La Ley de IA de la UE no solo exige documentación interna para los sistemas de IA de alto riesgo. En muchos casos, también requiere registro. Esa obligación se aplica principalmente al artículo 49, al artículo 71 y al anexo VIII. Para las empresas reguladas, el registro no es un formulario que se debe completar al final. Depende del inventario del sistema, la clasificación de alto riesgo, el análisis de roles del proveedor/deployer, la evidencia de conformidad, el propósito previsto, las instrucciones de uso, las evaluaciones de impacto y el proceso de gestión de cambios. Sólo orientación; no asesoramiento legal.
Calendario: la inscripción aplica a partir de diciembre 2, 2027
Se adopta el Ómnibus digital sobre IA. El Parlamento Europeo refrendó el texto acordado el 16, 2026 de junio y el Consejo lo adoptó el 29, 2026 de junio; El Reglamento de modificación, el Reglamento (UE) 2026/1744, se publicó en el Diario Oficial el 24 de julio de 2026 y entra en vigor el 27 de julio de 2026. Mueve las reglas independientes del sistema de IA de alto riesgo del Anexo III a diciembre 2, 2027 y la IA de alto riesgo integrada en los productos a agosto 2, 2028. El registro del artículo 49 y la base de datos del artículo 71 siguen la fecha del anexo III.
La Comisión había propuesto eliminar la obligación del artículo 49(2) de registrar los sistemas del anexo III que un proveedor autoevalúe como no de alto riesgo en virtud del artículo 6(3). El Parlamento y el Consejo rechazaron esa supresión y mantuvieron la obligación, con una carga útil menor: Se suprimen los puntos 7 y 9 de la sección B del anexo VIII, eliminando el breve resumen de los motivos para la determinación del artículo 6(3) y la lista de Estados miembros donde se ha puesto a disposición el sistema. El punto 6 permanece, por lo que el proveedor aún nombra la condición del artículo 6(3) en la que se basa. Los equipos de cumplimiento deben consultar el texto del Diario Oficial antes de confiar en cualquier fecha.
La conclusión práctica es sencilla: no espere al portal ni a la fecha límite final. Los datos requeridos por el Anexo VIII dependen del trabajo de gobernanza preliminar que lleva meses reunir.
Para qué sirve el registro del artículo 49
El artículo 49 trata sobre el registro de ciertos sistemas de inteligencia artificial antes de su comercialización, puesta en servicio o uso. Se aplica principalmente a los sistemas de IA enumerados en el Anexo III, los casos de uso independientes de alto riesgo: biometría, infraestructura crítica, educación, empleo, servicios esenciales, aplicación de la ley, control de fronteras y migración, y administración de justicia y procesos democráticos.
El régimen de registro está vinculado a la clasificación de alto riesgo según el artículo 6. Un sistema puede ser de alto riesgo porque es un producto o componente de seguridad cubierto por la legislación del Anexo I y requiere una evaluación de conformidad de un tercero, o porque entra dentro de un caso de uso del Anexo III. El artículo 6(3) también crea una ruta estrecha para que algunos sistemas del Anexo III no sean tratados como de alto riesgo, pero la elaboración de perfiles de personas físicas sigue siendo de alto riesgo.
Eso significa que el registro no es sólo un ejercicio de divulgación. Es el punto final público o regulatorio de una decisión de clasificación.
| Regla | Qué significa operativamente |
|---|---|
| Registro de proveedor | Antes de comercializar o poner en servicio un sistema de IA de alto riesgo del anexo III, el proveedor o el representante autorizado registra el proveedor y el sistema en la base de datos de la UE, excepto los sistemas 2 del anexo III. |
| Registro del artículo 6(3) | Si un proveedor dice que un sistema del Anexo III no es de alto riesgo según el artículo 6(3), igualmente se registra a sí mismo y al sistema en la base de datos de la UE. |
| Registro de implementador de autoridad pública | Las autoridades públicas, las instituciones y organismos de la UE y las personas que actúan en su nombre se registran, seleccionan el sistema y registran su uso antes de poner el sistema en servicio. |
| Registro restringido | Ciertos sistemas de aplicación de la ley, migración, asilo y control de fronteras se encuentran en una sección privada segura. |
| ruta nacional | Anexo III punto 2 los sistemas de infraestructuras críticas están registrados a nivel nacional. |
Qué hace el artículo 71
El artículo 71 establece la base de datos de la UE para los sistemas de IA de alto riesgo enumerados en el anexo III. La Comisión, en colaboración con los Estados miembros, debe crearlo y mantenerlo. La base de datos contiene sistemas de alto riesgo registrados según los artículos 49 y 60, además de sistemas que, según los proveedores, no son de alto riesgo según el artículo 6(3), pero que aun así deben registrarse según el artículo 49.
