Plantilla de informe de incidente grave de la Ley de IA de la UE (artículo 73)
Plantilla de informe de incidente grave del art. 73 de la Ley de IA: qué campos recoger y los plazos — 15 días, 10 si hay muerte, 2 en críticos.
Cuando un sistema de IA de alto riesgo se ve implicado en un incidente grave, el artículo 73 de la Ley de IA de la UE, el Reglamento (UE) 2024/1689, obliga al proveedor a notificarlo a la autoridad de vigilancia del mercado del Estado miembro donde se produjo el incidente. Esta página te da una estructura de informe lista para usar y los plazos que la rigen. Es el complemento rellenable de la guía conceptual sobre notificación de incidentes.
Un «incidente grave» se define en el artículo 3(49): un incidente o defecto de funcionamiento de un sistema de IA que, directa o indirectamente, provoca la muerte o un perjuicio grave para la salud, una alteración grave e irreversible de una infraestructura crítica, una vulneración de obligaciones en materia de derechos fundamentales o un perjuicio grave para los bienes o el medio ambiente.
Quién notifica y a quién
El artículo 73 es un deber del proveedor. El proveedor notifica a la autoridad de vigilancia del mercado del Estado miembro donde se produjo el incidente. El papel del responsable del despliegue es distinto: en virtud del artículo 26, el responsable del despliegue debe supervisar el sistema y, cuando detecte un incidente grave, informar al proveedor (y, cuando proceda, a la autoridad). Así que el primer movimiento del responsable del despliegue suele ser avisar al proveedor, que luego asume el informe del artículo 73.
Los plazos de notificación (fíjalos bien)
Notifica inmediatamente después de que el proveedor establezca un vínculo causal, y a más tardar:
- 15 días desde que se tuvo conocimiento, como regla general (artículo 73(2));
- 2 días en caso de infracción generalizada o de alteración grave e irreversible de una infraestructura crítica (artículo 73(3));
- 10 días cuando el incidente haya provocado la muerte de una persona (artículo 73(4)).
Se admite un informe inicial incompleto para cumplir el plazo, seguido de un informe completo (artículo 73(5)). No esperes a tener plena certeza antes de presentar la notificación inicial.
La plantilla: campos a recoger
1. Entidad notificante
- Nombre del proveedor, papel (proveedor / responsable del despliegue que avisa al proveedor), punto de contacto, representante autorizado en la UE (artículo 22) si está fuera de la UE.
2. Identificación del sistema
- Nombre y versión del sistema; finalidad prevista; categoría del anexo III (o vía del anexo I); referencia de registro en la base de datos de la UE (artículo 49); estado del marcado CE.
3. Resumen del incidente
- Fecha y lugar en que ocurrió; fecha en que se tuvo conocimiento; qué supuesto del artículo 3(49) se aplica (muerte/salud, alteración de infraestructura crítica, vulneración de derechos fundamentales, perjuicio a bienes/medio ambiente); descripción de los hechos.
4. Impacto
- Personas afectadas; naturaleza y gravedad del perjuicio; si el perjuicio es reversible; alcance (único frente a generalizado).
5. Análisis causal
- Vínculo causal sospechado o establecido entre el sistema y el incidente; componente o comportamiento implicado; si el sistema funcionaba dentro de su finalidad prevista.
6. Medidas inmediatas
- Acciones correctoras adoptadas; si el sistema se ha retirado, pausado o restringido; instrucciones emitidas a los responsables del despliegue.
7. Seguimiento de plazos
- Fecha en que se tuvo conocimiento; qué plazo se aplica (15 / 10 / 2 días); fecha del informe inicial; fecha límite del informe completo.
8. Seguimiento posterior
- Estado de la investigación de la causa raíz; acciones correctoras y preventivas previstas; enlaces al registro de gestión de riesgos del artículo 9 y a los registros del artículo 12.
Ejemplo práctico: un proveedor de puntuación crediticia
Adelmann Score GmbH, un proveedor de 40 personas de un sistema de puntuación crediticia de alto riesgo (anexo III, punto 5(b)), descubre que un fallo en los datos produjo denegaciones sistemáticamente injustas para un grupo de solicitantes: una vulneración de obligaciones en materia de derechos fundamentales según el artículo 3(49). No es un caso de muerte ni de infraestructura crítica, de modo que se aplica la regla de los 15 días. La empresa presenta un informe inicial en pocos días en el que señala el vínculo causal sospechado y los solicitantes afectados, pausa la función de puntuación y aporta después un informe completo una vez confirmada la causa raíz. Los registros del artículo 12 y los del artículo 9 alimentan directamente las secciones 5 y 8.
Cómo ayuda Confir
Confir mantiene en un único registro la identificación del sistema, la categoría del anexo III, el registro del artículo 49 y las referencias a los registros del artículo 12, de modo que un informe de incidente grave se monta a partir de datos que ya tienes, en lugar de partir de cero bajo la presión de un plazo. Hace un seguimiento de qué plazo del artículo 73 se aplica desde la fecha en que se tuvo conocimiento, y distingue el deber de notificación del artículo 73 del proveedor del deber del responsable del despliegue de avisar al proveedor según el artículo 26. El motor es determinista y basado en reglas.
Preguntas frecuentes
¿Quién debe presentar un informe de incidente grave según la Ley de IA de la UE?
El proveedor del sistema de IA de alto riesgo, en virtud del artículo 73, notifica a la autoridad de vigilancia del mercado del Estado miembro donde se produjo el incidente. El deber del responsable del despliegue según el artículo 26 es supervisar el sistema e informar al proveedor (y, cuando proceda, a la autoridad) de un incidente grave, de modo que los responsables del despliegue suelen avisar al proveedor, que luego presenta el informe del artículo 73.
¿Qué cuenta como incidente grave?
El artículo 3(49) lo define como un incidente o defecto de funcionamiento que, directa o indirectamente, provoca la muerte o un perjuicio grave para la salud, una alteración grave e irreversible de una infraestructura crítica, una vulneración de obligaciones en materia de derechos fundamentales o un perjuicio grave para los bienes o el medio ambiente.
¿Cuáles son los plazos de notificación del artículo 73?
Notifica a más tardar 15 días después de tener conocimiento como regla general (73(2)); en un plazo de 2 días en caso de infracción generalizada o de alteración grave e irreversible de una infraestructura crítica (73(3)); y en un plazo de 10 días cuando haya fallecido una persona (73(4)). Se admite un informe inicial incompleto para cumplir el plazo, seguido de un informe completo (73(5)).
¿Cuándo empiezan a aplicarse estas obligaciones?
La notificación de incidentes graves se vincula a los sistemas de alto riesgo. Las obligaciones autónomas de alto riesgo del anexo III decían originalmente el 2 de agosto de 2026 en el texto del Reglamento, pero el Ómnibus Digital que aplaza esa fecha al 2 de diciembre de 2027 ya está adoptado (voto del pleno del Parlamento Europeo el 16 de junio de 2026, adopción final del Consejo el 29 de junio de 2026) y entra en vigor con su publicación en el Diario Oficial de la UE, prevista antes del 2 de agosto de 2026. Planifica ya con la referencia del 2 de diciembre de 2027.
¿Cuál es la sanción por no notificar?
El incumplimiento de obligaciones de los operadores, como la notificación de incidentes, entra en el tramo del artículo 99(4): hasta 15 millones de euros o el 3 % del volumen de negocio anual total a escala mundial, lo que sea mayor. Las pymes y las empresas emergentes se limitan al menor de los dos importes (el porcentaje o la cantidad fija) según el artículo 99(6).
Guías relacionadas
- Notificación de incidentes según la Ley de IA de la UE
- Casos de uso de alto riesgo del anexo III
- Papeles de proveedor frente a responsable del despliegue
- Obligaciones del responsable del despliegue (artículo 26)
- Plantilla de protocolo de supervisión humana
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →