Casi todo el mundo cuenta mal los plazos del artículo 73. La intuición dice que el supuesto más duro —que alguien muera— debe llevar el plazo más corto. El Reglamento dice lo contrario: el fallecimiento tiene diez días y la infracción generalizada, dos. Si su empresa monta el procedimiento interno sobre la intuición, lo monta al revés.
Aquí está la letra del artículo 73 del Reglamento (UE) 2024/1689, lo que el Reglamento (UE) 2026/1744 —el «Ómnibus digital»— cambió a su alrededor sin tocarlo, y ante quién se notifica en España.
Qué es un «incidente grave»
La definición no está en el artículo 73, sino en el artículo 3, punto 49. Es un incidente o defecto de funcionamiento de un sistema de IA que, directa o indirectamente, tenga alguna de estas cuatro consecuencias:
| Letra | Consecuencia |
|---|---|
| a) | El fallecimiento de una persona o un perjuicio grave para su salud |
| b) | Una alteración grave e irreversible de la gestión o el funcionamiento de infraestructuras críticas |
| c) | El incumplimiento de obligaciones del Derecho de la Unión destinadas a proteger los derechos fundamentales |
| d) | Daños graves a la propiedad o al medio ambiente |
Dos detalles se pierden en los resúmenes. «Indirectamente» está en el texto, así que no hace falta que el sistema cause el daño por sí solo. Y la letra c) no exige daño físico ni patrimonial: una discriminación en una criba de currículums, si vulnera derechos fundamentales, es un incidente grave con la misma etiqueta que un accidente.
El Ómnibus no modificó esta definición. Su punto 4 solo tocó el punto 14 del artículo 3 e insertó los puntos 14 bis y 14 ter («pyme» y «pequeña empresa de mediana capitalización»).
Los tres plazos, y cuál va con cuál
| Apartado | Supuesto | Plazo máximo |
|---|---|---|
| 73.2 | Regla general | 15 días desde que se tiene conocimiento |
| 73.3 | Infracción generalizada o incidente del art. 3.49 b) (infraestructuras críticas) | 2 días desde que se tiene conocimiento |
| 73.4 | Fallecimiento de una persona | 10 días desde que se tiene conocimiento |
El plazo general no empieza a contar cuando pasa algo raro. El artículo 73.2 obliga a notificar «inmediatamente después de que el proveedor haya establecido un vínculo causal entre el sistema de IA y el incidente grave o la probabilidad razonable de que exista dicho vínculo», y fija los quince días como tope. La sospecha razonable ya dispara el reloj; no hace falta certeza.
Los quince días tampoco son un plazo plano: el párrafo segundo del 73.2 dice que «tendrá en cuenta la magnitud del incidente grave». Un incidente mayor consume menos margen.
En el caso de fallecimiento, el 73.4 exige notificar «de manera inmediata después de que el proveedor o el responsable del despliegue haya establecido —o tan pronto como sospeche— una relación causal», con diez días como límite exterior. Diez días es el techo, no el objetivo.
Y si falta información, el artículo 73.5 permite presentar una notificación incompleta seguida de una completa cuando sea necesario para notificar a tiempo. Esperar a tenerlo todo claro para enviar un informe redondo es la decisión equivocada.
Quién notifica: el proveedor, y qué pasa con quien lo despliega
El artículo 73.1 dirige la obligación a los proveedores de sistemas de IA de alto riesgo introducidos en el mercado de la Unión, que notifican a las autoridades de vigilancia del mercado de los Estados miembros donde se haya producido el incidente.
El responsable del despliegue —la empresa que usa el sistema— aparece en los apartados 2, 3 y 4 como referencia para contar el plazo, y su deber propio está en el artículo 26.5: cuando detecte un incidente grave informará inmediatamente «en primer lugar, al proveedor y, a continuación, al importador o distribuidor y a la autoridad de vigilancia del mercado pertinente». Y añade la cláusula que conviene tener presente: si no consigue contactar con el proveedor, «el artículo 73 se aplicará *mutatis mutandis*». La obligación cae entonces sobre él.
Hay una tercera vía por la que una pyme acaba siendo proveedor sin haber desarrollado nada. El artículo 25.1 convierte en proveedor a quien ponga su nombre o marca en un sistema de alto riesgo ya comercializado, lo modifique sustancialmente, o cambie su finalidad prevista de forma que el sistema pase a ser de alto riesgo.
Ante quién se notifica en España
El Reglamento remite a «las autoridades de vigilancia del mercado» de cada Estado miembro. Quién es esa autoridad en España lo decide el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096, BOCG Serie A núm. 97-1, de 12 de junio de 2026). Está en tramitación: no es ley y su articulado puede cambiar. Tal como está redactado su artículo 5, no hay ventanilla única, sino un reparto:
| Autoridad | Ámbito (art. 5 del proyecto) |
|---|---|
| AESIA | Biometría fuera de fronteras y justicia, infraestructuras críticas, educación, empleo, servicios esenciales (salvo solvencia y seguros), equipos radioeléctricos, transparencia del art. 50 y lo no atribuido |
| AEPD y autoridades autonómicas de protección de datos | Biometría del anexo III.1 a) y b); migración, asilo y control fronterizo |
| Consejo General del Poder Judicial | Administración de justicia y garantía del cumplimiento del Derecho |
| Banco de España | Solvencia y calificación crediticia en entidades bajo su supervisión |
| CNMV | Solvencia y calificación crediticia en el ámbito de la Ley 6/2023 |
| Dirección General de Seguros y Fondos de Pensiones | Riesgos y precios en seguros de vida y salud |
| Autoridades sectoriales del anexo I, sección A | IA asociada a productos ya regulados |
El apartado 9 fija la regla de cierre: para los supuestos no previstos, la AESIA es la autoridad competente por defecto hasta que el Consejo de Ministros designe otra. Y el artículo 6 la designa punto de contacto único.
Hay una excepción que llegó con el Ómnibus y que no está en el artículo 73. Su punto 31 inserta un artículo 75.1 bis: los proveedores de sistemas de alto riesgo bajo competencia exclusiva de la Oficina de IA notifican a la Oficina de IA, no a la autoridad nacional, y se les aplican por analogía los apartados 2 a 9 del artículo 73. Afecta sobre todo a sistemas construidos sobre modelos de uso general del mismo proveedor y a los integrados en plataformas o buscadores de muy gran tamaño.
Desde cuándo aplica
El artículo 73 está en el capítulo IX del Reglamento, no en el III. Importa, porque el Ómnibus retrasó el capítulo III y dejó intacta la fecha general.
Su punto 40 modifica el párrafo tercero del artículo 113: sustituye las letras a) y c) y añade una letra d). La fecha general —2 de agosto de 2026— vive en el párrafo segundo y no se tocó. El artículo 73 es aplicable desde el 2 de agosto de 2026.
Lo que sí se movió: la nueva letra c) aplaza el capítulo III, secciones 1, 2 y 3 —clasificación de alto riesgo, requisitos y obligaciones de proveedores y desplegadores, artículos 16 y 26 incluidos— al 2 de diciembre de 2027 para los sistemas del anexo III y al 2 de agosto de 2028 para los del anexo I. El deber de notificar existe desde agosto de 2026; el régimen que define y obliga a esos sistemas llega después.
El Ómnibus tampoco modificó el texto del artículo 73: su lista de reformas al Reglamento (puntos 1 a 43) no lo incluye, ni incluye el artículo 26.
Qué hacer el día 1 en una pyme
El artículo 73 no describe un procedimiento interno. Estas son las decisiones que conviene dejar por escrito antes de que ocurra algo, no después.
| Pieza | Contenido mínimo | Base |
|---|---|---|
| Quién detecta | Persona con competencia, formación y autoridad para la supervisión humana, y un canal por el que le lleguen las quejas | Art. 26.2 |
| Quién decide | Una sola persona con autoridad para declarar «esto es un incidente grave» y arrancar el reloj sin esperar a un comité | Art. 73.2 |
| Qué se envía | Notificación aunque esté incompleta, seguida de la completa | Art. 73.5 |
| Qué se conserva | Los archivos de registro automáticos, al menos seis meses | Art. 26.6 |
| Qué no se toca | El sistema afectado, si la modificación puede repercutir en el análisis de causas, sin informar antes | Art. 73.6 |
| Qué viene después | Investigación sin demora, evaluación de riesgos y medidas correctoras | Art. 73.6 |
Un apunte de calendario: el punto 30 del Ómnibus reescribió el artículo 72.3, y el acto de ejecución con modelo de plan de vigilancia poscomercialización previsto para el 2 de febrero de 2026 pasó a ser orientaciones con modelo, a más tardar el 2 de septiembre de 2027. Quien espere la plantilla oficial para empezar, tiene por delante más de un año.
Lo que cuesta no notificar
Conviene precisar el fundamento, porque suele citarse mal. El artículo 99.4 del Reglamento enumera los incumplimientos con multa de hasta 15.000.000 EUR o el 3 % del volumen de negocios mundial, y el artículo 73 no figura en esa lista: figuran los artículos 16, 22, 23, 24, 26, 31, 33, 34 y 50.
Quien tipifica la falta de notificación es el proyecto de ley español. Su artículo 15 la califica de infracción muy grave: «la ausencia de notificación por un proveedor de sistemas de IA de alto riesgo, o del responsable del despliegue en su defecto, de cualquier incidente grave». Por la vía de los artículos 13.2 y 30.1 b), el techo son 15.000.000 euros o el 3 % del volumen de negocios mundial, la cuantía que sea superior.
Para una pyme, el artículo 30.8 del proyecto —que remite al 99.6 del Reglamento— permite fijar la multa en el porcentaje o en el importe según cuál de los dos sea menor. Es una facultad, no un automatismo. Y mientras el proyecto siga en tramitación, todo esto es una previsión, no Derecho vigente.
Preguntas frecuentes sobre la notificación de incidentes graves
¿Cuánto tiempo tengo para notificar un incidente grave de IA?
El artículo 73 del Reglamento (UE) 2024/1689 fija tres plazos distintos. El general es de quince días desde que se tiene conocimiento del incidente (artículo 73.2). Baja a dos días en caso de infracción generalizada o de un incidente de los definidos en el artículo 3, punto 49, letra b) —los que afectan a infraestructuras críticas— (artículo 73.3). Y es de diez días si ha fallecido una persona (artículo 73.4).
¿El fallecimiento de una persona tiene el plazo más corto?
No. Es el error más frecuente al montar el procedimiento interno. El fallecimiento tiene diez días (artículo 73.4); el plazo más corto, dos días, corresponde a la infracción generalizada y a los incidentes en infraestructuras críticas (artículo 73.3). Quien ordene sus protocolos por gravedad intuitiva los ordenará al revés.
¿Desde cuándo hay que notificar incidentes graves?
Desde el 2 de agosto de 2026. El artículo 73 está en el capítulo IX del Reglamento, y el aplazamiento que introdujo el Reglamento (UE) 2026/1744 afecta al capítulo III, secciones 1 a 3 —que pasa al 2 de diciembre de 2027 para los sistemas del anexo III—. No es lo mismo.
¿A quién se notifica el incidente?
A la autoridad de vigilancia del mercado del Estado miembro donde se produjo. Con una excepción que llegó con el Ómnibus digital: su punto 31 insertó el apartado 1 bis del artículo 75, por el que los proveedores sujetos a la competencia exclusiva de la Oficina de IA notifican a la Oficina de IA, y se les aplican por analogía los apartados 2 a 9 del artículo 73.
Fuentes
Reglamento (UE) 2024/1689 (AI Act), DOUE de 12-7-2024
- Art. 3, puntos 49 y 61: «incidente grave» e «infracción generalizada».
- Art. 73, apartados 1 a 6: obligación de notificar, plazos de 15, 2 y 10 días, notificación incompleta e investigación posterior.
- Art. 26, apartados 2, 5 y 6: supervisión humana, deberes del desplegador, *mutatis mutandis* del art. 73, registros seis meses.
- Art. 25.1 a), b) y c): cuándo un desplegador pasa a ser proveedor. Art. 16: obligaciones del proveedor.
- Art. 72, apartados 1 a 3: vigilancia poscomercialización.
- Art. 99, apartados 4 y 6: multas y cuantía menor para pymes.
- Art. 113, párrafos segundo y tercero: fechas de aplicación.
Reglamento (UE) 2026/1744 («Ómnibus digital»), DOUE Serie L de 24-7-2026
- Punto 31: inserta el art. 75.1 bis (Oficina de IA). Punto 40: fechas del capítulo III y letra d) del art. 113.
- Punto 30: sustituye el art. 72.3. Punto 4: inserta los puntos 14 bis y 14 ter del art. 3.
- Art. 5, apartados 2 a 9, y art. 6: autoridades de vigilancia, AESIA por defecto, punto de contacto único.
- Arts. 13.2, 15, 30.1 b) y 30.8: infracción muy grave y cuantías.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.