Estructura y ámbito territorial del reglamento

El Reglamento (UE) 2024/1689 se lee mejor si se conoce su esqueleto. Los primeros capítulos dicen a quién se aplica y qué está prohibido; el más largo, con diferencia, es el de los sistemas de alto riesgo, porque reúne la clasificación, los requisitos técnicos, lo que debe hacer cada actor de la cadena y la evaluación de la conformidad. Después vienen la transparencia, los modelos de propósito general, el apoyo a la innovación, la gobernanza, la base de datos, la vigilancia del mercado y, casi al final, las sanciones. Los anexos concretan lo que los artículos remiten: qué usos son de alto riesgo, qué lleva la documentación técnica, qué criterios señalan un riesgo sistémico.

Saber en qué capítulo vive cada cosa ahorra errores de lectura: una obligación de un modelo de propósito general no se busca entre los requisitos de un sistema de alto riesgo, y viceversa. Abre la tabla de la estructura y ubica cada bloque.

El artículo 2 no mira el pasaporte de la empresa sino dónde produce efecto lo que hace. Alcanza a quien comercializa o pone en servicio un sistema en la Unión aunque esté establecido fuera, a quien lo despliega dentro de la Unión y, además, a proveedores y responsables del despliegue de un tercer país cuando la salida del sistema se usa en la Unión. Esa última vía existe para que no baste con dejar el servidor fuera para escapar del reglamento.

Recorre los casos de Cajeto con la tabla del artículo 2 al lado. Hay uno en el que nada se vende ni se instala en Europa, y aun así el resultado del sistema decide algo sobre personas que están allí.

El mismo artículo saca del reglamento ciertas actividades, con independencia de dónde ocurran: los usos exclusivamente militares, de defensa o de seguridad nacional; la investigación científica pura; la investigación y las pruebas previas a la comercialización, salvo las pruebas en condiciones reales; el uso puramente personal, y, con salvedades, el software libre. Una exclusión se aplica por la finalidad o por la fase, no por el país.

Un error habitual es razonar «se vendió a un organismo de un Estado miembro, luego está dentro». Busca el caso en que la venta a una entidad europea no basta para que el reglamento se aplique.

La dirección de Cajeto quiere un número: cuántos de sus siete casos tiene que gestionar con el reglamento en la mano. Para llegar a él hay que pasar cada caso por las dos preguntas en orden: primero, ¿hay alguna vía del apartado 1 que lo meta dentro?; después, ¿alguna exclusión lo saca? Un caso sin ningún vínculo con la Unión no necesita exclusión: ya está fuera.

Atención a la licencia libre: la exclusión del software abierto tiene salvedades, y una de ellas tiene que ver con sistemas que conversan con personas.

La exclusión del software libre y de código abierto protege a quien publica componentes, no a quien pone en el mercado un sistema que plantea los riesgos que el reglamento quiere controlar. Por eso se pierde si el sistema es de alto riesgo, si encaja en una práctica prohibida o si cae en las obligaciones de transparencia, por ejemplo porque conversa directamente con personas.