2016/680. Las instrucciones de uso son un insumo de un documento que la mayoría de los responsables del despliegue ya redactan.
26(10), identificación biométrica remota en diferido. Un apartado para los cuerpos policiales: una autorización previa, o en un plazo de 48 horas, de una autoridad judicial o administrativa cuya decisión sea vinculante para cada uso en una búsqueda selectiva, ningún uso indiscriminado, ninguna decisión adversa basada solo en la salida, un expediente policial por cada uso, e informes anuales a las autoridades de vigilancia del mercado y de protección de datos.
26(11), informar a las personas. Los responsables del despliegue de sistemas del anexo III que toman decisiones, o ayudan a tomarlas, relativas a personas físicas informan a esas personas de que están sujetas al uso del sistema de alto riesgo, sin perjuicio de las obligaciones de transparencia del artículo 50. Para los cuerpos policiales se aplica en su lugar el artículo 13 de la Directiva (UE) 2016/680.
26(12), cooperar. Cooperar con las autoridades competentes en cualquier acción que emprendan en relación con el sistema para aplicar el Reglamento.
El artículo 27, la evaluación de impacto relativa a los derechos fundamentales
Tres clases de responsables del despliegue asumen una obligación más antes del primer uso de un sistema del anexo III, ámbito 2 (infraestructuras críticas) exceptuado: los organismos de Derecho público, las entidades privadas que prestan servicios públicos, y los responsables del despliegue de los sistemas de solvencia y calificación crediticia del punto 5(b) y de los sistemas de seguros de vida y de salud del punto 5(c). El artículo 27(1) enumera seis elementos de los que consta la evaluación: una descripción de los procesos del responsable del despliegue en los que se utilizará el sistema conforme a su finalidad prevista; el periodo y la frecuencia de uso; las categorías de personas físicas y grupos que probablemente se vean afectados; los riesgos específicos de perjuicio para ellos, teniendo en cuenta la información del proveedor según el artículo 13; una descripción de la aplicación de las medidas de vigilancia humana; y las medidas que se adoptarán si los riesgos se materializan, incluidos la gobernanza interna y los mecanismos de reclamación.
La evaluación se aplica al primer uso, puede basarse en una evaluación anterior en casos similares, y se actualiza cuando cambia algún elemento (artículo 27(2)). Sus resultados se notifican a la autoridad de vigilancia del mercado en la plantilla de la Oficina de IA (artículo 27(3) y (5)). El artículo 27(4), modificado el 27 de julio de 2026, permite al responsable del despliegue remitirse a las secciones pertinentes de su evaluación de impacto relativa a la protección de datos, o incluir partes de ella, en lugar de escribir dos veces el solapamiento; el texto original solo decía que las dos evaluaciones se complementan.
Cuándo un responsable del despliegue pasa a ser proveedor
El artículo 25(1) nombra tres circunstancias en las que un distribuidor, importador, responsable del despliegue u otro tercero se considera proveedor de un sistema de alto riesgo, con las obligaciones del artículo 16 que lo acompañan: pone su nombre o marca en un sistema de alto riesgo ya en el mercado, sin perjuicio de acuerdos contractuales que asignen las obligaciones de otro modo; introduce una modificación sustancial en un sistema de alto riesgo de modo que siga siendo de alto riesgo; o modifica la finalidad prevista de un sistema que no era de alto riesgo, incluido un sistema de IA de uso general, de modo que pase a serlo según el artículo 6. El ajuste fino de un modelo licenciado para un uso del anexo III es el tercer caso. Cuando ocurre, el proveedor inicial deja de ser proveedor de ese sistema (artículo 25(2)) y, en la versión modificada, debe cooperar con el nuevo: documentación técnica suficiente para evaluar el cumplimiento del artículo 16, las limitaciones y modos de fallo conocidos, y acceso técnico específico para pruebas y validación, salvo que el proveedor inicial haya especificado claramente que su sistema no debe convertirse en uno de alto riesgo.
Por debajo de esa línea, el artículo 25(4), modificado, pide al proveedor de un sistema de alto riesgo y a todo tercero que suministre componentes, herramientas, servicios o modelos utilizados en él que especifiquen por acuerdo escrito la información, las capacidades, el acceso técnico y la asistencia que el proveedor necesita para cumplir. Un responsable del despliegue que suministra datos o infraestructura a su proveedor es uno de esos terceros; el acuerdo es donde eso se escribe. La correspondencia del Reglamento de IA cubre el lado del proveedor, el artículo 17 y los artículos 9 a 15.
