El artículo 55 del Reglamento (UE) 2024/1689 obliga a los proveedores de modelos de inteligencia artificial de propósito general (GPAI) con riesgo sistémico a hacer seguimiento de los incidentes graves, documentarlos y comunicar la información pertinente y las posibles medidas correctivas a la Oficina de IA y, cuando proceda, a las autoridades nacionales competentes, sin demora indebida. El Reglamento no fija para esta obligación un plazo general en días.
El calendario depende de la vía aplicable: el Código de Buenas Prácticas concreta los compromisos de quienes lo siguen, mientras que el artículo 73 regula los incidentes graves relacionados con sistemas de IA de alto riesgo. Esta explicación es información general, no asesoramiento jurídico para un caso concreto.
Qué exige el artículo 55
El deber corresponde a los proveedores de modelos GPAI con riesgo sistémico. Deben informar sobre los incidentes graves y las posibles medidas correctivas a la Oficina de IA y, cuando corresponda, a las autoridades nacionales competentes. El Reglamento (UE) 2024/1689 en EUR-Lex no establece un número único de días: exige actuar sin demora indebida.
La Comisión Europea interpreta en sus directrices sobre modelos GPAI que los incidentes graves incluyen brechas de ciberseguridad relacionadas con el modelo o con su infraestructura física, como la extracción de pesos del modelo y los ciberataques. Las directrices no son jurídicamente vinculantes, aunque reflejan la interpretación de la Comisión y guían la aplicación de las obligaciones.
Qué plazos establece el Código
El Código de Buenas Prácticas ofrece a sus firmantes compromisos más detallados para demostrar el cumplimiento. La Comisión también permite que los proveedores utilicen medios alternativos adecuados. Por tanto, los plazos del Código no son un calendario legal automático para todos los proveedores sujetos al artículo 55.
Para sus compromisos sobre brechas graves de ciberseguridad, el Código prevé un informe inicial en un máximo de cinco días desde que el proveedor conoce la participación del modelo. Si el incidente sigue sin resolverse, exige actualizaciones al menos cada cuatro semanas y un informe final como máximo 60 días después de su resolución. También fija cinco años de conservación de la documentación, contados desde la fecha más tardía entre la documentación y el incidente.
En qué se diferencia el artículo 73
El artículo 73 se aplica a proveedores de sistemas de IA de alto riesgo y dirige la notificación a la autoridad de vigilancia del mercado del Estado miembro donde ocurrió el incidente. El artículo 55, en cambio, se refiere a proveedores de modelos GPAI con riesgo sistémico y nombra a la Oficina de IA como destinataria. El texto del artículo 73 fija plazos distintos según las circunstancias:
| Marco | Quién y qué cubre | Destinatario | Plazo | Naturaleza |
| Artículo 55 | Proveedores de modelos GPAI con riesgo sistémico; información sobre incidentes graves y posibles medidas correctivas | Oficina de IA y, cuando proceda, autoridades nacionales competentes | Sin demora indebida; no establece un plazo general en días | Obligación del Reglamento |
| Código, medidas 9.3 y 9.4 | Firmantes que aplican sus compromisos de notificación; brechas graves de ciberseguridad | Oficina de IA y, cuando corresponda, autoridades nacionales competentes | Informe inicial en un máximo de cinco días desde que se conoce la participación del modelo; actualizaciones al menos cada cuatro semanas mientras siga sin resolverse; informe final en un máximo de 60 días tras la resolución; conservación durante cinco años | Vía voluntaria para demostrar cumplimiento; admite medios alternativos adecuados |
| Artículo 73 | Proveedores de sistemas de IA de alto riesgo; incidentes graves | Autoridad de vigilancia del mercado del Estado miembro donde ocurrió el incidente | Inmediatamente al establecerse el vínculo causal o su probabilidad razonable, y como máximo en 15 días desde que se conoce el incidente; dos días para una infracción generalizada o una interrupción grave de infraestructura crítica; 10 días si fallece una persona, con notificación inmediata al establecerse o sospecharse el vínculo causal | Obligación del Reglamento |
Además de notificar, el proveedor sujeto al artículo 73 debe investigar el incidente sin demora, evaluar sus riesgos, adoptar medidas correctivas y cooperar con las autoridades. La autoridad de vigilancia del mercado debe tomar las medidas apropiadas en los siete días siguientes a la notificación.
Qué ocurre si el modelo actúa como atacante
La interpretación de la Comisión abarca brechas graves de ciberseguridad relacionadas con un modelo, pero la aplicación del artículo 55 a un modelo que inicia un ciberataque sigue siendo una cuestión jurídica discutida. Hannes Bastians y Maarten Herbosch sostienen que esa lectura puede incluir incidentes en los que el modelo actúa como atacante. La Comisión señala que solo el Tribunal de Justicia de la Unión Europea puede interpretar el Reglamento de forma autoritativa; no hay una resolución judicial que cierre esta cuestión.
Qué obligaciones pueden aplicarse durante el desarrollo
Las preguntas y respuestas de la Oficina de IA, que indican que no constituyen una posición oficial de la Comisión, explican que el Reglamento de IA, como regla general, no se aplica a las actividades de investigación, prueba o desarrollo anteriores a la comercialización o puesta en servicio. También señalan que algunas obligaciones de los proveedores de modelos GPAI con riesgo sistémico abarcan la fase de desarrollo de modelos destinados al mercado, incluida la evaluación y mitigación de riesgos prevista en el artículo 55(1)(b).