El artículo 71 divide la responsabilidad de envío entre proveedores y ciertos implementadores. Los proveedores o representantes autorizados entran en las secciones A y B del anexo VIII. Los implementadores que sean autoridades públicas, organismos o agencias de la UE o personas que actúen en su nombre entran en la sección C.
De forma predeterminada, artículo 71 dice que la información de la base de datos de artículo 49 debe ser accesible públicamente, fácil de usar, fácilmente navegable y legible por máquina, excepto en secciones restringidas, como casos de uso sensibles relacionados con la aplicación de la ley y la migración.
El registro no es lo mismo que la documentación técnica
No confundir los datos de registro del Anexo VIII con la documentación técnica del Anexo IV. El Anexo VIII es el asiento de la base de datos pública o reglamentaria. Contiene información concisa de identificación, estado, propósito, conformidad y uso del implementador. El Anexo IV es el paquete de documentación técnica más profundo: descripción del sistema, proceso de desarrollo, arquitectura, requisitos de datos, supervisión humana, validación y pruebas, ciberseguridad, gestión de riesgos, cambios en el ciclo de vida, estándares, declaración de conformidad y plan de seguimiento posterior a la comercialización.
Los dos deberían estar vinculados, pero no son el mismo artefacto. En el anexo IV se encuentra el expediente de cumplimiento detallado. El anexo VIII es la carga útil de registro. El artículo 49 es el desencadenante legal. El artículo 71 es el mecanismo de la base de datos. Su registro interno de IA es el sistema de registro que debe generar y respaldar todo lo anterior.
El Anexo IV y el Anexo VIII deberían compartir el mismo registro del sistema gobernado, pero responden a preguntas diferentes: uno es el expediente de cumplimiento detallado y el otro es la carga útil de registro.
Abrir gráfico a tamaño completo| Artefacto | Role |
|---|---|
| Anexo IV | Documentación técnica detallada y pruebas de conformidad. |
| Anexo VIII Sección A | Datos de registro de proveedores para sistemas del Anexo III de alto riesgo. |
| Anexo VIII Sección B | Datos de registro de proveedores para conclusiones de no alto riesgo del artículo 6(3), con los puntos 7 y 9 eliminados por Digital Omnibus. |
| Anexo VIII Sección C | Datos de registro de uso de implementadores de autoridades públicas. |
| Registro interno de IA | Fuente canónica de verdad que mantiene todo lo anterior consistente. |
¿Quién necesita registrarse?
La respuesta depende de la función, la clasificación, el punto del Anexo III y el contexto de implementación. El registro de un proveedor por sí solo puede no ser suficiente si una organización del sector público implementa el sistema. Una conclusión del Artículo 6(3) que no sea de alto riesgo también puede crear su propio rastro de registro.
| Actor o ruta | Implicación de registro |
|---|---|
| Proveedor del sistema de IA de alto riesgo del Anexo III | Se registra antes de comercializar el sistema o ponerlo en servicio, excepto los sistemas de punto 2 de ámbito nacional. |
| Proveedor que se basa en el artículo 6(3) | Documenta la evaluación de riesgo no alto antes del lanzamiento y se registra según el artículo 49(2). |
| Representante de la autoridad pública o persona que actúe en su nombre. | Se registra, selecciona el sistema y registra su uso antes de poner el sistema en servicio. |
| Implementador privado | El artículo 49(3) se centra en los implementadores de autoridades públicas, pero los implementadores privados aún necesitan registros internos de IA para garantía, adquisiciones, monitoreo y solicitudes de reguladores. |
Lo que el Anexo VIII exige a los proveedores y implementadores
El anexo VIII no es una lista enorme, pero los campos están cargados. El propósito previsto, la lógica operativa, el estado, el certificado, la declaración de conformidad de la UE, las instrucciones de uso y la disponibilidad de los Estados miembros dependen del trabajo de gobernanza inicial.
Si su propósito previsto es vago, su registro será vago. Si el control de versiones del producto es débil, la trazabilidad también lo será. Si la documentación de conformidad no está sujeta a publicación, es posible que el equipo no sepa qué declaración pertenece a qué versión del sistema.
| Sección | quien presenta | Información básica para preparar |
|---|---|---|
| Sección A | Proveedores de sistemas de alto riesgo registrados según el artículo 49(1). | Identidad del proveedor, identidad del sistema, finalidad prevista, componentes y funciones compatibles, resumen de data/input/operating-logic, estado, certificados, Estados miembros, declaración de conformidad de la UE, instrucciones de uso y URL pública opcional. |
| Sección B | Los proveedores que registren un sistema del anexo III no se considerarán de alto riesgo según el artículo 6(3). | Identidad del proveedor, identidad del sistema, finalidad prevista, condición del artículo 6(3) en la que se basa y estado. El Ómnibus Digital suprimió los puntos 7 y 9, por lo que ya no se presentan la breve justificación ni la lista de Estados miembros. |
| Sección C | Agentes de despliegue de autoridades públicas, organismos, agencias de la UE o personas que actúen en su nombre. | Identidad del implementador, URL de entrada de la base de datos del proveedor, resumen FRIA y resumen DPIA, cuando corresponda. |
El árbol de decisión práctico del artículo 49
Comience con el sistema, no con el proveedor. El registro depende de la clasificación y el uso, no de si el producto se comercializa como plataforma, asistente, modelo envoltorio, copiloto o agente.
Una revisión práctica de enrutamiento debe responder ocho preguntas: si el sistema está dentro del alcance, si se aplica el artículo 6(1), si se aplica el Anexo III, si se utiliza el artículo 6(3), si el punto 2 del Anexo III lo traslada al registro nacional, si se aplican secciones restringidas, si el implementador es una autoridad pública o actúa en nombre de una, y si el equipo puede mantener el registro actualizado.
El enrutamiento del artículo 49 comienza con el sistema y el caso de uso: la clasificación del Anexo III, el artículo 6(3), la infraestructura crítica, las secciones restringidas y el uso de las autoridades públicas cambian cada vez la ruta de registro.
Abrir gráfico a tamaño completo- Si el sistema está fuera de la Ley, registre la justificación y deténgase.
- Si se aplica el artículo 6(1), confirme las implicaciones del registro y del sector del producto.
- Si no se aplica el anexo III, es posible que no se aplique el registro en la base de datos de la UE del artículo 49; llevar el registro de clasificación.
- Si se aplica el Anexo III y el sistema es de alto riesgo, preparar el registro del proveedor del Artículo 49(1).
- Si se aplica el Anexo III y el proveedor se basa en el Artículo 6(3), prepare el registro del Artículo 49(2) y mantenga la justificación documentada en el archivo, aunque la Sección B del Anexo VIII ya no le solicite que lo presente.
- Si se aplica el punto 2 del Anexo III, consultar la ruta de registro nacional.
- Si los puntos 1, 6 o 7 del Anexo III se aplican en contextos fronterizos o policiales sensibles, consulte la sección no pública segura.
- Si el implementador es una autoridad pública o actúa en nombre de una, prepare el registro de uso del implementador de la Sección C.
Qué preparar antes de registrarse.
Un sólido proceso de registro comienza mucho antes del envío de la base de datos. Primero cree el paquete interno y luego genere la carga útil de registro a partir del registro gobernado.
| Área de paquetes | que debe contener |
|---|---|
| Registro de identidad del sistema | Nombre del sistema, nombre del producto, identificador interno, nombre comercial, versión, fecha de lanzamiento, propietario, proveedor, representante autorizado, entidad de implementación, usuarios previstos, personas afectadas, Estados miembros y estado. |
| Declaración de propósito previsto | Descripción específica de para qué se utiliza el sistema, quién lo utiliza, de qué insumos depende y qué no pretende hacer. |
| Registro de clasificación | Artículo 6(1), punto del Anexo III, artículo 6(3), ruta si se utiliza, estado del perfil, titular de la aprobación, versión cubierta y supuestos que invalidarían la evaluación. |
| Evidencia de conformidad | Declaración UE de conformidad, detalles del certificado, copia del certificado cuando corresponda, instrucciones de uso, lista de disponibilidad de los Estados miembros, registro de estado y URL pública si se utiliza. |
| Pruebas de implementación de autoridades públicas | URL de entrada de la base de datos del proveedor, resumen de FRIA, resumen de DPIA cuando corresponda, detalles del implementador, propietario del envío, descripción del caso de uso, ubicación de implementación, fecha del primer uso y registro de aprobación. |
Utilice un modelo de datos interno versionado
Un registro del sistema de IA listo para registrarse debe tener versiones, ser propietario, revisarse y vincularse al uso en tiempo de ejecución. El esquema exacto puede variar, pero debe conectar la identidad, la clasificación, el propósito previsto, las funciones admitidas, los insumos, la lógica operativa, el estado del mercado, la evidencia de conformidad y la ruta de registro.
Para implementadores de autoridad pública, agregue un registro de uso del implementador con la URL de entrada de la base de datos del proveedor, contexto de uso, resumen FRIA, resumen DPIA cuando corresponda y estado de envío. El proveedor puede ser propietario de la entrada del sistema, pero el implementador es propietario del contexto de uso.
| Registro | Campos de ejemplo |
|---|---|
| Identidad del sistema | system_id, nombre_comercial, versión, proveedor, representante_autorizado, propietario, Estados miembros, estado_del mercado. |
| Clasificación | artículo_6_1, anexo_iii, punto_anexo_iii, alto_riesgo, artículo_6_3_excepción_reclamada, perfil_personas_naturales, aprobado_por, aprobado_en. |
| Objeto y funciones | propósito_intencionado, funciones_compatibles, entradas, resumen_lógico_operativo, límite de revisión humana. |
| Conformidad | ID de declaración UE, certificado de organismo notificado, instrucciones de uso, estado del certificado, registro de liberación. |
| Registro | ruta_artículo_49, sección_anexo_viii, estado_envío, última_revisión_en, propietario de actualización. |
Registro y gestión de cambios.
El anexo VIII exige que la información presentada se mantenga actualizada. Eso crea una pregunta operativa: ¿qué cambios requieren revisión o actualización? El equipo de cumplimiento no debería descubrir un cambio relevante para el registro después de la implementación en producción.
Integre la revisión del registro en la gestión de versiones, cambios de modelos, lanzamientos en nuevos países, cambio de nombre de productos, actualizaciones de certificados, cambios en las instrucciones de uso y ampliaciones de procesos.
El registro es una obligación del ciclo de vida: los cambios de producción, las señales de tiempo de ejecución, el uso de herramientas, las aprobaciones, las actualizaciones de FRIA/DPIA y los cambios de estado deben regresar al registro del sistema registrado.
Abrir gráfico a tamaño completo- El propósito previsto cambia o el sistema comienza a procesar nuevas categorías de entrada.
- El sistema entra en un nuevo Estado miembro o pasa de la etapa de prueba a la puesta en servicio.
- El sistema se retira, se retira del mercado o ya no se ofrece.
- Cambia el nombre comercial, proveedor o representante autorizado.
- La lógica operativa cambia materialmente o el sistema se convierte en un Proceso agente.
- El sistema comienza a perfilar a las personas físicas o cambia la justificación del artículo 6(3).
- Un certificado se emite, actualiza, suspende o caduca.
- Un despliegue de autoridad pública inicia, detiene o cambia el contexto.
- Se actualiza un documento FRIA, DPIA o instrucciones de uso.
Registro para agentes y copilotos de IA
El artículo 49 no se escribió únicamente para productos estáticos de aprendizaje automático. Se aplica según la clasificación legal, el propósito previsto y el contexto de uso. Un copiloto de productividad interna puede no ser de alto riesgo, pero la misma arquitectura utilizada para seleccionar candidatos, calificar a los estudiantes, clasificar las llamadas de emergencia, evaluar la elegibilidad para los beneficios o apoyar a las fuerzas del orden puede estar incluida en el Anexo III.
Un agente añade otra capa. Puede llamar herramientas, recuperar datos, actualizar registros, enrutar casos, recomendar acciones o desencadenar procesos. Eso puede cambiar el propósito previsto y la influencia material del sistema.
- Mantenga un inventario de herramientas y un inventario de acciones.
- Registre los puntos de aprobación humana y el análisis de influencia en las decisiones.
- Asigne personas afectadas, linaje input/output, controles de políticas de tiempo de ejecución y rutas de escalada.
- Versione las instrucciones de uso y controle la desviación del propósito previsto registrado.
- Evite el lenguaje genérico, como "asistente de IA para la gestión de casos", cuando el sistema realmente clasifica reclamaciones, redacta conclusiones legales o encamina casos de alto riesgo.
Lo que los reguladores y el público pueden aprender de la base de datos
El artículo 71 dice que la información de la base de datos del artículo 49 generalmente debe ser de acceso público, fácil de usar, fácilmente navegable y legible por máquina, excepto las secciones restringidas. Por tanto, el registro pasa a formar parte de la superficie de confianza pública.
Los proveedores pueden exponer quién proporciona el sistema, cómo se llama, su propósito, funciones admitidas, datos e insumos de alto nivel, dónde está disponible, si está en el mercado o retirado del mercado, si existen documentos de conformidad y cómo los implementadores pueden acceder a las instrucciones de uso. Los implementadores de autoridades públicas pueden exponer qué autoridad utiliza el sistema, qué sistema de proveedor se utiliza y resúmenes de los hallazgos de FRIA y DPIA.
Los resúmenes del Anexo VIII deben ser precisos, claros y defendibles. No deberían filtrar secretos comerciales innecesariamente, pero tampoco deberían ser tan vagos que socaven la confianza.
Errores comunes
Los errores recurrentes no se deben a que el Anexo VIII sea demasiado largo. Ocurren cuando los equipos tratan el registro como una formalidad legal en lugar de un resultado de producto, ingeniería, privacidad, seguridad, cumplimiento, contexto de implementación y evidencia de tiempo de ejecución.
| Error | Por qué causa problemas |
|---|---|
| Tratar el registro como un formulario al final | Los campos dependen de la clasificación, el propósito previsto, la evidencia de conformidad, las instrucciones de uso y las evaluaciones de impacto. |
| Olvidar el registro del artículo 6(3) | Una conclusión que no sea de alto riesgo para un sistema del Anexo III aún puede requerir el registro del Artículo 49(2). |
| Olvidar el registro del implementador de autoridad pública | La entrada del sistema del proveedor y la entrada de uso del implementador de la autoridad pública son registros diferentes. |
| Usar textos de marketing para el propósito previsto | El registro necesita precisión jurídica y técnica, no lenguaje de posicionamiento. |
| No versionar la evidencia de registro | Después de los cambios en el sistema, los equipos necesitan saber si el registro, las instrucciones, las pruebas de conformidad y la evaluación de la implementación siguen siendo precisos. |
| Separar el registro de los controles de tiempo de ejecución | La entrada de la base de datos dice qué debe hacer el sistema; Los registros deberían demostrar lo que realmente hizo. |
Paquete mínimo de pruebas para el registro del artículo 49
Antes de presentar o aprobar el registro, prepare un paquete de pruebas exportables. La persona que realiza el envío a la base de datos de la UE no debería tener que perseguir a cinco equipos para responder a un campo del Anexo VIII.
- Registro de inventario del sistema de IA, análisis de roles del proveedor/deployer, evaluación de clasificación del artículo 6 y mapeo del Anexo III.
- Artículo 6(3) evaluación de riesgo no alto, si corresponde.
- Declaración de propósito previsto, versión del sistema, registro de lanzamiento, registro de estado, lista de disponibilidad de los Estados miembros, descripción de alto nivel de data/input, resumen de la lógica operativa y funciones admitidas.
- Declaración UE de conformidad, detalles del certificado del organismo notificado cuando corresponda, instrucciones electrónicas de uso y URL de información pública si se utiliza.
- Resumen de FRIA y resumen de DPIA cuando se aplica la Sección C del implementador.
- Registro de aprobación, lista de activación de gestión de cambios y propietario designado para mantener actualizado el registro.
Cómo el KLA haría operativo esto
El problema central no es que el Anexo VIII tenga demasiados campos. No es así. El problema es que cada campo apunta a un control que debe permanecer válido en el tiempo.
KLA debe hacer del registro una salida gobernada del plano de control de IA: mantener un inventario canónico, asignar cada sistema al Artículo 6, Anexo III, Artículo 49 y Anexo VIII, almacenar el propósito previsto y el contexto de implementación, encaminar clasificaciones de alto riesgo y excepciones del Artículo 6(3) para su aprobación, adjuntar documentos de conformidad y evaluaciones de impacto, detectar desviaciones en el tiempo de ejecución, registrar acciones y aprobaciones de los agentes, y exportar evidencia para auditorías, adquisiciones, reguladores o envío de bases de datos.
Esa es la diferencia entre "completamos la base de datos de la UE una vez" y "podemos demostrar que el sistema registrado sigue siendo el sistema que se ejecuta en producción".
Lista de verificación de preparación para el registro
Antes del lanzamiento de un sistema de IA de alto riesgo, haga estas preguntas. Si alguna respuesta no está clara, el sistema no está listo para registrarse.
- ¿Hemos identificado si se aplica el artículo 6(1), el artículo 6(2) o el artículo 6(3)?
- ¿Hemos asignado el sistema al punto correcto del Anexo III y verificado si el punto 2 requiere registro nacional?
- ¿Hemos comprobado si el sistema pertenece a una sección privada segura?
- ¿Hemos identificado si somos proveedores, representantes autorizados, implementadores o actuamos en nombre de una autoridad pública?
- ¿Hemos preparado las secciones A, B o C del Anexo VIII, según corresponda?
- ¿Tenemos un propósito estable, un resumen de la lógica operativa, una descripción de los datos de entrada, instrucciones de uso, evidencia de conformidad y una lista de Estados miembros?
- ¿Tenemos un proceso para mantener actualizado el registro y reconstruir la evidencia detrás de cada campo enviado?
- ¿Pueden los registros de tiempo de ejecución demostrar que el sistema está funcionando según el propósito previsto registrado?
Sanciones y riesgo de ejecución
El artículo 99 exige que los Estados miembros establezcan sanciones efectivas, proporcionadas y disuasorias. Varias infracciones de las obligaciones de los operadores pueden dar lugar a multas administrativas de hasta 15 millones de euros o 3% del volumen de negocios anual total mundial, lo que sea mayor. Proporcionar información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades nacionales competentes en respuesta a una solicitud puede dar lugar a multas de hasta 7.5 millones de euros o 1% del volumen de negocios anual total mundial, lo que sea mayor.
El registro es también una señal de cumplimiento. El artículo 80 dice que las autoridades de vigilancia del mercado pueden realizar controles teniendo en cuenta la información almacenada en la base de datos de la UE. El riesgo no es sólo no registrarse. El mayor riesgo es la inconsistencia: la entrada de la base de datos pública dice una cosa, la documentación técnica dice otra y el sistema de producción hace otra cosa.
Preguntas frecuentes
¿El registro del artículo 49 es solo para proveedores?
No. Los proveedores y representantes autorizados son propietarios del registro del sistema central, pero las autoridades públicas, los organismos y agencias de la UE y las personas que actúan en su nombre pueden tener obligaciones de registro de uso del implementador según el artículo 49(3).
¿Una conclusión de no alto riesgo del artículo 6(3) evita el registro?
No. El artículo 49(2) crea una ruta de registro para los proveedores que concluyan que un sistema del Anexo III no es de alto riesgo según el artículo 6(3). La justificación de la clasificación debe documentarse y mantenerse actualizada.
¿El Anexo VIII es lo mismo que la documentación técnica del Anexo IV?
No. El Anexo VIII es la carga útil de registro para la base de datos de la UE. En el anexo IV se encuentra el expediente de documentación técnica más profundo. Los dos deben estar vinculados al mismo sistema de registro.
¿Por qué es importante el registro para los agentes de IA?
Los agentes pueden cambiar el propósito previsto y la influencia material de un sistema llamando a herramientas, enrutando casos, actualizando registros y recomendando acciones. La preparación para el registro necesita inventario de tool/action, puntos de aprobación, registros de tiempo de ejecución y monitoreo de desviaciones.
Conclusiones clave
El registro del artículo 49 es la punta visible del iceberg del cumplimiento de la Ley de IA de la UE. El artículo 49 le indica cuándo es necesario registrarse. El artículo 71 le indica dónde va la información y cómo se accede a ella. En el Anexo VIII se indica qué información debe presentarse y mantenerse actualizada.
El verdadero trabajo ocurre antes del registro: clasificar el sistema, definir el propósito previsto, establecer roles de proveedor e implementador, preparar evidencia de conformidad, completar evaluaciones de impacto y conectar el registro de registro con la gestión de cambios de producción. Para sistemas simples, el registro puede parecer una entrada de base de datos. Para los copilotos empresariales y agentes de IA, es un control de gobernanza. El patrón ganador es hacer que la evidencia de registro sea un subproducto de cómo se gobierna el sistema de IA en la producción: inventariar, clasificar, aprobar, monitorear, actualizar y probar.