Artículo 20 del Reglamento de IA: el deber del proveedor de adoptar medidas correctoras
Artículo 20 del RIA: si un sistema de alto riesgo no es conforme, el proveedor debe corregirlo, retirarlo, desactivarlo o recuperarlo. Multa 15 M€/3 %.
Tu vigilancia poscomercialización detecta que un sistema de alto riesgo que introdujiste en el mercado el trimestre pasado está puntuando mal a un grupo de usuarios. Todavía no tienes la carta de un regulador, ni una demanda, ni un perjuicio confirmado. El artículo 20 del Reglamento (UE) 2024/1689 dice que eso no importa: en cuanto tienes motivos para considerar que el sistema no es conforme, el deber de medida correctora ya está vivo.
Esta guía cubre el deber operativo de los proveedores de sistemas de IA de alto riesgo: el activador, los cuatro remedios, a quién debes informar y en qué se diferencia el artículo 20, reloj a reloj, del deber de notificación de incidentes graves del artículo 73.
Qué exige realmente el artículo 20
El artículo 20(1) dice, en términos llanos: cuando un proveedor considere, o tenga motivos para considerar, que un sistema de IA de alto riesgo que ha introducido en el mercado o puesto en servicio no es conforme con el Reglamento, debe adoptar inmediatamente las medidas correctoras necesarias para ponerlo en conformidad, retirarlo, desactivarlo o recuperarlo, según proceda. También debe informar a los actores pertinentes de la cadena de suministro.
El artículo 20 se sitúa en el capítulo III, sección 3, junto al resto de obligaciones que se aplican a proveedores y otros actores. Es una de las trece obligaciones del proveedor referidas en el artículo 16, pero donde el artículo 16 enumera la medida correctora en una sola línea, el artículo 20 es el deber operativo autónomo que dice qué significa de verdad "medida correctora".
Dos cosas definen el estándar. Primera, el deber se ata a tu propio conocimiento o sospecha razonable de no conformidad, no a que un regulador te ordene actuar primero. Segunda, el artículo tiene dos ramas que corren juntas: el deber de actuar sobre el sistema, y el deber de informar a la cadena de suministro y, cuando surja un riesgo, a las autoridades. Ninguna rama es opcional, y ninguna espera a la otra.
El activador: "tener motivos para considerar" la no conformidad
El activador del artículo 20 es la no conformidad con el Reglamento, no un evento de perjuicio. Un sistema no es conforme cuando incumple cualquier requisito de la sección 2 (los deberes de datos, documentación, transparencia, supervisión, precisión y solidez de los artículos 8 a 15), lleva una declaración UE de conformidad ausente o falsa conforme al artículo 47, o incumple cualquier otro requisito aplicable. Nadie tiene que resultar lesionado para que el deber se active.
Un umbral probatorio deliberadamente bajo
La expresión "considere o tenga motivos para considerar" es amplia a propósito. Capta la sospecha razonable, no el hecho probado. Esa sospecha aflora habitualmente a través de tus datos de vigilancia poscomercialización del artículo 72, de la retroalimentación estructurada de los responsables del despliegue, de tus propias pruebas internas o de una indagación preliminar de una autoridad. No puedes esperar a tener certeza: una señal creíble de que el sistema pueda no ser conforme basta para ponerte sobre aviso.
"Inmediatamente" significa sin período de gracia para empezar
El artículo 20 usa la palabra inmediatamente. Una vez sobre aviso, el deber de medida correctora está vivo: no hay ventana de investigación durante la cual el reloj quede en pausa. Quizá aún necesites investigar las causas (y el artículo 20(2) lo exige expresamente cuando hay un riesgo presente), pero la investigación y la medida correctora avanzan en paralelo; el deber de empezar a actuar no espera a que termine la autopsia.
Atiende al calendario práctico. Las obligaciones autónomas de alto riesgo del anexo III solo empiezan a aplicarse cuando muerde el artículo 6(2). El texto original fijaba el 2 de agosto de 2026; el Ómnibus Digital lo aplaza al 2 de diciembre de 2027, y ese aplazamiento ya está adoptado — el pleno del Parlamento Europeo lo votó el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026 —, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. Planifica frente al 2 de diciembre de 2027. Una vez tu sistema esté dentro del alcance y en el mercado, el artículo 20 le aplica en su totalidad.
Las cuatro opciones de medida correctora
El artículo 20(1) establece cuatro remedios graduados. Eliges el que sea proporcionado a la no conformidad:
- Poner en conformidad — corrige el defecto y vuelve a verificar que el sistema ya cumple el requisito que incumplía.
- Retirar — detén todo suministro adicional del sistema al mercado.
- Desactivar — deja inoperativo un sistema en servicio para que no siga produciendo resultados no conformes.
- Recuperar — recobra las unidades que ya están en manos de los responsables del despliegue.
"Retirada" y "recuperación" son términos definidos en el artículo 3: la retirada detiene el suministro adicional al mercado de cara al futuro, mientras que la recuperación alcanza hacia atrás las unidades ya introducidas en el mercado. La distinción importa porque las dos medidas tienen huellas operativas distintas: una retirada es una decisión de suministro, una recuperación es una operación de recobro que implica a todos los responsables del despliegue que tienen el sistema.
"Según proceda" es una prueba de proporcionalidad
El remedio debe ajustarse a la gravedad y al alcance del problema. Una laguna documental menor — un campo ausente en el expediente del anexo IV — puede subsanarse solo con la corrección. Un sistema que infringe activamente derechos fundamentales puede necesitar ser desactivado o recuperado mientras lo corriges. Se espera que elijas, documentes la elección y puedas justificarla después.
Una corrección sustancial puede reabrir la evaluación de la conformidad
Si la corrección es lo bastante significativa como para cambiar el perfil de conformidad del sistema, puede equivaler en sí misma a una modificación sustancial, y entonces el artículo 43 exige repetir la evaluación de la conformidad — para la mayoría de los sistemas del anexo III por el procedimiento de control interno del anexo VI —, actualizando el expediente técnico del anexo IV. Una corrección menor que no afecte a la conformidad no reabre la evaluación, pero deberías registrar por qué concluiste que no era sustancial.
El deber de informar: la cadena y las autoridades
La segunda rama del artículo 20(1) es el deber de informar. Cuando adoptas una medida correctora, debes informar a los distribuidores del sistema de IA de alto riesgo y, cuando proceda, a los responsables del despliegue, al representante autorizado y a los importadores. Esta notificación a la cadena es obligatoria: no depende de que el sistema presente un riesgo.
El artículo 20(2) añade un escalado condicional. Cuando el sistema de IA de alto riesgo presente un riesgo en el sentido del artículo 79(1) y tengas conocimiento de ese riesgo, debes investigar inmediatamente las causas — en cooperación con el responsable del despliegue que lo notifique, cuando proceda — e informar a las autoridades de vigilancia del mercado competentes para ese sistema y a cualquier organismo notificado que haya emitido un certificado para él.
| Destinatario | Condición que lo activa | Disposición que lo rige |
|---|---|---|
| Distribuidores | Cualquier medida correctora adoptada | Artículo 20(1) |
| Responsables del despliegue (cuando proceda) | Cualquier medida correctora adoptada | Artículo 20(1) |
| Importadores (cuando proceda) | Cualquier medida correctora adoptada | Artículo 20(1) |
| Representante autorizado (cuando proceda) | Cualquier medida correctora adoptada | Artículo 20(1) |
| Autoridad de vigilancia del mercado | El sistema presenta un riesgo conforme al artículo 79(1) | Artículo 20(2) |
| Organismo notificado | Se emitió un certificado y hay un riesgo presente | Artículo 20(2) |
La condición de riesgo del artículo 79(1) es la puerta a la implicación de la autoridad: cubre los sistemas de alto riesgo que presentan un riesgo para la salud, la seguridad o los derechos fundamentales y activa el procedimiento de vigilancia del mercado para la IA que presenta un riesgo.
Artículo 20 frente al artículo 73: dos activadores, dos relojes
Los proveedores confunden estos deberes con frecuencia. Son distintos.
El artículo 20 se activa por no conformidad, un estado del sistema. El artículo 73 se activa por un incidente grave definido en el artículo 3(49), un evento de perjuicio. Hechos distintos encienden cada uno.
Los relojes también difieren. El artículo 20 dice inmediatamente, sin un recuento fijo de días. El artículo 73 impone plazos rígidos: 15 días en general, 10 días cuando una persona ha fallecido y 2 días para un incidente grave que afecte a infraestructuras críticas o a una perturbación generalizada de los derechos fundamentales.
Se solapan. Un incidente grave revela muy a menudo una no conformidad, así que un único evento puede activar ambos deberes a la vez: la notificación del artículo 73 a la autoridad sobre el perjuicio, más la medida correctora y la notificación a la cadena del artículo 20 sobre el defecto subyacente. Ninguno sustituye al otro: notificar un incidente conforme al artículo 73 no extingue tu deber del artículo 20 de corregir e informar, y a la inversa. Y ambos son distintos de la breve mención del artículo 16(j)/(k), que solo remite al deber autónomo aquí expuesto.
Ejemplo práctico: no conformidad descubierta tras el lanzamiento
Lumen Talent GmbH, un proveedor alemán de tecnología de RR. HH. de 60 personas, introduce en el mercado un sistema de cribado de CV con su propio nombre. El sistema filtra candidaturas y evalúa a las personas candidatas, así que es de alto riesgo conforme al anexo III, punto 4(a) (selección de personal).
El activador. La vigilancia poscomercialización rutinaria del artículo 72 muestra que el modelo infravalora sistemáticamente a candidatos de un grupo protegido. Lumen tiene ahora motivos para considerar que se incumple el requisito de gobernanza de datos del artículo 10: el sistema no es conforme. Aún no se ha presentado ninguna queja de candidatos; la señal de monitorización por sí sola hace vivo el deber del artículo 20.
La acción. Lumen desactiva de inmediato la función de clasificación afectada para que deje de producir listas sesgadas, y luego pone de nuevo en conformidad el conjunto de datos y el modelo. Como la remediación cambia materialmente el modelo, Lumen la trata como una modificación sustancial y vuelve a ejecutar la evaluación de la conformidad por control interno del anexo VI conforme al artículo 43, actualizando el expediente técnico del anexo IV.
Informar a la cadena. Lumen notifica a sus distribuidores y a los empleadores responsables del despliegue que usan la herramienta. Como un sistema de clasificación discriminatorio presenta un riesgo para los derechos fundamentales en el sentido del artículo 79(1), Lumen también informa a la autoridad de vigilancia del mercado competente y documenta toda la secuencia: qué se halló, qué remedio se eligió, cuándo se informó a cada parte.
La exposición. No adoptar la medida correctora exigida es un incumplimiento de una obligación del proveedor conforme al artículo 99(4): multas de hasta 15 millones EUR o el 3 % del volumen de negocios anual mundial total, lo que sea mayor. Como pyme, Lumen quedaría bajo el artículo 99(6), que limita la multa al menor entre el porcentaje y la suma fija. Dar a la autoridad información incorrecta o engañosa atraería por separado el tramo del artículo 99(5), de hasta 7,5 millones EUR o el 1 % del volumen de negocios.
Cómo ayuda Confir a los proveedores a operativizar el artículo 20
El área de evaluación AIGM de Confir — gobernanza y vigilancia poscomercialización — mapea los artículos 9, 72 y 73, sacando a la superficie las señales de no conformidad que hacen vivo el deber del artículo 20 en primer lugar. Si tus datos de monitorización muestran una deriva como la de Lumen, el hallazgo queda capturado en lugar de enterrado.
La lógica de evaluación es determinista y basada en reglas: sin inferencia de modelos, sin alucinaciones. La misma entrada produce siempre la misma determinación de no conformidad y la misma categoría recomendada de medida correctora, con la regla que se activó visible para su revisión. Esa reproducibilidad es lo que te permite defender una determinación ante una autoridad.
Confir mantiene un registro estructurado de medidas correctoras y notificaciones: qué se halló, cuál de los cuatro remedios se eligió, cuándo se informó a la cadena — distribuidores, responsables del despliegue, importadores, representante autorizado — y cualquier notificación a la autoridad conforme al artículo 20(2). Los resultados se alinean con la actualización del expediente técnico del anexo IV que exige una corrección sustancial, manteniendo la documentación al día para una revisión posterior.
Guías relacionadas
- notificación de incidentes graves del artículo 73
- el conjunto completo de obligaciones del proveedor del artículo 16
- vigilancia poscomercialización del artículo 72
- autoridad de vigilancia del mercado
- flujos de trabajo de notificación de incidentes
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →