Reglamento de IA artículo 71: la base de datos UE para sistemas de IA de alto riesgo
El artículo 71 crea la base de datos UE para la IA de alto riesgo: quién registra, la parte pública, la sección segura no pública y el art. 49.
El artículo 71 construye el archivador. El artículo 49 es el acto de archivar en él. La gente confunde los dos constantemente, y la distinción importa: el artículo 71 del Reglamento (UE) 2024/1689 es la disposición habilitante que crea la base de datos UE para sistemas de IA de alto riesgo, define sus secciones pública y segura no pública, y designa a la Comisión como responsable del tratamiento. El deber de registrar un sistema vive en el artículo 49.
Esta guía cubre qué establece el artículo 71, quién introduce los datos, por qué la parte pública es una herramienta de transparencia, qué categorías del anexo III se encaminan a la sección restringida, y qué planificar en el calendario. Para la lista completa de campos del anexo VIII y el deber de registro en sí, sigue la guía dedicada al artículo 49: esta página trata del registro, no del acto de rellenarlo.
Qué establece el artículo 71
El artículo 71, apartado 1, encarga a la Comisión, en colaboración con los Estados miembros, crear y mantener una base de datos UE. Es la disposición de infraestructura: hace existir el registro y asigna la responsabilidad de gestionarlo, pero no obliga por sí mismo a ningún proveedor a hacer nada; ese es el cometido del artículo 49.
La base de datos contiene dos tipos de inscripción. Primero, los sistemas de IA de alto riesgo enumerados en el anexo III que se registran conforme al artículo 49, apartado 1, o apartado 2. Segundo, los sistemas que un proveedor concluyó que no son de alto riesgo tras aplicar la exención del artículo 6, apartado 3, pero que aun así deben registrarse conforme al artículo 49, apartado 2, para que la conclusión conste. No es, por tanto, una lista de peligros confirmados: es un registro de sistemas que pasaron por el cribado de alto riesgo, hayan acabado siendo de alto riesgo o no. El artículo 71 es el registro y su gobernanza; el artículo 49 es lo que debes introducir en él.
Quién introduce los datos, y el artículo 49 como deber operativo
El artículo 71, apartado 2, es preciso sobre quién teclea los datos: el proveedor o, cuando proceda, el representante autorizado. El artículo 71 designa al actor que introduce los datos; el desencadenante de la introducción —el deber de registrar antes de introducir un sistema en el mercado— es el artículo 49.
Inscripciones de proveedor, representante autorizado y responsable del despliegue
Los proveedores establecidos en la UE introducen sus propios datos; los proveedores de fuera de la UE actúan a través de un representante autorizado que teclea el registro en su nombre. Y la base de datos no es solo para proveedores: conforme al artículo 49, apartado 3, los responsables del despliegue que sean autoridades públicas (incluidas las instituciones y organismos de la Unión, o quienes actúen por ellos) de ciertos sistemas de alto riesgo del anexo III registran su uso del sistema. Por tanto, varias inscripciones pueden estar detrás de un mismo sistema desplegado.
Por qué el deber (art. 49) y la base de datos (art. 71) son artículos separados
La división es deliberada. Permite al Reglamento asignar a la Comisión la responsabilidad de la infraestructura (artículo 71) y, a la vez, dejar la exactitud de cada inscripción en la parte que registra (artículo 49). Trata esta página como el mapa estructural y la guía del artículo 49 como el manual de campos.
La parte pública: una herramienta de transparencia por diseño
El artículo 71, apartado 3, fija el encargo de diseño de la parte pública: la información de la base de datos debe ser de acceso público, fácil de usar, navegable y legible por máquina. Esa última palabra importa: permite que los investigadores y los vigilantes de la sociedad civil consulten el registro a escala, no solo examinen una inscripción cada vez.
El propósito es la transparencia pública. Cualquiera —un cliente potencial haciendo diligencia debida, un regulador, un periodista cartografiando qué IA de alto riesgo está en el mercado de la UE— puede ver qué hay registrado. Convierte un mercado por lo demás opaco en algo observable.
Es deliberadamente limitada. El artículo 71, apartado 3, confina la información pública a lo necesario y proporcionado: la base de datos no es un volcado del expediente técnico completo. La documentación técnica del artículo 11 y del anexo IV permanece con el proveedor y se presenta a las autoridades a petición, no se publica. Y los datos personales solo aparecen en la medida necesaria, tratados con arreglo al RGPD (Reglamento (UE) 2016/679) y, cuando la Comisión los trata, con arreglo al Reglamento (UE) 2018/1725, según el artículo 71, apartado 4.
La sección segura no pública: aplicación de la ley, migración y biometría
No todo es público. El artículo 71, apartado 6, reserva una sección segura no pública para las categorías más sensibles desde el punto de vista operativo. La información de registro de los sistemas de alto riesgo del anexo III, punto 1 (biometría), punto 6 (aplicación de la ley) y punto 7 (gestión de la migración, el asilo y el control fronterizo) se inscribe ahí en lugar de en la parte pública. El acceso se restringe a la Comisión y a las autoridades nacionales de vigilancia del mercado responsables de esos ámbitos. La razón es la sensibilidad operativa: publicar los detalles de una herramienta policial de riesgo, un sistema de verificación de documentos fronterizos o un despliegue biométrico permitido podría socavar su función. Solo para estas categorías, la transparencia cede ante la seguridad.
Pública frente a no pública: una tabla de encaminamiento del anexo III
El encaminamiento depende por completo de la categoría del anexo III, no de la empresa ni de su tamaño.
| Categoría del anexo III | Dónde se registra | Quién puede leerla |
|---|---|---|
| Punto 1 — biometría (usos de alto riesgo permitidos) | Sección segura no pública (art. 71(6)) | Comisión + autoridades de vigilancia del mercado pertinentes |
| Punto 2 — infraestructuras críticas | Parte pública (art. 71(3)) | Cualquiera |
| Punto 3 — educación | Parte pública | Cualquiera |
| Punto 4 — empleo | Parte pública | Cualquiera |
| Punto 5 — servicios esenciales | Parte pública | Cualquiera |
| Punto 6 — aplicación de la ley | Sección segura no pública (art. 71(6)) | Comisión + autoridades de vigilancia del mercado pertinentes |
| Punto 7 — migración, asilo, control fronterizo | Sección segura no pública (art. 71(6)) | Comisión + autoridades de vigilancia del mercado pertinentes |
| Punto 8 — justicia y procesos democráticos | Parte pública | Cualquiera |
Quién puede ver las inscripciones restringidas
Una nota sobre el trasfondo de las prohibiciones. El artículo 71, apartado 6, encamina los usos biométricos de alto riesgo permitidos a la sección segura; no legitima los prohibidos. El artículo 5, apartado 1, letra f), prohíbe el reconocimiento de emociones en el lugar de trabajo y en la educación, y el artículo 5, apartado 1, letra g), prohíbe la categorización biométrica que infiere atributos sensibles. Un sistema prohibido no es registrable en absoluto.
Quién gestiona la base de datos: la Comisión como responsable del tratamiento
El artículo 71, apartado 5, designa a la Comisión como responsable del tratamiento de la base de datos UE. Eso atribuye a la Comisión, y no a los proveedores que inscriben en ella, la responsabilidad de la infraestructura; además, la Comisión presta apoyo técnico y administrativo adecuado a los proveedores y responsables del despliegue que cumplen sus obligaciones de registro.
Esa división es la clave. La Comisión es titular del registro y lo gestiona; la exactitud y la integridad de cada inscripción siguen siendo responsabilidad del proveedor o representante autorizado que registra, conforme al artículo 49.
La base de datos es una pieza de una arquitectura de gobernanza más amplia, que se sitúa junto a las obligaciones de los proveedores del artículo 16 y las obligaciones de los responsables del despliegue del artículo 26. Hace observable esa arquitectura; no sustituye los deberes subyacentes.
Ejemplo práctico: un proveedor de acceso biométrico de 220 personas
Considera Portunis Biometrics, una empresa de 220 empleados que vende un sistema de acceso a edificios mediante reconocimiento facial. Uno de sus clientes es un cuerpo nacional de policía, que lo usa para identificar a las personas que entran en instalaciones seguras.
Paso 1: clasificación. El sistema realiza identificación biométrica, así que encaja en el anexo III, punto 1; en su contexto de aplicación de la ley también toca el punto 6.
Paso 2: registro. Antes de introducir el sistema en el mercado, Portunis lo registra conforme al artículo 49. Como es un sistema del anexo III, punto 1 / punto 6, el artículo 71, apartado 6, encamina la inscripción a la sección segura no pública.
Paso 3: visibilidad. El sistema no aparece en la base de datos pública. Solo la Comisión y la autoridad de vigilancia del mercado competente para la aplicación de la ley pueden leer la inscripción.
El contraste. Supón que la misma empresa también vende un producto de control de presencia y fichaje en el trabajo. Eso encaja en el anexo III, punto 4 (empleo), así que su registro recae en la sección pública, visible para cualquiera. El mismo proveedor, dos productos, dos destinos: el encaminamiento sigue la categoría del anexo III, no la empresa.
Calendario y qué planificar
Las obligaciones de registro se ligan al régimen de alto riesgo del anexo III, cuyas obligaciones se aplican desde el 2 de diciembre de 2027 conforme al artículo 6, apartado 2.
Esa fecha la fija el Ómnibus Digital, adoptado en junio de 2026: el Pleno del Parlamento Europeo lo votó el 16 de junio de 2026 y el Consejo lo adoptó el 29 de junio de 2026. Los sistemas del anexo I integrados en productos siguen desde el 2 de agosto de 2028.
La exposición sancionadora es real. No registrar, o facilitar información incorrecta o incompleta, es un incumplimiento de las obligaciones de los operadores conforme al artículo 99, apartado 4: hasta 15 millones EUR o el 3 % del volumen de negocios anual total a escala mundial, si esta cifra fuera superior, con el artículo 99, apartado 6, limitando la multa al menor de los dos importes para una empresa que cumpla la definición de pyme. Y como el registro condiciona la introducción lícita en el mercado, un sistema no registrado no puede introducirse en el mercado.
La conclusión práctica: construye la inscripción de registro como parte del flujo de conformidad, no como un último paso antes del lanzamiento. Los campos del anexo VIII se nutren del trabajo de clasificación y descripción del sistema que ya deberías estar haciendo, así que captura la inscripción pronto, como subproducto de ese trabajo.
Cómo ayuda Confir
El motor de clasificación de Confir recorre la lógica del artículo 6 y del anexo III en la admisión, de modo que, cuando un sistema llega al registro, la categoría está fijada, y con ella si la inscripción se encamina a la parte pública o a la sección segura no pública conforme al artículo 71, apartado 6. Los datos del anexo VIII que la base de datos espera se generan a partir del registro estructurado del sistema que ya has construido, no se recopilan por separado al final.
El motor es determinista y basado en reglas: sin inferencia de modelos, sin alucinaciones. Las mismas respuestas de admisión producen la misma clasificación del anexo III y la misma decisión de encaminamiento cada vez, el comportamiento correcto para algo que inscribes en un registro regulador público.
Preguntas frecuentes
¿Cuál es la diferencia entre el artículo 71 y el artículo 49?
El artículo 71 establece la base de datos UE en sí: encarga a la Comisión crear y mantener el registro, define sus secciones pública y segura no pública, y designa a la Comisión como responsable del tratamiento. El artículo 49 es la obligación que opera dentro de ella: exige a los proveedores (y a ciertos responsables del despliegue que sean autoridades públicas) registrar un sistema de alto riesgo del anexo III, introduciendo la información especificada del anexo VIII antes de introducirlo en el mercado o ponerlo en servicio. Dicho de forma sencilla, el artículo 71 es el recipiente y el artículo 49 es el acto de rellenarlo.
¿Quién mantiene la base de datos UE conforme al artículo 71?
La Comisión crea y mantiene la base de datos en colaboración con los Estados miembros (artículo 71, apartado 1), y se designa como su responsable del tratamiento conforme al artículo 71, apartado 5. La Comisión también presta apoyo técnico y administrativo a los proveedores y responsables del despliegue que cumplen sus deberes de registro. La responsabilidad de la infraestructura recae en la Comisión, mientras que la exactitud y la integridad de cada inscripción individual siguen siendo responsabilidad del proveedor o representante autorizado que registra, conforme al artículo 49.
¿Es pública la base de datos UE?
En gran medida, sí. El artículo 71, apartado 3, exige que la información sea de acceso público, fácil de usar, navegable y legible por máquina, lo que la convierte en una herramienta de transparencia deliberada. La excepción es el artículo 71, apartado 6: las inscripciones de registro de los sistemas de alto riesgo de las categorías de biometría, aplicación de la ley y migración/asilo/control fronterizo (anexo III, puntos 1, 6 y 7) se mantienen en una sección segura no pública accesible solo para la Comisión y las autoridades nacionales de vigilancia del mercado pertinentes.
¿Qué sistemas de alto riesgo se registran en la sección segura no pública?
Conforme al artículo 71, apartado 6, los sistemas de IA de alto riesgo del anexo III, punto 1 (biometría), punto 6 (aplicación de la ley) y punto 7 (gestión de la migración, el asilo y el control fronterizo) tienen su información de registro inscrita en una sección segura no pública. Solo la Comisión y las autoridades nacionales de vigilancia del mercado responsables de esos ámbitos pueden acceder a ella. El razonamiento es la sensibilidad operativa: listar públicamente sistemas policiales, fronterizos y biométricos podría socavar su función, así que la transparencia cede ante la seguridad solo para estas tres categorías.
¿Qué datos personales contiene la base de datos UE?
La base de datos contiene datos personales solo en la medida estrictamente necesaria para el registro y la supervisión (artículo 71, apartado 4). Cualquier tratamiento de ese tipo debe cumplir el RGPD (Reglamento (UE) 2016/679) para los proveedores y responsables del despliegue, y el Reglamento (UE) 2018/1725 cuando la Comisión los trata. En la práctica, la información registrada se centra en el sistema, el proveedor y la vía de conformidad más que en datos personales, y el artículo 71, apartado 3, limita además las inscripciones a lo necesario y proporcionado.
¿Cuándo empieza a aplicarse la obligación de la base de datos UE?
El registro se liga al régimen de alto riesgo del anexo III, cuyas obligaciones se aplican desde el 2 de diciembre de 2027 en virtud del Ómnibus Digital, adoptado en junio de 2026 (voto del Pleno del Parlamento Europeo el 16 de junio, adopción del Consejo el 29 de junio). Planifica con esa fecha.
¿Qué ocurre si un proveedor no registra o introduce información incorrecta?
No registrar un sistema de alto riesgo, o facilitar información incorrecta o incompleta a la base de datos, es un incumplimiento de las obligaciones de los operadores. Recae en el tramo sancionador del artículo 99, apartado 4: hasta 15 millones EUR o el 3 % del volumen de negocios anual total a escala mundial del ejercicio anterior, si esta cifra fuera superior. Para las empresas que cumplen la definición de pyme, el artículo 99, apartado 6, limita la multa al menor de los dos importes en lugar del mayor. Y como el registro condiciona la introducción en el mercado, un sistema no registrado no puede introducirse lícitamente en el mercado.
Guías relacionadas
- deber de registro del artículo 49 y los campos de datos del anexo VIII
- base de datos de IA de la UE: qué es y quién debe registrarse
- obligaciones de los proveedores del artículo 16
- obligaciones de los responsables del despliegue del artículo 26
- sistema de IA de alto riesgo
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →