Artículo 22 del Reglamento de IA: el requisito de representante autorizado para proveedores no pertenecientes a la UE de IA de alto riesgo
Artículo 22 del RIA: el proveedor no UE de alto riesgo debe designar por mandato escrito un representante autorizado en la UE antes de vender. Multa 15 M€.
Eres una empresa de software en San Francisco o Singapur y has construido un sistema de IA de alto riesgo que los clientes de la UE quieren comprar. Antes de poder introducirlo en el mercado de la Unión, debes designar — por mandato escrito — un representante autorizado establecido en la UE. Conforme al artículo 22 del Reglamento (UE) 2024/1689, esa designación es una condición previa al acceso al mercado, no una formalidad posterior al lanzamiento.
Esta guía es un recorrido operativo del artículo 22 para el proveedor no perteneciente a la UE de IA de alto riesgo que debe designar: el mandato escrito, las cinco tareas enumeradas que ejecuta el representante, la ventana de conservación de diez años, el derecho de terminación y lo que cuesta un incumplimiento. Cubre específicamente los sistemas de IA de alto riesgo; el requisito paralelo para los modelos de IA de uso general vive en el artículo 54 y queda fuera de alcance aquí.
Qué exige el artículo 22 a un proveedor no perteneciente a la UE
El artículo 22(1) es directo: un proveedor establecido en un tercer país debe, antes de comercializar su sistema de IA de alto riesgo en el mercado de la Unión, designar por mandato escrito un representante autorizado establecido en la Unión.
Tres expresiones de esa frase cargan el peso. Antes de — la designación debe estar en marcha antes de la introducción en el mercado o la puesta en servicio, no añadida tras el lanzamiento. Mandato escrito — es una designación de rol documentada que el representante recibe y acepta, no una presentación administrativa. Y establecido en la Unión — el representante debe tener una presencia registrada dentro de un Estado miembro de la UE, porque todo el sentido es dar a las autoridades de la UE una dirección alcanzable.
Aquí importa un encuadre honesto. La mayoría de la IA empresarial general — asistentes de productividad, herramientas de codificación, búsqueda interna — no es de alto riesgo, así que el artículo 22 muerde solo cuando un proveedor no perteneciente a la UE realmente introduce en el mercado de la UE un sistema autónomo del anexo III o un sistema de alto riesgo integrado en un producto del anexo I. Si tu sistema no es de alto riesgo conforme al artículo 6, no necesitas ningún representante del artículo 22. Cuando lo es, la designación es innegociable.
Quién debe designar uno — y cuándo arranca el reloj
La obligación se activa cuando coinciden tres hechos. Equivócate en uno solo y podrías juzgar mal si el artículo 22 te aplica.
Las tres condiciones que activan la obligación
- El proveedor está establecido fuera de la UE — una empresa o persona cuya sede registrada está en un tercer país.
- El sistema es de alto riesgo conforme al artículo 6 — ya por la vía autónoma del anexo III (artículo 6(2)) o por la vía de producto del anexo I (artículo 6(1)).
- El sistema se está introduciendo en el mercado de la Unión o poniendo en servicio en la UE.
La segunda y la tercera condición interactúan con el calendario. Introducir en el mercado significa comercializar el sistema en la UE por primera vez; poner en servicio significa suministrarlo para su primer uso directamente a un responsable del despliegue o para uso propio del proveedor. Un vendedor no perteneciente a la UE debería autoidentificar qué evento aplica, porque fija el momento en que el mandato ya debe existir.
El alcance extraterritorial más amplio — cómo el Reglamento capta a las empresas no pertenecientes a la UE en primer lugar — se rige por el artículo 2 y se trata en la guía de alcance específica; esta página asume que ya has concluido que estás dentro del alcance.
Fechas legales frente a aplazadas — qué planificar
El texto original del Reglamento fijaba el 2 de agosto de 2026 para las obligaciones autónomas de alto riesgo del anexo III, y el 2 de agosto de 2027 para las obligaciones de alto riesgo integradas en productos del anexo I.
El Ómnibus Digital aplaza estas obligaciones al 2 de diciembre de 2027 y al 2 de agosto de 2028 respectivamente, y ese aplazamiento ya está adoptado: el pleno del Parlamento Europeo lo votó el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Planifica frente al 2 de diciembre de 2027 para el alto riesgo autónomo del anexo III. El aplazamiento es un conjunto de fechas de calendario fijas; la variante de "parar el reloj" fue rechazada, así que no asumas una pausa abierta.
Las cinco tareas centrales de un representante del artículo 22
El artículo 22(3) fija el contenido mínimo del mandato en cuatro puntos (a) a (d); el artículo 22(4) añade el deber de terminación. En conjunto, el representante ejecuta estas cinco tareas en nombre del proveedor:
- Verificar que existe el registro de conformidad. Comprobar que la declaración UE de conformidad (artículo 47) y la documentación técnica (artículo 11 / anexo IV) se han elaborado, y que se ha llevado a cabo un procedimiento de evaluación de la conformidad adecuado (artículo 43).
- Mantener la documentación a disposición de las autoridades. Durante el período de conservación, conservar los datos de contacto del proveedor, una copia de la declaración UE de conformidad, la documentación técnica y cualquier certificado.
- Responder a las solicitudes motivadas. Facilitar a una autoridad competente, ante una solicitud motivada, toda la información y documentación necesaria para demostrar la conformidad — incluido el acceso a los registros generados automáticamente por el sistema (artículo 12) cuando esos registros estén bajo el control del proveedor.
- Cooperar en las actuaciones de las autoridades. Trabajar con las autoridades competentes en cualquier actuación relativa al sistema de alto riesgo, incluidos los deberes de registro ligados al artículo 49 cuando proceda.
- Terminar el mandato cuando esté justificado. Ejercer el derecho de terminación del artículo 22(4), tratado en detalle más abajo.
Lo que el representante no asume
Aquí está la trampa. Un proveedor no perteneciente a la UE que lea el artículo 22 como una externalización de su cumplimiento se equivoca. El representante es un contacto alcanzable y un custodio de documentos: no absorbe las obligaciones sustantivas del proveedor. El diseño y la conformidad siguen siendo del proveedor. La vigilancia poscomercialización (artículo 72) sigue siendo del proveedor. La notificación de incidentes graves (artículo 73) sigue siendo del proveedor. Todas estas recaen en el proveedor conforme al artículo 16, y designar un representante no cambia ninguna. El artículo 22 compra a las autoridades de la UE una dirección dentro de la Unión; no compra al proveedor un escudo de cumplimiento.
El período de conservación y el derecho de terminación del mandato
La documentación de la tarea dos no se conserva brevemente. El representante debe mantenerla a disposición de las autoridades durante diez años después de que el sistema de IA de alto riesgo se haya introducido en el mercado o puesto en servicio — una ventana que se alinea con los propios deberes de conservación de registros del proveedor conforme al artículo 18. Diez años es tiempo suficiente como para que la conservación deba diseñarse en el mandato y en el proceso de gestión documental desde el principio, no readaptarse cuando llame una autoridad.
El artículo 22(4) arma entonces al representante con una palanca. Si el representante considera o tiene motivos para creer que el proveedor actúa de forma contraria a sus obligaciones conforme al Reglamento, debe terminar el mandato. Al terminarlo debe informar inmediatamente a la autoridad de vigilancia del mercado pertinente y, cuando proceda, al organismo notificado pertinente.
Es un mecanismo de rendición de cuentas genuino, no una cláusula de relleno. Un proveedor no perteneciente a la UE que ignora sus obligaciones puede perder su interfaz con el mercado de la UE — y sin un representante lícito, el sistema de alto riesgo ya no puede introducirse en el mercado. Como nota práctica de redacción, proveedores y representantes suelen asignar la responsabilidad y la mecánica de la terminación en el propio acuerdo de mandato; el Reglamento fija el suelo, no el techo, así que el contrato comercial puede añadir el detalle que el texto legal deja abierto.
Las tareas del artículo 22 de un vistazo
La tabla asigna cada tarea legal a su artículo de base, una acción en lenguaje llano y — para reforzar el punto del "no escudo" — quién actúa de hecho.
| Obligación | Base | Acción en lenguaje llano | Quién actúa |
|---|---|---|---|
| Verificar que existe la declaración de conformidad | Art. 47 | Confirmar que se elaboró la DdC firmada | Representante |
| Verificar que se elaboró la documentación técnica | Art. 11 / anexo IV | Confirmar que el expediente del anexo IV existe y es accesible | Representante |
| Confirmar que se llevó a cabo la evaluación de la conformidad | Art. 43 | Comprobar que se completó el procedimiento de evaluación correcto | Representante |
| Mantener la documentación disponible durante 10 años | Art. 22(3) / Art. 18 | Conservar DdC, documentación técnica, certificado, datos del proveedor | Representante |
| Responder a solicitudes motivadas, incl. acceso a registros | Art. 12 | Facilitar evidencia de conformidad y registros del sistema a solicitud | Representante |
| Cooperar en actuaciones de la autoridad y registro | Art. 49 | Apoyar medidas correctoras y la entrada en la base de datos de la UE | Representante |
| Terminar el mandato si el proveedor incumple; notificar a la autoridad | Art. 22(4) | Poner fin al mandato, informar a la autoridad de vigilancia del mercado | Representante |
| Diseño, conformidad, monitorización, notificación de incidentes | Art. 16 / 72 / 73 | El trabajo sustantivo de cumplimiento | Proveedor (lo conserva) |
Ejemplo práctico: un proveedor de EE. UU. que designa un representante en la UE
NorthStar Analytics, una empresa de software estadounidense de 140 personas, ha construido un sistema de IA de puntuación de solvencia y lo vende a prestamistas alemanes e irlandeses. La puntuación de solvencia de personas físicas se sitúa en el anexo III, punto 5(b), así que el sistema es de alto riesgo, y NorthStar es un proveedor de tercer país. El artículo 22 aplica.
