Vigilancia del mercado en la Ley de IA de la UE: quién investiga y qué esperar
Cómo investigan los sistemas de IA las autoridades de vigilancia del mercado: solicitudes de información, medidas correctoras y multas del artículo 99.
Una autoridad de vigilancia del mercado puede pedirte que demuestres que un sistema de IA cumple las normas: por escrito, con documentación y con un plazo. Para los sistemas de IA, esa autoridad es un organismo nacional que cada Estado miembro designa en virtud del artículo 70 de la Ley de IA de la UE, el Reglamento (UE) 2024/1689; sus competencias de investigación arrancan en el artículo 74 y siguientes. La capa de los modelos de IA de uso general (GPAI) se supervisa por separado, a cargo de la Oficina Europea de IA. Esta guía cubre qué puede hacer la autoridad nacional, qué aspecto tiene una investigación y cómo estar preparado antes de que llegue la carta.
Quién es la autoridad y qué abarca
Cada Estado miembro nombra una o varias autoridades nacionales competentes en virtud del artículo 70, incluida la autoridad de vigilancia del mercado que vigila los sistemas de IA introducidos o utilizados en su territorio. En España, esa función principal corresponde a la AESIA (con la AEPD, el CGPJ y otros competentes en sus propios ámbitos); en otros Estados miembros es el organismo que cada gobierno haya designado. El punto de contacto único del artículo 70 te indica con quién tratar.
La vigilancia del mercado reutiliza la maquinaria de seguridad de los productos ya existente en la UE (el Reglamento (UE) 2019/1020) y le superpone las particularidades de la Ley de IA. El cometido de la autoridad es el sistema en el mercado: tus obligaciones como proveedor (artículo 16) o responsable del despliegue (artículo 26), los requisitos de alto riesgo, las obligaciones de transparencia del artículo 50 y las prohibiciones del artículo 5. No supervisa los modelos de GPAI; eso es competencia de la Oficina de IA, y las multas a los proveedores de modelos de GPAI las impone la Comisión en virtud del artículo 101, no la autoridad nacional.
Las competencias: qué puede hacer realmente una autoridad
Desde el artículo 74 y siguientes, una autoridad de vigilancia del mercado puede:
| Competencia | Qué significa en la práctica |
|---|---|
| Solicitar información y documentación | Exigir la documentación técnica (artículo 11 / anexo IV), la declaración de conformidad (artículo 47 / anexo V), los registros de actividad (artículo 12) y los registros de tu evaluación. |
| Acceder al código fuente (de forma condicionada) | Cuando las pruebas y la documentación sean insuficientes y mediante solicitud motivada, acceder a los datos de entrenamiento y, excepcionalmente, al código fuente, con sujeción a salvaguardas de confidencialidad. |
| Evaluar el sistema | Probar o inspeccionar el sistema para comprobar la conformidad, incluso en condiciones reales. |
| Exigir medidas correctoras | Ordenarte que adaptes un sistema no conforme a la conformidad en un plazo determinado. |
| Restringir, retirar o recuperar | Restringir la disponibilidad, retirar el sistema del mercado u ordenar su recuperación cuando el riesgo lo justifique. |
| Imponer sanciones | Aplicar las multas del artículo 99, según lo establecido en el Derecho nacional. |
La autoridad puede actuar por iniciativa propia, a raíz de una reclamación o tras la recepción de un informe de incidente grave.
Los niveles de sanción (artículo 99)
Las autoridades nacionales aplican tres niveles, cada uno "lo que sea mayor" entre una suma fija y un porcentaje del volumen de negocios anual total a escala mundial:
| Infracción | Multa máxima | Apartado |
|---|---|---|
| Prácticas prohibidas del artículo 5 | 35 millones de euros o el 7 % | 99(3) |
| La mayoría de las demás obligaciones (requisitos de alto riesgo, obligaciones de proveedor/responsable del despliegue, artículo 50) | 15 millones de euros o el 3 % | 99(4) |
| Información incorrecta, incompleta o engañosa a las autoridades o a los organismos notificados | 7,5 millones de euros o el 1 % | 99(5) |
Dos cosas que las pymes deberían tener en cuenta. Primero, el tercer nivel —facilitar información incorrecta o engañosa a la autoridad durante una investigación— es una infracción propia: cómo respondas a la solicitud importa. Segundo, en virtud del artículo 99(6), una pyme o empresa emergente queda limitada al importe menor entre el porcentaje y la suma fija, no al mayor.
Cómo encajan los informes de incidentes graves (artículo 73)
La vigilancia del mercado no es solo papeleo reactivo. Un proveedor de un sistema de alto riesgo debe notificar un incidente grave a la autoridad pertinente en virtud del artículo 73 —fallecimiento, perjuicio grave para la salud, perturbación grave e irreversible de infraestructuras críticas, vulneración de obligaciones en materia de derechos fundamentales, o daño grave a bienes o al medio ambiente— dentro de plazos ajustados. Ese informe es a menudo lo que abre un expediente de vigilancia del mercado. El seguimiento posterior a la comercialización por parte del proveedor (artículo 72) es la obligación previa que debería detectar el problema primero; el artículo 73 es la notificación cuando lo hace. Mantener ambos diferenciados importa: son artículos distintos con desencadenantes distintos.
Qué aspecto tiene una investigación y cómo estar preparado
La mayoría de las investigaciones comienzan con una solicitud de información por escrito, no con un inspector en la puerta. Se te concede un plazo para presentar documentos concretos. La autoridad los revisa, puede pedir aclaraciones o probar el sistema, y luego cierra el expediente, exige medidas correctoras o lo escala a una restricción y una multa.
La preparación consiste sobre todo en tener el expediente ya montado:
- Un registro de cada sistema de IA que proporcionas o despliegas, cada uno con su clasificación del artículo 6 y el motivo.
- La documentación técnica (artículo 11 / anexo IV) y la declaración de conformidad (artículo 47) de cualquier sistema de alto riesgo.
- Los registros de actividad (artículo 12) y tus registros de seguimiento posterior a la comercialización (artículo 72).
- Pruebas de la transparencia del artículo 50 cuando proceda, y de las medidas de alfabetización en IA del artículo 4.
- Un responsable designado que pueda responder a la autoridad con exactitud, porque una respuesta incorrecta o engañosa es en sí misma una infracción del artículo 99(5).
Las empresas que se ven en apuros no suelen ser las que tienen una laguna en el sistema; son las que no pueden, en un plazo de dos semanas, encontrar el documento que demuestra que la laguna se evaluó y se gestionó.
Ejemplo práctico: una pyme ante una solicitud de información
Lumen Analytics, una firma de análisis de ~70 personas en Lisboa (~9 millones de euros de facturación), despliega una herramienta de cribado de currículums de un tercero para preseleccionar candidatos en su propia contratación. Un candidato rechazado presenta una reclamación ante la autoridad portuguesa. Llega una solicitud de información de vigilancia del mercado: presenta la clasificación del sistema, los registros del responsable del despliegue, las disposiciones de supervisión humana y la información de transparencia facilitada a los candidatos.
Como Lumen había registrado la herramienta como de alto riesgo (anexo III, empleo), conservado sus registros de responsable del despliegue del artículo 26, registrado la revisión humana de cada preselección y podía mostrar el aviso del artículo 50 a los candidatos, respondió por completo dentro del plazo. El expediente se cerró sin medidas correctoras. Si Lumen, en cambio, hubiera improvisado las respuestas, el nivel de información engañosa (99(5)) habría estado en juego además de cualquier infracción de fondo. La lección: el registro y los expedientes, preparados con calma, son lo que convierte una solicitud en un trámite sin consecuencias.
Cómo ayuda Confir
Confir mantiene cada sistema de IA clasificado, con función asignada y documentado en un único registro, de modo que una solicitud de información es una tarea de recuperación en lugar de una carrera contrarreloj: la clasificación, el artículo citado, la regla que se activó y los documentos de apoyo ya están en su sitio. El motor es determinista y basado en reglas: la misma entrada produce siempre el mismo resultado, y el motivo es legible por humanos, que es exactamente lo que pone a prueba la solicitud motivada de una autoridad.
Guías relacionadas
- ¿Quién aplica la Ley de IA de la UE?
- Autoridad de vigilancia del mercado, definida
- Sanciones de la Ley de IA de la UE (artículo 99)
- Notificación de incidentes graves (artículo 73)
- La Ley de IA de la UE en España
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →