Sección 2
Intercambio de información sobre incidentes graves
Artículo 73: Notificación de incidentes graves
1.
Los proveedores de sistemas de IA de alto riesgoriesgola combinación de la probabilidad de que se produzca un perjuicio y la gravedad de dicho perjuicioArticle 3(2) introducidos en el mercado de la Unión notificarán cualquier incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49) a las autoridades de vigilancia del mercado de los Estados miembros en los que se haya producido dicho incidente.
2.
La notificación a que se refiere el apartado 1 se efectuará inmediatamente después de que el proveedorproveedoruna persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamenteArticle 3(3) haya establecido un vínculo causal entre el sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) y el incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49) o la probabilidad razonable de que exista dicho vínculo y, en cualquier caso, a más tardar quince días después de que el proveedorproveedoruna persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamenteArticle 3(3) o, en su caso, el responsable del despliegueresponsable del despliegueuna persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesionalArticle 3(4), tengan conocimiento del incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49).
El plazo para la notificación a que se refiere el párrafo primero tendrá en cuenta la magnitud del incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49).
3.
No obstante lo dispuesto en el apartado 2 del presente artículo, en caso de una infracción generalizadainfracción generalizadatodo acto u omisión contrario al Derecho de la Unión por el que se protegen los intereses de las personas y que:Article 3(61) o de un incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49) tal como se define en el artículo 3, punto 49, letra b), la notificación a que se refiere el apartado 1 del presente artículo se realizará de manera inmediata y a más tardar dos días después de que el proveedorproveedoruna persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamenteArticle 3(3) o, en su caso, el responsable del despliegueresponsable del despliegueuna persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesionalArticle 3(4) tenga conocimiento del incidente.
4.
No obstante lo dispuesto en el apartado 2, en caso de fallecimiento de una persona, la notificación se efectuará de manera inmediata después de que el proveedorproveedoruna persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamenteArticle 3(3) o el responsable del despliegueresponsable del despliegueuna persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesionalArticle 3(4) haya establecido —o tan pronto como sospeche— una relación causal entre el sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) de alto riesgoriesgola combinación de la probabilidad de que se produzca un perjuicio y la gravedad de dicho perjuicioArticle 3(2) y el incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49), en un plazo no superior a diez días a contar de la fecha en la que el proveedorproveedoruna persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamenteArticle 3(3) o, en su caso, el responsable del despliegueresponsable del despliegueuna persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesionalArticle 3(4) tenga conocimiento del incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49).
5.
Cuando sea necesario para garantizar la notificación en tiempo oportuno, el proveedorproveedoruna persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamenteArticle 3(3) o, en su caso, el responsable del despliegueresponsable del despliegueuna persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesionalArticle 3(4) podrá presentar inicialmente una notificación incompleta, seguida de una notificación completa.
6.
Después de notificar un incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49) con arreglo al apartado 1, el proveedorproveedoruna persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamenteArticle 3(3) realizará sin demora las investigaciones necesarias en relación con el incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49) y el sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) afectado. Esto incluirá una evaluación de riesgos del incidente y las medidas correctoras.
El proveedorproveedoruna persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamenteArticle 3(3) cooperará con las autoridades competentes y, en su caso, con el organismo notificadoorganismo notificadoun organismo de evaluación de la conformidad notificado con arreglo al presente Reglamento y a otros actos pertinentes de la legislación de armonización de la UniónArticle 3(22) afectado durante las investigaciones a que se refiere el párrafo primero, y no emprenderá acción alguna que suponga la modificación del sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) afectado de un modo que pueda repercutir en cualquier evaluación posterior de las causas del incidente sin haber informado antes de dicha acción a las autoridades competentes.
7.
Tras la recepción de una notificación relativa a un incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49) a que se refiere el artículo 3, punto 49, letra c), la autoridad de vigilancia del mercadoautoridad de vigilancia del mercadola autoridad nacional que lleva a cabo las actividades y adopta las medidas previstas en el Reglamento (UE) 2019/1020Article 3(26) pertinente informará a las autoridades u organismos públicos nacionales a que se refiere el artículo 77, apartado 1. La Comisión elaborará orientaciones específicas para facilitar el cumplimiento de las obligaciones establecidas en el apartado 1 del presente artículo. Dichas orientaciones se publicarán a más tardar el 2 de agosto de 2025 y se evaluarán periódicamente.
8.
La autoridad de vigilancia del mercadoautoridad de vigilancia del mercadola autoridad nacional que lleva a cabo las actividades y adopta las medidas previstas en el Reglamento (UE) 2019/1020Article 3(26) adoptará medidas adecuadas tal como se establece en el artículo 19 del Reglamento (UE) 2019/1020, en un plazo de siete días a partir de la fecha en que reciba la notificación a que se refiere el apartado 1 del presente artículo, y seguirá los procedimientos de notificación previstos en dicho Reglamento.
9.
En el caso de los sistemas de IA de alto riesgoriesgola combinación de la probabilidad de que se produzca un perjuicio y la gravedad de dicho perjuicioArticle 3(2) a que se refiere el anexo III, introducidos en el mercado o puestos en servicio por proveedores que estén sujetos a instrumentos legislativos de la Unión por los que se establezcan obligaciones de información equivalentes a las establecidas en el presente Reglamento, la notificación de incidentes graves se limitará a los mencionados en el artículo 3, punto 49, letra c).
10.
En el caso de los sistemas de IA de alto riesgoriesgola combinación de la probabilidad de que se produzca un perjuicio y la gravedad de dicho perjuicioArticle 3(2) que sean componentes de seguridad de dispositivos, o que en sí mismos sean dispositivos, regulados por los Reglamento (UE) 2017/745 y (UE) 2017/746, la notificación de incidentes graves se limitará a los mencionados en el artículo 3, punto 49, letra c), del presente Reglamento, y se hará a la autoridad nacional competenteautoridad nacional competenteuna autoridad notificanteautoridad notificantela autoridad nacional responsable de establecer y llevar a cabo los procedimientos necesarios para la evaluación, designación y notificación de los organismos de evaluación de la conformidad, así como de su supervisiónArticle 3(19) o una autoridad de vigilancia del mercado; en lo que respecta a sistemas de IA puestos en servicio o utilizados por instituciones, órganos y organismos de la Unión, las referencias hechas en el presente Reglamento a autoridades nacionales competentes o a autoridades de vigilancia del mercado se interpretarán como referencias al Supervisor Europeo de Protección de DatosArticle 3(48) elegida para tal fin por los Estados miembros en los que se haya producido el incidente.
11.
Las autoridades nacionales competentes informarán de inmediato a la Comisión de todo incidente graveincidente graveun incidente o defecto de funcionamiento de un sistema de IAsistema de IAun sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtualesArticle 3(1) que, directa o indirectamente, tenga alguna de las siguientes consecuencias:Article 3(49), independientemente de han adoptado medidas al respecto, de conformidad con el artículo 20 del Reglamento (UE) 2019/1020.