LegalizeReal Decreto 817/2023, de 8 de noviembre, que establece un entorno controlado de pruebas para el ensayo del cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial
Este es el acto tal como se publicó. Las modificaciones posteriores no están incorporadas al texto: cada una es un acto aparte en este repositorio y una entrada en el historial de esta ley.
1. Previa a la finalización, tanto de los proveedores IA participantes como de los usuarios participantes, entregarán un informe a la Subdirección General de Inteligencia Artificial y Tecnologías Habilitadoras Digitales.
2. El contenido del informe anterior se indicará en las guías que ofrezca el órgano competente. Las entidades que hayan completado las fases del entorno controlado de pruebas recibirán un documento acreditativo de su participación en el mismo junto con un informe de valoración de los resultados obtenidos.
3. El órgano competente podrá abrir nuevas convocatorias en el futuro.
4. Cuando el órgano competente considere que el entorno controlado de pruebas ha cumplido con el objeto indicado en el presente real decreto podrá determinar la finalización de este y emitirá un comunicado público a tal efecto en el portal web del órgano competente.
Artículo 24. Retirada voluntaria de los participantes.
1. El proveedor IA y, en su caso, el usuario, podrán solicitar, mediante comunicación al órgano competente a través del canal especificado en el artículo 20.3 del presente real decreto, la retirada voluntaria del entorno controlado de pruebas por motivos justificados.
2. Una vez instruido el procedimiento, el órgano competente resolverá la solicitud de salida voluntaria de forma motivada en el plazo máximo de quince días hábiles. Esta resolución pone fin a la vía administrativa y el sentido del silencio administrativo será positivo.
3. En el caso de que el proveedor IA participante o, en su caso, el usuario participante se retire del entorno controlado de pruebas, deberá mantener el deber de confidencialidad en los términos previstos en la resolución de admisión.
4. Asimismo, la salida tanto de un proveedor IA participante como de un usuario participante no generará en ningún caso derecho de indemnización ni compensación alguna por parte del órgano competente.
5. El órgano competente, si así lo considera conveniente para el resultado del entorno, podrá cubrir la posición liberada por la retirada voluntaria con la siguiente entidad que hubiera solicitado la participación de acuerdo con lo dispuesto en la convocatoria.
Artículo 25. Finalización anticipada de las pruebas.
1. Podrá declararse la finalización anticipada de las pruebas en el entorno de manera individualizada, dando por finalizada la experiencia sin éxito para ese proveedor IA participante o, en su caso, usuario participante, mediante resolución motivada del órgano competente en base a la concurrencia de alguna de las siguientes circunstancias:
Se ha producido un incumplimiento del régimen jurídico previsto en artículo 4 del presente real decreto, en la convocatoria o en la resolución de admisión.
Se ha cesado en el cumplimiento de alguno de los requisitos iniciales para la elegibilidad para la participación en el entorno controlado de pruebas contemplados en el artículo 5 del presente real decreto.
Se ha producido un incumplimiento del deber de facilitar información requerida en el marco de seguimiento establecido por el órgano competente previsto en el artículo 21 del presente real decreto.
Se han producido incidentes graves o errores de funcionamiento en los sistemas de inteligencia artificial.
Se ha identificado un riesgo no previsto en la memoria técnica.
La entidad no aporta los recursos necesarios para implantación de los requerimientos acordados en el plan de implantación.
La entidad no cumple con las acciones necesarias para superar la declaración de cumplimiento de acuerdo con lo previsto en el artículo 13 del presente real decreto.
Cualquier otra circunstancia que se previera en la convocatoria.
2. Una vez se ha identificado alguna de las circunstancias anteriores, el órgano competente, previa audiencia con los participantes de acuerdo con el artículo 82 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Pública, resolverá de forma motivada en el plazo máximo de quince días hábiles. Esta resolución pone fin a la vía administrativa.
3. Adicionalmente a los casos indicados, también se declarará la finalización anticipada de la experiencia en el caso de que el proveedor IA no realizase las actuaciones que le permitan dar cumplimiento a los requisitos, descritos en el artículo 11 del presente real decreto, en el plazo establecido en la convocatoria, dejando de formar parte del entorno controlado de pruebas previo el oportuno procedimiento.
4. En el supuesto de que el proveedor IA participante fuera obligado a abandonar la experiencia también lo tendría que hacer, en el caso de que participase, el usuario del sistema de inteligencia artificial.
5. La finalización anticipada del entorno controlado de pruebas no dará lugar a indemnización alguna por parte del órgano competente.
6. El órgano competente, si así lo considera conveniente para el resultado del entorno, podrá cubrir mediante resolución la posición liberada por la finalización anticipada de las pruebas con la siguiente entidad que hubiera solicitado la participación de acuerdo con lo dispuesto en la convocatoria.
TÍTULO II. Participación y coordinación de otras entidades
Artículo 26. Colaboración entre autoridades.
Podrán colaborar con el órgano competente otras administraciones públicas y entidades del sector público institucional y organismos internacionales y otras autoridades de otros Estados miembro de la Unión Europea con competencias en las materias relacionadas con los diferentes casos que se desarrollen en el marco de este entorno controlado de pruebas, a fin de lograr un adecuado funcionamiento del mismo, y facilitarán, dentro de su ámbito competencial y con las garantías adecuadas, el avance del mismo, cualquiera que sea el ámbito territorial al que afecte.
Artículo 27. Grupo de personas asesoras expertas.
1. El grupo de personas asesoras expertas estará integrado por profesionales independientes de reconocido prestigio y experiencia técnica en campos afines del conocimiento, con responsabilidades presentes o pasadas en el ámbito académico y universitario, en instituciones colegiales, asociaciones de otro tipo, o en el sector empresarial. Los miembros del Grupo serán nombrados por resolución de la Secretaría de Estado de Digitalización e Inteligencia Artificial. Los miembros del Grupo de personas asesoras expertas no podrán actuar ni como proveedores IA participantes ni como usuarios participantes en el entorno controlado de pruebas.
2. Entre los miembros del grupo de personas asesoras expertas se incluirán uno o varios perfiles multidisciplinares con conocimientos de IA y otra materia como podría ser género, protección de datos, seguridad, ética, derecho u otras.
3. El grupo de personas asesoras expertas velará por el cumplimiento del principio de igualdad de género en el desarrollo de las tareas encomendadas, y en su designación se atenderá al principio de presencia equilibrada entre mujeres y hombres.
4. Este grupo de personas expertas colaborará en el entendimiento y comprensión de la forma de implementar los requisitos aplicables a los sistemas de inteligencia artificial de alto riesgo, así como en la aportación de información relevante para la mejora de las guías técnicas.
5. Estas personas expertas estarán sujetos a las previsiones de confidencialidad descritas en el artículo 18, y se comprometerán a ayudar tanto a los proveedores IA participantes como a los usuarios participantes en el cumplimiento de los requisitos, así como en su autoevaluación de cumplimiento del entorno controlado de pruebas.
6. La colaboración de las personas asesoras expertas no conllevará ningún tipo de contraprestación económica o compensación de ningún otro tipo.
Artículo 28. Participación de personas jurídicas privadas, administraciones públicas y entidades del sector público institucional como usuarias de un sistema de inteligencia artificial.
1. Cuando una persona jurídica privada o entidad del sector público sea usuaria de un sistema de alto riesgo de inteligencia artificial o sistemas de propósito general o modelos fundacionales, podrá acordar con el proveedor IA de dicho sistema la participación conjunta en el entorno controlado de pruebas. La convocatoria explicitará el mecanismo de participación a dicho entorno cuando una entidad del sector público participe como usuario.
2. La persona jurídica privada o entidad del sector público, cuando actúen como usuarios participantes deberán colaborar implantando las medidas especificadas en las guías que el órgano competente proporcione para el seguimiento tras la puesta en marcha del sistema de inteligencia artificial y en su caso, con respecto al tratamiento de datos personales según lo previsto en el artículo 16 del presente real decreto.
3. Se invitará a participar a dicha persona jurídica privada o entidad del sector público en la declaración de cumplimiento, sobre la base del artículo 19, en actividades de seguimiento tras la puesta en marcha en coordinación con el proveedor IA participante, sobre la base del artículo 21, y en la aportación de conocimiento para la elaboración de guías u otros documentos de conclusiones sobre el entorno controlado de pruebas.
Artículo 29. Colaboración de entidades observadoras.
1. El órgano competente podrá invitar como observadora a cualquier autoridad competente que, por su actividad de supervisión, control, garantía de cumplimiento normativo específico, u otras competencias específicas, pueda ser relevante en la implantación y revisión de los requisitos que se deberán implantar en los sistemas de inteligencia artificial en el contexto del entorno controlado de pruebas.
2. El objeto de esta colaboración es emitir opiniones o alertas cuando las acciones realizadas por el proveedor IA participante o, en su caso, por el usuario participante puedan, eventualmente, suponer un incumplimiento normativo, incumplimiento de criterios de calidad y seguridad de productos, o vulneración de principios rectores de la actuación de los agentes económicos y las entidades del sector público.
Artículo 30. Coordinación con organismos de normalización españoles, europeos e internacionales.
El órgano competente establecerá cauces de colaboración con organismos de normalización españoles, europeos e internacionales con el fin de contribuir a la redacción de normas técnicas basadas en las experiencias del entorno controlado de pruebas, de tomar en consideración las recomendaciones y deliberaciones de dichos organismos para proporcionar mayor seguridad tanto a los proveedores IA participantes como a los usuarios participantes en el mismo, así como de experimentar elementos de normalización en el campo de la inteligencia artificial que ya hayan sido publicados o estén en proceso de desarrollo.
Disposición adicional primera. Medios a disposición del entorno controlado de pruebas.
El cumplimiento de este real decreto se asumirá exclusivamente con los medios con los que cuenta la Secretaría de Estado de Digitalización e Inteligencia Artificial.
Disposición adicional segunda. Resultado del entorno controlado de pruebas.
El órgano competente, basándose en los resultados obtenidos en el entorno, publicará en su portal web el informe con las conclusiones sobre el desarrollo, buenas prácticas, y recomendaciones al mismo, así como otros aspectos de interés de la aplicación experimental de la propuesta del Reglamento de la Unión Europea sobre la inteligencia artificial en el entorno. Estos podrán contribuir, según proceda, a los trabajos en curso sobre normalización y otras acciones preparatorias a escala de la Unión Europea en apoyo a la aplicación la propuesta del Reglamento por el que se establecen normas armonizadas sobre inteligencia artificial.
Los ministerios con competencias en las áreas de sistemas de inteligencia artificial de alto riesgo específico podrán participar, a petición del órgano competente, en la redacción del informe sobre las conclusiones al que se refiere el párrafo anterior.
No obstante, podrán participar de las reuniones sobre el progreso del entorno controlado de pruebas a las que se refiere el apartado 5 del artículo 12. El órgano competente, partiendo de los resultados obtenidos en el entorno controlado de pruebas, podrá desarrollar una plataforma de software que facilite una primera autoevaluación no vinculante sobre el cumplimiento de los principios de la propuesta del Reglamento por el que se establecen normas armonizadas en materia de inteligencia artificial.
Disposición final primera. Título competencial.
Esta Ley se aprueba al amparo de lo dispuesto en el artículo 149.1.13.ª de la Constitución Española, que atribuye al Estado la competencia exclusiva sobre las bases y coordinación de la planificación general de la actividad económica, así como en lo establecido en el artículo 149.1.15.ª, que atribuye al Estado la competencia exclusiva sobre fomento y coordinación general de la investigación científica y técnica.
Disposición final segunda. Entrada en vigor y vigencia.
Este real decreto entrará en vigor al día siguiente de su publicación en el «Boletín Oficial del Estado».
Este real decreto tendrá una vigencia de máximo treinta y seis meses desde su entrada en vigor o, en su caso, hasta que sea aplicable en el Reino de España el Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial.
Dado en Madrid, el 8 de noviembre de 2023.
FELIPE R.
**La Vicepresidenta Primera del Gobierno
y Ministra de Asuntos Económicos y Transformación Digital,**
NADIA CALVIÑO SANTAMARÍA
ANEXO I. Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial
La Comisión adoptó la propuesta de Reglamento por el que se establecen normas armonizadas en materia de inteligencia artificial (Reglamento de Inteligencia Artificial) el 21 de abril de 2021.
La propuesta de la Comisión tiene por objeto garantizar que los sistemas de inteligencia artificial comercializados en el mercado de la Unión y utilizados en ella sean seguros y respeten la legislación vigente relativa a los derechos fundamentales y los valores de la Unión, garantizar la seguridad jurídica para facilitar la inversión y la innovación en inteligencia artificial y mejorar la gobernanza y la aplicación efectiva de la legislación vigente en materia de derechos fundamentales y seguridad, así como facilitar el desarrollo de un mercado único de aplicaciones de inteligencia artificial que sean legales, seguras y fiables y evitar la fragmentación del mercado.
La Comisión Europea en su propuesta de Reglamento establece un listado de sistemas de inteligencia artificial de alto riesgo en su anexo III, con determinadas referencias en los considerandos. El Consejo de la Unión Europea, en su formación de Telecomunicaciones, ha realizado cambios a este anexo de sistemas de IA de alto riesgo, publicando en diciembre de 2022 su posición(1). El anexo de la posición del Consejo sobre la propuesta de Reglamento de la Comisión se recoge en el anexo II del presente real decreto para garantizar la transparencia y seguridad jurídica en la selección de los sistemas de inteligencia artificial de alto riesgo que participarán en el entorno.
(1) Posición del Consejo de la Unión Europea relativa a la propuesta de Reglamento de la Comisión Europea: https://data.consilium.europa.eu/doc/document/ST-14954-2022-INIT/es/pdf
Los sistemas de alto riesgo de inteligencia artificial se alinearán con los requisitos que se definen en el capítulo 2 de posición del Consejo de la UE sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial: Sistema de gestión de riesgos (artículo 9), datos y gobernanza de datos (artículo 10), documentación técnica (artículo 11), registros (artículo 12), Transparencia y comunicación de información a usuarios (artículo 13), vigilancia humana (artículo 14) y precisión, solidez y ciberseguridad (artículo 15).
La propuesta de Reglamento de la Comisión Europea ha sido revisada separadamente por el Consejo de la Unión Europea y por el Parlamento Europeo, habiendo presentado cada uno su posición con sus enmiendas sobre la propuesta de la Comisión Europea. Durante las negociaciones europeas, se actualizará la información necesaria en toda la documentación técnica otorgada a los seleccionados para su participación en el entorno controlado de pruebas, cuando tengan lugar modificaciones de importancia en la propuesta de Reglamento que resulten relevantes para el entorno controlado de pruebas.
ANEXO II. Listado de áreas de sistemas de inteligencia artificial de alto riesgo específicos
En cada una de las siguientes áreas, los sistemas de inteligencia artificial se consideran de alto riesgo en virtud de las definiciones dispuestas en el presente real decreto.
| 1. Identificación biométrica y categorización de personas físicas. | a) Sistemas de identificación biométrica remota. |
| 2. Infraestructuras críticas. | a) Sistemas de IA destinados a utilizarse como componentes de seguridad en la gestión y funcionamiento de infraestructuras digitales críticas, del tráfico rodado y del suministro de agua, gas, calefacción y electricidad. |
| 3. Educación y formación profesional. | a) Sistemas de IA destinados a utilizarse para determinar el acceso o la admisión de personas físicas a programas o centros educativos y de formación profesional a todos los niveles o para asignar a personas físicas a dichos programas o centros; b) Sistemas de IA destinados a utilizarse para evaluar los resultados del aprendizaje, también cuando dichos resultados se utilicen para orientar el proceso de aprendizaje de las personas físicas en programas o centros educativos y de formación profesional a todos los niveles. |
| 4. Empleo, gestión de trabajadores y acceso al autoempleo. | a) Sistemas de IA destinados a utilizarse para la contratación o la selección de personas físicas, en particular para publicar anuncios de empleo específicos, analizar y filtrar las solicitudes de empleo y evaluar a los candidatos. b) IA destinada a utilizarse para tomar decisiones relativas a la promoción y a la rescisión de relaciones contractuales de índole laboral, para la asignación de tareas a partir de comportamientos individuales o rasgos o características personales y para realizar un seguimiento y una evaluación del rendimiento y el comportamiento de las personas en el marco de dichas relaciones. |
| 5. Acceso y disfrute de servicios públicos y privados esenciales y sus beneficios. | a) Sistemas de IA destinados a ser utilizados por las autoridades públicas o en su nombre para evaluar la admisibilidad de las personas físicas para acceder a servicios y ayudas esenciales de asistencia pública, así como para conceder, reducir, retirar o recuperar dichos servicios y ayudas; b) Sistemas de IA destinados a utilizarse para evaluar la solvencia de personas físicas o establecer su calificación crediticia, salvo los sistemas de IA puestos en servicio por proveedores que son microempresas y pequeñas empresas, tal como se definen en el anexo de la Recomendación 2003/361/CE de la Comisión, para su uso propio; c) Sistemas de IA destinados a utilizarse para el envío o el establecimiento de prioridades en el envío de servicios de primera intervención en situaciones de emergencia, por ejemplo, bomberos y servicios de asistencia médica; d) Sistemas de IA destinados a utilizarse para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud, con excepción de los sistemas de IA puestos en servicio por proveedores que sean microempresas y pequeñas empresas, tal como se definen en el anexo de la Recomendación 2003/361/CE de la Comisión, para su propio uso. |
| 6. Asuntos relacionados con la aplicación de la ley. | a) Sistemas de IA destinados a ser utilizados por las autoridades encargadas de la aplicación de la ley o en su nombre para evaluar el riesgo de que una persona física cometa una infracción o reincida o el riesgo de que una persona física se convierta en posible víctima de infracciones penales; b) Sistemas de IA destinados a ser utilizados por las autoridades encargadas de la aplicación de la ley o en su nombre como polígrafos y herramientas similares, o para detectar el estado emocional de una persona física; c) Sistemas de IA destinados a ser utilizados por las autoridades encargadas de la aplicación de la ley o en su nombre para evaluar la fiabilidad de las pruebas durante la investigación o el enjuiciamiento de infracciones penales; d) Sistemas de IA destinados a ser utilizados por las autoridades encargadas de la aplicación de la ley o en su nombre para predecir la comisión o reiteración de una infracción penal real o potencial a partir de la elaboración de perfiles de personas físicas mencionada en el artículo 3, punto 4, de la Directiva (UE) 2016/680, o para evaluar rasgos y características de la personalidad o comportamientos delictivos pasados de personas físicas o grupos; e) Sistemas de IA destinados a ser utilizados por las autoridades encargadas de la aplicación de la ley o en su nombre para elaborar perfiles de personas físicas, como se menciona en el artículo 3, punto 4, de la Directiva (UE) 2016/680, durante la detección, la investigación o el enjuiciamiento de infracciones penales. |
| 7. Gestión de la migración, el asilo y el control fronterizo. | a) Sistemas de IA destinados a ser utilizados por las autoridades públicas competentes o en su nombre como polígrafos y herramientas similares, o para detectar el estado emocional de una persona física; b) Sistemas de IA destinados a ser utilizados por las autoridades públicas competentes o en su nombre para evaluar un riesgo, como un riesgo para la seguridad, la salud o relativo a la migración irregular, que plantee una persona física que tenga la intención de entrar o haya entrado en el territorio de un Estado miembro; c) Sistemas de IA destinados a ser utilizados por las autoridades públicas competentes o en su nombre para a verificación de la autenticidad de documentos de viaje y los documentos justificativos de las personas físicas y la detección de documentos falsos mediante la comprobación de sus elementos de seguridad. d) Sistemas de IA destinados a ser utilizados por las autoridades públicas competentes o en su nombre para examinar las solicitudes de asilo, visado y permiso de residencia, y las reclamaciones asociadas con respecto a la admisibilidad de las personas físicas solicitantes. |
| 8. Actividad jurisdiccional y procesos democráticos. | a) Sistemas de IA destinados a ser utilizados por una autoridad judicial o en su nombre para interpretar hechos o la ley, así como para aplicar la ley a un conjunto concreto de hechos. |
ANEXO III. Contenido mínimo de la Memoria Técnica para la solicitud de participación en el entorno
La memoria técnica que se adjunte con la solicitud de participación al entorno controlado de pruebas deberá contener la siguiente información:
1. Nombre, dirección, NIF, detalles de contacto del proveedor IA solicitante del sistema de inteligencia artificial, número de empleados y sector productivo o de servicios al que pertenece.
Se especificará si es parte de una agrupación de entidades, detallando la información del presente punto para cada una de ellas.
2. Cuando se haya solicitado la participación a través de un tercero en nombre del solicitante, su nombre, dirección y detalles de contacto.
3. Nombre del sistema de inteligencia artificial presentado.
4. Tipo de sistema de inteligencia artificial: alto riesgo, propósito general, o modelo fundacional.
5. Descripción del propósito previsto para el sistema de inteligencia artificial.
6. Descripción del funcionamiento y técnicas de diseño del sistema de inteligencia artificial.
7. Descripción explicativa del papel que desempeña el proveedor IA solicitante en referencia al sistema de inteligencia artificial atendiendo a la definición del artículo 3 del real decreto.
8. Descripción explicativa de la adecuación a sistema de inteligencia artificial de alto riesgo, de propósito general, o modelo fundacional según definición del artículo 3 del presente real decreto.
9. Breves instrucciones de uso y aplicación del sistema de inteligencia artificial.
10. Status del sistema de inteligencia artificial: completamente desarrollado, puesto en servicio, introducido en el mercado, a falta de poner en funcionamiento, evaluación de conformidad exigida por legislación específica pasada/no pasada, calendario previsto para su plena operatividad, pasos restantes para que pueda ser utilizado.
11. En el caso en que el sistema de inteligencia artificial sea puesto en servicio en otros Estados miembro de la Unión Europea, el proveedor IA solicitante deberá informar de los países concretos en los que tiene previsto implantar el sistema.
12. Si el sistema de inteligencia artificial ha sido introducido en el mercado o ha sido puesto en servicio y, debe superar una evaluación de conformidad exigida por legislación específica, deberá detallar: el tipo, número y fecha de caducidad del certificado expedido por un organismo notificado y nombre o número de identificación de dicho organismo notificado, cuando proceda. Así como una copia del certificado.
13. Si el sistema de inteligencia artificial le es de aplicación legislación específica, y no ha sido introducido en el mercado o puesto en servicio, deberá detallar el plan de cumplimiento de legislación sectorial específica que se haya diseñado para el sistema de inteligencia artificial en cuestión.
14. Alcance estimado del sistema en número de personas afectadas por el mismo.
15. Cualquier otra información prevista en la convocatoria.
Toda la información proporcionada será tratada con la debida confidencialidad en concordancia con el artículo 18 del presente real decreto.
ANEXO IV. Declaración responsable de cumplimiento del principio de responsabilidad proactiva en materia de protección de datos
Don/Doña …………………………………………..…….……..…………….....…………
con NIF ……………….....………, por sí mismo/a o en representación de la entidad
con NIF ……………….....………, en calidad de ………….….….……...………………
EXPONE
Que ha presentado su solicitud a la convocatoria de participación en el entorno controlado de pruebas previsto en este real decreto, por el que se establece un entorno para comprobar el cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial,
DECLARA
Que los tratamientos de datos personales que se realicen en los sistemas de inteligencia artificial en el marco del entorno controlado de pruebas, tanto por parte del proveedor IA, como del usuario o por cualquier tercero que tenga acceso a ellos, se realizarán con estricta sujeción a lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) y por el que se deroga la Directiva 95/46/CE, en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDPGDD), y demás normativa aplicable en materia de protección de datos personales.
A estos efectos se han adoptado todas las medidas que se recogen en el anexo V para el cumplimiento del principio de responsabilidad proactiva en los tratamientos de datos personales necesarios para el desarrollo de las pruebas. Documentación que se podrá requerir a los participantes del entorno a efectos de cumplir con las garantías de la normativa de protección de datos. Asimismo, se ha justificado y documentado la omisión de las medidas que no son obligatorias (2).
(2) Únicamente si alguna de las medidas no se hubiese adoptado por no ser obligatoria en el correspondiente tratamiento de datos.
En su caso, durante la realización de las pruebas se constatará y documentará la pertinencia de las medidas adoptadas o la necesidad de actualizarlas o modificarlas adoptando las medidas necesarias para garantizar el cumplimiento del principio de responsabilidad proactiva.
El incumplimiento de esta normativa dará lugar al cese definitivo de las pruebas, en virtud del artículo 13 del Real Decreto 817/2023, de 8 de noviembre, que establece un entorno controlado de pruebas para el ensayo del cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial.
Fecha:
Firmado:
ANEXO V. Documentación que se podrá requerir para cumplimiento de la normativa del tratamiento de datos de carácter personal
1. Responsables o corresponsables del tratamiento de datos (artículo 26 RGPD).
2. Registro de Actividades de Tratamiento.
3. Indicación de los encargados del tratamiento intervinientes, en su caso (artículo 28 RGPD).
3. Listado de cumplimiento normativo (https://www.aepd.es/sites/default/files/2019-11/guia-listado-de-cumplimiento-del-rgpd.pdf).
4. Medidas y garantías de protección de datos por defecto.
5. Análisis de riesgos para los derechos y libertades de personas físicas.
6. Evaluación de impacto relativa a la protección de datos o justificación de la improcedencia de realizar la misma (orientaciones-evaluacion-impacto-desarrollo-normativo.pdf (aepd.es).
7. Medidas y garantías de protección de datos desde el diseño.
8. Medidas de seguridad.
9. Procedimientos para la gestión de brechas de seguridad.
10. Informe del Delegado de protección de datos en relación con el cumplimiento de la normativa de la protección de datos en el sistema de inteligencia artificial o justificación de la improcedencia de dicho informe.
ANEXO VI. Documentación Técnica a presentar a la finalización de la implantación de los requisitos
La documentación técnica que se desarrollará durante el entorno controlado de pruebas como parte de los requisitos de los sistemas de inteligencia artificial contendrá, como mínimo, la siguiente información, según sea aplicable al sistema de inteligencia artificial correspondiente:
1. Una descripción general del sistema de inteligencia artificial que incluya:
Su finalidad prevista, la persona o personas responsables de su desarrollo, la fecha y la versión del sistema.
Cómo el sistema de inteligencia artificial interactúa o puede utilizarse para interactuar con los soportes físicos o el software que no formen parte del propio sistema de inteligencia artificial, cuando proceda.
Las versiones de software o del firmware pertinentes y cualquier requisito relacionado con la actualización de las versiones.
La descripción de todas las formas en que el sistema de inteligencia artificial se ha introducido o puesto en servicio (por ejemplo, paquetes de software integrados en el hardware, descargable, interfaz de programación de aplicaciones –API–, etc.).
La descripción del hardware en el que está previsto que funcione el sistema de inteligencia artificial.
Cuando el sistema de inteligencia artificial sea un componente de productos, fotografías o ilustraciones que muestren las características externas, el marcado y la disposición interna de dichos productos.
Instrucciones de uso para el usuario y, en su caso, instrucciones de instalación.
2. Una descripción detallada de los elementos del sistema de inteligencia artificial y del proceso para su adaptación a los requisitos especificados en el artículo 11 del real decreto, incluyendo:
Los métodos y pasos realizados para la incorporación de los requisitos en el sistema de inteligencia artificial, incluyendo, en su caso, el recurso a sistemas pre-entrenados o a herramientas proporcionadas por terceros y cómo han sido utilizados, integrados o modificados por el proveedor IA solicitante.
Las especificaciones de diseño del sistema, a saber, la lógica general del sistema de inteligencia artificial y de los algoritmos; las opciones clave de diseño, incluidos los fundamentos y las suposiciones realizadas, también con respecto a las personas o grupos de personas con las que se pretende utilizar el sistema; las principales opciones de clasificación; el objetivo de optimización del sistema y la importancia de los distintos parámetros; las decisiones sobre las posibles contrapartidas realizadas en relación con las soluciones técnicas adoptadas para cumplir los requisitos establecidos en el artículo 11 y las guías ofrecidas por el órgano competente a tal efecto.
La descripción de la arquitectura del sistema que explique cómo los componentes de software se basan o se alimentan mutuamente y se integran en el procesamiento global; los recursos informáticos utilizados para desarrollar, entrenar, probar y validar el sistema de inteligencia artificial.
Cuando proceda, los requisitos de datos en términos de fichas técnicas que describan las metodologías y técnicas de entrenamiento y los conjuntos de datos de entrenamiento utilizados, incluyendo una descripción general de estos conjuntos de datos, su procedencia, alcance y características principales; cómo se han obtenido y seleccionado los datos; procedimientos de etiquetado (por ejemplo, para el aprendizaje supervisado), metodologías de limpieza de datos (por ejemplo detección de valores atípicos).
En el caso de sistemas de alto riesgo, la evaluación de las medidas de supervisión humana necesarias, incluida una evaluación de las medidas técnicas necesarias para facilitar la interpretación de los resultados de los sistemas de inteligencia artificial por parte de los usuarios del sistema.
Cuando proceda, una descripción detallada de los cambios predeterminados en el sistema de inteligencia artificial y su rendimiento, junto con toda la información pertinente relacionada a las soluciones técnicas adoptadas para garantizar la conformidad continua del sistema de inteligencia artificial con los requisitos pertinentes establecidos en el artículo 11 y las guías ofrecidas por el órgano competente a tal efecto.
Los procedimientos de validación y prueba utilizados, incluida la información sobre los datos de validación y prueba empleados y sus principales características; las métricas utilizadas para medir la precisión, la solidez, la ciberseguridad y el cumplimiento de otros requisitos pertinentes establecidos en el artículo 11 y las guías ofrecidas por el órgano competente a tal efecto, así como los impactos potencialmente impactos discriminatorios; registros de pruebas (logs) y todos los informes de pruebas fechados y firmados por las personas responsables, incluso en lo que respecta a los cambios predeterminados mencionados en la letra f).
3. Información sobre la supervisión, el funcionamiento y el control del sistema de inteligencia artificial, en particular con respecto a: sus capacidades y limitaciones de rendimiento, incluyendo los grados de precisión para las personas o grupos de personas específicos sobre los que se pretende utilizar el sistema y el nivel general de precisión previsto en relación con su finalidad su finalidad prevista; las fuentes de riesgo para la salud y la seguridad, los derechos fundamentales y la discriminación en vista de la de la finalidad prevista del sistema de inteligencia artificial; las medidas de supervisión humana necesarias de conformidad con el artículo 11 y las guías ofrecidas por el órgano competente a tal efecto, incluidas las medidas técnicas establecidas para facilitar la interpretación de la información de salida de los sistemas de inteligencia artificial por parte de los usuarios del sistema; las especificaciones sobre los datos de entrada según proceda; y en su caso, con relación a los tratamientos de datos personales en función del impacto que puedan tener el tratamiento de los datos, o de las finalidades previstas y contextos específicos de operación, para los que se valida el sistema.
4. Una descripción detallada del sistema de gestión de riesgos, de conformidad con el artículo 11 y las especificaciones ofrecidas por el órgano competente a tal efecto.
5. Una descripción de cambios relevantes realizados por el proveedor IA solicitante en el sistema a lo largo de su ciclo de vida.
6. Una descripción detallada del sistema establecido para evaluar el rendimiento del sistema de inteligencia artificial en la fase posterior a la comercialización, incluido de plan de monitorización posterior a la comercialización.
Toda la información proporcionada será tratada con la debida confidencialidad en concordancia con el artículo 18 del presente real decreto.
ANEXO VII. Lista de legislación de la Unión Europea basada en el nuevo marco legislativo
1. Directiva 2006/42/CE del Parlamento Europeo y del Consejo, de 17 de mayo de 2006, relativa a las máquinas y por la que se modifica la Directiva 95/16/CE (DO L 157 de 9 de junio de 2006, p. 24) (derogada por el Reglamento relativo a las máquinas);
2. Directiva 2009/48/CE del Parlamento Europeo y del Consejo, de 18 de junio de 2009, sobre la seguridad de los juguetes (DO L 170 de 30 de junio de 2009, p. 1);
3. Directiva 2013/53/UE del Parlamento Europeo y del Consejo, de 20 de noviembre de 2013, relativa a las embarcaciones de recreo y a las motos acuáticas, y por la que se deroga la Directiva 94/25/CE (DO L 354 de 28 de diciembre de 2013, p. 90);
4. Directiva 2014/33/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre la armonización de las legislaciones de los Estados miembro de la Unión Europea en materia de ascensores y componentes de seguridad para ascensores (DO L 96 de 29 de marzo de 2014, p. 251);
5. Directiva 2014/34/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre la armonización de las legislaciones de los Estados miembro en materia de aparatos y sistemas de protección para uso en atmósferas potencialmente explosivas (DO L 96 de 29 de marzo de 2014, p. 309);
6. Directiva 2014/53/UE del Parlamento Europeo y del Consejo, de 16 de abril de 2014, relativa a la armonización de las legislaciones de los Estados miembro de la Unión Europea sobre la comercialización de equipos radioeléctricos, y por la que se deroga la Directiva 1999/5/CE (DO L 153 de 22 de mayo de 2014, p. 62);
7. Directiva 2014/68/UE del Parlamento Europeo y del Consejo, de 15 de mayo de 2014, relativa a la armonización de las legislaciones de los Estados miembro de la Unión Europea sobre la comercialización de equipos a presión (DO L 189 de 27 de junio de 2014, p. 164);
8. Reglamento (UE) 2016/424 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, relativo a las instalaciones de transporte por cable y por el que se deroga la Directiva 2000/9/CE (DO L 81 de 31 de marzo de 2016, p. 1);
9. Reglamento (UE) 2016/425 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, relativo a los equipos de protección individual y por el que se deroga la Directiva 89/686/CEE del Consejo (DO L 81 de 31 de marzo de 2016, p. 51);
10. Reglamento (UE) 2016/426 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, sobre los aparatos que queman combustibles gaseosos y por el que se deroga la Directiva 2009/142/CE (DO L 81 de 31 de marzo de 2016, p. 99);
11. Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo, de 5 de abril de 2017, sobre los productos sanitarios, por el que se modifican la Directiva 2001/83/CE, el Reglamento (CE) número 178/2002 y el Reglamento (CE) número 1223/2009 y por el que se derogan las Directivas 90/385/CEE y 93/42/CEE del Consejo (DO L 117 de 5 de mayo de 2017, p. 1);
12. Reglamento (UE) 2017/746 del Parlamento Europeo y del Consejo, de 5 de abril de 2017, sobre los productos sanitarios para diagnóstico in vitro y por el que se derogan la Directiva 98/79/CE y la Decisión 2010/227/UE de la Comisión (DO L 117 de 5 de mayo de 2017, p. 176).
La consulta de este documento no sustituye la lectura del Boletín Oficial del Estado correspondiente. No nos responsabilizamos de posibles incorrecciones producidas en la transcripción del original a este formato.
Este texto se publica bajo las condiciones de reutilización propias de BOE, no bajo una licencia de Legalize ni de dominio público.
BOE
Condiciones de reutilización del BOE — cita obligatoria de la fuente
Fuente de los datos: Agencia Estatal Boletín Oficial del Estado (https://www.boe.es). Datos reutilizados conforme a las condiciones de reutilización del BOE (Resolución de 27 de junio de 2024). Este repositorio es una obra derivada basada en datos de la Agencia Estatal Boletín Oficial del Estado.