Comprueba si tu sistema está sujeto a registro

El artículo 49 no establece un registro universal para cualquier sistema de IA. El análisis empieza por identificar si el sistema entra en los supuestos del Anexo III y qué papel ocupa la organización. Que una herramienta utilice IA, intervenga en un proceso sensible o haya sido contratada a un tercero no determina por sí solo la obligación de registro.

Este artículo resuelve únicamente esa ruta. Si todavía no están claros el inventario, la clasificación o el rol de la empresa, conviene resolver antes ese diagnóstico con el checklist de cumplimiento de la AI Act para empresas.

Qué sistemas entran en los supuestos del artículo 49

¿Basta con que un sistema aparezca en el Anexo III para saber cómo registrarlo? No. Los proveedores de sistemas clasificados como de alto riesgo conforme al artículo 6.2 y el Anexo III deben revisar el artículo 49, pero la ruta cambia según el supuesto. El punto 2 del Anexo III, relativo a determinadas infraestructuras críticas, queda fuera del registro general en la base de datos de la UE y sigue una vía nacional.

La diferencia importa en la práctica. Dos sistemas incluidos en el mismo Anexo III pueden exigir destinos distintos, y determinados sistemas de los puntos 1, 6 y 7 utilizan además secciones seguras no públicas. Primero hay que identificar el supuesto; la vía concreta se determina después.

Qué ocurre si el proveedor aplica el artículo 6.3

Existe otro caso menos intuitivo. El proveedor puede concluir que un sistema incluido en el Anexo III no es de alto riesgo porque cumple las condiciones del artículo 6.3. Esa conclusión no elimina el registro: el artículo 49.2 mantiene un supuesto específico para el proveedor o, cuando proceda, su representante autorizado.

Por eso conviene separar dos decisiones. Una es justificar por qué el sistema queda fuera de la categoría de alto riesgo; otra, comprobar qué información debe registrarse como consecuencia de esa clasificación. Tras la reforma de 2026, además, se simplificó la información de la sección B del Anexo VIII, por lo que no deben reutilizarse listas de campos anteriores.

Cuándo resulta aplicable la obligación

El momento indicado por el artículo 49, “antes de introducirlo en el mercado”, “ponerlo en servicio” o utilizarlo según el actor, no debe confundirse con la fecha de aplicación del régimen. Tras el Reglamento (UE) 2026/1744, las reglas aplicables a los sistemas de alto riesgo clasificados mediante el artículo 6.2 y el Anexo III se sitúan desde el 2 de diciembre de 2027.

¿Qué ocurre con un sistema introducido en el mercado o puesto en servicio anteriormente? También hay que revisar el régimen transitorio del artículo 111 y comprobar si se producen cambios significativos en su diseño. Antes de ejecutar cualquier registro, la referencia final debe ser el texto consolidado vigente de la AI Act, relacionando el supuesto concreto con su fecha de aplicación.

En cualquier caso, los proveedores y responsables del despliegue de sistemas de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir el Reglamento a más tardar el 2 de agosto de 2030.

Identifica quién debe registrar y por qué vía

Una vez identificado el supuesto, hay que separar la responsabilidad jurídica de la colaboración interna. Legal, compliance, producto o tecnología pueden intervenir en la preparación de la información, pero el artículo 49 atribuye el registro a actores concretos. Participar en el proceso no convierte a un área en sujeto obligado.

La vía tampoco se elige por conveniencia. El tipo de sistema y el actor determinan si corresponde utilizar la base de datos de la UE, una sección segura no pública o un registro nacional. El calendario general puede consultarse en el análisis sobre qué cambia con la AI Act desde el 2 de agosto de 2026, pero aquí la decisión es otra: identificar quién registra y por qué canal.

Quién asume el registro según el rol

¿Debe registrarse cualquier empresa privada que utilice uno de estos sistemas? No. En los supuestos del artículo 49.1, la obligación corresponde al proveedor o, cuando proceda, a su representante autorizado. El mismo reparto se mantiene para el registro específico previsto cuando el proveedor aplica el artículo 6.3.

Los responsables del despliegue tienen una obligación más limitada. El artículo 49.3 se refiere a autoridades públicas, instituciones, órganos u organismos de la Unión y a quienes actúan en su nombre. Una empresa privada que contrata una solución externa puede tener otras responsabilidades como responsable del despliegue, pero el mero uso no le transfiere el registro del proveedor.

Esta diferencia es especialmente importante cuando varias organizaciones participan en el mismo sistema. El proveedor puede tener que registrar el sistema mientras el cliente aporta información, revisa su propio uso o cumple obligaciones distintas. Conviene documentar esas responsabilidades por separado en lugar de asumir que existe un único responsable de todo el cumplimiento.

Base de datos de la UE, secciones seguras y registro nacional

La tabla permite traducir esa distinción a una ruta concreta:

La sección segura del artículo 49.4 cambia la vía y el acceso, no crea un nuevo sujeto obligado. Del mismo modo, la columna temporal indica cuándo debe producirse el registro dentro de cada procedimiento, pero debe interpretarse junto con las fechas de aplicabilidad revisadas en el bloque anterior.

Prepara el registro y documenta la decisión

Llegar a la vía correcta no significa que el trabajo esté terminado. Antes de registrar, la organización debería poder reconstruir qué clasificación se utilizó, qué actor asumió la obligación y qué supuesto del artículo 49 justificó la decisión. Esa trazabilidad permite revisar el registro si cambian el sistema, su finalidad o las responsabilidades entre proveedor y responsable del despliegue.

La ejecución suele implicar a varias áreas. Legal o compliance pueden validar el fundamento, mientras producto y tecnología aportan datos del sistema. Lo importante es distinguir quién contribuye de quién responde de ejecutar y conservar la evidencia del registro.

Árbol de decisión: qué corresponde en cada caso

La secuencia debe producir una salida, no limitarse a enumerar comprobaciones:

1. Si el sistema no está incluido en el Anexo III, este árbol no determina una obligación de registro conforme a los supuestos analizados del artículo 49.
2. Si es un sistema de alto riesgo del Anexo III, punto 2, la salida es registro a nivel nacional según el régimen correspondiente.
3. Si es un sistema de alto riesgo del resto del Anexo III, identifica al proveedor: cuando resulte aplicable el artículo 49.1, la salida ordinaria es registro en la base de datos de la UE.
4. Si el proveedor aplica el artículo 6.3 y considera que el sistema del Anexo III no es de alto riesgo, existe igualmente un registro específico conforme al artículo 49.2.
5. Si quien utiliza el sistema es uno de los responsables del despliegue delimitados por el artículo 49.3, debe comprobar su propio registro de uso.
6. Si el sistema pertenece a los supuestos sensibles de los puntos 1, 6 o 7 contemplados por el artículo 49.4, la vía correspondiente pasa a una sección segura no pública.

El resultado todavía debe cruzarse con el calendario de aplicabilidad explicado anteriormente. La ruta responde a dónde y quién; la fecha determina cuándo procede ejecutarla en el caso concreto.

Información necesaria, evidencias y cambios posteriores

El Anexo VIII no exige el mismo conjunto de datos a todos los actores. Los proveedores de sistemas de alto riesgo sujetos al artículo 49.1 utilizan la sección A, que incluye, entre otros elementos, la identificación del proveedor y del sistema, su finalidad prevista, información sobre su funcionamiento, estado y documentación de conformidad cuando proceda.

Para los proveedores que aplican el artículo 6.3, la sección B exige identificar al proveedor y al sistema, describir su finalidad prevista, indicar qué condición del artículo 6.3 sustenta la clasificación y reflejar el estado del sistema. Tras la reforma de 2026 se eliminaron los antiguos puntos 7 y 9, por lo que no deben reutilizarse listados de campos anteriores. Los responsables del despliegue sujetos al artículo 49.3 utilizan, en cambio, la sección C, con sus datos de identificación, la referencia a la entrada creada por el proveedor y determinados resúmenes de evaluaciones cuando resulten aplicables.

El objetivo no es copiar por adelantado una interfaz, sino preparar desde la norma la información exigible y comprobar después cómo la solicita el registro oficial. La evidencia interna debe permitir reconstruir qué sistema se analizó, qué supuesto se aplicó, quién asumió la obligación, qué vía se utilizó y qué información sustentó la actuación.

Además, el Anexo VIII exige mantener actualizada la información correspondiente. Si cambia la finalidad prevista, la clasificación, el estado del sistema o el papel de alguna organización, primero hay que revisar si sigue siendo válida la decisión original. Actualizar un dato sin revisar su fundamento puede mantener formalmente el registro y dejar obsoleta la conclusión que lo justificaba.

Conclusiones

El registro previsto por la AI Act exige algo más que identificar un sistema incluido en el Anexo III. La organización debe poder justificar por qué aplica un determinado supuesto y demostrar que ha asignado correctamente la obligación entre proveedor, representante autorizado o responsable del despliegue.

La clave operativa está en documentar la decisión, no solo en completar el registro. Esa evidencia debe permitir reconstruir qué criterio se utilizó, qué vía correspondía y qué información sustentó la actuación. Si después cambian el sistema, su finalidad o la posición de alguno de los actores, esa conclusión también debe revisarse.

Un registro correcto, por tanto, no es un trámite aislado. Es una consecuencia de una clasificación y una responsabilidad previamente justificadas, y debe seguir siendo defendible cuando cambian las circunstancias que dieron lugar a la decisión.