Artículo 73 del Reglamento UE sobre IA: notificación de incidentes para proveedores de IA de alto riesgo
El artículo 73 del Reglamento UE sobre Inteligencia Artificial establece obligaciones de notificación de incidentes para los proveedores de sistemas de IA de alto riesgo. Los incidentes graves deben notificarse a las autoridades nacionales de vigilancia del mercado en un plazo de 15 días a partir del conocimiento del incidente (plazo más breve en caso de incidentes con víctimas mortales o infracciones a gran escala). La disposición sigue el modelo de la notificación de violaciones del artículo 33 del RGPD, aunque abarca un ámbito de incidentes más amplio.
Qué se considera un incidente grave
El artículo 3, apartado 49, define incidente grave como cualquier incidente o mal funcionamiento de un sistema de IA de alto riesgo que provoque, directa o indirectamente: (a) la muerte de una persona o daños graves para la salud de una persona; (b) una perturbación grave e irreversible de infraestructuras críticas; (c) la infracción de obligaciones establecidas en el Derecho de la Unión destinadas a proteger los derechos fundamentales; (d) daños graves a los bienes o al medio ambiente. La definición es amplia: el carácter «grave» depende de los hechos concretos y la autoridad nacional competente realiza la evaluación definitiva.
Plazos de notificación
Artículo 73, apartado 2: sin dilación indebida tras establecer el vínculo causal y, a más tardar, 15 días después del conocimiento del incidente. Artículo 73, apartado 3: para incidentes que impliquen infracciones generalizadas o perturbaciones graves e irreversibles de infraestructuras críticas, el plazo se reduce a 2 días. Artículo 73, apartado 4: para incidentes con víctimas mortales, notificación inmediata, a más tardar en 10 días. El cómputo del plazo comienza en el momento del conocimiento, no en el de la confirmación de la causalidad.
Información requerida
Artículo 73, apartado 5: la notificación incluirá toda la información pertinente disponible, en particular: identificación del sistema de IA de alto riesgo, descripción del incidente, identificación de las personas o los bienes afectados, descripción de la causa, si se conoce, y descripción de las medidas correctoras adoptadas o previstas. La notificación podrá complementarse a medida que se disponga de más información. Las autoridades nacionales podrán solicitar información adicional.
Quién notifica
El proveedor del sistema de IA de alto riesgo es el principal obligado a notificar en virtud del artículo 73, apartado 1. En el caso de la condición de proveedor adquirida por modificación sustancial conforme al artículo 25, la parte que asume dicha condición es quien realiza la notificación. Los responsables del despliegue deben informar al proveedor de los incidentes relevantes (artículo 26, apartado 6) y pueden tener obligaciones de notificación paralelas en virtud de normativas sectoriales (vigilancia en la Directiva de Maquinaria, vigilancia en el Reglamento de Productos Sanitarios).
Configuración práctica del cumplimiento
Implemente el flujo de trabajo del artículo 73 antes de cualquier lanzamiento de producto. Elementos necesarios: mecanismo de detección de incidentes (atención al cliente, supervisión interna, informes de usuarios, seguimiento poscomercialización conforme al artículo 72), rúbrica de clasificación de incidentes para determinar el umbral de «gravedad», plantilla de notificación alineada con los requisitos del artículo 73, apartado 5, lista de contactos de las autoridades nacionales competentes de cada Estado miembro de la UE en el que opere, cadena de escalado interno y sistema de seguimiento de plazos. Pruebe el flujo de trabajo anualmente. Documente los incidentes pasados (anonimizados) en el archivo de cumplimiento.
Frequently asked questions
¿Cuándo entra en vigor el artículo 73?
El 2 de agosto de 2026 para los sistemas de IA de alto riesgo.
¿Cuál es el plazo de notificación?
15 días desde el conocimiento del incidente para los incidentes graves ordinarios. 10 días para los incidentes con víctimas mortales. 2 días para infracciones generalizadas o perturbaciones de infraestructuras críticas.
¿Quién notifica: el proveedor o el responsable del despliegue?
Principalmente el proveedor, en virtud del artículo 73, apartado 1. Los responsables del despliegue deben informar al proveedor conforme al artículo 26, apartado 6, y pueden tener obligaciones paralelas en virtud de normativas sectoriales.
¿Ante quién se notifica?
Ante la autoridad nacional de vigilancia del mercado de cada Estado miembro de la UE en el que se haya producido el incidente o en el que residan las personas afectadas. Cada Estado miembro ha designado autoridades competentes en virtud del artículo 70.
¿Cuál es la sanción por incumplimiento del artículo 73?
Hasta 15 000 000 EUR o el 3 % del volumen de negocios anual mundial, conforme al artículo 99, apartado 4. El incumplimiento de la obligación de notificar incidentes graves se trata de manera análoga a otros incumplimientos de obligaciones aplicables a los sistemas de alto riesgo.
Sources
Last updated: 2026-05-28