EU AI Act: La Comisión Europea Emite Directrices Borrador sobre Reportes de Incidentes
El 26 de septiembre de 2025, la Comisión Europea (CE) publicó un borrador de directrices sobre los requisitos de reportes de incidentes graves para sistemas de IA de alto riesgo bajo el EU AI Act. Para las organizaciones que desarrollan o implementan sistemas de IA que pueden estar dentro del ámbito de la Ley, comprender estas nuevas obligaciones de reporte es esencial para la planificación de cumplimiento.
Puntos Clave
- La Comisión publicó un borrador de plantilla de reporte de incidentes y un documento de directrices el 26 de septiembre de 2025.
- Los proveedores de sistemas de IA de alto riesgo deberán reportar incidentes graves a las autoridades nacionales.
- Los plazos de reporte varían de dos (2) a quince (15) días dependiendo de la gravedad y tipo de incidente.
- La consulta pública está abierta hasta el 7 de noviembre de 2025.
Entendiendo el Marco de Reporte de Incidentes
El Artículo 73 del EU AI Act establece un sistema de reporte escalonado para incidentes graves que involucran sistemas de IA de alto riesgo. Aunque estos requisitos no entrarán en vigor hasta agosto de 2026, las directrices recién publicadas ofrecen valiosos conocimientos sobre las expectativas de la Comisión.
El marco de reporte sirve múltiples propósitos: crear un sistema de alerta temprana para patrones dañinos, establecer una clara responsabilidad para proveedores y usuarios, permitir medidas correctivas oportunas y fomentar la transparencia para construir la confianza pública en las tecnologías de IA.
¿Qué Califica como un «Incidente Grave»?
Según el Artículo 3(49) de la Ley, un incidente grave ocurre cuando un incidente o mal funcionamiento de un sistema de IA conduce, directa o indirectamente, a:
- Muerte de una persona, o daño serio a la salud de una persona;
- Disrupción seria e irreversible de infraestructura crítica;
- Infracción de obligaciones de derechos fundamentales bajo la ley de la UE;
- Dañar seriamente propiedades o el medio ambiente.
Es importante destacar que el borrador de directrices enfatiza la causalidad directa e indirecta. Un sistema de IA que proporciona un análisis médico incorrecto que conduce a daños al paciente a través de decisiones posteriores del médico calificaría como un incidente grave indirecto. Esto significa que las organizaciones deben tener en cuenta los efectos posteriores en sus marcos de gestión de riesgos.
Intersección con Regímenes de Reporte Existentes
Para los clientes que manejan múltiples marcos de cumplimiento, las directrices proporcionan una aclaración bienvenida sobre las obligaciones de reporte superpuestas. Los sistemas de IA de alto riesgo que ya están sujetos a obligaciones de reporte equivalentes bajo otras leyes de la UE (como NIS2, DORA o CER) generalmente solo necesitan reportar violaciones de derechos fundamentales bajo la Ley de IA.
Esto refleja el intento de la Comisión de minimizar las cargas de reporte duplicadas, aunque la implementación práctica aún requiere una cuidadosa coordinación interfuncional entre la gobernanza de IA, el departamento legal y los equipos de cumplimiento.
Implicaciones Prácticas para las Organizaciones
Las organizaciones deben comenzar a mapear sus sistemas de IA en relación con los criterios de alto riesgo y preparar procesos internos para la detección, investigación y reportes de incidentes. Las consideraciones clave incluyen:
- Establecer protocolos claros de respuesta a incidentes;
- Implementar sistemas de monitoreo para detectar incidentes graves potenciales;
- Desarrollar procedimientos de investigación que preserven evidencias;
- Crear equipos interfuncionales para gestionar las obligaciones de reporte;
- Actualizar las evaluaciones de riesgo para tener en cuenta escenarios de incidentes graves.
Próximos Pasos
Se alienta a los clientes a participar en la consulta pública, que permanecerá abierta hasta el 7 de noviembre de 2025. La Comisión busca especialmente comentarios y ejemplos sobre la interacción con otros regímenes de reporte.
Las organizaciones también deberían comenzar a revisar sus marcos de gobernanza de IA para asegurarse de que pueden implementar efectivamente estos requisitos de reporte cuando se vuelvan aplicables en agosto de 2026.
