Hasta ahora hemos hablado de cómo prevenir. Esta semana toca hablar de qué pasa cuando, a pesar de todo, algo falla. Porque el AI Act también regula eso, y el plazo para reaccionar es más corto de lo que la mayoría cree.
Qué se considera un incidente grave
El reglamento define como incidente grave cualquier fallo o mal funcionamiento de un sistema de IA de alto riesgo que provoque la muerte de una persona, un daño grave a su salud, un daño grave a bienes o al medio ambiente, o una infracción grave de las obligaciones derivadas del derecho de la Unión destinada a proteger derechos fundamentales.
No hace falta que el daño se haya consumado del todo. Un fallo con potencial claro de causar estos efectos también puede activar la obligación de notificar.
Quién tiene que notificar y a quién
La obligación recae, en primer lugar, sobre el proveedor del sistema. Pero el deployer también tiene un papel activo: si detecta el incidente, debe informar de inmediato al proveedor y, en determinados casos, a la autoridad de vigilancia del mercado, que en España es la AESIA.
Los plazos, y por qué importan tanto
El reglamento establece un plazo general de notificación de quince días desde que se tiene conocimiento del incidente. Ese plazo se acorta considerablemente en los casos más graves, como cuando hay muerte de una persona o un incidente de carácter generalizado. En esos supuestos la notificación tiene que producirse de forma mucho más inmediata.
Este es, precisamente, el punto donde más empresas se equivocan: piensan que tienen margen para investigar internamente antes de avisar. El reglamento no está pensado así. Se notifica primero, y se sigue investigando en paralelo.
Qué debe tener preparado tu empresa antes de que ocurra
Un procedimiento simple, pero por escrito: quién detecta, a quién avisa internamente, y quién es el responsable de contactar al proveedor y, si procede, a la AESIA. Improvisar este proceso en medio de una crisis es la peor forma de gestionarlo, y suele agravar tanto el daño como la sanción posterior.
Por dónde empezar
Revisa si tu empresa tiene, hoy, un protocolo escrito para esta situación. Si la respuesta es no, ese es el documento más urgente que te falta, más urgente incluso que parte de la documentación técnica que vimos hace unas semanas.
¿Tiene tu empresa un protocolo escrito para notificar un incidente grave de IA?
- Reglamento (UE) 2024/1689
- Consejo de la UE: simplificación y nuevos plazos de alto riesgo
- Recursos y guías de AESIA
Contenido informativo. No sustituye asesoramiento jurídico adaptado al caso concreto.
Convierte el contenido en un plan para tu empresa
Revisamos sistemas, usos, responsables y evidencias para priorizar lo que realmente necesita atención.
Solicitar diagnóstico inicial
Francisco Rodríguez Mendoza
Consultor en gobernanza de IA, AI Act y gestión de riesgos. PMP® e ingeniero de telecomunicaciones.
Ver perfil profesional →