Supervisión, sanciones y evidencia

La supervisión del reglamento tiene dos niveles. Los sistemas —prácticas prohibidas, alto riesgo, transparencia— los vigilan las autoridades de vigilancia del mercado que designa cada Estado miembro, que reciben los incidentes graves y pueden pedir documentación, exigir correcciones o retirar un sistema. Los modelos de propósito general los supervisa la Oficina de IA de la Comisión. Alrededor hay un Comité Europeo de IA que coordina y recomienda, un grupo de expertos científicos que puede alertar sobre modelos y autoridades notificantes que vigilan a los organismos que evalúan la conformidad.

Saber a quién se dirige cada cosa es parte del procedimiento: un incidente notificado a quien no corresponde no cuenta como notificado.

El proveedor de un sistema de alto riesgo notifica un incidente grave de inmediato en cuanto establece un vínculo causal con el sistema, o la probabilidad razonable de que exista, y nunca más tarde de un plazo máximo que depende del tipo: el general, uno más corto si hay muerte de una persona y el más corto de todos si la infracción es generalizada o hay una perturbación grave e irreversible de una infraestructura crítica. Si hace falta, se envía un primer informe incompleto y se completa después.

El ejercicio sirve justo para eso: ver si el procedimiento de Cajeto llega a tiempo en cada tipo. Cuenta los días entre «se conoce» y «se notifica» y compáralos con el plazo de su tipo.

Las multas del reglamento tienen tres tramos. El más alto, para las prácticas prohibidas, llega hasta 35 millones de euros o hasta el 7 % del volumen de negocios mundial del ejercicio anterior, lo que sea mayor. El incumplimiento de las obligaciones de los actores y de transparencia llega hasta 15 millones o el 3 %; dar información incorrecta, incompleta o engañosa a una autoridad, hasta 7,5 millones o el 1 %. Para las pymes y las empresas emergentes se aplica la cifra menor de cada par.

Estos son techos, no multas automáticas: la autoridad gradúa según la gravedad, la duración, la cooperación y otros factores. Pero el techo es lo que pregunta un consejo de administración.

Una autoridad puede pedir documentación y explicaciones, y lo que se le responde tiene que salir de la evidencia, no de la memoria ni del folleto comercial. Responder algo que la propia configuración contradice no es un descuido menor: tiene su propio tramo de multa, y además destruye la confianza con quien supervisa.

Revisa las respuestas que se enviaron en el ejercicio contra la columna de evidencia interna.

Un ejercicio de mesa vale por lo que cambia después. Los dos hallazgos de este —un plazo incumplido y una respuesta que no cuadra con la configuración— apuntan a dos arreglos: que el procedimiento distinga los tipos de incidente desde el primer minuto, y que cada respuesta a una autoridad se redacte desde la evidencia, con su fuente.