Plantilla de informe de incidentes graves de IA (artículo 73) — rellenable y campo a campo
Plantilla rellenable de informe de incidentes graves de IA (art. 73): guía campo a campo, los plazos de 2/10/15 días y quién notifica a cada autoridad.
La IA de triaje de imagen de alto riesgo de un hospital no marca un hallazgo, un clínico actúa según ese resultado y un paciente muere. El proveedor que introdujo ese sistema en el mercado dispone de un máximo de 10 días desde el momento en que establece un vínculo causal probable para presentar un informe de incidentes graves ante la autoridad nacional. Esta página te da el informe rellenable que debe presentar.
Esto es el documento en sí, no la explicación. A continuación tienes una plantilla de informe de incidentes graves de IA lista para copiar y pegar, mapeada al artículo 73 del Reglamento de IA de la UE (Reglamento (UE) 2024/1689), una guía campo a campo de cómo completar cada sección bajo la presión del plazo, los plazos de 2/10/15 días en una tabla de consulta rápida y un ejemplo completo ya cumplimentado. Para el deber legal de fondo, consulta el texto completo y las obligaciones del artículo 73; para el proceso operativo, consulta cómo construir un flujo de notificación del artículo 73.
Para quién es esta plantilla — y quién notifica realmente
Antes de rellenar un solo campo, responde a la pregunta que lo condiciona todo: ¿deberías estar usando esta plantilla? El informe completo del proveedor y la notificación del responsable del despliegue son documentos distintos, y presentar el equivocado malgasta un plazo del que no dispones.
Los proveedores de sistemas de IA de alto riesgo son los titulares del informe — artículo 73
El artículo 73(1) es una obligación del proveedor. Solo la entidad que introdujo el sistema de IA de alto riesgo en el mercado de la UE — o lo puso en servicio bajo su propio nombre o marca — presenta el informe regulatorio de incidentes graves ante la autoridad de vigilancia del mercado. Si eres tú, la plantilla completa de abajo es la que debes cumplimentar.
Los responsables del despliegue tienen un deber más estrecho — artículo 26
Un responsable del despliegue no presenta el informe del artículo 73. En virtud del artículo 26, un responsable del despliegue que detecte o sospeche un incidente grave debe notificarlo primero al proveedor y luego, cuando proceda, al importador o al distribuidor. Solo puede dirigirse directamente a la autoridad de vigilancia del mercado cuando el proveedor esté fuera de la UE y resulte ilocalizable, o no haya presentado el informe. Así que una empresa que usa una IA de contratación o de imagen de alto riesgo de un tercero usa los campos de notificación del responsable del despliegue, no el informe completo del proveedor — sitúate en la subplantilla correcta antes de empezar.
Importadores, distribuidores y proveedores de fuera de la UE — artículo 22
Los importadores y los distribuidores trasladan la información del incidente hacia arriba en la cadena, hasta el proveedor, en lugar de presentar ellos mismos el informe regulatorio. Cuando el proveedor está establecido fuera de la UE, su representante autorizado en virtud del artículo 22 puede asumir el papel de notificación y presentar el informe en nombre del proveedor. El deber no se desvanece porque el proveedor esté en el extranjero; se traslada al representante.
Una nota de ámbito: la obligación de notificación del artículo 73 recae sobre los sistemas de IA de alto riesgo, y la fecha de aplicación está en el aire. En lugar de repetir aquí toda la salvedad sobre el plazo, consulta la posición fechada en la sección de la tabla y en el texto completo y las obligaciones del artículo 73.
Antes de rellenar nada: confirma que es un «incidente grave»
Pon la plantilla detrás de la definición. Si el suceso no alcanza el umbral del artículo 3(49), no deberías estar presentando un informe del artículo 73 en absoluto — aunque sí puedas registrarlo en la vigilancia poscomercialización.
Los cinco daños cualificantes — artículo 3(49)
Un incidente es un incidente grave si conduce, directa o indirectamente, a alguno de estos cinco resultados:
- la muerte de una persona;
- un daño grave para la salud de una persona;
- una perturbación grave e irreversible de la gestión o el funcionamiento de infraestructuras críticas;
- una infracción de obligaciones del Derecho de la Unión destinadas a proteger los derechos fundamentales;
- un daño grave a la propiedad o al medio ambiente.
Si no concurre ninguno de ellos, el suceso no activa el informe. Aplica esta prueba primero, siempre.
Causación directa e indirecta
La causación indirecta está dentro del ámbito. Un resultado de IA sobre el que actúa una persona — un clínico que sigue una recomendación de triaje, un gestor que acepta una puntuación de prestaciones — cualifica aunque entre el sistema y el daño mediara una decisión humana. No te convenzas de no notificar porque «la decisión final la tomó una persona».
Cuándo arranca el reloj: «tener conocimiento»
El reloj de la notificación corre desde que el proveedor tiene conocimiento del incidente, o establece una probabilidad razonable de un vínculo causal entre el sistema de IA y el daño. No corre desde que se produjo el daño, ni espera a que concluya la investigación. Para el tratamiento conceptual completo, consulta la definición de incidente grave según el artículo 3(49).
Los plazos de notificación y la autoridad — consulta rápida
¿De cuánto tiempo dispones y a quién va dirigido esto? La respuesta operativa cabe en una tabla. Úsala para rellenar los campos de cabecera de la plantilla de abajo.
| Desencadenante | Plazo | Base jurídica | Adónde va |
|---|---|---|---|
| Incidente grave general | A más tardar en 15 días | Artículo 73(2) | Autoridad de vigilancia del mercado del Estado miembro donde ocurrió el incidente |
| Infracción generalizada de derechos fundamentales, o perturbación grave e irreversible de infraestructuras críticas | A más tardar en 2 días | Artículo 73(3) | La misma autoridad — rige el reloj más rápido |
| Una persona ha fallecido | A más tardar en 10 días | Artículo 73(4) | La misma autoridad |
| Informe inicial incompleto | Preséntalo en plazo y complétalo sin demora | Artículo 73(5) | La misma autoridad — preliminar y luego completo |
Los plazos de 2 / 10 / 15 días
Los tres plazos se miden desde el momento de «tener conocimiento», y rige el plazo aplicable más corto. Si un mismo incidente implica a la vez una muerte y es una infracción generalizada de derechos fundamentales, trabajas contra el reloj de 2 días del artículo 73(3), no contra el de 10 días del artículo 73(4).
Qué autoridad de vigilancia del mercado
El informe va a la autoridad de vigilancia del mercado del Estado miembro donde ocurrió el incidente — no necesariamente donde está establecida tu empresa. Un incidente en Alemania va a la autoridad alemana aunque tu sede esté en Irlanda. Los incidentes que afectan a varios Estados pueden requerir notificaciones paralelas, así que mantén una matriz de jurisdicciones por adelantado en lugar de resolverlo contra un reloj de 2 días.
Informe inicial frente a informe completo — artículo 73(5)
El artículo 73(5) te permite presentar un informe preliminar dentro del plazo y completarlo más tarde. Una presentación preliminar de buena fe que después corriges no es desinformación. La mecánica de los plazos se trata en profundidad en cómo construir un flujo de notificación del artículo 73; aquí la tabla existe para rellenar la cabecera de la plantilla.
La plantilla rellenable de informe de incidentes graves de IA
Este es el entregable central: un bloque markdown rellenable que puedes copiar directamente a tu sistema de gestión de la calidad y cumplimentar. Cada sección se corresponde con los hechos que buscará una autoridad.
INFORME DE INCIDENTE GRAVE DE IA — Reglamento de IA de la UE, artículo 73
--- SECCIÓN A: IDENTIFICACIÓN Y METADATOS DE LA NOTIFICACIÓN ---
Referencia / versión del informe: ____
Tipo de informe: [ ] Preliminar (art. 73(5)) [ ] Completo
Fecha en que el proveedor tuvo conocimiento: ____
Plazo aplicable: [ ] 2 días (art. 73(3)) [ ] 10 días (art. 73(4)) [ ] 15 días (art. 73(2))
Fecha límite resultante: ____
Razón social del proveedor: ____
Representante autorizado (si el proveedor está fuera de la UE, art. 22): ____
Autoridad de vigilancia del mercado destinataria: ____
Estado miembro donde ocurrió el incidente: ____
--- SECCIÓN B: DESCRIPCIÓN DEL INCIDENTE Y CLASIFICACIÓN ART. 3(49) ---
Nombre y versión del sistema de IA de alto riesgo: ____
Finalidad prevista (categoría de uso del anexo III / producto del anexo I): ____
Categoría de daño del art. 3(49) activada:
[ ] Muerte [ ] Daño grave para la salud
[ ] Perturbación de infraestructuras críticas
[ ] Infracción de derechos fundamentales
[ ] Daño grave a la propiedad/al medio ambiente
Descripción fáctica de lo ocurrido: ____
Fecha, hora y lugar del incidente: ____
--- SECCIÓN C: PERSONAS AFECTADAS, SISTEMAS Y VÍNCULO CAUSAL ---
Número y categoría de personas afectadas: ____
Componente del sistema de IA implicado: ____
Vínculo causal establecido o sospechado (comportamiento del sistema -> daño): ____
Decisión con persona en el bucle dentro de la cadena (si la hay): ____
--- SECCIÓN D: MEDIDAS INMEDIATAS Y ACCIÓN CORRECTIVA ---
Contención / mitigación inmediata adoptada: ____
Estado del sistema: [ ] Retirado [ ] Pausado [ ] Recuperado [ ] En servicio
Plan de acción correctiva y responsable: ____
Investigación de causa raíz prevista: ____
--- SECCIÓN E: FIRMA, ANEXOS Y SEGUIMIENTO ---
Informes paralelos presentados:
[ ] RGPD art. 33 (fecha: ____ )
[ ] Alerta temprana NIS2 (fecha: ____ )
[ ] Vigilancia MDR/IVDR (fecha: ____ )
Anexos / referencias de registros: ____
Firmante responsable (nombre, cargo): ____
Informe complementario (si se presentó preliminar): plazo ____ / presentado ____
Sección A — Identificación y metadatos de la notificación
La sección A es la cabecera que una autoridad lee primero: qué sistema, qué proveedor, qué reloj y la fecha límite resultante. Acierta con la casilla del plazo, porque dicta todo lo que viene después.
Sección B — Descripción del incidente y la clasificación del artículo 3(49)
La sección B indica el sistema, su finalidad prevista y cuál de las cinco categorías de daño del artículo 3(49) se activó, con un relato fáctico de qué ocurrió y cuándo.
Sección C — Personas afectadas, sistemas y el vínculo causal
La sección C registra a quién afectó, qué componente estuvo implicado y el vínculo establecido o sospechado entre el comportamiento del sistema y el daño — incluida cualquier decisión humana en la cadena.
Sección D — Medidas inmediatas y acción correctiva
La sección D recoge lo que hiciste de inmediato: contención, si el sistema se pausó o se retiró, y el plan de acción correctiva con un responsable designado.
Sección E — Firma, anexos y seguimiento posterior
La sección E registra las presentaciones regulatorias paralelas, adjunta las pruebas de respaldo, nombra al firmante responsable y reserva un hueco para el informe complementario cuando se presentó uno preliminar.
Guía campo a campo: cómo completar cada sección sin revelar de más
Bajo la presión del plazo, la tentación es o bien adivinar la causa o bien rellenar el expediente de paja. Ambas son errores. Así es como se rellena cada campo correctamente.
Redactar la descripción fáctica frente a la especulación
Describe hechos y comportamientos observados. Señala con claridad qué está establecido frente a qué sigue bajo investigación, en lugar de adivinar la causa raíz. Esto preserva tu opción del artículo 73(5) de presentar ahora un informe preliminar y completarlo cuando termine el análisis — y te protege de la siguiente trampa.
Documentar el vínculo causal con honestidad
No presentes un informe a sabiendas incompleto o engañoso. Facilitar información incorrecta, incompleta o engañosa a una autoridad de vigilancia del mercado es una infracción aparte en virtud del artículo 99(5), con multas de hasta 7,5 M€ o el 1 % del volumen de negocios anual total mundial, la cantidad que sea mayor. Declara el vínculo causal sospechado como sospechado; no disfraces la especulación de hallazgo, y no entierres un hecho conocido.
Registrar los informes regulatorios paralelos
Un mismo suceso suele activar varios regímenes a la vez. Presenta cada informe aplicable y anota las presentaciones paralelas en la sección E:
- una violación de datos personales exige notificarla a la autoridad de control en un plazo de 72 horas en virtud del artículo 33 del RGPD;
- un incidente cibernético significativo exige una alerta temprana NIS2 en un plazo de 24 horas;
- la IA integrada como componente de seguridad de un producto sanitario conlleva plazos de vigilancia del MDR (Reglamento (UE) 2017/745) o del IVDR (Reglamento (UE) 2017/746).
Vincula la acción correctiva de la sección D con tu sistema de vigilancia poscomercialización, para que el incidente alimente el bucle de seguimiento continuo en lugar de quedar aislado.
Ejemplo trabajado: Helvetra Diagnostics presenta un informe a 10 días
Aquí tienes la plantilla de principio a fin. Helvetra Diagnostics es un proveedor ficticio de 140 personas, con sede en Múnich, de una IA de triaje de imagen médica de alto riesgo — un componente de seguridad de un producto sanitario regulado, de modo que entra en ámbito tanto por el anexo III como por el régimen de productos sanitarios.
El escenario y el desencadenante del artículo 3(49)
Un hallazgo no marcado en el resultado del modelo contribuye a un diagnóstico tardío, y un paciente muere. El 4 de junio de 2026, la revisión de seguridad clínica de Helvetra establece una probabilidad razonable de que el comportamiento del sistema estuviera causalmente vinculado a la muerte. Esa fecha de conocimiento activa el plazo de 10 días del artículo 73(4) — fecha límite el 14 de junio de 2026.
La plantilla cumplimentada, campo a campo
--- SECCIÓN A ---
Referencia / versión del informe: HD-INC-2026-002 v1
Tipo de informe: [x] Preliminar (art. 73(5))
Fecha en que el proveedor tuvo conocimiento: 2026-06-04
Plazo aplicable: [x] 10 días (art. 73(4))
Fecha límite resultante: 2026-06-14
Razón social del proveedor: Helvetra Diagnostics GmbH
Autoridad de vigilancia del mercado destinataria: autoridad de vigilancia del mercado alemana
Estado miembro donde ocurrió el incidente: Alemania
--- SECCIÓN B ---
Nombre y versión del sistema de IA de alto riesgo: HelvScan Triage v3.2
Finalidad prevista: triaje de imagen; componente de seguridad de un producto regulado
Categoría de daño del art. 3(49): [x] Muerte
Descripción fáctica: el modelo no marcó un hallazgo confirmado después como maligno;
el clínico actuó según el resultado no marcado; diagnóstico tardío; el paciente murió.
Fecha, hora y lugar: 2026-05-28, hospital asociado, Múnich
--- SECCIÓN C ---
Personas afectadas: 1 paciente (fallecido)
Componente del sistema de IA implicado: módulo de detección, versión del modelo v3.2
Vínculo causal: SOSPECHADO, indirecto — el clínico se basó en el resultado;
contribución causal bajo investigación
Persona en el bucle: sí — validación del radiólogo sobre el resultado de triaje
--- SECCIÓN D ---
Medidas inmediatas: versión del modelo v3.2 pausada en todos los centros el 2026-06-04
Estado del sistema: [x] Pausado
Plan de acción correctiva y responsable: revertir a v3.1, revisión de causa raíz — Responsable de Seguridad Clínica
Investigación de causa raíz prevista: auditoría del umbral de detección y del conjunto de datos
--- SECCIÓN E ---
Informes paralelos presentados: [x] Vigilancia MDR/IVDR (fecha: 2026-06-05)
Anexos: registros del modelo, nota de revisión de seguridad clínica, registro de versiones
Firmante responsable: Responsable de Seguridad Clínica de Helvetra
Informe complementario: pendiente al concluir el análisis de causa raíz
La presentación, los informes paralelos y el seguimiento complementario
Helvetra presenta el informe preliminar ante la autoridad alemana porque el incidente ocurrió en Alemania. Como la IA es un componente de seguridad de un producto, presenta un informe de vigilancia MDR paralelo y lo anota en la sección E. Una vez concluido el análisis de causa raíz, Helvetra presenta el informe complementario en virtud del artículo 73(5), cerrando el ciclo de preliminar a completo.
Una nota para los proveedores más pequeños: en virtud del artículo 99(6), las multas administrativas para las pymes y las empresas emergentes se topan en la menor de las dos cifras, el porcentaje o el importe fijo — algo relevante para la exposición por desinformación del artículo 99(5). La proporcionalidad rebaja el techo; no elimina el deber de notificar con honestidad y a tiempo.
Después de presentar: acción correctiva, pruebas y vigilancia poscomercialización
El informe no es un formulario de una sola vez; es un registro vivo. Lo que ocurre después de pulsar enviar importa tanto como la presentación.
Cerrar el ciclo de la acción correctiva
El proveedor debe investigar, adoptar la acción correctiva y cooperar con la autoridad. Registra las acciones y los responsables en la sección D para que el expediente esté listo para auditoría, no sea una instantánea congelada en el momento de la presentación.
Conservar el informe como prueba de auditoría
Conserva el informe cumplimentado y sus registros de respaldo como prueba dentro de tu rastro de gestión de la calidad y de documentación técnica. El mismo expediente que satisface el artículo 73 pasa a formar parte de la historia de conformidad que una autoridad puede reexaminar más adelante.
Alimentar el sistema de vigilancia poscomercialización — artículo 72
En virtud del artículo 72, los incidentes graves alimentan el sistema de vigilancia poscomercialización del proveedor. Los patrones entre incidentes deben actualizar las evaluaciones de riesgo y los umbrales de seguimiento en lugar de archivarse — consulta cómo alimentar incidentes en la vigilancia poscomercialización y la obligación de vigilancia poscomercialización del artículo 72.
Cómo ayuda Confir
Confir ensambla y versiona las pruebas del informe de incidentes frente a los campos del artículo 73, de modo que la plantilla de arriba se rellena a partir de tu registro de evaluación existente en lugar de reconstruirse a mano contra un reloj de 2 días. El motor de síntesis es determinista y basado en reglas — sin inferencia de modelos, sin alucinaciones: las mismas entradas producen siempre el mismo informe, y un auditor puede volver a ejecutarlas para obtener el expediente idéntico. Cada sección remite al artículo que la impulsa — el artículo 3(49) para la clasificación, el artículo 73 para los plazos, el artículo 72 para el bucle de seguimiento — y el rastro de auditoría registra qué regla se disparó y cuándo.
Una nota sobre el plazo. La obligación del artículo 73 recae sobre los sistemas de alto riesgo del anexo III, cuya fecha de aplicación es el 2 de diciembre de 2027. El Digital Omnibus, que fija ese aplazamiento, está adoptado: voto final del Parlamento Europeo el 16 de junio de 2026, adopción formal del Consejo el 29 de junio de 2026, y entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. El aplazamiento usa fechas de calendario fijas; la variante de «parar el reloj» supeditada a las normas técnicas fue rechazada — construye tu plantilla de notificación contra el 2 de diciembre de 2027.
Preguntas frecuentes
¿Quién tiene que presentar un informe de incidentes graves del artículo 73?
El proveedor del sistema de IA de alto riesgo presenta el informe — la entidad que introdujo el sistema en el mercado de la UE o lo puso en servicio bajo su propio nombre. Los responsables del despliegue no presentan el informe regulatorio; en virtud del artículo 26, un responsable del despliegue que sospeche un incidente grave debe notificarlo primero al proveedor, y solo puede dirigirse directamente a la autoridad de vigilancia del mercado cuando el proveedor esté fuera de la UE o no haya presentado el informe. Los importadores y los distribuidores trasladan la información del incidente hacia arriba, hasta el proveedor. Si el proveedor está establecido fuera de la UE, su representante autorizado en virtud del artículo 22 puede asumir el papel de notificación.
¿Qué cuenta como «incidente grave» según el Reglamento de IA de la UE?
El artículo 3(49) define un incidente grave como aquel que conduce, directa o indirectamente, a alguno de estos cinco resultados: la muerte de una persona; un daño grave para la salud de una persona; una perturbación grave e irreversible de infraestructuras críticas; una infracción del Derecho de la UE que protege los derechos fundamentales; o un daño grave a la propiedad o al medio ambiente. La causación indirecta está incluida, así que un resultado de IA sobre el que actúa una persona — provocando un daño aguas abajo — sigue cualificando. Si no concurre ninguno de los cinco daños, el suceso no activa el informe del artículo 73, aunque pueda corresponder a tus registros de vigilancia poscomercialización.
¿Cuántos días tengo para notificar un incidente grave de IA?
El plazo depende del daño. Un incidente grave general debe notificarse a más tardar en 15 días desde que tienes conocimiento de él (artículo 73(2)). Una infracción generalizada de derechos fundamentales o una perturbación grave e irreversible de infraestructuras críticas lo aprieta a 2 días (artículo 73(3)). Cuando una persona ha fallecido, el plazo es de 10 días (artículo 73(4)). Todos los relojes arrancan desde que tienes conocimiento o estableces una probabilidad razonable de un vínculo causal — no desde el propio daño. Rige el plazo aplicable más corto.
¿Adónde envío el informe de incidente de IA?
Notificas a la autoridad de vigilancia del mercado del Estado miembro donde ocurrió el incidente — no necesariamente donde está establecida tu empresa. Si un incidente en Alemania daña a personas en Alemania, notificas a la autoridad alemana aunque tengas tu sede en otro lugar de la UE. Los incidentes que abarcan varios Estados miembros pueden requerir notificaciones paralelas, así que mantén una matriz de jurisdicciones por adelantado en lugar de resolverlo bajo la presión del plazo. Conserva un registro de cada autoridad contactada y de la fecha de presentación.
¿Puedo enviar un informe preliminar y completarlo más tarde?
Sí. El artículo 73(5) te permite presentar un informe inicial incompleto dentro del plazo aplicable y completarlo después. Esto importa porque el reloj arranca cuando tienes conocimiento de un vínculo causal probable, a menudo antes de que concluya investigación alguna. Un informe preliminar de buena fe que después corriges no es desinformación. Lo que debes evitar es una presentación a sabiendas incompleta o engañosa — eso es una infracción aparte en virtud del artículo 99(5), con multas de hasta 7,5 M€ o el 1 % del volumen de negocios anual mundial. Indica con claridad qué hechos están establecidos y cuáles siguen bajo investigación.
¿Sigo notificando bajo el artículo 73 si el incidente también activa el RGPD o NIS2?
Sí — los regímenes corren en paralelo, no en sustitución uno del otro. Un mismo suceso puede activar varios informes con relojes distintos: una violación de datos personales exige una notificación a la autoridad de control en un plazo de 72 horas en virtud del artículo 33 del RGPD; un incidente cibernético significativo exige una alerta temprana NIS2 en un plazo de 24 horas; y la IA integrada como componente de seguridad de un producto sanitario conlleva plazos de vigilancia del MDR o del IVDR. Presenta cada informe aplicable y anota en cada uno que se está notificando en paralelo. Donde los Estados miembros ofrezcan canales coordinados, úsalos para evitar presentaciones contradictorias.
¿Las obligaciones de notificación de incidentes de alto riesgo están definitivamente en vigor desde agosto de 2026?
Planifica frente al 2 de diciembre de 2027 para los sistemas de alto riesgo autónomos del anexo III, la fecha fijada por el Digital Omnibus, ya adoptado: voto final del Parlamento Europeo el 16 de junio de 2026, adopción formal del Consejo el 29 de junio de 2026, con entrada en vigor a la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. El aplazamiento usa fechas de calendario fijas; la variante de «parar el reloj» supeditada a las normas técnicas fue rechazada — prepara tu plantilla de notificación contra el 2 de diciembre de 2027.
Guías relacionadas
- el texto completo y las obligaciones del artículo 73
- cómo construir un flujo de notificación del artículo 73
- la definición de incidente grave según el artículo 3(49)
- cómo alimentar incidentes en la vigilancia poscomercialización
- la obligación de vigilancia poscomercialización del artículo 72
Última revisión: junio de 2026. Cita el Reglamento (UE) 2024/1689 (Reglamento de IA de la UE).
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →