[El artículo 26 de la Ley de IA de la UE] (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26) asigna tareas operativas a la organización que utiliza un sistema de IA de alto riesgo bajo su autoridad. El trabajo cubre el uso sujeto a instrucciones, supervisión humana capaz, datos de entrada, monitoreo en vivo, rutas de suspensión e incidentes, registros automáticos, avisos, registro, entradas de evaluación de impacto y cooperación con las autoridades. El Reglamento (UE) 2026/1744 cambió el calendario de aplicación y las reglas de alcance en julio de 2026. El texto del artículo 26 permanece en vigor, con los derechos del Capítulo III aplicándose a partir del 2 de diciembre de 2027 para los sistemas del Anexo III y del 2 de agosto de 2028 para los sistemas del Anexo I del Artículo 6(1) a los que se aplica el Artículo 26. Esta guía traduce cada párrafo en un control operativo y una solicitud de evidencia. Es información general, actualizada hasta el 27 de julio de 2026, y no reemplaza los consejos sobre un despliegue específico.
Confirme que es un implementador de un sistema de alto riesgo
La [definición del artículo 3, apartado 4] (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-3) cubre una persona física o jurídica, autoridad pública, agencia u otro organismo que utiliza un sistema de IA bajo su autoridad, excepto el uso personal no profesional. La misma organización puede desempeñar diferentes roles para diferentes sistemas. Puede implementar un sistema de proveedor, proporcionar otro sistema bajo su propio nombre o convertirse en proveedor a través de las reglas de la cadena de valor del Artículo 25.
El artículo 26 se encuentra en el capítulo de alto riesgo. Comience con el Artículo 6, el propósito previsto del sistema y las reglas de alcance del Artículo 2. Una ruta cubre la IA que es un producto regulado o componente de seguridad según el Anexo I y requiere una evaluación de la conformidad de un tercero. El otro cubre usos del Anexo III, como ciertos sistemas en biometría, infraestructura crítica, educación, empleo, servicios esenciales, aplicación de la ley, migración y justicia. El artículo 6(3) contiene una excepción limitada para algunos sistemas del Anexo III, mientras que la elaboración de perfiles de personas físicas sigue siendo de alto riesgo. Registre el análisis de clasificación y los hechos que lo respaldan. La guía de clasificación de alto riesgo explica la decisión.
| Pregunta | Pruebas a conservar |
|---|---|
| ¿La organización utiliza este sistema bajo su autoridad? | El análisis de funciones, los contratos, el propietario del sistema, los límites operativos y cualquier proveedor del Artículo 25 activan la revisión. |
| ¿Es este sistema de IA de alto riesgo según el artículo 6? | Finalidad prevista, ruta del anexo I o del anexo III, evaluación del artículo 6, apartado 3, cuando proceda, y aprobación de la clasificación. |
La enmienda de 2026 cambió el calendario
La fuente legal de esta guía es el texto del Diario Oficial del Reglamento (UE) 2024/1689, leído junto con el Reglamento (UE) 2026/1744. El reglamento de modificación se publicó el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026.
El Reglamento (UE) 2026/1744 modifica el artículo 113. Las secciones 1, 2 y 3 del capítulo III ahora se aplican a partir del 2 de diciembre de 2027 a los sistemas clasificados como de alto riesgo según el artículo 6, apartado 2, y el anexo III, y desde el 2 de agosto de 2028 a los sistemas clasificados según el artículo 6, apartado 1, y el anexo I. El artículo 26 está en la sección 3.
El artículo 2, apartado 2, modificado limita las normas de la Ley de IA para los sistemas del artículo 6, apartado 1, vinculados a los productos de la sección B del anexo I del artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112. Por lo tanto, el artículo 26 no se aplica a esos sistemas por esa vía. La fecha del Artículo 26 del 2 de agosto de 2028 se refiere a los sistemas del Artículo 6(1) cubiertos por las reglas de alcance restantes, incluidos los productos calificados de la Sección A. Registre la sección del Anexo I aplicable antes de asignar los controles del artículo 26.
La misma enmienda sustituye al artículo 111, apartado 2. Un sistema de alto riesgo comercializado o puesto en servicio antes de su fecha aplicable del Capítulo III generalmente entra en los requisitos cuando está sujeto a cambios de diseño significativos a partir de esa fecha. Los proveedores e implementadores de sistemas de alto riesgo destinados a ser utilizados por autoridades públicas deben tomar las medidas de cumplimiento necesarias antes del 2 de agosto de 2030. Los equipos que utilicen esta transición deben documentar la primera colocación o fecha de servicio del sistema, la línea base del diseño, los cambios posteriores y el uso de las autoridades públicas.
Dos tareas de despliegue se ejecutan en relojes separados. El Reglamento (UE) 2026/1744 sustituye el artículo 4 por el deber de adoptar medidas que apoyen el desarrollo de la alfabetización en IA del personal, sin exigir un nivel garantizado para ninguna persona. Transparencia del artículo 50 se aplica a partir del 2 de agosto de 2026 a sistemas y usos específicos en todos los niveles de riesgo. Planifique ambas tareas en sus propias fechas.
| Fecha | Trabajo del implementador |
|---|---|
| Ya aplicable | Artículo 4 Medidas de alfabetización en IA, modificado por el Reglamento (UE) 2026/1744. |
| 2 de agosto de 2026 | Artículo 50 Deberes de transparencia para los implementadores cuando el uso enumerado los genere. |
| 2 de diciembre de 2027 | Deberes del capítulo III, incluido el artículo 26, para los sistemas de alto riesgo del artículo 6, apartado 2, y del anexo III. |
| 2 de agosto de 2028 | Deberes del capítulo III, incluido el artículo 26, para los sistemas del anexo I del artículo 6, apartado 1, dentro del ámbito de aplicación del artículo 2. |
| 2 de agosto de 2030 | Punto final de cumplimiento del artículo 111, apartado 2, para sistemas de alto riesgo destinados a ser utilizados por autoridades públicas. |
Utilice el sistema dentro de sus instrucciones.
El artículo 26, apartado 1, exige medidas técnicas y organizativas apropiadas que mantengan el uso alineado con las instrucciones del proveedor. Trate las instrucciones como un límite operativo. Traducir el propósito previsto, las entradas admitidas, las limitaciones conocidas, la supervisión requerida, las condiciones de precisión, los supuestos ambientales, el mantenimiento y los usos prohibidos en controles de configuración y liberación.
Conserve la [información del artículo 13] (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-13) del proveedor con la versión implementada. Un cambio de modelo, mensaje, herramienta, fuente de datos o propósito comercial puede alterar las suposiciones que hicieron viables las instrucciones originales. Revise los cambios antes de su publicación y registre la decisión de que el uso previsto permanece dentro de los límites documentados.
- Nombre el propietario comercial y el propietario técnico del sistema implementado.
- Fije las instrucciones del proveedor y la versión del sistema utilizada para cada versión.
- Convierta los límites de uso en comprobaciones de configuración, reglas de acceso y condiciones de aprobación.
- Revise las actualizaciones de los proveedores, las adaptaciones locales, las nuevas fuentes de datos y los nuevos contextos operativos.
- Documentar las desviaciones, las acciones correctivas y la autoridad que aceptó un cambio permitido.
Asignar supervisión humana con autoridad y apoyo reales.
El artículo 26(2) requiere personas físicas con la competencia, la formación, la autoridad y el apoyo necesarios. El proveedor diseña las medidas de supervisión humana conforme al Artículo 14; el implementador asigna personas que pueden usarlos en el entorno operativo. La evidencia debe mostrar que cada persona podría entender un caso, intervenir, ignorar un resultado o dejar de usarlo dentro de su autoridad.
Defina las decisiones que puede tomar cada supervisor, la información que recibe, su acceso, cobertura, ruta de escalada y objetivo de respuesta. Pruebe el camino con casos realistas. El artículo 26, apartado 3, preserva otras obligaciones nacionales y de la Unión y la libertad del implementador para organizar sus recursos al implementar medidas de supervisión definidas por el proveedor. Registrar cómo la organización elegida cumple con las medidas requeridas. La [guía de implementación del Artículo 14] (/blog/eu-ai-act-article-14-human-oversight-requirements) cubre aprobaciones, anulaciones, mecanismos de parada y evidencia en profundidad.
| Control | Evidencia |
|---|---|
| tarea nombrada | Persona, rol, alcance del sistema, fecha de inicio y registro de delegación. |
| Competencia y formación | Contenido de la capacitación, finalización, evaluación práctica, activación de actualización y limitaciones conocidas. |
| Autoridad | Derechos de aprobación, anulación, escalamiento y suspensión vinculados al rol de la persona. |
| Apoyo | Contexto del caso, instrucciones del proveedor, acceso a especialistas, dotación de personal y cobertura de escalada. |
| Prueba de funcionamiento | Registros de decisiones, anulaciones, intervenciones, simulacros, excepciones y acciones correctivas. |
Controle los datos de entrada que realmente controla
El artículo 26, apartado 4, se aplica en la medida en que el implementador ejerza control sobre los datos de entrada. Dentro de ese límite, los datos de entrada deben ser relevantes y suficientemente representativos para el fin previsto. Registre qué entradas provienen del implementador, un proveedor, un usuario u otro sistema. Asigne validación y corrección solo cuando la organización pueda realizarlas.
Las comprobaciones operativas pueden cubrir fuentes permitidas, campos obligatorios, actualidad, cobertura de población, formato, procedencia y deriva respecto del uso previsto. Una verificación fallida necesita un resultado definido: rechazar la entrada, encaminarla para su corrección, limitar el uso o suspender la ruta afectada. Guarde el resultado de la prueba y la acción con la ejecución o lote que controla.
Monitorear la operación, suspender el uso riesgoso y encaminar incidentes
El artículo 26, apartado 5, exige un seguimiento basado en las instrucciones de uso y, cuando proceda, la notificación al proveedor en virtud del artículo 72. Defina las señales, los umbrales, los propietarios, la frecuencia de revisión y la ruta de comentarios de los proveedores antes del lanzamiento. Para un sistema agente, las señales relevantes pueden incluir decisiones de políticas, fallas en las llamadas de herramientas, anulaciones, acciones bloqueadas, calidad de salida, desviación de entradas, quejas, eventos de seguridad y cambios en los efectos posteriores. El conjunto exacto sigue el propósito previsto y los riesgos conocidos.
Cuando el uso de conformidad con las instrucciones pueda presentar un riesgo contemplado en el artículo 79, apartado 1, quien lo implemente deberá informar al proveedor o distribuidor y a la autoridad de vigilancia del mercado pertinente sin demoras indebidas y suspender el uso. Un incidente grave da lugar a una notificación inmediata primero al proveedor, luego al importador o distribuidor y a las autoridades de vigilancia del mercado pertinentes. El artículo 73 se aplica mutatis mutandis cuando no se puede localizar al proveedor. Cree una ruta de clasificación que registre el desencadenante, el análisis de gravedad, los contactos, las marcas de tiempo, la decisión de suspensión y la autoridad de recuperación.
Las instituciones financieras sujetas a las normas de la Unión sobre gobernanza interna en materia de servicios financieros pueden cumplir la obligación de seguimiento del artículo 26, apartado 5, a través de esos acuerdos pertinentes. Mantener el mapeo que muestra qué control existente cubre cada elemento de monitoreo del Artículo 26. El [plan de seguimiento posterior a la comercialización] (/blog/post-market-monitoring-plan-ai-agents) proporciona una estructura complementaria para el flujo de pruebas entre el proveedor y el implementador.
| Estado observado | Respuesta definida | Evidencia |
|---|---|---|
| Instrucciones interiores y umbrales. | Continúe su uso y conserve el resultado del monitoreo. | Valores de señal, versión del sistema, resultado de la revisión y marca de tiempo. |
| Riesgo potencial previsto en el artículo 79, apartado 1 | Suspender el uso afectado y notificarlo sin dilación indebida al proveedor o distribuidor y a la autoridad de vigilancia del mercado. | Desencadenante, análisis de riesgos, alcance de la suspensión, avisos y responsable. |
| incidente grave | Notificar inmediatamente al proveedor, seguido del importador o distribuidor y de las autoridades de vigilancia del mercado. | Registro de incidentes, hechos causales conocidos en el momento, secuencia de avisos, destinatarios y marcas de tiempo. |
| Proveedor inalcanzable | Seguir la ruta del artículo 73 como exige el artículo 26, apartado 5. | Intentos de contacto, decisión de presentación de informes, presentación de autoridades y seguimiento. |
Mantenga los registros automáticos bajo su control
El artículo 26(6) exige que el implementador mantenga registros generados automáticamente en la medida en que esos registros estén bajo su control. El plazo debe ser adecuado a la finalidad prevista y al menos seis meses, salvo que otra legislación nacional o de la Unión disponga lo contrario, incluida la legislación en materia de protección de datos. Las instituciones financieras sujetas a requisitos de gobernanza interna de la Unión mantienen los registros como parte de la documentación conservada conforme a la ley de servicios financieros pertinente.
Defina el límite del registro controlado con el proveedor. Sistema de registro y versión, marcas de tiempo, entradas relevantes o referencias gobernadas, salidas, decisiones políticas, intervenciones humanas, errores y efectos posteriores necesarios para reconstruir la operación. Aplique control de acceso, controles de integridad, reglas de eliminación, retenciones legales y minimización de la privacidad a esa evidencia. Otras reglas aplicables, incluida la ley de protección de datos, aún rigen durante cuánto tiempo se pueden conservar los datos personales.
El artículo 26 especifica las condiciones de retención y control. El Artículo 12 rige la capacidad de registro del lado del proveedor para sistemas de alto riesgo. La [guía de registro del Artículo 12] (/blog/eu-ai-act-article-12-logging-requirements) conecta el diseño de eventos, la trazabilidad y la transferencia entre el proveedor y el implementador.
Completar los avisos, registros y transferencias de evaluación.
El artículo 26 contiene deberes que se activan para implementadores o usos particulares. Coloque cada calificador en el inventario del sistema para que el control siga el contexto de implementación. Algunos implementadores también tienen una [evaluación de impacto sobre los derechos fundamentales del artículo 27] separada (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-27); realizar un seguimiento de ese requisito además de los controles del artículo 26.
| Artículo 26 párrafo | ¿Quién o qué lo desencadena? | Acción operativa |
|---|---|---|
| 26(7) | Un empleador pone en servicio un sistema de IA de alto riesgo o lo utiliza en el lugar de trabajo. | Informar de antemano a los representantes de los trabajadores y a los trabajadores afectados según las normas y prácticas nacionales y sindicales aplicables. |
| 26(8) | Las autoridades públicas, las instituciones, órganos, oficinas o agencias de la Unión, o las personas que actúan en su nombre, implementan un sistema del anexo III regulado en el artículo 49, apartado 3. | Registrar al implementador, seleccionar el sistema y registrar su uso en la base de datos del Artículo 71 de la UE; rechazar su uso e informar al proveedor o distribuidor cuando falte el registro requerido. |
| 26(9) | Se requiere una evaluación del impacto de la protección de datos según el artículo 35 del RGPD o el artículo 27 de la Directiva de aplicación de la ley. | Utilice la información del Artículo 13 del proveedor como entrada para esa evaluación. |
| 26(11) | Un sistema de alto riesgo del Anexo III toma o ayuda a tomar decisiones relacionadas con personas físicas. | Informar a esas personas que están sujetas al uso del sistema de IA de alto riesgo, sujeto a la norma de aplicación de la ley establecida en el párrafo. |
| 26(12) | Una autoridad competente actúa en relación con el sistema de alto riesgo. | Cooperar y conservar la solicitud, respuesta, materiales suministrados, propietario y fechas. |
Trate la identificación biométrica posterior a la remota como una vía especializada
El artículo 26(10) crea una ruta detallada para que los agentes encargados de hacer cumplir la ley utilicen identificación biométrica posremota de alto riesgo en una investigación criminal específica. Requiere autorización ex ante, o sin dilaciones indebidas y a más tardar en 48 horas, de una autoridad judicial o de una autoridad administrativa cuya decisión sea vinculante y sujeta a revisión judicial. El párrafo también cubre una excepción limitada para la identificación inicial basada en hechos objetivos y verificables directamente relacionados con el delito, la estricta necesidad, la detención y eliminación de datos después de una autorización rechazada, los límites a las decisiones adversas basadas únicamente en los resultados, la documentación en el expediente policial, la disponibilidad para las autoridades, la presentación de informes anuales y la opción de que los Estados miembros adopten normas más estrictas.
Maneje este camino con una revisión legal y operativa especializada para el Estado miembro correspondiente. Manténgalo separado de la lista de verificación ordinaria del Artículo 26 porque sus requisitos de autorización, documentación, datos e informes son específicos.
Comprenda el nivel de penalización sin convertirlo en un pronóstico
El artículo 99, apartado 4, letra e) sitúa el incumplimiento del artículo 26 en el nivel de multas administrativas de hasta 15 millones de euros o, para una empresa, hasta el 3% del volumen de negocios anual total mundial del ejercicio financiero anterior, el que sea mayor. El artículo 99, apartado 6, utiliza el menor entre el porcentaje y el importe fijo para las PYME, incluidas las empresas de nueva creación. El Reglamento (UE) 2026/1744 añade el mismo tratamiento de baja capitalización para las pequeñas empresas de mediana capitalización.
El importe final depende de las normas nacionales de aplicación, las garantías procesales y las circunstancias enumeradas en el artículo 99, apartado 7, incluida la gravedad, la duración, las personas afectadas, la responsabilidad, las medidas técnicas y organizativas, la cooperación, la notificación, la intención o negligencia y la mitigación. Utilice el nivel para establecer la prioridad de gobernanza. El abogado debe evaluar la exposición a una infracción específica.
Ejecute la lista de verificación del Artículo 26 contra operaciones en vivo
Una verificación de preparación útil sigue un sistema implementado desde el análisis de roles hasta una ejecución real y su evidencia retenida. Descargue la Lista de verificación del tiempo de ejecución del implementador del Artículo 26 y asigne un propietario y un enlace de evidencia a cada elemento aplicable.
- Alcance: confirmar la función del implementador, la ruta de alto riesgo, la fecha aplicable, el tratamiento del sistema heredado y las normas relacionadas del artículo 4, el artículo 27, el artículo 50, la protección de datos, el empleo y el sector.
- Preparar: fijar instrucciones y versiones; asignar supervisión; definir controles de entrada, umbrales de monitoreo, autoridad de suspensión, contactos de incidentes, retención, avisos, registro y cooperación de autoridades.
- Ejercicio: ejecute un caso representativo, una intervención de supervisión, un caso de entrada no válida, una suspensión provocada por riesgo, un simulacro de incidente inalcanzable para el proveedor y una prueba de recuperación de registros.
- Inspeccionar: concilie la ejecución, el resultado de la política, la decisión humana, la comunicación del proveedor, el efecto posterior, los registros automáticos y la exportación de evidencia mediante identificadores estables.
- Aprobar: lagunas en los registros, propietarios, fechas de remediación, limitaciones residuales y la persona responsable que acepta el veredicto de preparación.
Asigne el trabajo al plano de control KLA
KLA Control Plane puede contener los registros operativos utilizados en un programa del Artículo 26. Policy Builder posee reglas de políticas y simulación. Decision Desk posee solicitudes de decisiones humanas y recibos de decisiones duraderos. Lineage Explorer reconstruye una ejecución gobernada. Evidence Room crea y verifica paquetes de evidencia sellados a partir de registros específicos. Estos objetos de producto respaldan una ruta de evidencia; el implementador todavía posee la clasificación, la interpretación legal, el diseño de control, la operación y las decisiones regulatorias.
Un mapeo práctico comienza con la lista de verificación del Artículo 26. Conecte cada requisito con su propietario comercial, instrucción del proveedor, política o procedimiento, señal de tiempo de ejecución, decisión humana, registro de linaje, clase de retención, ruta del incidente y artefacto de evidencia. Pruebe el mapeo en el sistema implementado y mantenga las brechas observadas. La muestra de Sala de pruebas muestra el formulario de exportación disponible para una revisión de pruebas.
| Artículo 26 trabajo | Objeto ELK | Pregunta de evidencia |
|---|---|---|
| Reglas de entrada y uso vinculadas a instrucciones | Regla del Generador de políticas y resultado de la simulación | ¿Qué versión evaluó la acción y qué resultado produjo? |
| Supervisión humana | Solicitud de decisión y recepción de decisión en Decision Desk | ¿Quién tenía autoridad, qué contexto revisaron y qué decidieron? |
| Seguimiento e investigación | Registro de linaje en Lineage Explorer | ¿Qué pasó en orden, con qué sistema, política, herramientas y efectos? |
| Paquete de revisión retenido | Trabajo en fábrica de pruebas y paquete de pruebas selladas en la sala de pruebas | ¿Qué registros de alcance se empaquetaron, omitieron y verificaron de forma independiente? |
Preguntas frecuentes
¿Se aplica el artículo 26 a todas las organizaciones que utilizan IA?
El artículo 26 se aplica a quienes implementan sistemas de IA de alto riesgo. Se pueden aplicar otras reglas en todos los niveles de riesgo, incluido el deber de alfabetización en IA del artículo 4 y los deberes de transparencia específicos del artículo 50. Primero, confirme el papel de la organización y la clasificación del sistema según el artículo 6.
¿Cuándo se aplican las obligaciones del implementador del Artículo 26 después de la enmienda de 2026?
El Reglamento (UE) 2026/1744 traslada las secciones 1, 2 y 3 del capítulo III al 2 de diciembre de 2027 para los sistemas del artículo 6, apartado 2 y del anexo III, y al 2 de agosto de 2028 para los sistemas del artículo 6, apartado 1, y del anexo I, dentro del ámbito de aplicación aplicable del artículo 2. El artículo 2, apartado 2 modificado, excluye el artículo 26 de las normas que se aplican a los sistemas del anexo I de la sección B a través de esa ruta. El artículo 111, apartado 2, contiene normas de transición para sistemas anteriores y un punto final del 2 de agosto de 2030 para sistemas de alto riesgo destinados a uso de autoridades públicas.
¿Cuánto tiempo debe conservar un implementador los registros del Artículo 26?
El artículo 26, apartado 6, exige que los registros generados automáticamente bajo el control del implementador se conserven durante un período adecuado al fin previsto y durante al menos seis meses, a menos que otra legislación nacional o de la Unión aplicable disponga lo contrario. El diseño de retención también debe respetar las normas sectoriales y de protección de datos.
¿Qué hace que la supervisión humana sea operativa según el Artículo 26?
Asignar personas físicas identificadas con la competencia, capacitación, autoridad y apoyo necesarios para el sistema y su uso. Definir sus decisiones, derechos de acceso, intervención y suspensión, cobertura, vía de escalada y pruebas. Pruebe esos arreglos en casos representativos.
¿La compra de un sistema de IA de alto riesgo que cumpla con las normas satisface las obligaciones del implementador?
Un proveedor proporciona el sistema, las instrucciones, la capacidad de registro y los controles del lado del proveedor requeridos por la Ley. El artículo 26 asigna deberes separados al implementador sobre cómo se utiliza, supervisa, monitorea, suspende, registra, comunica y respalda el sistema en su contexto operativo.
¿Certifica el KLA el cumplimiento del artículo 26?
KLA Control Plane utiliza Policy Builder para reglas de políticas, Decision Desk para una solicitud de decisión, Lineage Explorer para un registro de Lineage y Evidence Room para un paquete de evidencia sellada. Esos registros pueden respaldar un programa de control y evidencia del Artículo 26. La clasificación, las conclusiones legales, los controles operativos y la determinación del cumplimiento quedan en manos del implementador y sus asesores.
Conclusiones clave
El artículo 26 convierte el uso de un sistema de IA de alto riesgo en una responsabilidad operativa. El implementador debe conocer las instrucciones y los límites del sistema, asignar personas capaces con autoridad, controlar las entradas que posee, monitorear la operación, suspender el uso riesgoso, enrutar incidentes, retener registros controlados, entregar los avisos requeridos, completar el registro condicional y el trabajo de evaluación, y cooperar con las autoridades. El Reglamento (UE) 2026/1744 ofrece a los equipos un calendario revisado. Utilice ese tiempo para ejercer los controles en recorridos reales y recopilar las pruebas que cada propietario necesitará.