Artículo 21 del Reglamento de IA: el deber del proveedor de cooperar con las autoridades competentes
Artículo 21 del RIA: ante solicitud motivada, el proveedor de alto riesgo entrega la documentación de conformidad y da acceso a los registros. Multa 15 M€.
Una autoridad nacional te envía un escrito. Expone un motivo — una señal poscomercialización, una queja, una preocupación sobre tu sistema de IA de alto riesgo — y te pide demostrar que el sistema es conforme con la ley. Conforme al artículo 21 del Reglamento (UE) 2024/1689 no puedes ignorarlo, demorarlo ni responder en tu lengua preferida. Debes producir la documentación de conformidad y dar acceso a los registros del sistema, en una lengua que la autoridad entienda fácilmente.
Esta guía cubre el artículo 21 estrictamente como el deber afirmativo del proveedor de responder a una solicitud motivada: qué entregas, en qué lengua de la UE, cómo operativiza las facultades de vigilancia del mercado de la autoridad, y cómo la confidencialidad protege lo que compartes.
Qué exige realmente el artículo 21
El artículo 21 impone una obligación única y enfocada. Ante una solicitud motivada de una autoridad competente, el proveedor de un sistema de IA de alto riesgo debe entregar toda la información y documentación necesaria para demostrar la conformidad de ese sistema con los requisitos de alto riesgo de los artículos 8 a 15, en una lengua que la autoridad solicitante entienda fácilmente. Tres elementos cargan el peso: el activador es la solicitud motivada (sin solicitud, no hay deber); el entregable es la documentación de conformidad más el acceso a los registros generados automáticamente conforme al artículo 12; la forma es una lengua oficial de la Unión designada por el Estado miembro de que se trate.
Mantén el alcance estrecho. El artículo 21 es un deber de responder y producir. No son las propias facultades de investigación de la autoridad — esas viven en las disposiciones de vigilancia del mercado del artículo 74 y del Reglamento (UE) 2019/1020 —, ni la verificación previa a la comercialización del importador del artículo 23, comprobación de otro actor en otro momento. El artículo 21 es el proveedor que, a posteriori, responde a una pregunta que se le ha planteado formalmente.
Es una obligación continuada: se ata al estatus de proveedor conforme al artículo 16 y no caduca una vez que el sistema está en el mercado. Una solicitud motivada puede llegar años después de la vida de un sistema.
Quién debe cooperar y quién es autoridad competente
El deber recae en el proveedor de un sistema de IA de alto riesgo — la entidad que desarrolla el sistema, o hace que se desarrolle, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca.
Cuando el proveedor está establecido fuera de la UE, la solicitud discurre a través del representante autorizado del artículo 22, que responde a las solicitudes motivadas y proporciona la documentación de conformidad y el acceso a los registros en nombre del proveedor, actuando como punto de contacto en la UE para la autoridad.
Una autoridad competente aquí significa las autoridades nacionales competentes designadas por los Estados miembros, incluidas las autoridades de vigilancia del mercado que vigilan el Reglamento de IA a nivel nacional. Esta guía no vuelve a explicar todas sus facultades — consulta qué es y qué puede hacer una autoridad de vigilancia del mercado.
Qué significa "solicitud motivada" en la práctica
La palabra motivada hace un trabajo real. La autoridad debe exponer un motivo — la base sobre la que se busca la información — y ese motivo acota la solicitud: respondes a la base dada, no a una expedición de pesca abierta. Una solicitud ligada a una preocupación concreta de exactitud no autoriza una exigencia de todo tu historial comercial.
Ten presente el punto de alcance honesto. La mayoría de la IA empresarial de uso general no es de alto riesgo. El artículo 21 muerde solo cuando un proveedor ha introducido en el mercado un sistema de alto riesgo — uno captado por el anexo III, o integrado en un producto regulado del anexo I. Si tu sistema no es ninguno de los dos, el artículo 21 no te alcanza.
Qué debes entregar: documentación y acceso a los registros
La cooperación conforme al artículo 21 tiene dos ramas: el registro documental y la evidencia operativa. El conjunto documental gira en torno al material que demuestra la conformidad: la documentación técnica del artículo 11 — el paquete del anexo IV — junto con los registros que evidencian los artículos 8 a 15: gestión de riesgos, gobernanza de datos, exactitud, solidez y ciberseguridad, supervisión humana, transparencia y conservación de registros. La idea es permitir que la autoridad valore, sobre papel, si el sistema cumple los requisitos de alto riesgo.
La segunda rama es el acceso a los registros generados automáticamente referidos en el artículo 12, en la medida en que esos registros estén bajo el control del proveedor. Los registros permiten a una autoridad reconstruir cómo se comportó el sistema a lo largo de su vida, no solo lo que afirma su documentación. Expón el matiz con claridad: el acceso a los registros solo se debe cuando los registros están bajo el control del proveedor. Los registros generados y conservados por un responsable del despliegue caen bajo sus propios deberes de conservación (artículo 19, artículo 26), no bajo el artículo 21 — no se puede ordenar a un proveedor producir registros que nunca tuvo.
| Entregable | Artículo de base | Descripción en lenguaje llano |
|---|---|---|
| Documentación técnica | Artículo 11 / anexo IV | El expediente estructurado que describe el sistema, su desarrollo, la gobernanza de datos y los registros de riesgo |
| Evidencia de conformidad con los requisitos de alto riesgo | Artículos 8 a 15 | Registros que muestran que se cumplen gestión de riesgos, gobernanza de datos, exactitud, supervisión y transparencia |
| Registros generados automáticamente (cuando estén bajo control del proveedor) | Artículo 12 | Registros de eventos de toda la vida útil que permiten a una autoridad reconstruir el comportamiento del sistema |
| Lengua de la respuesta | Artículo 21 | Una lengua oficial de la UE fácilmente entendida por la autoridad solicitante |
| Canal para proveedores no pertenecientes a la UE | Artículo 22 | El representante autorizado responde en nombre del proveedor |
| Estatus subyacente que ancla el deber | Artículo 16 | Obligaciones del proveedor — la pila que la cooperación del artículo 21 sustenta |
El punto de la lengua y el formato
El artículo 21 especifica que la respuesta debe estar en una lengua que pueda ser fácilmente entendida por la autoridad solicitante — en la práctica, una lengua oficial de la Unión designada por el Estado miembro de que se trate. El inglés no es un valor por defecto seguro si la autoridad trabaja en otra lengua.
La consecuencia práctica es la planificación. Un proveedor que opera en varios Estados miembros puede necesitar producir documentación de conformidad en más de una lengua oficial de la UE, y debería incorporar tiempo de traducción a su capacidad de respuesta antes de que llegue una solicitud. Una solicitud motivada lleva un plazo; descubrir que el expediente del anexo IV existe solo en inglés, con una cola de traducción de cuatro semanas, convierte una tarea de recuperación en una tarea fallida.
La documentación también debe ser inteligible y utilizable para valorar la conformidad, no un volcado bruto de datos. Mantener el expediente del anexo IV mantenido y actualizado, en lugar de reconstruido después de que llegue una solicitud, es la diferencia entre una respuesta limpia y un sobresalto.
Cómo conecta el artículo 21 con las facultades de vigilancia del mercado (artículo 74)
El artículo 21 es el reflejo, del lado del proveedor, de las facultades de la autoridad. El artículo 74 confiere a las autoridades de vigilancia del mercado las facultades del Reglamento (UE) 2019/1020 sobre los sistemas de IA; el artículo 21 es el deber que hace operables esas facultades.
El arco de control suele discurrir así. Una solicitud motivada conforme al artículo 21 es a menudo el primer paso formal — la autoridad te pide demostrar conformidad. Si lo haces, el asunto puede cerrarse. Si no se demuestra la conformidad, la autoridad puede escalar a las medidas correctoras y restrictivas disponibles en el marco de vigilancia del mercado: medida correctora, restricción de la comercialización o retirada del sistema del mercado.
El activador a menudo viene de otro punto de tu propia pila de obligaciones. La información que aflora a través de la vigilancia poscomercialización del artículo 72 y la notificación de incidentes graves del artículo 73 puede provocar o dar forma a una solicitud motivada — un incidente grave que notifiques puede ser justo la señal que lleva a una autoridad a pedirte demostrar conformidad. Tu expediente de cooperación debería alinearse con esos deberes.
Protección de confidencialidad para lo que compartes (artículo 78)
La divulgación no es renuncia. El artículo 78 obliga a las autoridades competentes — y a las demás partes implicadas en la aplicación del Reglamento — a respetar la confidencialidad de la información y los datos obtenidos en el desempeño de sus funciones, incluyendo expresamente los derechos de propiedad intelectual, los secretos comerciales y el código fuente, con sujeción a excepciones limitadas.
La tranquilidad práctica para los proveedores: cooperar conforme al artículo 21 no significa entregar tus secretos comerciales a los competidores ni al público. El Reglamento incorpora un régimen de confidencialidad para el material entregado a las autoridades — puedes compartir lo que exige la evaluación de la conformidad mientras el núcleo sensible queda protegido. Pero expón el límite con honestidad: las protecciones están sujetas a límites definidos — por ejemplo, cuando la divulgación sea necesaria para proteger la seguridad pública o los derechos fundamentales, o cuando lo exija la normativa de la Unión o nacional. El artículo 78 es un escudo fuerte, no absoluto.
La conclusión para la redacción: marca el material sensible como confidencial y comprende el régimen del artículo 78 antes de que llegue una solicitud, pero no trates la confidencialidad como un mecanismo de negativa. No puedes invocar la protección del secreto comercial para declinar una solicitud motivada lícita, solo para acotar cómo se maneja después el material.
Ejemplo práctico: responder a una solicitud motivada
Lumenra Diagnostics es un proveedor de software de imagen médica de 90 personas establecido en la UE. Su herramienta de triaje con IA marca hallazgos sospechosos en escáneres torácicos y está integrada en un producto sanitario regulado por el Reglamento de Productos Sanitarios (Reglamento (UE) 2017/745). Como el sistema se sitúa en un producto del anexo I, sección A, su evaluación de la conformidad se encauza a través del acto sectorial conforme al artículo 43(3) — Lumenra no aplica los artículos 8 a 15 directamente como si el sistema fuera del anexo III autónomo.
Una autoridad nacional de vigilancia del mercado emite una solicitud motivada, citando una señal poscomercialización — un grupo de falsos negativos marcados que afloró en la propia monitorización de Lumenra. Lumenra recorre la respuesta:
- Ensambla la documentación técnica del artículo 11 / anexo IV y la evidencia de conformidad obtenida de la vía de producto sanitario.
- Exporta los registros pertinentes del artículo 12 bajo su control, permitiendo a la autoridad reconstruir cómo se comportó la herramienta de triaje.
- La lengua oficial del Estado miembro solicitante no es el inglés, así que Lumenra produce un paquete traducido dentro de la ventana indicada — tiempo de antelación que ya había planificado.
- Marca como confidenciales los detalles de su modelo propietario y el código fuente, apoyándose en el artículo 78, para que esos detalles no entren en el dominio público.
Como Lumenra había mantenido un registro de conformidad actualizado y determinista en lugar de reconstruir uno, la solicitud fue un ejercicio de recuperación, no un simulacro de incendio. La autoridad revisó el paquete, confirmó las medidas correctoras en marcha y cerró el asunto.
Sanciones y dónde se sitúa el artículo 21 en la pila del proveedor
No cumplir las obligaciones del proveedor, incluido el deber de cooperar, cae bajo el artículo 99(4): multas de hasta 15 millones EUR o el 3 % del volumen de negocios anual mundial total, lo que sea mayor.
Suministrar información incorrecta, incompleta o engañosa a las autoridades en respuesta a una solicitud se sitúa en el tramo inferior del artículo 99(5): hasta 7,5 millones EUR o el 1 % del volumen de negocios anual mundial total, lo que sea mayor.
Para pymes y empresas emergentes, el artículo 99(6) limita la multa al menor entre la suma fija y el porcentaje, una protección genuina de proporcionalidad. El marco sancionador es aplicable desde el 2 de agosto de 2025 — la maquinaria de control ya está viva.
Un matiz de calendario aplica a las obligaciones que este deber respalda. Las obligaciones de alto riesgo para los sistemas autónomos del anexo III llevaban originalmente una fecha de aplicación legal del 2 de agosto de 2026. El Ómnibus Digital aplaza esa fecha al 2 de diciembre de 2027, y ese aplazamiento ya está adoptado: el pleno del Parlamento Europeo lo aprobó el 16 de junio de 2026 y el Consejo lo adoptó el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026; planifica frente al 2 de diciembre de 2027.
Sitúa el artículo 21 frente a sus vecinos. Es el nodo de cooperación en la pila de obligaciones del proveedor del artículo 16 — el deber que hace auditable el resto de la pila. Está reflejado por el artículo 22 para los proveedores no pertenecientes a la UE y se sitúa junto al artículo 23, la verificación previa a la comercialización del importador.
Cómo ayuda Confir
Confir mantiene tu registro de conformidad ensamblado antes de que llegue una solicitud motivada. Cuando respondes a las preguntas de admisión de Confir, la plataforma mapea tu sistema frente a los requisitos de alto riesgo y registra la documentación del anexo IV, la evidencia de conformidad y las referencias cruzadas a los artículos 8 a 15 como un expediente estructurado y con marca de tiempo. El motor de síntesis es determinista y basado en reglas — sin inferencia de modelos, sin alucinaciones — así que la misma entrada produce el mismo hallazgo.
Si llega una solicitud motivada, responder conforme al artículo 21 se convierte en una tarea de recuperación: la documentación está actualizada, la correspondencia con los artículos es explícita y el expediente puede exportarse para traducción en lugar de reconstruirse bajo plazo.
Guías relacionadas
- la pila completa de obligaciones del proveedor del artículo 16
- deberes de verificación del importador conforme al artículo 23
- qué es y qué puede hacer una autoridad de vigilancia del mercado
- obligaciones de vigilancia poscomercialización (artículo 72)
- notificación de incidentes graves (artículo 73)
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →