Vigilancia poscomercialización bajo la Ley de IA de la UE: definición (artículo 72)
Vigilancia poscomercialización (art. 72 Ley de IA UE): el deber del proveedor de analizar la IA de alto riesgo tras el lanzamiento; alimenta el art. 73.
La vigilancia poscomercialización es la obligación del proveedor de un sistema de IA de alto riesgo de recopilar, documentar y analizar de forma activa y sistemática datos sobre cómo funciona ese sistema después de introducirse en el mercado o ponerse en servicio, durante toda la vida útil del sistema. Se establece en el artículo 72 del Reglamento (UE) 2024/1689 (la Ley de IA de la UE). Esta entrada define el término, resume lo que exige el artículo 72 y explica cómo alimenta la notificación de incidentes graves del artículo 73; se aplica solo a los sistemas de alto riesgo.
Vigilancia poscomercialización: la definición breve
La vigilancia poscomercialización es el deber de "seguir observándolo después del lanzamiento". Una vez que un sistema de IA de alto riesgo está activo, el artículo 72 exige a su proveedor seguir reuniendo datos de rendimiento, no como una auditoría de lanzamiento puntual, sino de forma continua, a lo largo de la vida operativa del sistema.
Dos rasgos lo distinguen. Primero, es proactivo y continuo: el proveedor debe buscar y analizar datos activamente, no esperar a las quejas. Segundo, lo opera el proveedor: es distinto de la vigilancia del mercado, que es lo que hacen las autoridades nacionales conforme al artículo 74 y siguientes. La vigilancia poscomercialización es lo que haces con tu propio sistema; la vigilancia del mercado es lo que hace el regulador con el mercado.
La actividad se estructura mediante un plan de vigilancia poscomercialización documentado. Para un lector con prisa, la versión de una línea: es el mecanismo que detecta si un sistema de alto riesgo desplegado sigue cumpliendo los requisitos de la Ley.
Qué exige el artículo 72, en breve
El recorrido subapartado por subapartado vive en la guía completa del artículo 72. A grandes rasgos, el artículo 72 tiene tres elementos operativos:
- Establecer y documentar un sistema de vigilancia proporcionado a la naturaleza de la tecnología de IA y a los riesgos del sistema (artículo 72(1)).
- Recopilar, documentar y analizar de forma activa y sistemática los datos de rendimiento pertinentes durante la vida útil del sistema (artículo 72(2)).
- Basar la actividad en un plan documentado (artículo 72(3)).
Los datos pueden venir de varias fuentes: los responsables del despliegue que usan el sistema, la telemetría propia del proveedor, los usuarios finales y otros canales. El artículo 72(2) contempla expresamente los datos aportados por el responsable del despliegue.
El plan de vigilancia poscomercialización no es un documento independiente. A través del artículo 11, forma parte de la documentación técnica del anexo IV. La Comisión Europea debe emitir una plantilla para el plan; a fecha de junio de 2026 esa plantilla aún no se ha publicado, así que los proveedores la redactan conforme a los requisitos legales directamente.
Cuando un sistema de alto riesgo también está cubierto por otra norma de la Unión que conlleva deberes equivalentes de vigilancia poscomercialización —los productos sanitarios bajo el Reglamento (UE) 2017/745, por ejemplo—, el artículo 72(4) permite integrar la vigilancia en ese régimen existente en lugar de duplicarla.
Una nota de honestidad sobre el ámbito. El artículo 72 se aplica solo a los sistemas de IA de alto riesgo. La mayoría de las herramientas de marketing y adtech, y la IA de logística general, no son de alto riesgo y no cargan con ningún deber del artículo 72: en su lugar vigilan el artículo 5 (prácticas manipuladoras prohibidas) y el artículo 50 (transparencia para chatbots y contenido sintético). No le acoples un plan de vigilancia a un sistema que, para empezar, no es de alto riesgo.
Quién tiene que hacerlo: el proveedor, no el responsable del despliegue
La obligación del artículo 72 recae sobre el proveedor: el actor que desarrolla un sistema de alto riesgo, o lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca (artículo 16). El proveedor diseña y opera el sistema de vigilancia.
Los responsables del despliegue son una fuente de datos, no el operador. Conforme al artículo 26 deben usar el sistema según sus instrucciones, conservar registros y notificar al proveedor los incidentes graves. Esos registros y notificaciones alimentan la vigilancia del proveedor, pero el responsable del despliegue no la construye ni la opera.
La línea puede moverse. Una parte que pone su nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia la finalidad prevista de un sistema de modo que pase a ser de alto riesgo, puede pasar a ser proveedor conforme al artículo 25, y hereda el deber del artículo 72 junto con el título. Dos anclajes rápidos de dónde aprieta esto: una herramienta de cribado de selección de personal del anexo III, punto 4(a), o un componente de seguridad de IA en la gestión de infraestructuras críticas del anexo III, punto 2.
Cómo alimenta la notificación de incidentes graves del artículo 73
Esta es la relación que más importa. La vigilancia poscomercialización (artículo 72) es el mecanismo continuo de detección. La notificación de incidentes graves (artículo 73) es el deber reactivo que se activa cuando la vigilancia —o cualquier otra fuente— saca a la luz un incidente grave. En resumen: el artículo 72 detecta; el artículo 73 notifica.
| Artículo 72 — vigilancia poscomercialización | Artículo 73 — notificación de incidentes graves | |
|---|---|---|
| Detonante | Continuo; corre a lo largo del ciclo de vida | Lo activa un incidente grave |
| Quién actúa | Proveedor (opera el sistema) | Proveedor (presenta la notificación) |
| Cadencia | Recopilación y análisis continuos | Una notificación, dentro de un plazo fijo |
| Notifica a | Interno; alimenta la gestión de riesgos | Autoridad nacional de vigilancia del mercado |
| Objetivo | Detectar pronto un riesgo degradado o nuevo | Avisar a las autoridades para contener el daño |
Los plazos del artículo 73 son estrictos. El proveedor debe notificar sin demora indebida y a más tardar en 15 días por defecto; a más tardar en 10 días cuando el incidente provoque el fallecimiento de una persona; y a más tardar en 2 días en caso de infracción generalizada o de perturbación grave e irreversible de una infraestructura crítica.
La vigilancia también cierra un bucle que los auditores rastrean. Los hallazgos se realimentan en el sistema de gestión de riesgos del artículo 9 —se actualiza la evaluación de riesgos y, cuando es necesario, también la documentación técnica del anexo IV. Y sin un sistema activo del artículo 72, a un proveedor le cuesta establecer cuándo "tuvo conocimiento" de un incidente, que es el momento en el que empieza a correr el reloj del artículo 73.
Plazos y sanciones
El deber del artículo 72 se aplica una vez que se aplican las obligaciones de alto riesgo. El alto riesgo autónomo clasificado conforme al artículo 6(2) y al anexo III se aplica desde el 2 de diciembre de 2027, y el alto riesgo integrado en productos vía artículo 6(1) y anexo I, desde el 2 de agosto de 2028.
El Ómnibus Digital, que fija estas fechas, ya es ley —voto del Parlamento Europeo el 16 de junio de 2026, adopción del Consejo el 29 de junio de 2026—: el Reglamento (UE) 2026/1744 fue publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. Las nuevas fechas del aplazamiento —2 de diciembre de 2027 para el anexo III y 2 de agosto de 2028 para el anexo I— ya son de referencia. El aplazamiento son fechas de calendario fijas: la propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas, con fechas límite de reserva, pero los colegisladores adoptaron fechas fijas. Y no todo se aplaza. Las prohibiciones del artículo 5 y el deber de alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025, y las obligaciones de GPAI de los artículos 51 a 55 desde el 2 de agosto de 2025.
No establecer ni documentar el sistema de vigilancia incumple una obligación del proveedor de alto riesgo conforme al artículo 99(4): multas de hasta 15 M€ o el 3 % del volumen de negocios anual total a escala mundial, el que sea mayor. Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa al menor de esas dos cifras. Por separado, facilitar información de vigilancia incorrecta, incompleta o engañosa a las autoridades cae bajo el artículo 99(5): hasta 7,5 M€ o el 1 % del volumen de negocios anual total a escala mundial.
Cómo ayuda Confir
Confir mapea el plan de vigilancia del artículo 72 dentro de la documentación técnica del anexo IV y enlaza cada sistema de alto riesgo con sus plazos de notificación del artículo 73 —2 días, 10 días o 15 días—, de modo que la ventana correcta aparezca frente al perfil de riesgo del sistema en lugar de tener que recordarla bajo presión. El motor de síntesis es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, de modo que las obligaciones que señala remiten directamente al artículo que estás leyendo.
Términos relacionados
- Vigilancia poscomercialización del artículo 72: guía completa
- cómo construir un plan de vigilancia poscomercialización
- notificación de incidentes graves del artículo 73
- incidente grave (definición)
- plantilla de informe de incidentes de IA
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →