Supervisión humana: el artículo 14 del Reglamento de IA

Lo esencial

• La supervisión humana es una obligación vinculante del Reglamento de Inteligencia Artificial, recogida en el artículo 14 para el proveedor y en el artículo 26 para el responsable del despliegue. No es una aspiración ética.
• El artículo 14, apartado 4 enumera cinco capacidades concretas que debe reunir la persona designada, entre ellas la de desestimar o revertir una salida y la de detener el sistema en condiciones seguras.
• El responsable del despliegue soporta la mitad de la obligación sobre la que casi nadie escribe: encomendar la supervisión humana a personas con competencia, formación, autoridad y el apoyo necesario, conservar los registros durante al menos seis meses e informar a los representantes de los trabajadores antes de desplegar el sistema en el centro de trabajo.
• El ómnibus digital trasladó la conformidad de los sistemas de alto riesgo del anexo III de agosto de 2026 al 2 de diciembre de 2027. Es una ventana de diseño, no una prórroga de cortesía.
• Una supervisión que existe sobre el papel y falla en la práctica constituye el caso ordinario, no la excepción. El sesgo de automatización y la pérdida de competencia lo explican, y las contramedidas se pueden medir.

La supervisión humana es una obligación jurídica, no una filosofía de diseño

La mayor parte de lo que se publica sobre esta materia se limita a sostener que la supervisión humana es importante. Rara vez indica quién debe hacer qué. La laguna no es menor, porque en la Unión Europea la supervisión humana dejó de ser un principio en 2024 y pasó a ser una obligación con titular identificado. El artículo 14, apartado 1 del Reglamento exige que los sistemas de IA de alto riesgo se diseñen y desarrollen con herramientas de interfaz humano-máquina adecuadas, de modo que puedan ser vigilados de manera efectiva por personas físicas durante todo el período de su utilización. La obligación se adhiere al diseño del sistema, no a un procedimiento interno que describa el sistema. El artículo 14, apartado 2 enuncia su finalidad: prevenir o reducir al mínimo los riesgos para la salud, la seguridad o los derechos fundamentales que puedan surgir cuando un sistema de alto riesgo se utilice conforme a su finalidad prevista o en condiciones de uso indebido razonablemente previsible, en particular cuando dichos riesgos persistan pese al resto de requisitos de la sección 2. El artículo 14, apartado 3 fija la calibración y reparte el trabajo. Las medidas de supervisión deben guardar proporción con los riesgos, el nivel de autonomía y el contexto de uso del sistema, y se articulan por dos vías: las medidas que el proveedor determina e integra en el sistema antes de su introducción en el mercado, y las medidas que el proveedor determina para que las aplique el responsable del despliegue. Un proveedor no se libera escribiendo en las instrucciones de uso que el cliente ya vigilará, y un responsable del despliegue no se libera presumiendo que el fabricante se ocupó de ello. Conviene, por último, una precisión terminológica que ahorra bastante confusión. La supervisión humana es una noción jurídica. No coincide con el vocabulario de human-in-the-loop y human-on-the-loop procedente de la explotación de modelos, aunque ambos ámbitos se solapen en parte. La taxonomía describe dónde se sitúa una persona en un flujo de decisión. El Reglamento describe qué debe poder hacer esa persona y qué debe poder acreditar la organización. La taxonomía la tratamos por separado en nuestra comparación entre human-in-the-loop y human-on-the-loop.

Qué exige realmente el artículo 14, apartado 4: cinco capacidades

El texto operativo se articula en cinco puntos. El sistema debe entregarse al responsable del despliegue de manera que las personas físicas encargadas de la supervisión puedan, en la medida adecuada y proporcionada, realizar cinco cosas. Entender el sistema y vigilarlo. Quien supervisa debe comprender adecuadamente las capacidades y limitaciones del sistema de alto riesgo y poder vigilar debidamente su funcionamiento, incluida la detección y el tratamiento de anomalías, disfunciones y rendimientos inesperados. Es a la vez un requisito de formación y un requisito de instrumentación. Nadie identifica una salida anómala sin saber cómo es una salida normal. Mantenerse consciente del sesgo de automatización. Quien supervisa debe permanecer atento a la posible tendencia a confiar automáticamente, o en exceso, en los resultados que produce el sistema, en particular cuando este aporta información o recomendaciones para una decisión que adopta una persona. El Reglamento nombra ese modo de fallo de forma expresa, de manera que un dispositivo de supervisión que lo ignora ya resulta deficiente conforme al propio texto. Interpretar correctamente la salida. Quien supervisa debe poder interpretar correctamente los resultados del sistema, atendiendo a sus características y a las herramientas y métodos de interpretación disponibles. Cuando la salida es una puntuación, una clasificación o una probabilidad, la interfaz tiene que hacer legible su significado. Es el momento en que la explicabilidad deja de ser una virtud y se convierte en una dependencia. Decidir no utilizarlo, o revertirlo. Quien supervisa debe poder decidir, en una situación concreta, no utilizar el sistema de alto riesgo, o bien desestimar, invalidar o revertir su salida. El verbo revertir tiene peso propio, porque presupone que la decisión sea reversible aguas abajo y no solo rechazable en el instante en que se produce. Intervenir o detener. Quien supervisa debe poder intervenir en el funcionamiento del sistema o interrumpirlo mediante un botón de parada o un procedimiento similar que permita detener el sistema en un estado seguro. Tomadas en conjunto, estas cinco exigencias son funcionalidades de producto. Cada una debe existir en la interfaz, en el procedimiento de explotación y en el modelo de autorizaciones. Una política de gobernanza que afirme que una persona revisa todas las decisiones de alto riesgo no satisface ninguna de ellas por sí sola.

La mitad del responsable del despliegue de la que nadie escribe

Quien busca información sobre esta materia encuentra mucho sobre lo que el proveedor debe construir y casi nada sobre lo que el responsable del despliegue debe dotar. El artículo 26 alberga esa segunda mitad y, para la mayoría de las organizaciones, es la que resulta aplicable, puesto que la mayoría compra sus sistemas de IA en lugar de desarrollarlos. El reparto de papeles conviene leerlo primero en nuestra guía de los operadores del Reglamento de IA. El artículo 26, apartado 2 contiene la frase que conviene retener: los responsables del despliegue encomendarán la supervisión humana a personas físicas que tengan la competencia, la formación y la autoridad necesarias, así como el apoyo necesario. Cuatro palabras, cuatro obligaciones de prueba distintas. La competencia significa que la persona sabe leer efectivamente la salida del sistema. La formación presupone una traza documental de cómo adquirió esa aptitud. La autoridad implica que su decisión de invalidar no dependa de una escalada que la vuelva impracticable. El apoyo comprende tiempo, herramientas y plantilla, y es el elemento que la práctica traiciona con más frecuencia, cuando la supervisión se asigna a quien ya desempeña un puesto a jornada completa. Los apartados contiguos completan el cuadro. El artículo 26, apartado 1 impone medidas técnicas y organizativas adecuadas para garantizar un uso conforme a las instrucciones. El artículo 26, apartado 5 obliga al responsable del despliegue a vigilar el funcionamiento y, cuando tenga motivos para considerar que el uso puede presentar un riesgo, a informar sin dilación indebida al proveedor y a la autoridad de vigilancia del mercado, así como a notificar de inmediato los incidentes graves. Ese circuito de notificación tiene su propia mecánica, que detallamos en nuestra guía sobre la notificación de incidentes de IA. El artículo 26, apartado 6 obliga a conservar los registros generados automáticamente durante un período adecuado a la finalidad prevista y, en todo caso, de al menos seis meses, salvo que el Derecho de la Unión o nacional disponga otra cosa. El artículo 26, apartado 7 obliga al empleador que despliegue un sistema de alto riesgo en el centro de trabajo a informar a los representantes de los trabajadores y a los trabajadores afectados antes de su puesta en servicio. En España este esquema desemboca en un interlocutor concreto. La Agencia Española de Supervisión de la Inteligencia Artificial, creada por el Real Decreto 729/2023 y con sede en A Coruña, opera desde 2024 como autoridad de referencia en vigilancia del mercado y punto de contacto único ante la Comisión. Fue además la primera agencia de la Unión dedicada específicamente a la supervisión de la IA. En la práctica, es quien pedirá cuentas de las medidas de supervisión implantadas. Existe, por último, una regla numérica que los comentarios citan pocas veces. Con arreglo al artículo 14, apartado 5, en los sistemas de identificación biométrica remota del anexo III, punto 1, letra a), el responsable del despliegue no podrá adoptar ninguna medida ni decisión sobre la base de la identificación obtenida salvo que esta haya sido verificada y confirmada por separado por al menos dos personas físicas con la competencia, la formación y la autoridad necesarias. La exigencia decae cuando el Derecho de la Unión o el nacional la consideren desproporcionada para fines policiales, migratorios, de control fronterizo o de asilo.

Cuándo resulta exigible la supervisión humana: el reinicio del ómnibus

Una parte considerable de los contenidos que hoy se posicionan sobre esta materia afirma o da a entender que las obligaciones sobre sistemas de alto riesgo se aplican desde agosto de 2026. La afirmación ya es incorrecta, y la fecha separa un plan de cumplimiento creíble de una reacción precipitada. El Reglamento (UE) 2026/1744, conocido como ómnibus digital sobre IA, entró en vigor el 27 de julio de 2026 y modificó el calendario de aplicación del Reglamento de IA. Los sistemas autónomos de alto riesgo del anexo III, que abarcan entre otros la selección de personal, la evaluación de solvencia crediticia, la educación, la actuación policial y el control fronterizo, deben cumplir ahora a más tardar el 2 de diciembre de 2027. La IA incorporada a productos regulados por el anexo I, como productos sanitarios, máquinas y vehículos, se traslada al 2 de agosto de 2028. Dos detalles importan para la planificación. En primer lugar, se trata de fechas de calendario firmes. Según el análisis de Gibson Dunn, el acuerdo sustituyó el mecanismo de activación condicionada que la Comisión había propuesto en un primer momento, y que habría vinculado la aplicación a la disponibilidad de las normas armonizadas, por fechas que no se mueven. En segundo lugar, el aplazamiento es estrecho. El artículo 50 sobre transparencia no se modificó: el 2 de agosto de 2026 sigue siendo una fecha de cumplimiento activa, con un período de gracia hasta el 2 de diciembre de 2026 únicamente para la obligación de marcado del artículo 50, apartado 2 en sistemas ya presentes en el mercado. El motivo invocado para el aplazamiento es que las normas armonizadas y la capacidad de los organismos notificados no estaban listas. Ese motivo merece lectura atenta, porque indica para qué sirve el tiempo ganado. Las normas que definirán qué es una supervisión humana adecuada siguen en elaboración. La organización que lea diciembre de 2027 como un permiso para esperar acabará especificando sus interfaces de supervisión a mediados de 2027, frente a normas publicadas poco antes. La que lo lea como una ventana de diseño habrá entregado y probado ya esas interfaces, y dispondrá del historial de explotación correspondiente.

La paradoja de la supervisión: por qué falla incluso un dispositivo conforme

Supongamos que la interfaz está construida y la persona designada. La supervisión todavía puede fallar, y su modo de fallo resulta lo bastante previsible como para diseñarlo por anticipado. El Foro Económico Mundial habla de paradoja de la supervisión: los marcos de gobernanza como el Reglamento de IA descansan en la premisa de que la persona conserva el control, pero la competencia que se necesita para vigilar un sistema se mantiene con la práctica, y esa práctica es justamente lo que ahora ejecuta el sistema. La destreza de quien supervisa se erosiona porque la actividad que la construía ha sido automatizada. Tres fuerzas producen el daño. El sesgo de automatización lleva a los revisores a aceptar una salida plausible sin verificación independiente, que es precisamente el fallo que nombra el artículo 14, apartado 4, letra b). La fatiga de aprobación se instala cuando el volumen de confirmaciones rutinarias hace imposible examinar cada una, y la firma se vuelve un reflejo. La pérdida de competencia llega a lo largo de unos meses, hasta que la persona nominalmente responsable ya no reconoce una respuesta equivocada. Ninguna política interna más estricta resuelve esto. La solución consiste en tratar la supervisión como un proceso medido, con indicadores propios. Cinco controles merecen construirse:

• Medir la tasa de invalidación y considerar un valor próximo a cero como una alarma. Un revisor que nunca contradice al sistema no lo está supervisando. Fije un umbral mínimo que dispare una revisión del propio dispositivo.
• Muestrear y volver a decidir a ciegas. Extraiga un porcentaje de las decisiones aprobadas, retire la recomendación del sistema y haga que una segunda persona cualificada decida de forma independiente. La tasa de divergencia mide si la supervisión es real.
• Presupuestar el tiempo. La capacidad de supervisión debe asignarse como carga de trabajo explícita y no como una línea en una descripción de puesto. Ese es el contenido concreto del apoyo necesario que exige el artículo 26, apartado 2.
• Inyectar casos deliberadamente defectuosos. Envíe periódicamente a los revisores salidas anómalas sintéticas y mida la tasa de detección. Es la única prueba directa de que la competencia se ha erosionado.
• Renovar la competencia con calendario y rotar a las personas. Vincule los certificados de formación a la versión del sistema, de modo que un cambio sustancial del modelo reinicie el reloj formativo.

Cada uno de estos controles genera una traza, lo cual resulta oportuno, porque la sección siguiente trata precisamente de trazas.

Hacer auditable la supervisión humana

Una obligación que no se sabe acreditar es una obligación incumplida. Las orientaciones del Supervisor Europeo de Protección de Datos de noviembre de 2025 sobre gestión de riesgos de los sistemas de IA formulan estructuralmente la misma observación, al tratar la interpretabilidad y la explicabilidad como requisitos previos y no como funcionalidades: un control que no se sabe explicar es un control que no se sabe demostrar. Una autoridad de vigilancia del mercado, un organismo notificado o la auditoría interna buscarán cuatro elementos. El primero es la descripción de las medidas de supervisión en la documentación técnica. El anexo IV exige que el expediente describa las medidas de supervisión humana, incluidas las herramientas de interfaz humano-máquina, y explique cómo deben interpretar los resultados los responsables del despliegue. Se inserta en la obligación documental más amplia, que desglosamos en nuestro artículo sobre los requisitos de documentación de los sistemas de IA. El segundo son los registros. El artículo 12 exige que los sistemas de alto riesgo permitan el registro automático de acontecimientos a lo largo de su ciclo de vida, y el artículo 26, apartado 6 sitúa al responsable del despliegue bajo un reloj de conservación de al menos seis meses. El registro convierte una afirmación sobre la supervisión en una cronología reconstruible. El tercero es el registro de funciones: quién vigila qué sistema, qué competencia y qué formación posee, qué autoridad ejerce y en qué fecha se actualizó por última vez. El cuarto es el registro de intervenciones: invalidaciones, reversiones, escalados y paradas, con la motivación adjunta. El cuaderno sobre rendición de cuentas del Alan Turing Institute ofrece aquí un marco útil, al distinguir la answerability, capacidad de explicar una decisión, de la auditability, capacidad de acreditar el proceso que la produjo. La misma distinción la retomamos en nuestro artículo sobre la rendición de cuentas de la IA. Conviene saber, por último, que la normalización está en marcha. El proyecto prEN 18229-1, elaborado por CEN-CENELEC JTC 21 al amparo de la petición de normalización M/613, cubre el registro, la transparencia y la supervisión humana para los artículos 12, 13 y 14. Se trata de un proyecto bajo licencia, que por tanto no puede citarse, pero su existencia señala dónde quedará el listón.

Alinear la supervisión humana con ISO 42001 y el NIST AI RMF

Pocas organizaciones se enfrentan a un solo marco de referencia. El movimiento eficiente consiste en producir un único conjunto de pruebas de supervisión que satisfaga a varios. La norma ISO/IEC 42001 recoge 38 controles distribuidos en nueve áreas en su anexo A, que abarcan evaluación de impacto, gestión de datos, transparencia, explicabilidad, supervisión humana y gestión del ciclo de vida. El área dedicada al uso responsable de los sistemas acoge los dispositivos de supervisión en explotación, y sus expectativas documentales coinciden estrechamente con los registros descritos arriba. El NIST AI RMF resulta aún más explícito. Su subcategoría GOVERN 3.2 establece que existan políticas y procedimientos para definir y diferenciar funciones y responsabilidades relativas a las configuraciones humano-IA y a la supervisión de los sistemas de IA. Es el mismo conjunto probatorio: una función nombrada, un perímetro de autoridad definido, un procedimiento documentado. La consecuencia práctica es que los artefactos son compartibles aunque los marcos no lo sean. Un registro de funciones, un expediente formativo, un registro de invalidaciones y una vía de escalado documentada satisfacen a la vez la obligación de dotación del artículo 26, apartado 2, el control de uso responsable de ISO 42001 y GOVERN 3.2. El solapamiento más amplio lo cartografiamos en nuestra guía sobre la pila normativa ISO 42001 y Reglamento de IA.

La supervisión humana aplicada a la IA agéntica

Los sistemas agénticos quiebran los supuestos del artículo 14 de una manera precisa. Cuando un sistema planifica, invoca herramientas y ejecuta acciones en varios pasos, el objeto de la supervisión ya no es una salida aislada sino una secuencia de efectos externos. Un análisis de arquitectura de cumplimiento publicado en 2026 sobre agentes de IA en el Derecho de la Unión identifica la elusión de la supervisión derivada del aprendizaje por refuerzo como reto propio de los agentes, junto a la minimización de privilegios, la transparencia multiparte y la deriva de comportamiento en tiempo de ejecución, valorada frente al umbral de modificación sustancial del artículo 3, punto 23. Su conclusión es tajante: los sistemas agénticos de alto riesgo cuya deriva de comportamiento no sea trazable no pueden, hoy por hoy, satisfacer los requisitos esenciales del Reglamento. De ello se siguen dos consecuencias de diseño. La capacidad de parada de la letra e) debe alcanzar las acciones del agente y no solo su texto, lo que presupone una vía de corte hacia las herramientas e integraciones que el agente puede invocar. Y la capacidad de vigilancia de la letra a) debe extenderse al registro de acciones, porque la superficie de daño de un agente reside en lo que hizo y no en lo que dijo. El problema de gobernanza más amplio lo examinamos en nuestro artículo sobre los agentes de IA autónomos.

Preguntas frecuentes

¿Exige la ley la supervisión humana? Sí, para los sistemas de IA de alto riesgo en la Unión Europea. El artículo 14 del Reglamento obliga al proveedor a diseñar sistemas que puedan ser vigilados de manera efectiva por personas físicas, y el artículo 26, apartado 2 obliga al responsable del despliegue a encomendar esa supervisión a personas con la competencia, la formación, la autoridad y el apoyo necesarios. Fuera de la categoría de alto riesgo el requisito no se formula como obligación autónoma, si bien el artículo 50 sobre transparencia y los regímenes sectoriales pueden resultar aplicables. ¿Qué diferencia hay entre supervisión humana y human-in-the-loop? Human-in-the-loop describe una arquitectura: una persona se sitúa en el flujo de decisión e interviene antes de que el resultado sea definitivo. La supervisión humana es una obligación jurídica que versa sobre capacidades y responsabilidad, no sobre una topología. Una arquitectura puede ser human-in-the-loop e incumplir igualmente el artículo 14 si la persona carece de autoridad para invalidar o de formación para interpretar correctamente la salida. ¿Quién responde de la supervisión, el proveedor o el responsable del despliegue? Ambos, en mitades distintas. El proveedor construye las capacidades de interfaz y determina las medidas que deberá aplicar el responsable del despliegue, conforme al artículo 14, apartado 3. El responsable del despliegue dota, financia y documenta la supervisión propiamente dicha, conforme al artículo 26. Ninguna de las dos partes se libera señalando a la otra. ¿Desde cuándo se aplican las obligaciones de supervisión del Reglamento de IA? Para los sistemas autónomos de alto riesgo del anexo III, desde el 2 de diciembre de 2027, tras el traslado de la fecha de agosto de 2026 operado por el Reglamento (UE) 2026/1744. Para la IA incorporada a productos regulados del anexo I, desde el 2 de agosto de 2028. Las obligaciones de transparencia del artículo 50 no se aplazaron y rigen desde el 2 de agosto de 2026. ¿Qué sirve como prueba de supervisión humana en una auditoría? Cuatro artefactos: la descripción de las medidas de supervisión y de las herramientas de interfaz en la documentación técnica del anexo IV, los registros generados automáticamente y conservados al menos seis meses conforme al artículo 26, apartado 6, un registro de funciones que indique quién vigila qué sistema junto con sus certificados de competencia y formación, y un registro de intervenciones que recoja invalidaciones, escalados y paradas con su motivación. ¿Se aplica la supervisión humana a los modelos de IA de uso general? El artículo 14 vincula a los sistemas de IA de alto riesgo, no a los modelos de uso general como tales. Un modelo integrado en un sistema de alto riesgo introduce a ese sistema en el ámbito de aplicación, y los proveedores de modelos con riesgo sistémico soportan obligaciones distintas conforme a los artículos 53 y 55. La distinción la exponemos en nuestra panorámica sobre la IA de uso general.

Conclusión

Si la supervisión humana merece tomarse en serio no es porque la autoridad vaya a preguntar por ella, aunque preguntará. Es porque constituye el control que recoge todo lo que los demás controles dejan pasar, y precisamente por eso cede en silencio cuando nadie la mide. Las organizaciones que superen una inspección en diciembre de 2027 no serán las que tengan la mejor política de supervisión. Serán las capaces de nombrar a la persona, exhibir su certificado de formación, extraer el registro de invalidaciones y explicar por qué la tasa de invalidación se sitúa donde se sitúa. Cada uno de esos artefactos exige meses de historial de explotación, y esa es la razón por la que el aplazamiento es una ventana de diseño y no una demora. Empiece por enumerar sus sistemas de alto riesgo y plantee sobre cada uno una sola pregunta: quién está designado, y esa persona puede realmente detenerlo.