Herramienta · artículos 4, 5, 6, 27, 72 y 73

Seis obligaciones del Reglamento de IA que necesitan dueño

Escalar la IA se suele plantear como una cuestión de capacidades: formar a la gente o crear algún rol nuevo. El Reglamento de IA pregunta otra cosa. En estas seis obligaciones no basta con saber hacerlo: alguien tiene que responder, y tiene que poder enseñarse.

Tres anillos por seis obligaciones: dieciocho casillas sin marcar. Pulsa cualquiera y dice qué habría que poder enseñar y a qué papel le toca. Las marcas las pone quien la recorre, con su organización delante. Ninguna de las seis está en las ruedas de Los anillos no se heredan, y se leen al lado.

18casillas

6obligaciones

18por comprobar

Desliza la rueda en horizontal · pulsa una casilla

Los tres anillos

Lo que tiene que existir: El proceso, el registro o la revisión. Suele ser lo que antes se construye.
Quién responde: Un nombre con margen para decidir. No viene con la capacidad: se asigna, y si no se asigna, la capacidad existe pero no obliga a nadie.
Lo que llega a la persona: Lo único que se ve desde fuera. Si el anillo del medio está vacío, este no se sostiene.

Desde mi punto de vista, el anillo que más cuesta es el del medio.

Lo de dentro suele existir en cuanto una organización lleva un tiempo usando IA: algo de formación, una lista de casos de uso, un circuito de incidencias. Lo que no viene con eso es el nombre de quien responde de cada obligación, y sin ese nombre el anillo de fuera no se sostiene.

Cómo se recorre

Casilla por casilla, y de dentro afuera. Hay constancia si se puede enseñar y hay un nombre detrás. Sin constancia si no consta, aunque se haga. No aplica, con el motivo y la fecha: el 27 y el 72 no obligan a todos, y el día que cambie el uso hay que saber que esa marca dejó de valer.

Una regla que me parece útil: una casilla del anillo de fuera no se marca con constancia si las dos de dentro no la tienen. Lo que llega a la persona depende de lo que existe y de quién responde.

Las dos que se dan por cubiertas

Las prácticas prohibidas. Se suele pensar que son cosa de quien fabrica el sistema, y el 5.1 prohíbe también utilizarlo. Además, el Reglamento (UE) 2026/1744 ha añadido dos prohibiciones que se aplican desde el 2 de diciembre de 2026, así que una revisión firmada antes de esa fecha hay que repetirla.

La alfabetización. Es fácil darla por hecha con un curso. Desde julio de 2026 el artículo 4 es una obligación de medios (adoptar medidas para apoyar la alfabetización), sin un nivel concreto que garantizar, y aun así alguien tiene que decidir qué necesita saber cada grupo: quien supervisa un sistema no necesita lo mismo que quien lo contrata.

Lo que pasa por el proveedor

Dos sectores no se cierran dentro de casa. La vigilancia del 72 es del proveedor, pero se alimenta de datos que tiene quien usa el sistema, y quien lo usa avisa de un incidente grave primero al proveedor (art. 26.5). Si ese canal no está acordado antes, los plazos del 73 empiezan a correr igual.

Lo que la rueda no pinta

Solo estas seis obligaciones. El artículo 26 tiene su propia rueda, y los artículos 8 a 15 también. Tampoco entra lo que es útil y no es obligación (costes, experiencia de usuario, plataforma).

Ver las tres ruedas de quién responde → Y la del artículo 26 →

Las dieciocho casillas en lista (funciona sin JavaScript)

Alfabetización art. 4 · Lo que tiene que existir: Medidas para apoyar la alfabetización del personal y de quien maneje los sistemas en su nombre, según sus conocimientos, el contexto de uso y las personas sobre las que se usan (art. 4.1). Desde el Reglamento (UE) 2026/1744 es obligación de medios: no exige garantizar un nivel concreto a nadie. (Por comprobar; responde: Quien lo fabrica y quien lo usa)
Alfabetización art. 4 · Quién responde: Qué tiene que saber quien supervisa, quien contrata y quien decide con el resultado no es lo mismo. Que el plan distinga grupos lo decide alguien con nombre; un curso igual para todos no reparte nada. (Por comprobar; responde: Quien lo usa, para su personal)
Alfabetización art. 4 · Lo que llega a la persona: Lo que llega a la persona es que quien supervisa el sistema sepa cuándo no fiarse de él. Ahí el art. 4 se cruza con la supervisión humana encomendada del art. 26.2. (Por comprobar; responde: Quien lo usa (art. 26.2))
Prácticas prohibidas art. 5 · Lo que tiene que existir: Constancia de que cada sistema se ha revisado contra las prácticas del art. 5.1. Prohíbe introducir en el mercado, poner en servicio y también utilizar: alcanza a quien lo usa, no solo a quien lo fabrica. Nombrar el reglamento en una política no es esta revisión. (Por comprobar; responde: Los dos, también quien lo utiliza)
Prácticas prohibidas art. 5 · Quién responde: Alguien con autoridad para parar un uso antes de que arranque, y no después de la auditoría. Revisar una lista no es lo mismo que poder decir que no. (Por comprobar; responde: Quien lo usa)
Prácticas prohibidas art. 5 · Lo que llega a la persona: El Reglamento (UE) 2026/1744 añade dos prohibiciones (generar imágenes íntimas de una persona identificable sin su consentimiento, y material de abuso sexual de menores), aplicables desde el 2-12-2026. Una revisión firmada antes de esa fecha no las cubre. (Por comprobar; responde: Los dos)
Inventario y categorización art. 6 y anexo III · Lo que tiene que existir: El reglamento no pide un inventario: pide saber, sistema a sistema, si es de alto riesgo (art. 6.1, por producto del anexo I; art. 6.2, por los casos del anexo III). Sin la lista, esa pregunta no se puede contestar. (Por comprobar; responde: Quien lo usa, para saber qué tiene)
Inventario y categorización art. 6 y anexo III · Quién responde: La excepción del art. 6.3 (tarea de procedimiento limitada, tarea preparatoria, entre otras) la documenta el proveedor antes de introducirlo en el mercado (art. 6.4). Quien lo usa necesita saber si esa evaluación existe y quién la ha leído dentro. (Por comprobar; responde: El proveedor la documenta; quien lo usa la lee)
Inventario y categorización art. 6 y anexo III · Lo que llega a la persona: Si el sistema elabora perfiles de personas físicas, es de alto riesgo siempre, aunque se cumpla una condición del art. 6.3 (último párrafo). Es la casilla que decide qué protecciones le llegan a la persona. (Por comprobar; responde: El proveedor, al categorizar)
Evaluación de impacto art. 27 · Lo que tiene que existir: La evaluación con los seis contenidos del art. 27.1: procesos, periodo y frecuencia, personas afectadas, riesgos, supervisión humana y medidas si el riesgo se materializa. Solo para sistemas de alto riesgo del anexo III, salvo los de infraestructuras críticas (punto 2). Obliga a organismos de Derecho público, a entidades privadas que prestan servicios públicos y a quien despliega determinados sistemas del anexo III, punto 5. Si no se está entre ellos, la marca es «no aplica», con el motivo. (Por comprobar; responde: Quien lo despliega, si está entre los obligados)
Evaluación de impacto art. 27 · Quién responde: El art. 27.2 obliga a actualizarla si algún elemento cambia durante el uso, y alguien tiene que enterarse del cambio. Desde el 2026/1744 puede remitir a la evaluación de impacto de protección de datos en lo que ya cubra (art. 27.4). (Por comprobar; responde: Quien lo despliega, si está entre los obligados)
Evaluación de impacto art. 27 · Lo que llega a la persona: La letra f) del art. 27.1 pide los mecanismos de reclamación. Es la única parte de la evaluación que la persona llega a tocar. (Por comprobar; responde: Quien lo despliega, si está entre los obligados)
Incidentes graves art. 73 · Lo que tiene que existir: Qué cuenta como incidente grave lo dice el art. 3.49, no la escala interna de incidencias. Si la escala no lo recoge, el plazo corre sin que nadie lo sepa. (Por comprobar; responde: Quien lo usa, para poder avisar)
Incidentes graves art. 73 · Quién responde: El proveedor notifica a más tardar a los 15 días de que él o quien lo usa tenga conocimiento; a los 2 si es una infracción generalizada o del art. 3.49.b; a los 10 si hay un fallecimiento (arts. 73.2 a 73.4). Quien lo usa avisa antes al proveedor, inmediatamente (art. 26.5). (Por comprobar; responde: El proveedor notifica; quien lo usa avisa antes)
Incidentes graves art. 73 · Lo que llega a la persona: Tras notificar, el proveedor investiga y no modifica el sistema de un modo que afecte a la evaluación de las causas sin avisar antes a la autoridad (art. 73.6). Lo que llega a la persona depende de que esa investigación se haga. (Por comprobar; responde: El proveedor (art. 73.6))
Vigilancia poscomercialización art. 72 · Lo que tiene que existir: La vigilancia la establece y documenta el proveedor (arts. 72.1 y 72.3), y se alimenta de datos que puede facilitar quien lo despliega (art. 72.2). Lo que tiene quien lo usa es lo que observa: deriva, precisión, fallos en su población real. (Por comprobar; responde: Quien lo usa los observa)
Vigilancia poscomercialización art. 72 · Quién responde: El art. 26.5 pide a quien lo usa informar al proveedor cuando proceda. Quién envía los datos, cada cuánto y por qué canal no lo resuelve ningún cuadro de indicadores. (Por comprobar; responde: Quien lo usa (art. 26.5))
Vigilancia poscomercialización art. 72 · Lo que llega a la persona: Que lo que aparece con el uso real (la deriva, el caso raro) acabe corrigiendo el sistema, y no solo un panel. Las orientaciones con el modelo de plan llegan a más tardar el 2-09-2027, según el 2026/1744. (Por comprobar; responde: El proveedor, si se acordó el canal)