¿Qué pasa con tus secretos comerciales cuando entregas la documentación del Reglamento de IA? (artículo 78)
El artículo 78 obliga a autoridades, organismos notificados y la Comisión a proteger los secretos comerciales de tu documentación: código fuente y PI.
Cumplir el Reglamento de IA de la UE implica entregar tu material más sensible —la documentación técnica del anexo IV, los detalles del modelo y, a veces, el código fuente— a los reguladores y a los organismos de evaluación de la conformidad. El miedo es razonable: ¿expongo así mi propiedad intelectual? El artículo 78 del Reglamento (UE) 2024/1689 es la respuesta. Obliga a las autoridades, los organismos notificados y la Comisión a respetar la confidencialidad de la información y los secretos comerciales que obtengan, y te dice qué protección puedes esperar —y dónde están los límites.
Esta página expone el deber del artículo 78, qué cubre, las excepciones y cómo encaja con las comunicaciones que aún se te pueden exigir. Para los documentos en sí, consulta los requisitos de la documentación técnica del anexo IV y las obligaciones del proveedor en general.
La respuesta en un párrafo
El artículo 78 obliga a toda parte que obtenga información en virtud del Reglamento de IA —autoridades nacionales competentes, organismos notificados, la Comisión y quien actúe en su nombre— a respetar la confidencialidad de esa información y a proteger los derechos de propiedad intelectual, los secretos comerciales y la información empresarial confidencial, incluido el código fuente. Solo pueden usar lo que recopilan para el fin para el que se recopiló. La protección es sólida, pero no absoluta: cede cuando la comunicación es necesaria para proteger la salud, la seguridad o los derechos fundamentales, y no bloquea los procedimientos judiciales ni los deberes de transparencia concretos que el propio Reglamento impone.
Qué protege realmente el artículo 78
El artículo 78 es un deber que te deben quienes reciben tu material. Cubre tres cosas de forma expresa:
- La confidencialidad de la información y los datos obtenidos al desempeñar tareas en virtud del Reglamento.
- Los derechos de propiedad intelectual, la información empresarial confidencial y los secretos comerciales: el artículo 78 menciona el código fuente como ejemplo concreto de material cuya confidencialidad debe protegerse.
- La integridad y la seguridad de la información, con la obligación de implantar medidas técnicas y organizativas adecuadas.
Lo decisivo: los destinatarios solo pueden solicitar los datos estrictamente necesarios para evaluar el riesgo y ejercer sus competencias, y usarlos únicamente para el fin para el que se recopilaron. Una autoridad de vigilancia del mercado no puede reutilizar legalmente tu resumen de los datos de entrenamiento para una investigación ajena, ni pasar las interioridades de tu modelo a un competidor.
A quién obliga
El deber alcanza a toda la cadena de supervisión: las autoridades nacionales competentes designadas conforme al artículo 70, los organismos notificados designados conforme al artículo 31, la Comisión y la Oficina de IA, y cualquier persona física o jurídica que actúe en su nombre, incluidos los expertos externos. También les obliga a tratar la información clasificada con arreglo a las normas de seguridad pertinentes.
Qué puede esperar un proveedor al entregar la documentación
En la práctica, el artículo 78 te permite presentar un expediente técnico real y no uno vacío. De ahí se derivan tres expectativas:
- Tu expediente del anexo IV se queda dentro de la cadena de supervisión. La documentación técnica que preparas conforme al artículo 11 —descripción del sistema, decisiones de diseño, datos, pruebas, registros de gestión de riesgos— es información empresarial protegida. No se publica y no puede entregarse a terceros fuera del fin para el que se recopiló.
- El código fuente recibe la máxima protección y solo se solicita cuando hace falta. El artículo 78 singulariza el código fuente; las autoridades lo piden solo cuando es necesario para evaluar la conformidad y otros medios menos intrusivos no han bastado. No es un envío rutinario.
- La necesidad y la limitación de finalidad acotan la petición. Puedes oponerte a una solicitud que exceda lo estrictamente necesario para la evaluación concreta. El principio está incorporado en el propio artículo.
| Material que presentas | ¿Protegido por el art. 78? | Destinatario habitual |
|---|---|---|
| Documentación técnica del anexo IV (art. 11) | Sí — información empresarial confidencial | Autoridad nacional / organismo notificado |
| Código fuente | Sí — mencionado expresamente; solo se pide cuando es necesario | Autoridad, mediante solicitud justificada |
| Secretos comerciales / interioridades del modelo | Sí — protección de secreto comercial + PI | Autoridad / organismo notificado / Comisión |
| La declaración UE de conformidad pública (art. 47) | No — está pensada para expedirse y conservarse | La expides tú; las autoridades pueden solicitarla |
Fíjate en el contraste de la última fila: la declaración de conformidad del artículo 47 y el marcado CE están pensados para ser visibles —son tu atestación pública, no material confidencial—. El artículo 78 protege las pruebas que respaldan la atestación, no la atestación en sí.
Los límites: dónde cede la confidencialidad
El artículo 78 está matizado, y un proveedor debe saber exactamente dónde se detiene la protección.
- Salud, seguridad y derechos fundamentales. La confidencialidad no impide la divulgación cuando es necesaria para proteger a las personas. Una autoridad puede actuar sobre información que revele un riesgo grave y, cuando sea necesario, compartirla.
- Procedimientos judiciales y administrativos. El artículo 78 no anula la comunicación exigida en procedimientos legales.
- Intercambio de información entre autoridades. Las autoridades y la Comisión pueden compartir información entre sí con fines de supervisión, pero los destinatarios quedan sujetos al mismo deber de confidencialidad, de modo que la protección viaja con los datos.
- Los propios deberes de transparencia del Reglamento. El artículo 78 no desactiva las obligaciones de cara al público que el Reglamento impone: el registro en la base de datos de la UE conforme al artículo 49 (los campos de registro público), las comunicaciones de transparencia del artículo 50 o la declaración del artículo 47. Son puntos de transparencia deliberados, no incumplimientos de la confidencialidad.
La estructura es sensata: las pruebas que presentas para demostrar la conformidad son confidenciales; el hecho de la conformidad, y la información crítica para la seguridad que los reguladores necesitan para proteger al público, no lo son.
Cómo interactúa el artículo 78 con los artículos 21 y 74
Dos competencias de divulgación suelen aparecer junto al artículo 78, y no lo contradicen.
El artículo 21 permite a una autoridad nacional competente formular una solicitud motivada de la información y la documentación necesarias para demostrar la conformidad de un sistema de alto riesgo, en una lengua oficial de la UE. Debes facilitarla, pero la autoridad la recibe bajo el deber de confidencialidad del artículo 78. Consulta el artículo 21.
El artículo 74 y las siguientes disposiciones de vigilancia del mercado otorgan a las autoridades competencias de investigación, incluido el acceso a la documentación, el código fuente y los datos cuando esté justificado. De nuevo, lo que obtienen se conserva bajo el artículo 78. El deber de divulgación (debes entregarlo) y el deber de confidencialidad (deben protegerlo) son las dos caras del mismo pacto. Consulta la vigilancia del mercado.
La misma lógica se aplica a tu notificación de incidentes graves conforme al artículo 73: tú notificas, la autoridad recibe el informe bajo la protección del artículo 78. Las obligaciones de divulgación y de confidencialidad corren en paralelo, no en conflicto.
Ejemplo práctico: un proveedor sopesa qué presentar
Quellcode GmbH —una empresa alemana ficticia de 70 personas (~12 M€ de facturación)— proporciona un sistema de cribado de selección de personal de alto riesgo y se prepara para una solicitud de la autoridad tras una reclamación.
- El expediente del anexo IV. Quellcode presenta su documentación técnica completa del artículo 11 —diseño del sistema, gobernanza de datos, pruebas, registros de gestión de riesgos—. Conforme al artículo 78 es información empresarial confidencial; se queda dentro de la cadena de supervisión y no puede reutilizarse.
- Una solicitud de código fuente. La autoridad indica que podría necesitar partes del código fuente. Quellcode señala que el artículo 78 menciona el código fuente expresamente y que las solicitudes deben ser estrictamente necesarias; pide a la autoridad que justifique la necesidad y acote la solicitud, algo que el artículo respalda.
- La declaración y el registro. La declaración de conformidad del artículo 47 de Quellcode y sus campos de registro del artículo 49 no son confidenciales: son la atestación pública. No los trata como protegidos.
- Un hallazgo crítico para la seguridad. Si la evaluación detecta un riesgo grave para los derechos fundamentales de los candidatos, Quellcode acepta que el artículo 78 no impediría que la autoridad actuara sobre esa información relevante para la seguridad o la compartiera.
El veredicto: Quellcode puede presentar un expediente técnico genuino y completo con la confianza de que su PI y su código fuente están protegidos, reconociendo a la vez que las atestaciones públicas y la excepción de seguridad quedan fuera de esa protección. Por ser una pyme, su exposición a sanciones está limitada a la cifra inferior conforme al artículo 99(6).
Cómo ayuda Confir
Confir ensambla el paquete de documentación técnica del anexo IV / artículo 11 y la declaración de conformidad del artículo 47 / anexo V que presenta un proveedor, y mantiene clara la distinción que importa al artículo 78: las pruebas confidenciales que respaldan la conformidad frente a la atestación pública de la misma. El motor es determinista y basado en reglas, de modo que el expediente que entregas a una autoridad es reproducible y la regla que motivó cada clasificación es visible y defendible ante una auditoría. Para ver qué pediría una solicitud, empieza por las obligaciones del proveedor y los requisitos del anexo IV.
Guías relacionadas
- Documentación técnica del anexo IV
- Obligaciones del proveedor
- Artículo 21 — solicitudes motivadas
- Vigilancia del mercado en el Reglamento de IA
- Artículo 73 — notificación de incidentes graves
- Declaración UE de conformidad (artículo 47)
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →