¿Quién notifica y a quién?

Los proveedores de sistemas de alto riesgo notifican los incidentes graves a las autoridades de vigilancia del mercado (art. 73). Quien usa el sistema (responsable del despliegue) debe informar al proveedor (art. 26) y, en su caso, a la autoridad.

¿Cuándo aplican las obligaciones del AI Act sobre incidentes?

Las de alto riesgo del Anexo III se aplican desde el 2 de diciembre de 2027 tras el Digital Omnibus. El RGPD ya aplica hoy.

Incidentes con IA: qué hacer, a quién avisar y en qué plazos

Q: ¿Qué es un incidente grave según el AI Act?

Un incidente o mal funcionamiento de un sistema de IA que provoca, directa o indirectamente, la muerte o un daño grave a la salud, una alteración grave de infraestructuras críticas, una infracción de derechos fundamentales o un daño grave a bienes o al medio ambiente (definición del artículo 3).

Q: ¿Y si hay datos personales afectados?

El RGPD exige notificar la brecha a la autoridad de control sin dilación indebida y, si es posible, en 72 horas desde que se tiene conocimiento (art. 33), salvo que sea improbable que suponga riesgo.

Por qué prepararlo antes

Es como el plan de evacuación: el día del incendio no es el momento de decidir quién avisa a quién. Un incidente con IA suele ser confuso al principio (¿error, ataque o mala configuración?), y las primeras horas cuentan.

Un procedimiento en seis pasos

Detectar y registrar: cualquier persona puede reportar; se anota qué, cuándo y qué sistema.
Contener: pausar el sistema o la función afectada si es necesario (el botón de parada debe existir de antemano).
Clasificar: ¿afecta a personas? ¿hay datos personales? ¿es potencialmente grave?
Avisar: al responsable interno, al proveedor del sistema y, si corresponde, a las autoridades.
Corregir: causa raíz y medidas para que no se repita.
Documentar y aprender: informe breve y revisión del procedimiento.

Plazos que conviene conocer

RGPD, brecha de datos personales: aviso a la autoridad en 72 horas desde que se tiene conocimiento, si hay riesgo (art. 33).
AI Act, incidente grave en sistema de alto riesgo: el proveedor notifica a la autoridad (art. 73); los plazos dependen de la gravedad y se cuentan desde que se tiene conocimiento. Consulta el texto para tu caso.
Calendario: las obligaciones de alto riesgo del Anexo III se aplican desde el 2 de diciembre de 2027 tras el Digital Omnibus.

Errores habituales

No saber quién decide pausar el sistema.
No tener contacto del proveedor para incidentes.
No guardar registros que permitan reconstruir lo ocurrido.

Preguntas frecuentes

¿Qué es un incidente grave según el AI Act?

Un fallo de un sistema de IA que causa daños graves a personas, infraestructuras críticas, derechos fundamentales, bienes o medio ambiente.

¿Y si hay datos personales afectados?

El RGPD exige notificar a la autoridad en 72 horas si hay riesgo.

Contenido informativo, no asesoramiento jurídico.

¿Cómo vas a vigilar tus sistemas tras ponerlos en marcha? Seguimiento poscomercialización: una plantilla editable. 9,99 €. Plantilla de apoyo, no asesoramiento jurídico.

Ver producto