El artículo 86, el derecho a una explicación
Toda persona afectada sujeta a una decisión que el responsable del despliegue tome sobre la base de la salida de un sistema del anexo III (ámbito 2 exceptuado) y que produzca efectos jurídicos o le afecte significativamente de modo similar, de una manera que considere adversa para su salud, seguridad o derechos fundamentales, tiene derecho a obtener del responsable del despliegue explicaciones claras y significativas sobre el papel del sistema en el procedimiento de toma de decisiones y los principales elementos de la decisión adoptada (artículo 86(1)). Solo se aplica en la medida en que el Derecho de la Unión no prevea ya ese derecho (artículo 86(3)), y se dirige al responsable del despliegue, no al proveedor: la explicación debe poder producirse a partir de lo que el responsable del despliegue conservó.
El techo
El incumplimiento de las obligaciones de los responsables del despliegue según el artículo 26 está en la lista del artículo 99(4): multas administrativas de hasta 15 000 000 euros o, si se trata de una empresa, el 3 % del volumen de negocios mundial total anual del ejercicio anterior, si esta cifra es superior, y para las pymes, y desde la modificación para las pequeñas empresas de mediana capitalización, la inferior (artículo 99(6) y (6a)). El artículo 27 y el artículo 86 no están en esa lista; según el artículo 99(1), modificado, los Estados miembros establecen las sanciones para cualquier otra infracción.
El registro, apartado por apartado
Cada apartado del artículo 26 termina en algo que un responsable del despliegue conserva, e ISO/IEC 42001 es una norma de sistemas de gestión cuyo anexo A ya nombra el control que lo conserva. La tabla es la lectura de StandardOS, comprobable contra los dos textos; el Reglamento no nombra ninguna norma ni confiere a los responsables del despliegue presunción de conformidad alguna por un certificado ISO.
| Artículo 26 | Lo que se conserva | ISO 42001 |
|---|---|---|
| 26(1) | Las instrucciones de uso, y las medidas adoptadas para seguirlas | A.9.4, A.9.2 |
| 26(2) | Quién vigila cada sistema, su competencia, formación y autoridad | 7.2, A.4.6, A.3.2 |
| 26(4) | Qué datos de entrada están bajo su control y cómo se comprobó su pertinencia | A.7.4, A.7.3 |
| 26(5) | El registro de vigilancia, los avisos de riesgo, la decisión de suspensión, las notificaciones de incidentes | A.6.2.6, A.8.4, A.8.3 |
| 26(6) | Los registros del sistema, con un periodo de conservación por sistema | A.6.2.8 |
| 26(7) | La información dada a los representantes de los trabajadores y a los trabajadores, fechada antes del primer uso | A.8.5, A.2.2 |
| 26(9) | La EIPD, con la información del artículo 13 que utilizó | A.5.2, A.5.3 |
| 26(11) | El aviso a las personas físicas sujetas a decisiones | A.8.2, A.8.4 |
| 27 | La evaluación de impacto relativa a los derechos fundamentales, seis elementos, y su notificación | A.5.2 a A.5.5 |
| 25(1), 25(4) | El registro de sistemas con el proveedor nombrado, y el acuerdo escrito | A.10.2, A.10.3 |
| 86 | En qué se basó la decisión, producible por decisión | A.6.2.8, A.8.2 |
Cuatro apartados no están en la tabla: el 26(3) preserva su libertad de organización; el 26(8), el registro de los organismos públicos según el artículo 49, es su propio registro en la base de datos de la UE; el 26(10) es un expediente policial; y el 26(12) es la cooperación cuando actúa una autoridad.
Qué hacer antes de la fecha
Redacte el registro de sistemas de IA en uso con el proveedor y la finalidad prevista de cada uno, y marque cuáles son de alto riesgo con la determinación que dice por qué. Para cada uno de ellos, archive las instrucciones de uso del proveedor, nombre a los vigilantes y en qué se les formó, fije la conservación de los registros, y ponga en el calendario la información a los trabajadores y el aviso a las personas físicas antes del primer uso. Si es un organismo público, un prestador de servicios públicos o un responsable del despliegue en crédito o seguros, redacte ahora la evaluación del artículo 27 conforme a sus seis elementos y alinéela con la EIPD. Después lea el artículo 25 frente a cada modificación que haya hecho a un sistema licenciado: el día en que un modelo ajustado pasa a ser de alto riesgo es el día en que debe el artículo 16, no el artículo 26.