Artículo 21 de la Ley de IA de la UE: cooperación con las autoridades competentes
Artículo 21 de la Ley de IA: el proveedor entrega la documentación del anexo IV y los registros del artículo 12 ante solicitud motivada, en una lengua de
Cuando una autoridad nacional competente envía una solicitud motivada, el reloj empieza a correr. El artículo 21 del Reglamento (UE) 2024/1689 obliga al proveedor de un sistema de IA de alto riesgo a entregar toda la información y documentación necesarias para demostrar la conformidad del sistema —en una lengua oficial del Estado miembro solicitante— y a dar acceso a los registros generados automáticamente cuando los controle. Este es el deber que convierte tu expediente técnico de un documento de estantería en algo sobre lo que un inspector puede actuar.
El sentido del artículo 21 es la exigibilidad: todo el régimen de cumplimiento solo funciona si las autoridades pueden ver realmente las pruebas. Un expediente del anexo IV perfecto que no vas a producir cuando te lo pidan es, a efectos de control, como si no existiera.
Los sistemas autónomos de alto riesgo quedan vinculados desde el 2 de diciembre de 2027 conforme al Digital Omnibus acordado en mayo de 2026 (los sistemas integrados en productos del anexo I desde el 2 de agosto de 2028). Ese aplazamiento ya está adoptado por el Parlamento Europeo y el Consejo, pendiente solo de publicación en el Diario Oficial; véase la salvedad más abajo.
Qué debe producir un proveedor
Ante una solicitud motivada de una autoridad competente, el proveedor debe:
- Facilitar toda la información y documentación necesaria para demostrar la conformidad del sistema de alto riesgo con los requisitos del capítulo III, sección 2: en la práctica, la documentación técnica del anexo IV (elaborada conforme al artículo 11), la declaración UE de conformidad, los registros de la evaluación de la conformidad y la documentación del sistema de gestión de la calidad;
- Facilitarla en una lengua que la autoridad pueda comprender fácilmente: una lengua oficial de la UE del Estado miembro de que se trate;
- Dar acceso a los registros generados automáticamente a que se refiere el artículo 12, cuando dichos registros estén bajo el control del proveedor.
«Solicitud motivada» importa. La autoridad debe indicar por qué pregunta: el artículo 21 no es una licencia de pesca. Pero, una vez dados los motivos, la obligación es contundente: produce las pruebas, en la lengua correcta, dentro del plazo indicado.
| Qué se solicita | De dónde procede | Artículo subyacente |
|---|---|---|
| Documentación técnica | El expediente del anexo IV | Artículo 11 |
| Declaración de conformidad | Contenido del anexo V | Artículo 47 |
| Registros de la evaluación de la conformidad | Control interno u organismo notificado | Artículo 43 |
| Acceso a los registros | Registros que genera el sistema | Artículo 12 |
| Conservación de todo lo anterior | Conservado 10 años | Artículo 18 |
Registros: artículo 12 frente a artículo 19
Dos deberes de registro fáciles de confundir. El artículo 12 exige que el sistema de alto riesgo se diseñe para registrar automáticamente eventos (registros) a lo largo de su vida: la capacidad técnica. El artículo 19 exige al proveedor conservar los registros que genera durante al menos seis meses. El artículo 21 es el deber de acceso: cuando una autoridad lo pide, el proveedor debe darle entrada a los registros del artículo 12 que controla. Diséñalos (artículo 12), consérvalos (artículo 19), entrégalos cuando te los pidan (artículo 21).
El deber de cooperación del responsable del despliegue: artículo 26(12)
El artículo 21 vincula al proveedor. Los responsables del despliegue tienen su propia obligación de cooperación en el artículo 26(12): un responsable del despliegue debe cooperar con las autoridades competentes pertinentes en cualquier actuación que emprendan en relación con el sistema de alto riesgo. Cuando el responsable del despliegue controla los registros (a menudo es así, una vez que un sistema está en uso operativo), los conserva conforme al artículo 26 durante un período adecuado —al menos seis meses— y los produce cuando se le pide. Así, ambos extremos de la cadena de suministro deben cooperar: el proveedor es dueño de las pruebas de conformidad, el responsable del despliegue es dueño del registro operativo.
Dónde se sitúa el artículo 21 en la vigilancia del mercado
El artículo 21 es el desencadenante del lado del proveedor; las facultades de la autoridad provienen del artículo 74 y siguientes. Las autoridades de vigilancia del mercado designadas conforme al marco pueden exigir documentos, llevar a cabo evaluaciones y —conforme al artículo 79— actuar contra un sistema que presenta un riesgo, incluido ordenar medidas correctoras, restricción, retirada o recuperación. Las facultades del artículo 74 y siguientes alcanzan también el código fuente en las circunstancias limitadas y motivadas que el Reglamento permite, cuando la documentación y los registros no bastan para evaluar la conformidad. El artículo 21 es la versión cotidiana de todo esto: la mayoría de las veces, cooperar significa producir el expediente y los registros, rápido y en la lengua correcta.
Ejemplo práctico
Routalyze Oy (un proveedor finlandés ficticio, ~120 empleados, ~24 M€ de facturación) suministra un sistema de IA de alto riesgo que clasifica a los candidatos a un puesto (anexo III, punto 4, empleo). Una autoridad de vigilancia del mercado de otro Estado miembro abre una revisión y envía una solicitud motivada.
- Qué debe producir: la documentación técnica del anexo IV, la declaración de conformidad del artículo 47, los registros de la evaluación de la conformidad del artículo 43 y el acceso a los registros del artículo 12 que Routalyze controla.
- Lengua: la autoridad solicitante es alemana, así que la documentación debe facilitarse en alemán, que esa autoridad «comprenda fácilmente», no solo en el inglés de trabajo de Routalyze.
- Registros: las empresas-empleadoras que son responsables del despliegue operan el sistema en el día a día y poseen los registros operativos; conforme al artículo 26(12) cooperan y producen sus registros, mientras que Routalyze produce los registros de las partes que controla.
- Exposición: no cooperar —negarse, dar largas o aportar un expediente incompleto— se sitúa en el tramo de 15 M€ o el 3 % (artículo 99(4)). Facilitar información incorrecta, incompleta o engañosa a la autoridad es el tramo aparte de 7,5 M€ o el 1 % (artículo 99(5)), nunca el 1,5 %. Conforme al artículo 99(6), una empresa del tamaño de Routalyze paga la cifra inferior entre el porcentaje y la suma fija.
El veredicto: el punto de la lengua alemana y el punto del acceso a los registros son donde las solicitudes reales se atascan. Un expediente que solo existe en inglés, o unos registros que no puedes extraer cuando te los piden, incumplen el artículo 21 aunque el sistema subyacente sea plenamente conforme.
Cómo ayuda Confir
Confir reúne y conserva la documentación del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V por sistema, con un registro de auditoría inmutable, de modo que una solicitud del artículo 21 se convierte en una recuperación en lugar de una carrera contrarreloj. Registra el reparto de roles —proveedor frente a responsable del despliegue— para que cada parte sepa qué pruebas y qué registros debe producir. El motor es basado en reglas y determinista: el paquete de documentación es reproducible, y cada entrada se remonta a la regla que la exigió.
Guías relacionadas
- Lista de comprobación de obligaciones del proveedor (artículo 16)
- Obligaciones del responsable del despliegue explicadas (artículo 26)
- Documentación técnica y anexo IV
- La cooperación del artículo 21 en el texto
- Medidas correctoras y recuperación (artículo 20)
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →