Artículo 20 de la Ley de IA de la UE: medidas correctoras y recuperación

Un proveedor descubre que un sistema de IA de alto riesgo ya en el mercado no es —o puede no ser— conforme con el Reglamento (UE) 2024/1689. ¿Y ahora qué? El artículo 20 responde en una palabra: inmediatamente. El proveedor debe actuar sin esperar a que una autoridad se lo indique y debe accionar la palanca correcta de un conjunto definido: poner el sistema en conformidad, retirarlo, desactivarlo o recuperarlo, y luego avisar a todos los que aguas abajo de la cadena deban saberlo.

Este es el deber de autovigilancia del proveedor. Se sitúa entre dos vecinos: la vigilancia poscomercialización del artículo 72, que es cómo te enteras, y la notificación de incidentes graves del artículo 73, que es cómo escalas. El artículo 20 es la acción que tomas en medio.

Los sistemas autónomos de alto riesgo deben cumplir estas obligaciones desde el 2 de diciembre de 2027 (los sistemas integrados en productos del anexo I, desde el 2 de agosto de 2028). La fecha original era el 2 de agosto de 2026; la aplazó el Reglamento (UE) 2026/1744 (Ómnibus Digital), publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026.

---

Qué exige el artículo 20

El artículo 20 se aplica a un proveedor que considera, o tiene motivos para considerar, que un sistema de IA de alto riesgo que ha introducido en el mercado o puesto en servicio no es conforme con el Reglamento. El desencadenante no es la certeza: basta una base razonable de preocupación.

Ante ese desencadenante, el proveedor debe inmediatamente:

1. Adoptar las medidas correctoras necesarias —elegir la respuesta proporcionada—:
   • poner el sistema en conformidad (una corrección, un reentrenamiento, un cambio de configuración);
   • retirarlo: sacarlo del mercado para que deje de comercializarse;
   • desactivarlo: detener su funcionamiento cuando la retirada no es viable;
   • recuperarlo: traer de vuelta del campo las copias desplegadas.
2. Informar a los operadores pertinentes: los distribuidores del sistema y, cuando proceda, los responsables del despliegue, el representante autorizado y los importadores.

«Retirar», «desactivar» y «recuperar» no son intercambiables. La retirada detiene el suministro ulterior; la recuperación revierte el suministro ya realizado; la desactivación neutraliza un sistema que no puedes recuperar físicamente, cada vez más la opción realista para la IA prestada en la nube.

---

Cuando el sistema presenta un riesgo: notifica a la autoridad

El apartado 1 del artículo 20 gestiona la notificación a la cadena de suministro. Pero en el momento en que el sistema presenta un riesgo en el sentido del artículo 79, apartado 1, entra en juego el apartado 2 del mismo artículo y se activa la maquinaria más amplia. El proveedor que tenga conocimiento de tal riesgo debe investigar inmediatamente sus causas, en colaboración con el responsable del despliegue que lo haya notificado cuando proceda, e informar a la autoridad de vigilancia del mercado pertinente y, en su caso, al organismo notificado; y, cuando se haya producido un incidente grave, seguir el artículo 73. Aquí es donde el artículo 20 entrega el testigo al procedimiento del artículo 79 para los sistemas de IA que presentan un riesgo: el proceso de la autoridad para evaluar y, si es necesario, imponer medidas correctoras en todo un Estado miembro o toda la Unión.

La secuencia en la práctica: seguimiento (artículo 72) → identificar la no conformidad → actuar e informar a la cadena (artículo 20) → si hay un incidente grave, notificarlo (artículo 73) → si la autoridad interviene, se ejecuta el procedimiento del artículo 79.

---

Cómo se conecta el artículo 20 con sus vecinos

• Artículo 72: vigilancia poscomercialización. Los proveedores deben operar un sistema de seguimiento documentado que recoge activamente datos de rendimiento una vez que un sistema de alto riesgo está activo. Es el radar de alerta temprana; el artículo 20 es lo que haces cuando el radar pita. Un plan de seguimiento forma parte de la documentación técnica del anexo IV y debe existir antes del lanzamiento.
• Artículo 73: notificación de incidentes graves. Cuando un sistema de alto riesgo causa o contribuye a una muerte, un daño grave a la salud, una alteración grave e irreversible de una infraestructura crítica, el incumplimiento de obligaciones en virtud del Derecho de la Unión destinadas a proteger los derechos fundamentales, o un daño grave a la propiedad o al medio ambiente, el proveedor lo notifica a la autoridad de vigilancia del mercado dentro de plazos estrictos. El artículo 73 es escalado; el artículo 20 es remediación. Un mismo suceso a menudo desencadena ambos.
• Artículo 79: procedimiento para sistemas no conformes. Cuando una autoridad de vigilancia del mercado tiene motivos suficientes para considerar que un sistema presenta un riesgo, lo evalúa y puede exigir al operador que adopte medidas correctoras, lo restrinja, lo retire o lo recupere. La acción voluntaria del artículo 20 y la acción impuesta del artículo 79 son las dos mitades de la misma lógica de control, y hacer bien el artículo 20 es la mejor forma de evitar que te apliquen el artículo 79.

---

Ejemplo práctico

Selvanta Analytics OÜ (un proveedor estonio ficticio, ~45 empleados, ~6 M€ de facturación) comercializa un modelo de solvencia de alto riesgo (anexo III, punto 5(b)) a prestamistas de toda la UE. Su seguimiento del artículo 72 detecta que, tras un cambio de fuente de datos, la tasa de error del modelo para un segmento de solicitantes se ha desviado muy por fuera del rango validado: una probable infracción del requisito de precisión del artículo 15.

• Se desencadena el artículo 20: Selvanta tiene ahora motivos para considerar no conforme el sistema activo. Debe actuar inmediatamente.
• Acción elegida: como el modelo funciona como una API alojada que los prestamistas invocan, Selvanta desactiva la vía de puntuación afectada y revierte a la última versión validada mientras reentrena —retirar una API no es viable, desactivar es la palanca proporcionada—.
• Informar a la cadena: notifica a los prestamistas responsables del despliegue y a sus distribuidores en la UE, con el alcance y el calendario de la corrección.
• Autoridad e incidente: no se ha producido ninguna muerte ni daño grave, así que no se desencadena el artículo 73, pero la dimensión de derechos fundamentales de la puntuación crediticia hace que Selvanta informe a la autoridad de vigilancia del mercado pertinente de la no conformidad y de la medida correctora.
• Exposición: no actuar conforme al artículo 20 se sitúa en el tramo de 15 M€ o el 3 % (artículo 99(4)); conforme al artículo 99(6), una empresa del tamaño de Selvanta paga la cifra inferior entre el porcentaje y la cantidad fija. Actuar con prontitud y documentarlo es también la mitigación más sólida si una autoridad revisa después el expediente.

El veredicto: el techo de la multa es real, pero el punto operativo es más afilado: un proveedor que no puede pasar de «detectamos un problema» a «lo desactivamos y avisamos a la cadena» en cuestión de días no tiene un proceso conforme al artículo 20; tiene una responsabilidad.

---

Cómo ayuda Confir

Confir mantiene un registro de toda la organización de cada sistema de IA con su rol y clasificación, y ejecuta la evaluación de gobernanza y de vigilancia poscomercialización que alimenta una respuesta conforme al artículo 20: el registro de medidas correctoras, la lista de notificación a la cadena de suministro y el enlace con el seguimiento del artículo 72 y la notificación del artículo 73. El motor es basado en reglas y determinista: los mismos hechos de no conformidad producen la misma lista de acciones requeridas cada vez, con la regla que se activó mostrada en lenguaje claro.

---

Guías relacionadas

• Lista de comprobación de obligaciones del proveedor (artículo 16)
• La vigilancia poscomercialización explicada (artículo 72)
• Notificación de incidentes graves (artículo 73)
• Las medidas correctoras del artículo 20 en el texto
• Modificación sustancial (artículo 3(23))