Antes de cualquier comercialización en la UE, NorthStar firma un mandato escrito con una firma de cumplimiento radicada en Irlanda, que recibe y acepta la designación. El representante entonces:
- Verifica que se han elaborado la declaración UE de conformidad del artículo 47 de NorthStar y el expediente técnico del artículo 11 / anexo IV.
- Confirma que se llevó a cabo la evaluación de la conformidad del artículo 43.
- Figura en el registro del artículo 49 y en la documentación del sistema como el punto de contacto en la UE.
Dieciocho meses después, NorthStar distribuye un cambio material del modelo pero no actualiza su documentación técnica, y luego deja de responder a las solicitudes del representante de los registros revisados. El representante tiene ahora motivos para creer que NorthStar actúa de forma contraria a sus obligaciones. Conforme al artículo 22(4) termina el mandato y notifica a la autoridad nacional de vigilancia del mercado pertinente. NorthStar se queda sin una interfaz lícita con el mercado de la UE — su sistema de alto riesgo no puede permanecer lícitamente en el mercado — hasta que subsana la documentación y designa un nuevo representante. La obligación de conservación de diez años, entretanto, sigue atada a los registros que tenía el antiguo representante, y la exposición sancionadora de más abajo permanece viva durante todo el proceso.
Sanciones y cómo se conecta con la cadena de suministro más amplia
No designar un representante autorizado exigido es un incumplimiento de las obligaciones del proveedor conforme al artículo 16, y cae bajo el artículo 99(4): hasta 15 000 000 EUR o el 3 % del volumen de negocios anual mundial total del ejercicio anterior, lo que sea mayor.
Suministrar información incorrecta, incompleta o engañosa a las autoridades — incluso a través del representante — cae bajo el tramo inferior del artículo 99(5): hasta 7 500 000 EUR o el 1 % del volumen de negocios anual mundial total, lo que sea mayor. Para pymes y empresas emergentes, el artículo 99(6) limita la multa al menor entre la suma fija y el porcentaje — una protección de proporcionalidad, no una exención de la propia obligación. La maquinaria sancionadora es aplicable desde el 2 de agosto de 2025, aunque las obligaciones de alto riesgo que respalda entren en vigor por fases más adelante.
El artículo 22 es un nodo en un mapa de cadena de suministro más amplio. Los importadores deben verificar que la designación del artículo 22 existe como parte de sus comprobaciones previas a la comercialización (artículo 23). El requisito de representante es una pieza del mapa de roles — proveedor frente a responsable del despliegue — y la pila completa del proveedor vive en el artículo 16. Entender dónde paran los deberes del representante y dónde empiezan los del proveedor es el sentido entero del artículo 22.
Cómo ayuda Confir
Cuando respondes a las preguntas de admisión de Confir, deriva si eres un proveedor de tercer país de un sistema de alto riesgo — y por tanto si el artículo 22 te aplica — usando lógica determinista basada en reglas. La misma entrada, el mismo hallazgo, cada vez: sin inferencia de modelos, sin alucinaciones.
Para los proveedores que deben designar, Confir registra la lista de comprobación del mandato como una tarea estructurada: declaración de conformidad confirmada, expediente técnico del anexo IV verificado, evaluación de la conformidad comprobada, representante nombrado en el registro del artículo 49. La obligación de conservación de diez años se hace seguimiento frente a cada sistema registrado, de modo que la ventana se monitoriza en lugar de quedar a merced de un recordatorio de calendario fijado hoy y olvidado. Si una autoridad de vigilancia del mercado emite una solicitud motivada, la evidencia de tu designación y de tu diligencia previa a la comercialización es un registro con marca de tiempo, no una reconstrucción.
Guías relacionadas
- definición de representante autorizado (artículo 3(5))
- cómo alcanza el Reglamento de IA a las empresas no pertenecientes a la UE
- la pila completa de obligaciones del proveedor del artículo 16
- deberes de verificación del importador (artículo 23)
- roles de proveedor frente a responsable del despliegue
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →