Aplicación del capítulo V de la Ley de la UE sobre la IA

El objetivo de esta página es ofrecer una visión general de las disposiciones de aplicación de la Ley de IA de la UE relativas al capítulo V, es decir, las disposiciones que imponen obligaciones a los proveedores de modelos de IA de uso general (GPAI). También pretende analizar el papel que pueden desempeñar otros actores en la aplicación de la Ley de IA.

Próximamente en este post:

• Resumen
• Introducción
• Obligaciones sustantivas de los proveedores del modelo GPAI
• Obligaciones procedimentales de los proveedores del modelo GPAI
• ¿En qué casos entran los proveedores de modelos GPAI en el ámbito de aplicación de la ley? 
• Facultades de supervisión y ejecución de la Comisión
• Vías para la aplicación de la ley

Introducción

El 2 de agosto de 2026 entrarán en vigor las competencias de control de la Comisión respecto a los proveedores de modelos de IA general (GPAI). Si bien las obligaciones de los proveedores de modelos de IA general, recogidas en el capítulo V de la Ley de IA, entraron en vigor el 2 de agosto de 2025, se concede a los proveedores un período de adaptación de un año antes de que la Comisión pueda comenzar a ejercer sus competencias de supervisión y control sobre ellos. Los proveedores de modelos de IA general lanzados antes del 2 de agosto de 2025 deberán cumplir con la normativa antes del 2 de agosto de 2027. 

Consulte aquí el calendario completo de aplicación de la Ley de IA de la UE

La Comisión tiene competencias exclusivas para supervisar y velar por el cumplimiento de las obligaciones establecidas en el capítulo V de la Ley de IA, de conformidad con el artículo 88 de dicha Ley. Estas competencias se complementan con el artículo 89, apartado 1, de la Ley, en virtud del cual la Oficina de IA también tiene la misión de supervisar el cumplimiento de la Ley por parte de los proveedores de modelos de IA general (GPAI) y, cuando proceda, su adhesión a los códigos de prácticas aprobados. 

Obligaciones sustantivas de los proveedores del modelo GPAI

Las obligaciones sustantivas de cuya aplicación se encargará la Comisión figuran principalmente en los artículos 53 y 55 de la Ley, a saber: la obligación de elaborar y mantener actualizada la documentación técnica relativa al modelo; la obligación de elaborar, mantener actualizada y facilitar información y documentación a los proveedores posteriores de sistemas de inteligencia artificial; la obligación de adoptar una política para cumplir con la legislación de la UE en materia de derechos de autor; y la obligación de elaborar y publicar un resumen sobre los contenidos utilizados para el entrenamiento del modelo. 

Los proveedores de modelos de IA general (GPAI) publicados bajo una licencia libre y de código abierto solo están obligados a cumplir con la política de derechos de autor y las obligaciones relativas al resumen del contenido formativo, a menos que el modelo de GPAI plantee un riesgo sistémico (GPAISR). Además, los proveedores de modelos GPAISR también deben realizar evaluaciones de los modelos, llevar a cabo evaluaciones y medidas de mitigación de riesgos, registrar y notificar los incidentes graves, y garantizar un nivel suficiente de ciberseguridad del modelo.

Obligaciones procedimentales de los proveedores del modelo GPAI

Aunque quizá no resulte tan evidente, la Ley de IA también impone a los proveedores de modelos de IA general varias obligaciones que pueden calificarse de carácter procedimental. Los proveedores de modelos de IA general tienen la obligación general de cooperar con la Comisión y las autoridades nacionales en el ejercicio de las facultades que les confiere la Ley de IA (artículo 53, apartado 3). Más concretamente, los proveedores de modelos de IA general tienen la obligación de responder a las solicitudes de documentación e información de la Comisión y de evitar facilitar «información incorrecta, incompleta o engañosa» (artículo 91, apartados 4 y 5). Los proveedores de modelos de IA general también tienen la obligación de facilitar el acceso al modelo de IA general cuando así lo solicite la Comisión (artículo 92, apartados 4 y 5).

Algunas de estas obligaciones, de carácter más bien procedimental, se refieren únicamente a determinados tipos de proveedores de modelos GPAI. Por ejemplo, los proveedores establecidos en terceros países están obligados a designar a un representante autorizado en la Unión antes de comercializar su modelo GPAI en el mercado de la UE, salvo que el modelo se publique bajo una licencia libre y de código abierto (artículo 54). El mandato escrito otorgado por el proveedor al representante autorizado debe cumplir una serie de requisitos enumerados en el artículo 54, apartado 3. 

Del mismo modo, los proveedores de modelos de IA general (GPAI) con capacidades de gran impacto (que se presume que tiene un modelo de IA general si el cómputo acumulado de entrenamiento del modelo supera los 10²⁵ FLOP) tienen la obligación de notificarlo a la Comisión «sin demora y, en cualquier caso, en el plazo de dos semanas desde que se cumpla dicho requisito o se tenga conocimiento de que se va a cumplir», adjuntando la información necesaria (artículos 51, apartado 2, y 52(1)).

¿En qué casos entran los proveedores de modelos GPAI en el ámbito de aplicación de la ley? 

Para que un proveedor de modelos de IA general esté sujeto a las obligaciones mencionadas anteriormente y para que dichas obligaciones le sean exigibles, debe estar incluido en el ámbito de aplicación de la Ley de IA. 

Es importante destacar que los proveedores de modelos de IA general solo entran en el ámbito de aplicación de la Ley cuando comercializan su modelo de IA general en el mercado de la Unión, independientemente de dónde tengan su sede (artículo 2, apartado 1, letra a)). Esto incluye tanto la comercialización de un modelo GPAI independiente en el mercado de la Unión, como una situación en la que el proveedor integra su modelo GPAI en su propio sistema de IA y comercializa dicho sistema de IA en el mercado de la Unión o lo pone en servicio en la Unión, según el considerando 97. 

La misma lógica podría aplicarse también a los proveedores de modelos de IA general (GPAI) que solo comercializan su modelo en terceros países, donde un proveedor posterior lo integra en un sistema de IA y, posteriormente, dicho sistema se comercializa en el mercado de la UE. Este enfoque resulta especialmente convincente a la luz del considerando 97, que establece que el capítulo V «debería aplicarse también cuando estos modelos se integren o formen parte de un sistema de IA». Si bien esta interpretación se ve respaldada por el considerando 97, aún debe confirmarse en la práctica.

Facultades de supervisión y ejecución de la Comisión

Facultades de supervisión y de ejecución sin imposición de multas

En cuanto a las facultades de supervisión y ejecución de la Comisión, las competencias que esta tiene respecto a los proveedores de modelos GPAI consisten en la facultad de solicitar documentación e información (artículo 91), la facultad de realizar evaluaciones (artículo 92) y la facultad de solicitar la adopción de medidas (artículo 93). 

En virtud del artículo 91, la Comisión podrá solicitar la documentación elaborada con arreglo a los artículos 53 y 55, o cualquier otra información necesaria. Del mismo modo, podrá solicitar información en nombre del comité científico, cuando sea necesario y proporcionado.

En virtud del artículo 92, la Comisión podrá llevar a cabo evaluaciones de los modelos GPAI con el fin de determinar el cumplimiento de la Ley (tanto por parte de los proveedores de modelos GPAI como de los de modelos GPAISR), en caso de que la información facilitada por estos sea insuficiente, o con el fin de investigar los riesgos sistémicos que plantean los modelos GPAISR. Si la Comisión así lo decide, expertos independientes, incluidos los del comité científico, podrán realizar evaluaciones en nombre de la Comisión.

Por último, en virtud del artículo 93, la Comisión podrá solicitar a los proveedores que «adopten las medidas adecuadas para cumplir» con sus obligaciones. Asimismo, otorga a la Comisión la facultad de solicitar a los proveedores que apliquen medidas de mitigación cuando, tras una evaluación, exista una «preocupación grave y fundamentada de riesgo sistémico a escala de la Unión». Por último, la Comisión podrá solicitar a los proveedores que «restrinjan la comercialización, retiren o recuperen el modelo».

Facultades sancionadoras

Si bien los artículos91 a 93 de la Ley otorgan a la Comisión competencias de supervisión y de ejecución sin imposición de multas, el artículo 101 establece la facultad de la Comisión para imponer multas.

¿A quién se imponen las multas?

El artículo 101 faculta a la Comisión para imponer multas a los proveedores de modelos de IA general. A diferencia del artículo 99, que prevé la imposición de multas a los operadores de sistemas de IA por parte de las autoridades nacionales competentes, el artículo 101 no hace referencia expresa a la posibilidad de imponer una multa al representante autorizado del proveedor. Por el contrario, la redacción del artículo 101, apartado 1, sugiere que la Comisión solo puede imponer multas a los proveedores de modelos de IA general.

Sin embargo, podría argumentarse que el artículo 101 debería interpretarse a la luz del artículo 54, apartado 4, que establece que el mandato del representante autorizado le facultará «para que la Oficina de IA o las autoridades competentes se dirijan a él, además del proveedor o en lugar de este, en todas las cuestiones relacionadas con el cumplimiento del presente Reglamento». Dado que la imposición de una multa podría considerarse como una medida para garantizar el cumplimiento de la Ley, la imposición de multas no se limitaría, según este punto de vista, a los proveedores del modelo GPAI.

¿A qué altura?

El importe máximo de las multas que pueden imponerse a los proveedores de modelos de GPAI es «el 3 % de su volumen de negocios mundial total del ejercicio financiero anterior o 15 000 000 EUR, el que sea mayor».

¿En qué infracciones se basa? 

Existen cuatro fundamentos jurídicos para la imposición de una multa en virtud del artículo 101, apartado 1: 

1. incumpliendo las disposiciones pertinentes de la Ley de Inteligencia Artificial; 
2. no cumplir con una solicitud de documentación o información, o facilitar información incompleta, con arreglo al artículo 91; 
3. el incumplimiento de una medida solicitada con arreglo al artículo 93; y 
4. no haber facilitado a la Comisión el acceso al modelo GPAI o GPAISR para que pudiera llevar a cabo una evaluación con arreglo al artículo 92. 

Dos de estos motivos se ajustan claramente a las dos obligaciones de carácter procesal impuestas a los proveedores del modelo GPAI en virtud de los artículos 91 y 92, y mencionadas anteriormente en este texto. Si bien el cumplimiento de la solicitud de una medida no es una obligación expresamente establecida en el artículo 93, al igual que lo son las obligaciones antes mencionadas de los artículos 91 y 92, sí puede integrarse en la obligación más amplia de cooperar con la Comisión, especificada en el artículo 53, apartado 3.

Sin embargo, es probable que esta obligación de cooperación más amplia no se limite a la obligación de cumplir con la solicitud de medidas formulada por la Comisión. Además, algunos proveedores de modelos de GPAI están sujetos a otras obligaciones de carácter procesal, ajenas a la cooperación, como la designación de un representante autorizado o la notificación a la Comisión de las capacidades de alto impacto de su modelo de GPAI, tal y como se ha descrito anteriormente en este texto. Por estas razones, es muy plausible que el primer fundamento jurídico para la imposición de una multa, a saber, cuando el proveedor del modelo de IA general infringe «las disposiciones pertinentes» de la Ley, no se limite a las obligaciones sustantivas incluidas en los artículos 53 y 55. Por el contrario, es probable que se extienda también, cuando proceda, a las obligaciones de carácter procesal mencionadas en los artículos 52, 53(3) y 54.

Vías para la aplicación de la ley

Si bien la Comisión es la única encargada de supervisar y velar por el cumplimiento de las obligaciones del modelo GPAI previstas en el capítulo V de la Ley de IA, también pueden contribuir a su cumplimiento otros actores.

A partir de la Comisión, la Oficina de IA tiene encomendada la tarea de supervisar el cumplimiento de la Ley por parte de los proveedores de modelos de IA de uso general, de conformidad con el artículo 89, apartado 1. Esto incluye supervisar la adhesión de los proveedores a los códigos de prácticas aprobados, que constituyen una herramienta voluntaria que permite a los proveedores demostrar su cumplimiento de la Ley. Si bien los códigos de prácticas no dan lugar a una presunción de conformidad, la Comisión ha manifestado, en sus Directrices para los proveedores de modelos de IA de uso general, que «en el caso de los proveedores de modelos de IA de uso general que se adhieran a un código de prácticas que se considere adecuado, la Comisión centrará sus actividades de control en supervisar su cumplimiento del código de prácticas». Dichos proveedores también «se beneficiarán de una mayor confianza por parte de la Comisión y otras partes interesadas». 

Dado el alcance limitado que la Comisión ha reconocido en su labor de supervisión y la mayor confianza depositada en los proveedores que se han adherido al Código de prácticas de la GPAI, que entrará en vigor el 2 de agosto de 2025, el papel de otros actores en la aplicación de la Ley de IA podría resultar importante. Entre los actores que pueden señalar los incumplimientos y, por lo tanto, contribuir a la aplicación de la Ley, se encuentran las autoridades nacionales de supervisión de datos (MSA), los proveedores de servicios posteriores y el comité científico.

Autoridades de vigilancia del mercado

En lo que respecta a las autoridades de supervisión de la IA (MSA), cuando una MSA no pueda concluir la investigación de un sistema de IA de alto riesgo basado en un modelo de IA general (GPAI) debido a la falta de información relativa al modelo GPAI subyacente, la Oficina de IA facilitará dicha información a la MSA (artículo 75, apartado 3). Además, y lo que es aún más importante, las MSA podrán solicitar a la Comisión que ejerza sus competencias en virtud de los artículos91 a 93 de la Ley «cuando sea necesario y proporcionado para ayudar al cumplimiento de sus funciones» en virtud de la Ley (artículo 88, apartado 2). 

Por lo tanto, las autoridades de supervisión del mercado (MSA) pueden desempeñar un papel decisivo a la hora de recabar información, llamar la atención y solicitar medidas en relación con el incumplimiento por parte de los proveedores de modelos de GPAI subyacentes a los sistemas de IA que se encuentran dentro de su ámbito de competencia reguladora. Este mecanismo podría resultar especialmente relevante si se combina con el derecho de cualquier persona física o jurídica a presentar una denuncia ante la MSA competente, siempre que tenga motivos para sospechar que se ha infringido la Ley (artículo 85). La disposición añade que «dichas reclamaciones se tendrán en cuenta a efectos de llevar a cabo actividades de vigilancia del mercado».

Es importante destacar que el artículo 85 no especifica que las infracciones objeto de la denuncia deban estar relacionadas con infracciones a nivel del sistema de IA. Si bien la referencia a la «autoridad de vigilancia del mercado pertinente» podría sugerir que la denuncia debe limitarse a los sistemas de IA sobre los que dicha autoridad ejerce su supervisión, también podría interpretarse como una referencia a la autoridad de vigilancia del mercado del Estado miembro en el que tiene su sede la persona física o jurídica que ha presentado la denuncia. Esta última interpretación permitiría a una persona física o jurídica presentar una denuncia relativa a presuntas infracciones de la Ley de IA por parte de modelos de IA general (GPAI).

Aunque esta interpretación aún debe confirmarse en la práctica, la obligación de las MSA de tener en cuenta la denuncia a efectos del desempeño de sus funciones —lo que incluye su facultad de solicitar a la Comisión que ejerza sus competencias de supervisión y ejecución en virtud de los artículos91 a 93— podría convertir esta combinación en una herramienta eficaz para que los particulares garanticen la aplicación de la Ley de IA frente a los proveedores de modelos de IA generativa.

Proveedores de servicios de distribución

Cabe señalar que los proveedores de servicios posteriores también tienen derecho a presentar una denuncia por una presunta infracción de la Ley (artículo 89, apartado 2). Se entiende por «proveedor de servicios posteriores » «un proveedor de un sistema de IA, incluidos los sistemas de IA de uso general, que integre un modelo de IA» (artículo 3, apartado 68). 

Los proveedores posteriores disponen de la documentación técnica elaborada por el proveedor del modelo de IA general de acuerdo con el artículo 53, apartado 1, letra b), y conocen mejor el funcionamiento del modelo subyacente que una persona media. Por estas razones, los proveedores posteriores se encuentran en una posición privilegiada para contribuir a la aplicación de la Ley de IA frente a los proveedores de modelos de IA general si deciden presentar una denuncia a raíz de la cual la Oficina de IA decida ejercer sus competencias de ejecución.

El comité científico

Por último, el comité científico desempeña un papel importante a la hora de garantizar la correcta aplicación de la Ley. Podrá emitir una alerta cualificada a la Oficina de IA en caso de que se sospeche que un modelo de IA general (GPAI) plantea un riesgo concreto e identificable a escala de la UE o cuando un modelo GPAI constituya un modelo GPAISR (artículo 90). De conformidad con el artículo 18, apartado 1, del acto de ejecución de la Comisión relativo al comité científico, la emisión de una alerta cualificada requiere, como mínimo, la mayoría simple de los miembros del comité científico. 

La Comisión podrá, basándose en esta alerta, ejercer las facultades que le confieren los artículos91 a 93 de la Ley de IA. Aunque no se mencione expresamente, la Comisión también podrá ejercer en tales casos sus facultades sancionadoras en virtud del artículo 101 de la Ley de IA, ya que dicho artículo le confiere una facultad autónoma para imponer sanciones por el incumplimiento de las obligaciones del modelo GPAI. Esto incluye, lógicamente, los incumplimientos que el comité científico señale a la Comisión.

Tras recibir la alerta cualificada, la Oficina de IA debe decidir, en el plazo de dos semanas, si ejerce las facultades que le confieren los artículos91 a 93 de la Ley de IA, de conformidad con el artículo 19, apartado 2, del reglamento de aplicación. Esta disposición, que prevé un procedimiento ágil, hace que el mecanismo de las alertas cualificadas resulte especialmente útil en el marco de la aplicación de la Ley de IA.