Base de datos de IA de la UE: qué se hace público

Cuando una pyme se sienta a leer el Reglamento de IA, la pregunta que hace en voz baja no es cuánto le pueden multar. Es otra: «¿qué de lo mío va a poder ver cualquiera?». Tiene respuesta exacta, porque el Reglamento (UE) 2024/1689 no deja la publicidad del registro al criterio de nadie: la lista de lo que se publica está tasada en un anexo, y el artículo que ordena publicarla exige que sea fácil de navegar y legible por máquina.

Quién tiene que registrarse (art. 49)

El artículo 49 obliga a registrar el sistema y a registrarse a uno mismo antes de introducirlo en el mercado o ponerlo en servicio. Son cinco supuestos distintos:

Dos consecuencias que se pasan por alto. Si usted invoca el artículo 6.3 y decide que su sistema del anexo III no es de alto riesgo, no se libra del registro: se cambia de sección. El artículo 6.4 lo dice sin rodeos: documentará su evaluación antes de comercializar, quedará sujeto al registro del artículo 49.2 y entregará esa documentación cuando las autoridades la pidan. Su autoevaluación negativa termina siendo pública.

Y la base de datos europea no cubre los sistemas del anexo I. El artículo 71.1 la limita a los sistemas del artículo 6.2 (anexo III), a los excluidos por el artículo 6.3 y a las pruebas en condiciones reales del artículo 60. Si su IA es componente de seguridad de una máquina o de un producto sanitario, es de alto riesgo por el artículo 6.1 y no entra en este registro.

Qué datos se aportan (anexo VIII)

La sección A, para el registro del artículo 49.1, tiene trece puntos. Los sensibles en clave competitiva son el punto 6 («una descripción sencilla y concisa de la información que utiliza el sistema (datos, entradas) y su lógica de funcionamiento»), el punto 11 (copia de la declaración UE de conformidad del artículo 47) y el punto 12 (instrucciones de uso electrónicas).

La sección B, la de los sistemas autoevaluados como no de alto riesgo, acaba de encogerse. El punto 42 del Reglamento (UE) 2026/1744 —el Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026— suprime sus puntos 7 y 9:

Es el cambio con más valor práctico del bloque: ya no se publica el razonamiento por el que su sistema no es de alto riesgo, ni el mapa de países donde vende. Lo que sobrevive es el punto B.6, que obliga a declarar cuál de las condiciones del artículo 6.3 invoca. Se publica la etiqueta, no el argumentario. El considerando 22 del Ómnibus lo justifica en que el registro «sigue siendo crucial» pero debe ser «más proporcionado», y recuerda que el deber de documentar del artículo 6.4 queda intacto: desaparece la publicación, no la obligación de tenerlo escrito.

Un detalle por si alguien cruza referencias: el Ómnibus suprimió esos puntos sin tocar el artículo 49, cuyo apartado 4, letra b), sigue remitiendo a «el anexo VIII, sección B, puntos 1 a 5 y puntos 8 y 9». La remisión al punto 9 apunta ya a un punto inexistente. El efecto es estrecho, porque el 49.4 solo regula la sección no pública.

La sección C, para autoridades públicas que despliegan, incluye un resumen de las conclusiones de la evaluación de impacto en derechos fundamentales del artículo 27.

Lo que ve un competidor y lo que no (art. 71)

Aquí está el corazón del asunto, y merece leerse literal. Artículo 71.4: «A excepción de la sección a que se refieren el artículo 49, apartado 4, y el artículo 60, apartado 4, letra c), la información presente en la base de datos de la UE y registrada de conformidad con lo dispuesto en el artículo 49 será accesible y estará a disposición del público de manera sencilla. Debe ser fácil navegar por la información y esta ha de ser legible por máquina».

No es un archivo al que haya que pedir acceso. Es un registro público y consultable en bloque.

Tres lecturas honestas de esa tabla. La primera: lo que se publica es descriptivo, no reproducible. Un competidor sabrá qué hace su sistema, para qué sirve y con qué clase de datos trabaja; de aquí no saca cómo está construido. El artículo 78 impone confidencialidad a la Comisión, a las autoridades de vigilancia y a los organismos notificados sobre la información empresarial confidencial y los secretos comerciales, «incluido el código fuente», pero protege lo que usted les entrega aparte, no los campos del anexo VIII que el 71.4 manda publicar.

La segunda: el artículo 71.5 hace pública a una persona con nombre y apellidos. Incluye expresamente los nombres y datos de contacto de las personas físicas responsables del registro con autoridad legal para representar al proveedor. Elija quién firma sabiéndolo.

La tercera, la más incómoda: la publicidad es simétrica. El registro que expone su catálogo expone el de sus competidores, con la finalidad prevista y el estado comercial de cada sistema. Es un mapa de mercado gratuito y legible por máquina.

La asimetría del calendario

El artículo 49 es el último artículo del capítulo III, sección 5 («Normas, evaluación de la conformidad, certificados, registro»). El punto 40 del Ómnibus sustituyó la letra c) del párrafo tercero del artículo 113 y aplazó solo las secciones 1, 2 y 3 de ese capítulo. La sección 5 no aparece ahí; tampoco el capítulo VIII (art. 71) ni el capítulo IX (art. 72). Les alcanza la regla general del párrafo segundo del artículo 113.

Así que sí: el deber de registrarse es aplicable dieciséis meses antes que las obligaciones sustantivas que se registran. Con un matiz que cambia lo que conviene hacer. La regla que decide si usted está dentro —el artículo 6, apartados 2 y 3— vive en la sección 1 y está aplazada con ella. Formalmente el artículo 49 es derecho aplicable desde agosto de 2026; su detonante todavía no. Al artículo 72 le pasa lo mismo: su apartado 2 mide «el cumplimiento permanente de los requisitos establecidos en el capítulo III, sección 2», que aún no rigen.

La conclusión práctica no es «regístrese en agosto de 2026». Es que la ventana de preparación no llega hasta diciembre de 2027: el andamiaje de registro y de vigilancia es exigible antes, y quien planifique contra la fecha de 2027 se encontrará el trámite y el escrutinio público ya encima.

El plan de vigilancia poscomercialización (art. 72)

El artículo 72.1 obliga a los proveedores a establecer y documentar un sistema de vigilancia proporcionado a la tecnología y a los riesgos. El 72.2 concreta qué significa: recopilar, documentar y analizar «de manera activa y sistemática» los datos que faciliten los responsables del despliegue o que se obtengan de otras fuentes sobre el funcionamiento del sistema durante toda su vida útil, con análisis de la interacción con otros sistemas de IA cuando proceda.

Ese sistema se apoya en un plan que forma parte de la documentación técnica del anexo IV. Y aquí llega el segundo cambio del Ómnibus, en su punto 30:

El instrumento importa: unas orientaciones con un modelo anexo no tienen la fuerza de un acto de ejecución. El retraso importa más: el artículo 72 se aplica desde el 2 de agosto de 2026 y el modelo oficial no llegará hasta trece meses después. Quien deba cumplirlo en ese intervalo lo hará con su propio criterio. De paso: el texto nuevo del DOUE llama al documento «plan de seguimiento poscomercialización» en la misma frase en que el resto del artículo lo llama «plan de vigilancia poscomercialización».

Qué se sanciona de verdad

Conviene no citar el artículo 99.4 a la ligera. Su lista, tras la inserción de la letra d bis) por el punto 38 del Ómnibus, es cerrada: artículos 16, 22, 23, 24, 25 (apartados 2 y 4), 26, 31, 33, 34 y 50. No menciona el artículo 49, ni el 71, ni el 72.

La vía real es indirecta, y funciona. El artículo 16, letra i), incluye entre las obligaciones del proveedor «cumplir las obligaciones de registro a que se refiere el artículo 49, apartado 1»; eso sí entra por el 99.4, letra a). Fíjese en el apartado: el artículo 16 no cubre el registro del artículo 49.2. Y el artículo 17.1, letra h), mete el sistema de vigilancia poscomercialización del artículo 72 dentro del sistema de gestión de la calidad, que exige el artículo 16, letra c): el 72 llega al 99.4 en dos saltos.

En España, el Proyecto de Ley Orgánica 121/000096 (BOCG Serie A núm. 97-1, de 12 de junio de 2026) cierra el hueco de forma directa. Está en tramitación, no es ley, y su plazo de enmiendas se amplió hasta el 2 de septiembre de 2026, así que cualquier cifra puede cambiar. Tal como está redactado, su artículo 16.1, letra a), tipifica como infracción grave el incumplimiento del artículo 49, «incluyendo [...] el registro en la base de datos de la Unión Europea de los de cualquier categoría del anexo III que consideren, en virtud del artículo 6, apartado 3, que el sistema no es de alto riesgo». Su artículo 30.1, letra c), fija la horquilla: hasta 7.500.000 euros o el 1 % del volumen de negocios mundial, la cuantía superior, con la regla de la menor para pymes del artículo 30.8. El proyecto no menciona el artículo 72 en ningún punto de su articulado.

Qué debe preparar hoy una pyme

• Averigüe si está en el anexo III. Si su IA es componente de seguridad de un producto del anexo I, este registro europeo no le afecta.
• Si va a invocar el artículo 6.3, escriba la evaluación. El artículo 6.4 la exige documentada antes de comercializar. Que ya no haya que publicar el razonamiento no significa que no haya que tenerlo.
• Redacte el punto 6 de la sección A como texto público. Es un campo de registro y, a la vez, una nota de prensa involuntaria. Escríbalo una vez, bien, y que lo revise quien defienda sus secretos comerciales.
• Decida quién firma: el artículo 71.5 publica su nombre y sus datos de contacto.
• Empiece el plan de vigilancia sin esperar el modelo. El artículo 72.2 ya describe el contenido mínimo.
• Si ya tiene vigilancia sectorial, reutilícela. El artículo 72.4 permite integrar los elementos del 72 en planes que ya existan bajo el anexo I, sección A, y con las entidades financieras del anexo III, punto 5.
• Consulte el registro de sus competidores. La publicidad del 71.4 corre en las dos direcciones.

Relacionado

• la declaración de conformidad que precede al registro
• los plazos para notificar un incidente grave
• el calendario del AI Act por rol

Preguntas frecuentes

Fuentes

Reglamento (UE) 2024/1689 (DOUE L de 12-7-2024)

• Art. 6, apartados 1 a 4: clasificación, excepción del 6.3 y deber de documentar del 6.4.
• Art. 16, letras c) e i); art. 17.1, letra h): obligaciones del proveedor, gestión de la calidad y vigilancia poscomercialización.
• Art. 49, apartados 1 a 5: supuestos de registro, sección segura y registro nacional del anexo III.2.
• Art. 71, apartados 1 a 6: creación de la base de datos, quién introduce cada sección, publicidad del apartado 4, datos personales del apartado 5.
• Art. 72, apartados 1, 2 y 4: sistema de vigilancia, contenido y reutilización de planes sectoriales.
• Art. 78, apartados 1 a 3: confidencialidad, secretos comerciales y código fuente.
• Art. 99, apartados 4 y 5: lista cerrada de infracciones y cuantías. Art. 113, párrafos segundo y tercero: fechas.
• Anexo V (declaración UE de conformidad); anexo VIII, secciones A, B y C; anexo IX.
• Considerandos 53 y 155: registro de los sistemas del art. 6.3 y finalidad de la vigilancia poscomercialización.

• Punto 8: inserta los apartados 1 bis, 1 ter y 1 quater del art. 6. Punto 30: sustituye el art. 72.3.
• Punto 38: reforma del art. 99. Punto 40: párrafo tercero del art. 113. Punto 42: suprime los puntos 7 y 9 del anexo VIII, sección B.
• Considerando 22: justificación de la simplificación del registro del art. 49.2.

• Art. 12: inventario de IA del sector público estatal, interoperable con el registro del art. 49, con los límites del art. 78.1.
• Art. 16.1, letra a): incumplimiento del art. 49 como infracción grave, con mención expresa del registro de los sistemas del art. 6.3.
• Art. 23: información inexacta o incompleta como infracción leve. Art. 30.1, letra c), y art. 30.8: hasta 7.500.000 € o el 1 %, con la regla de la cuantía menor para pymes.
• Disposición final séptima: base de datos nacional para los sistemas del anexo III.2, conforme al art. 49.5.
• Tramitación: expediente 121/000096, Comisión de Economía, Comercio y Transformación Digital; plazo de enmiendas ampliado hasta el 2-9-2026 (18:00), consultado en congreso.es.