Conservación de registros y logs en la Ley de IA de la UE: el artículo 12 para la IA de alto riesgo
Registro del art. 12 para IA de alto riesgo: el sistema registra eventos en automático. El proveedor lo integra; el responsable guarda los logs 6 meses.
La conservación de registros en la Ley de IA de la UE no es un deber de archivo: es un requisito técnico de diseño. El artículo 12 del Reglamento (UE) 2024/1689 establece que un sistema de IA de alto riesgo debe, por su propio diseño, registrar automáticamente eventos («logs») a lo largo de la vida del sistema. El objetivo es la trazabilidad: si algo va mal, debe existir un rastro generado por la máquina que permita reconstruir qué hizo el sistema y cuándo. Dos partes soportan la obligación de forma distinta: el proveedor integra el registro, y el responsable del despliegue conserva los logs que controla durante al menos seis meses. Acierta con ese reparto y desaparece la mayor parte de la confusión en torno a los «logs de auditoría de la IA».
Esta página cubre qué exige el artículo 12, qué registrar, quién conserva qué y cómo conecta con el resto del régimen de alto riesgo: artículos 19, 26, 72 y 73.
Qué dice realmente el artículo 12
El artículo 12 exige que los sistemas de alto riesgo permitan técnicamente el registro automático de eventos a lo largo de su vida. La capacidad de registro está integrada en el sistema; no es un diario manual que alguien rellena. Los eventos registrados tienen que sustentar un nivel de trazabilidad adecuado a la finalidad prevista del sistema, suficiente para identificar situaciones que puedan hacer que el sistema presente un riesgo o sufra una modificación sustancial, para sustentar la vigilancia poscomercialización (artículo 72) y para sustentar la supervisión del responsable del despliegue conforme al artículo 26.
Para una categoría, la Ley es más prescriptiva. Para los sistemas de identificación biométrica remota (anexo III, punto 1), el artículo 12 especifica un registro mínimo: el período de cada uso, la base de datos de referencia consultada, los datos de entrada que produjeron una coincidencia y las personas físicas que intervienen en la verificación de los resultados. La mayoría de los sistemas de alto riesgo no tienen esa lista fija, pero todos necesitan un registro que aporte trazabilidad genuina.
Qué registrar
El artículo 12 fija el estándar («trazabilidad adecuada a la finalidad prevista») en lugar de una lista de campos universal para cada sistema. En la práctica, un log defendible capta:
- Cuándo: marcas de tiempo de cada evento significativo a lo largo del ciclo de vida.
- Qué: la operación realizada, la entrada recibida y la salida producida.
- Estado: versión del modelo, configuración y cualquier umbral en vigor en ese momento.
- Anomalías: errores, repliegues y situaciones que puedan indicar que el sistema presenta un riesgo.
- Acciones humanas: anulaciones, intervenciones y paradas (los eventos de supervisión del artículo 14).
Para la identificación biométrica remota, añade la lista mínima del artículo 12 anterior. Diseña los logs para que sean a prueba de manipulación y consultables: un log que no puedes buscar no sirve de mucho durante un plazo de incidente de 15 días.
Quién conserva qué logs
Aquí es donde más equipos se equivocan, así que conviene precisarlo.
| Parte | Deber | Artículo |
|---|---|---|
| Proveedor | Diseñar el sistema para que registre eventos automáticamente; es una obligación en fase de construcción | Artículo 12 |
| Proveedor | Conservar los logs generados automáticamente que estén bajo su control durante un período adecuado | Artículo 19 |
| Responsable del despliegue | Conservar los logs generados automáticamente bajo su control durante al menos seis meses, salvo que otra norma de la UE o nacional exija más | Artículo 26, apartado 6 |
Así, el artículo 12 es la capacidad; los artículos 19 y 26, apartado 6, son la conservación. El proveedor conserva los logs que controla conforme al artículo 19; el responsable del despliegue conserva los logs que controla conforme al artículo 26, apartado 6 durante al menos seis meses. Quien posee y controla físicamente un conjunto de logs determinado es la parte que debe conservarlo.
Por qué seis meses, y por qué importa
El umbral de seis meses del responsable del despliegue conforme al artículo 26, apartado 6 existe porque los daños que el artículo 12 pretende ayudar a reconstruir —una decisión sesgada, un fallo de funcionamiento, un incidente— suelen aflorar semanas o meses después del hecho. Si los logs se rotan a los treinta días, no puedes investigar una reclamación sobre una decisión tomada en primavera cuando llega en otoño. Seis meses es el mínimo; la legislación sectorial o nacional (los servicios financieros, por ejemplo) puede exigir más, y tu propio análisis de la finalidad prevista puede justificar plazos mayores.
Cómo conecta el registro con el resto del régimen
El artículo 12 rara vez se invoca solo. Los logs son la capa de prueba bajo varios otros deberes:
- Vigilancia poscomercialización (artículo 72): el sistema del proveedor para recopilar y analizar la experiencia de campo funciona con datos de log.
- Notificación de incidentes graves (artículo 73): cuando se produce un incidente grave conforme al artículo 3, apartado 49, los logs aportan el análisis causal y la cronología que necesita el informe del proveedor.
- Supervisión humana (artículo 14): los eventos de anulación e intervención deben registrarse para que la supervisión pueda demostrarse, no solo afirmarse.
- Gestión de riesgos (artículo 9): las anomalías de los logs retroalimentan el sistema vivo de gestión de riesgos.
En otras palabras, un registro débil socava en silencio otras cuatro obligaciones. Un registro sólido las hace auditables.
Ejemplo práctico: un responsable del despliegue y un proveedor que comparten el rastro
Ostsee Klinik-IT GmbH, un operador de TI hospitalaria con unos 240 empleados y aproximadamente 41 M€ de facturación, despliega un sistema de apoyo al triaje clínico de alto riesgo construido por un proveedor externo. El proveedor diseñó el sistema para registrar cada recomendación de triaje, las constantes de entrada, la versión del modelo y cualquier anulación del clínico, cumpliendo así el requisito de capacidad del artículo 12 y conservando los logs en su propia infraestructura conforme al artículo 19. Ostsee, como responsable del despliegue, recibe además una copia de los logs operativos bajo su control y los conserva durante al menos seis meses conforme al artículo 26, apartado 6; de hecho, más tiempo, porque la legislación sobre historiales clínicos lo exige. Cuando un clínico señala una recomendación anómala, los logs permiten a ambas partes reconstruir exactamente qué vio e hizo el sistema. El mismo rastro alimentaría un informe del artículo 73 si la anomalía resultara ser un incidente grave, y alimenta de todos modos la vigilancia poscomercialización del proveedor del artículo 72.
Cómo ayuda Confir
Confir registra cada sistema de alto riesgo con su diseño de registro, la parte responsable de cada conjunto de logs y el reloj de conservación, de modo que la capacidad del artículo 12 y los deberes de conservación de los artículos 19 y 26, apartado 6, se asignan a la parte correcta en lugar de presumirse. Hace visible el umbral de seis meses del responsable del despliegue y enlaza el registro de logs con los flujos de vigilancia del artículo 72 y de incidentes del artículo 73, de modo que el rastro de pruebas queda conectado y no aislado. El motor es determinista y basado en reglas.
Guías relacionadas
- Requisitos de conservación de registros del artículo 12
- Obligaciones del responsable del despliegue del artículo 26
- Obligaciones del responsable del despliegue conforme a la Ley de IA de la UE
- Vigilancia poscomercialización (artículo 72)
- Notificación de incidentes graves del artículo 73
- Documentación técnica del anexo IV
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →