Artículo 18 del Reglamento de IA: conservar la documentación durante 10 años
El artículo 18 del RIA obliga al proveedor de IA de alto riesgo a conservar el expediente técnico, el SGC y la declaración UE 10 años para las autoridades.
Elaboraste un expediente técnico del anexo IV impecable en 2026, distribuiste el sistema y, tres años después, la responsable de cumplimiento se ha marchado, el expediente está en un portátil dado de baja y la autoridad de vigilancia del mercado finlandesa acaba de pedir verlo. Ese es justo el escenario que el artículo 18 del Reglamento (UE) 2024/1689 está diseñado para evitar. Impone un deber distinto y continuado al proveedor de un sistema de IA de alto riesgo: mantener la documentación especificada a disposición de las autoridades nacionales competentes durante 10 años después de que el sistema se introduzca en el mercado o se ponga en servicio.
Este es el deber de conservación, separado de elaborar el expediente técnico (artículo 11) y de establecer el sistema de gestión de la calidad (artículo 17). Esta guía cubre qué exige el artículo 18, el paquete de cinco elementos que debe quedar a disposición, cuándo arranca el reloj y por qué no se detiene, y en qué se distingue el deber del régimen de conservación de registros de los artículos 12/19/26.
Qué exige el artículo 18: el deber de conservación documental
El artículo 18(1) trata de la custodia y la disponibilidad en el tiempo, no de la creación inicial. El artículo 11 te obliga a elaborar la documentación técnica del anexo IV; el artículo 17, a establecer y mantener el SGC; el artículo 18, a conservar un conjunto definido de documentos a disposición de las autoridades durante una década. Los tres son secuenciales, no intercambiables.
"A disposición de" las autoridades nacionales competentes significa disponible previa solicitud, no presentado de forma proactiva. Las autoridades pueden exigir el paquete en cualquier punto de la ventana de 10 años, lo que enlaza con las facultades de acceso e inspección en torno al artículo 21 y con el régimen de vigilancia del mercado del artículo 74. Debes poder producirlo, completo y actualizado, a demanda.
El artículo 18 es la obligación de evidencia de cola larga que hace exigible todo el expediente de alto riesgo años después del lanzamiento: un expediente perfecto que ya no existe cuando una autoridad lo pide es un incumplimiento. El incumplimiento se sitúa en el tramo de 15 millones EUR o el 3 % del volumen de negocios anual mundial total, lo que sea mayor, conforme al artículo 99(4); el artículo 99(6) limita a empresas y empresas emergentes al menor entre la suma fija y el porcentaje.
Qué debe conservarse: el paquete de cinco elementos
El artículo 18(1) enumera exactamente qué debe mantenerse disponible, algo más amplio que el expediente técnico por sí solo, y es el punto donde la obligación más claramente se aparta del artículo 11.
- (a) La documentación técnica del anexo IV elaborada conforme al artículo 11.
- (b) La documentación relativa al sistema de gestión de la calidad conforme al artículo 17.
- (c) Cuando proceda, la documentación sobre los cambios aprobados por los organismos notificados.
- (d) Cuando proceda, las decisiones y demás documentos emitidos por los organismos notificados, por ejemplo certificados de conformidad e informes de evaluación.
- (e) La declaración UE de conformidad elaborada conforme al artículo 47, cuyo contenido se especifica en el anexo V.
| Elemento | Fuente | Quién lo produce | ¿Siempre obligatorio? |
|---|---|---|---|
| (a) Documentación técnica | Artículo 11 / anexo IV | Proveedor | Sí |
| (b) Documentación del SGC | Artículo 17 | Proveedor | Sí |
| (c) Documentación de cambios aprobados | Organismo notificado | Organismo notificado | Solo cuando aplica la vía del anexo VII |
| (d) Decisiones del organismo notificado | Organismo notificado | Organismo notificado | Solo cuando aplica la vía del anexo VII |
| (e) Declaración UE de conformidad | Artículo 47 / anexo V | Proveedor | Sí |
Los elementos (c) y (d) dependen de que haya intervenido un organismo notificado, normalmente por la vía de tercero del anexo VII. La mayoría de los proveedores autónomos del anexo III se autoevalúan conforme al anexo VI, de modo que para ellos solo existen (a), (b) y (e). Un límite que conviene anotar: los sistemas de aprendizaje continuo y las modificaciones sustanciales hacen que el expediente conservado deba reflejar el sistema tal como evolucionó de hecho, no una instantánea congelada de 2026.
El reloj de 10 años: cuándo arranca y por qué no se detiene
El reloj corre durante 10 años desde la fecha en que el sistema de alto riesgo se introduce en el mercado o se pone en servicio — lo que aplique —, no desde la fecha en que se creó un documento. Elaborar el expediente técnico pronto no arranca el reloj pronto; lo hace la introducción.
Hay una excepción. Para un sistema de IA de alto riesgo que sea un componente de seguridad de un producto cubierto por la legislación sectorial del anexo I, el período de conservación sigue la legislación de producto pertinente y no la regla plana de los 10 años, así que comprueba primero el acto sectorial.
El deber también sobrevive a la retirada del servicio. Sacar el sistema de servicio o discontinuar la línea comercial no pone fin a la obligación de 10 años: la conservación supera la vida comercial del producto. En la práctica, eso significa almacenamiento con control de versiones y de acceso, y una política de conservación escrita que sobreviva a la rotación de personal y a las reorganizaciones.
Matiz sobre el plazo. El plazo legal original para las obligaciones autónomas de alto riesgo del anexo III fijaba el 2 de agosto de 2026. El Ómnibus Digital aplaza el alto riesgo autónomo al 2 de diciembre de 2027, y ese aplazamiento ya está adoptado: el pleno del Parlamento Europeo lo aprobó el 16 de junio de 2026 y el Consejo lo adoptó el 29 de junio de 2026. Se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026 (Reglamento (UE) 2026/1744), así que planifica frente al 2 de diciembre de 2027. En cualquier caso, el reloj del artículo 18 se ata a la fecha propia de introducción en el mercado de cada sistema.
Insolvencia, cese y transferencia al representante autorizado
El deber de conservación de 10 años no se evapora si el proveedor deja de operar, es adquirido o entra en insolvencia. Se ata a quien ostente el rol de proveedor de ese sistema: el deber sigue al rol, no a la entidad jurídica original.
Cuando el proveedor está establecido fuera de la Unión, el artículo 22 exige un representante autorizado establecido en la UE. El artículo 18(3) dispone que el representante autorizado mantenga la documentación a disposición de las autoridades cuando la obligación no pueda exigirse directamente al proveedor no perteneciente a la UE. En la práctica, el proveedor no perteneciente a la UE sigue ensamblando el expediente, pero el representante con sede en la UE es el punto desde el que las autoridades pueden exigirlo.
La transferencia de rol es la otra vía viva. Conforme al artículo 25, un distribuidor, importador, responsable del despliegue u otro tercero que ponga su nombre o marca en el sistema, realice una modificación sustancial o cambie la finalidad prevista a una de alto riesgo se convierte en proveedor, y hereda el deber de conservación del artículo 18. Por eso la custodia de la documentación debe asignarse explícitamente en el marco de rendición de cuentas del SGC y en cualquier planificación de M&A o de liquidación, para que el expediente no quede huérfano.
Artículo 18 frente a los registros de los artículos 12/19/26: dos regímenes de conservación distintos
Una confusión habitual: la conservación documental del artículo 18 no es la misma obligación que la conservación de registros (logs) generados automáticamente. Tienen objeto distinto y períodos distintos, y un proveedor puede satisfacer uno mientras incumple el otro.
- El artículo 18 rige el paquete documental estático — expediente técnico, registros del SGC, decisiones del organismo notificado, declaración UE — conservado durante 10 años.
- El artículo 12 exige que el sistema sea técnicamente capaz de registrar automáticamente eventos (logs) a lo largo de su vida útil: el requisito de diseño que sustenta el régimen de registro.
- El artículo 19 exige que el proveedor conserve los registros bajo su control durante un período adecuado a la finalidad prevista, ligado a la vigilancia poscomercialización del artículo 72.
- El artículo 26 exige que los responsables del despliegue conserven los registros que controlen durante al menos seis meses, salvo que otra norma de la Unión o nacional disponga otra cosa.
Así pues, la "conservación" se divide en dos vías: documentación de cumplimiento estática (artículo 18, 10 años) frente a registros operativos de eventos (artículos 19 y 26). Un proveedor que conserve registros impecables pero deje caducar el expediente técnico o la declaración incumple el artículo 18, y al revés también.
Ejemplo práctico: NordCredit Oy
NordCredit es un proveedor de Helsinki de 60 personas que ofrece un modelo de puntuación de solvencia de consumidores, de alto riesgo conforme al anexo III, punto 5(b). Se autoevalúa conforme al anexo VI. Debe mantener su expediente del anexo IV (elemento a), su documentación de SGC del artículo 17 (elemento b) y su declaración del artículo 47 (elemento e) a disposición de la autoridad de vigilancia del mercado finlandesa hasta 10 años después de la introducción; como no intervino ningún organismo notificado, los elementos (c) y (d) no se aplican. Por separado, conserva los registros operativos de inferencia conforme al artículo 19, ligados a su vigilancia poscomercialización.
Cuando NordCredit es adquirida en el año 4 y el comprador pone su propia marca en el sistema, el adquirente se convierte en proveedor conforme al artículo 25 y hereda los más de seis años restantes del deber del artículo 18. Como NordCredit escribió la custodia de la documentación en su matriz de rendición de cuentas del SGC, el traspaso es limpio.
Cómo ayuda Confir
Mantener un paquete de cinco elementos disponible, actualizado y exportable durante una década — a través de cambios de personal, reorganizaciones y adquisiciones — es exactamente el tipo de obligación de cola larga que se degrada en silencio. Confir conserva el paquete de conformidad como registros estructurados y con control de versiones: el expediente técnico del anexo IV, la documentación de SGC del artículo 17 y la declaración del artículo 47 viven en un único sistema de registro de auditoría con custodia definida, historial de versiones y exportación para una solicitud de la autoridad. El motor es determinista y basado en reglas: sin inferencia de modelos, sin alucinaciones.
Preguntas frecuentes
¿Durante cuánto tiempo debe conservarse la documentación según el artículo 18?
Diez años. El artículo 18(1) exige que el proveedor de un sistema de IA de alto riesgo mantenga la documentación especificada a disposición de las autoridades nacionales competentes durante 10 años después de que el sistema se introduzca en el mercado o se ponga en servicio. El reloj corre desde la introducción en el mercado o la puesta en servicio, no desde cuándo se crearon los documentos, y no se detiene cuando el sistema se retira del servicio. Para IA de alto riesgo integrada en un producto regulado del anexo I, el período de conservación sigue la legislación sectorial de producto aplicable en lugar de la regla plana de los 10 años.
¿Qué documentos exige el artículo 18 que conserve un proveedor?
Cinco elementos, fijados en el artículo 18(1): (a) la documentación técnica del anexo IV elaborada conforme al artículo 11; (b) la documentación sobre el sistema de gestión de la calidad conforme al artículo 17; (c) cuando proceda, la documentación sobre cambios aprobados por organismos notificados; (d) cuando proceda, las decisiones y demás documentos emitidos por organismos notificados; y (e) la declaración UE de conformidad conforme al artículo 47. Los elementos (c) y (d) se aplican solo cuando intervino un organismo notificado, normalmente por la vía de conformidad del anexo VII. Los dos primeros y la declaración se aplican a todo proveedor de alto riesgo.
¿Es lo mismo el artículo 18 que las reglas de conservación de registros?
No. El artículo 18 rige la documentación de cumplimiento estática — el expediente técnico, los registros del SGC, las decisiones del organismo notificado y la declaración UE — conservada durante 10 años. Los registros (logs) son un régimen distinto: el artículo 12 exige que los sistemas sean capaces de registrar eventos automáticamente; el artículo 19 exige que el proveedor conserve los registros bajo su control, ligados a la vigilancia poscomercialización del artículo 72; y el artículo 26 exige que los responsables del despliegue conserven los registros que controlen durante al menos seis meses. Un proveedor puede satisfacer un régimen e incumplir el otro, así que ambos deben gestionarse por separado.
¿Qué ocurre con el deber si el proveedor entra en insolvencia o es adquirido?
El deber de conservación de 10 años no desaparece. Se ata a quien ostente el rol de proveedor de ese sistema. Si otra empresa asume el sistema y pone su propio nombre en él, realiza una modificación sustancial o cambia la finalidad prevista, el artículo 25 convierte a esa empresa en proveedor y hereda la obligación restante del artículo 18. Como el expediente puede sobrevivir a la empresa original, la custodia de la documentación debe asignarse explícitamente — en el marco de rendición de cuentas del artículo 17 y en cualquier planificación de adquisición o liquidación — para que el paquete no quede huérfano.
¿Quién conserva la documentación si el proveedor está fuera de la UE?
El representante autorizado. El artículo 22 exige que un proveedor establecido fuera de la Unión designe un representante autorizado establecido en la UE antes de introducir un sistema de alto riesgo en el mercado. El artículo 18(3) dispone que ese representante autorizado mantenga la documentación a disposición de las autoridades nacionales competentes. En la práctica, el proveedor no perteneciente a la UE sigue ensamblando y manteniendo el expediente, pero el representante con sede en la UE es el punto de disponibilidad desde el que las autoridades pueden exigirlo, y el mandato debe explicitar la custodia y el acceso.
¿Cuál es la diferencia entre el artículo 11 y el artículo 18?
El artículo 11 es el deber de elaborar la documentación técnica del anexo IV antes de introducir el sistema en el mercado: la obligación de creación. El artículo 18 es el deber de conservar esa documentación, más los registros del SGC, las decisiones de cualquier organismo notificado y la declaración UE de conformidad, a disposición de las autoridades durante 10 años después: la obligación de conservación y disponibilidad. Uno produce el expediente; el otro rige cuánto debe sobrevivir y permanecer accesible. Ambos recaen en el proveedor, y un expediente completo pero descartado incumple el artículo 18.
¿Cuál es la sanción por incumplir el artículo 18?
No conservar disponible la documentación exigida es incumplimiento de una obligación del proveedor y cae en el tramo del artículo 99(4): multas administrativas de hasta 15 millones EUR o el 3 % del volumen de negocios anual mundial total del ejercicio anterior, lo que sea mayor. Para empresas y empresas emergentes, el artículo 99(6) limita la multa al menor entre la suma fija y el porcentaje. Más allá de las multas, no poder producir el expediente a solicitud puede desencadenar una actuación de vigilancia del mercado conforme al artículo 74 y socavar la disponibilidad lícita y continuada del sistema.
Guías relacionadas
- elaborar la documentación técnica del anexo IV
- la documentación del sistema de gestión de la calidad
- la declaración UE de conformidad
- el registro automático y el régimen separado de conservación de registros
- gestionar la documentación de cumplimiento de IA
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →