Registro de cumplimiento de instrucciones de uso del responsable del despliegue (Ley de IA, artículo 26)
Registro de cumplimiento de instrucciones de uso para IA de alto riesgo: cumple el art. 26: instrucciones del art. 13, supervisión, registros y vigilancia.
Si despliegas un sistema de IA de alto riesgo que ha construido otra persona, tu cumplimiento no empieza con papeleo que te inventas: empieza con las instrucciones de uso que el proveedor te entrega en virtud del artículo 13. El artículo 26 de la Ley de IA de la UE, el Reglamento (UE) 2024/1689, te exige entonces utilizar el sistema con arreglo a esas instrucciones y cumplir una lista concreta de obligaciones operativas. Esta página te da un registro rellenable que conecta ambas cosas: documenta que leíste las instrucciones del proveedor, configuraste el sistema según lo indicado y cumpliste cada obligación del artículo 26.
Úsalo como el expediente de pruebas permanente del responsable del despliegue. No es la documentación técnica del proveedor (eso es el artículo 11 / anexo IV, tarea del proveedor) ni es una evaluación de impacto sobre los derechos fundamentales (eso es la EIDF aparte del artículo 27). Es la prueba propia del responsable del despliegue de que el sistema se opera tal y como exigen la ley y el manual del proveedor.
Por qué el responsable del despliegue necesita este registro
La mayoría de las empresas son responsables del despliegue, no proveedores: compraste o licenciaste la IA en lugar de desarrollarla e introducirla en el mercado con tu propio nombre. Las obligaciones del responsable del despliegue son más ligeras de lo que los fundadores temen, pero son reales y se auditan. El artículo 26(1) es explícito: los responsables del despliegue deben adoptar medidas técnicas y organizativas adecuadas para garantizar que utilizan los sistemas de alto riesgo con arreglo a las instrucciones de uso del artículo 13. Si no puedes demostrar que leíste esas instrucciones y actuaste en consecuencia, no puedes demostrar el cumplimiento del artículo 26.
El registro que sigue está estructurado para que cada sección se corresponda con una obligación. Mantenlo al día: el artículo 26 es una obligación continua, no una formalidad del día del lanzamiento.
Qué te debe primero el proveedor (artículo 13)
Antes de que puedas cumplir, el proveedor debe entregarte las instrucciones de uso. El artículo 13 exige que esas instrucciones indiquen, como mínimo: la finalidad prevista del sistema; su nivel de precisión, solidez y ciberseguridad (las métricas del artículo 15 con las que se probó); las limitaciones conocidas y el uso indebido previsible; las medidas de supervisión humana que el proveedor incorporó (la interfaz del artículo 14); la vida útil prevista; y las necesidades de cómputo y de hardware. Si las instrucciones omiten algo de esto, plantéaselo al proveedor: no puedes cumplir el artículo 26 frente a un manual que no existe.
Las obligaciones del responsable del despliegue del artículo 26, mapeadas
| Obligación | Base en el artículo 26 | Qué registras |
|---|---|---|
| Utilizar el sistema según las instrucciones del proveedor | 26(1) | Confirmación de que leíste y seguiste las instrucciones del artículo 13 |
| Encomendar la supervisión humana a personas competentes y formadas | 26(2) | Supervisores designados; su autoridad para intervenir/detener (artículo 14) |
| Garantizar que los datos de entrada sean pertinentes y representativos para la finalidad prevista, en la medida en que los controles | 26(4) | Fuentes de los datos de entrada y tu comprobación de pertinencia |
| Vigilar el funcionamiento; suspender el uso e informar al proveedor ante un incidente grave o una señal de riesgo | 26(5) | Procedimiento de vigilancia; registro de escalado |
| Conservar los registros generados automáticamente por el sistema, cuando estén bajo tu control | 26(6) | Ubicación de los registros; conservación (al menos seis meses) |
| Informar a los representantes de los trabajadores y a los trabajadores afectados antes de poner en uso un sistema en el lugar de trabajo | 26(7) | Registro de la notificación |
| Cooperar con las autoridades; completar la EIDF cuando proceda (artículo 27) | 26(9), (11) | Referencia de la EIDF si eres un organismo público o despliegas sistemas de solvencia / de seguros de vida y salud |
Fíjate en el punto de conservación de registros: el artículo 26(6) exige a los responsables del despliegue conservar los registros que controlan durante un periodo adecuado a la finalidad prevista, al menos seis meses salvo que otra norma de la UE o nacional disponga otra cosa. La propia obligación de conservación de registros del proveedor recae en el artículo 19: dos obligaciones distintas sobre dos partes distintas.
La plantilla: campos que recoger
1. Identificación del sistema y del proveedor
- Nombre del sistema, versión, nombre y contacto del proveedor; si el sistema es independiente (anexo III) o está integrado en un producto del anexo I; referencia de registro en la base de datos de la UE cuando proceda (el proveedor registra en virtud del artículo 49); marcado CE confirmado.
2. Recepción de las instrucciones de uso (artículo 13)
- Fecha de recepción de las instrucciones; versión; confirmación de que cubren la finalidad prevista, los niveles de precisión/solidez/ciberseguridad del artículo 15, las limitaciones conocidas, el uso indebido previsible, las medidas de supervisión humana y la vida útil prevista. Anota cualquier laguna planteada al proveedor.
3. Coincidencia con la finalidad prevista
- Declaración de que tu uso real cae dentro de la finalidad prevista declarada por el proveedor. Si no es así, detente: usar un sistema fuera de su finalidad prevista puede convertirte en proveedor en virtud del artículo 25.
4. Supervisión humana (artículo 14 / artículo 26(2))
- Supervisores designados; su competencia y formación; su autoridad y mecanismo para intervenir, anular o detener el sistema; cómo se contrarresta el sesgo de automatización.
5. Datos de entrada (artículo 26(4))
- Los datos de entrada que alimentas al sistema; tu comprobación de que son pertinentes y suficientemente representativos para la finalidad prevista, en la medida en que estén bajo tu control.
6. Vigilancia y escalado (artículo 26(5))
- Cómo vigilas el funcionamiento frente a las instrucciones; el desencadenante y la vía para suspender el uso y notificar al proveedor; vínculo a tu plan de respuesta a incidentes y al informe de incidente grave que el proveedor presenta en virtud del artículo 73.
7. Conservación de registros (artículo 26(6))
- Dónde se almacenan los registros generados automáticamente por el sistema; quién los controla; periodo de conservación (al menos seis meses); controles de acceso.
8. Notificación a los trabajadores (artículo 26(7))
- Para el despliegue en el lugar de trabajo: confirmación de que se informó a los representantes de los trabajadores y a los trabajadores afectados antes de la puesta en marcha del sistema, y la fecha.
9. Referencia cruzada a la EIDF (artículo 27)
- Si eres un responsable del despliegue que es organismo público, o despliegas un sistema de solvencia (anexo III, punto 5(b)) o de seguros de vida y salud (5(c)), la referencia a tu EIDF completada. La mayoría de los empleadores privados no activan el artículo 27: registra también esa determinación.
Ejemplo práctico: un responsable del despliegue de un sistema de cribado de CV
Nordwind Personal GmbH, una agencia de selección con unos 120 empleados y unos 19 M€ de facturación, licencia de un proveedor un sistema de cribado de CV de alto riesgo (anexo III, punto 4, empleo). Nordwind es responsable del despliegue, no el proveedor. Abre este registro el primer día: anota la recepción de las instrucciones del artículo 13 del proveedor y confirma que indican los niveles de precisión del sistema y sus limitaciones conocidas (la herramienta rinde peor con formatos de CV no estándar). Designa a dos seleccionadores como supervisores con autoridad para anular cualquier rechazo automatizado (artículo 14 / 26(2)) y —al ser un sistema en el lugar de trabajo— documenta que se informó al comité de empresa antes de la puesta en marcha (26(7)). Comprueba que los datos de CV que alimenta son representativos de su bolsa real de solicitantes (26(4)), almacena los registros de decisiones del sistema durante todo el periodo de conservación (26(6), al menos seis meses) y vincula su procedimiento de vigilancia al proveedor para que un fallo pueda señalarse de cara a un informe del artículo 73. Nordwind no necesita una EIDF del artículo 27 —es un empleador privado, no un organismo público y no despliega sistemas de solvencia ni de seguros— y deja constancia de esa conclusión.
Cómo te ayuda Confir
Confir mantiene en un único registro la determinación de rol de cada sistema de IA, la clasificación del anexo III, la referencia a las instrucciones del artículo 13 del proveedor, los supervisores designados y el reloj de conservación de registros, de modo que las pruebas del artículo 26 del responsable del despliegue se ensamblan a partir de datos que ya introdujiste en lugar de un documento en blanco el día de la auditoría. Separa las obligaciones del responsable del despliegue (artículo 26) de las del proveedor (artículos 13, 19, 73) para que solo veas las obligaciones que realmente son tuyas. El motor es determinista y basado en reglas: la misma entrada produce el mismo resultado cada vez.
Guías relacionadas
- Article 26 deployer obligations
- Deployer obligations under the EU AI Act
- Article 13 transparency and instructions for use
- Human oversight protocol template
- Provider versus deployer roles
- Article 12 record-keeping and logging
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →