Puntos clave
- El registro de sistemas de IA del AI Act es una base de datos pública de la UE (artículos 49 y 71 del Reglamento (UE) 2024/1689). No es un registro general: solo se inscriben los sistemas del anexo III (empleo, crédito, seguros de vida y salud, educación…).
- Quien se inscribe es casi siempre el proveedor, es decir, quien desarrolla el sistema o lo pone en servicio con su nombre. Las empresas privadas que solo lo usan no se registran; las administraciones públicas, sí.
- El Ómnibus de IA, Reglamento (UE) 2026/1744, aplazó la clasificación de alto riesgo del anexo III al 2 de diciembre de 2027 y simplificó lo que hay que declarar cuando el proveedor concluye que su sistema no es de alto riesgo.
- Un chatbot de atención al cliente, un agente de voz que da citas o un lector de facturas no se registran. Un sistema que filtra currículos o puntúa la solvencia de un cliente, sí.
El registro de sistemas de IA para empresas es la inscripción, en la base de datos de la UE que gestiona la Comisión Europea, de los sistemas de IA de alto riesgo del anexo III del AI Act y de los que su proveedor declara exentos. Lo hace el proveedor antes de comercializar o poner en servicio el sistema. Las empresas privadas que solo usan IA no tienen que inscribirse.
Qué es el registro de sistemas de IA del AI Act
El registro de sistemas de IA es una base de datos de la UE, pública y legible por máquina, creada por el artículo 71 del AI Act. La crea y mantiene la Comisión Europea con los Estados miembros, y la Comisión es la responsable del tratamiento de sus datos.
Su función es la transparencia y la vigilancia del mercado: que cualquier ciudadano, autoridad o cliente pueda consultar qué sistemas de IA de alto riesgo hay en el mercado europeo, quién los ofrece y para qué sirven. El artículo 71.4 obliga a que la información sea accesible al público "de manera sencilla", salvo la sección reservada a policía, migración y control de fronteras.
Lo que NO es: no es una licencia para usar IA, no es un trámite que tenga que hacer toda empresa que usa ChatGPT o Copilot y no es una inscripción ante la AESIA. Tampoco tiene nada que ver con los "registros" en el sentido de archivos de eventos (los logs), que son otra obligación distinta y que explicamos más abajo.
Quién tiene que inscribirse y quién no
La obligación de inscribirse recae en el proveedor del sistema de alto riesgo, no en quien lo usa. El artículo 49 distingue tres casos, y la tabla resume a quién afecta cada uno:
| Quién | Qué sistema | Qué registra | Artículo |
|---|---|---|---|
| Proveedor | Sistema de alto riesgo del anexo III | El sistema y a sí mismo, antes de comercializarlo o ponerlo en servicio | 49.1 |
| Proveedor | Sistema del anexo III que considera que no es de alto riesgo (artículo 6.3) | El sistema y a sí mismo, con la condición de exención que aplica | 49.2 y 6.4 |
| Responsable del despliegue público (administraciones y quien actúe en su nombre) | Sistema de alto riesgo del anexo III | Su uso del sistema | 49.3 y 26.8 |
| Responsable del despliegue privado (una empresa que usa el sistema) | Cualquiera | Nada en la base de datos |
Un proveedor, según el artículo 3.3, es quien desarrolla un sistema de IA (o lo encarga) y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca, gratis o de pago. Un responsable del despliegue es quien lo utiliza bajo su autoridad.
El matiz que más se pasa por alto: una empresa que desarrolla un sistema para uso interno también lo "pone en servicio" con su nombre, y por tanto es proveedora. Si una cadena de tiendas encarga un sistema propio para filtrar candidatos y lo usa con su marca, el registro le toca a ella, no a la agencia que lo programó.
El artículo 25 añade otra vía: un usuario pasa a ser proveedor si pone su marca a un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad de forma que se convierte en alto riesgo.
Hay dos excepciones de procedimiento. Los sistemas de infraestructuras críticas (anexo III, punto 2) se registran a nivel nacional, no en la base de datos de la UE (artículo 49.5). Y los de policía, migración y fronteras van a una sección no pública (artículo 49.4).
Qué sistemas hay que registrar: los del anexo III
Un sistema hay que registrarlo si su finalidad aparece en el anexo III del AI Act. Para una empresa privada española, las áreas que de verdad aparecen en el día a día son estas:
- Empleo y gestión de personas (punto 4): publicar anuncios dirigidos, analizar y filtrar solicitudes, evaluar candidatos, decidir ascensos o despidos, asignar tareas según el comportamiento individual o evaluar el rendimiento.
- Solvencia y crédito (punto 5.b): evaluar la solvencia de personas físicas o su calificación crediticia. La detección de fraude financiero queda fuera.
- Seguros de vida y salud (punto 5.c): evaluación de riesgos y fijación de precios para personas físicas.
- Educación y formación (punto 3): admisiones, evaluación de resultados de aprendizaje o vigilancia en exámenes.
- Biometría (punto 1): identificación biométrica remota, categorización biométrica o reconocimiento de emociones, donde estén permitidos.
Lo que no está en el anexo III, y por tanto no se registra: chatbots y agentes de voz de atención al cliente, agentes que dan citas, lectura de facturas con OCR, clasificación de tickets, generación de contenido o cualificación de leads entre empresas. Estos sistemas tienen otras obligaciones, sobre todo las de transparencia del artículo 50, que explicamos en nuestra guía sobre lo que cambió con el AI Act el 2 de agosto de 2026.
La exención del artículo 6.3 también se registra
Un sistema del anexo III puede no ser de alto riesgo si no influye sustancialmente en la decisión, pero esa exención también se inscribe. El artículo 6.3 admite cuatro supuestos:
- Realiza una tarea de procedimiento limitada (por ejemplo, convertir currículos en un formato estándar).
- Mejora el resultado de una actividad humana ya realizada (corregir la redacción de una oferta ya escrita).
- Detecta patrones o desviaciones en decisiones previas sin sustituir ni influir en la valoración humana sin revisión.
- Hace una tarea preparatoria de una evaluación del anexo III.
Si el sistema elabora perfiles de personas físicas, siempre es de alto riesgo, cumpla o no estas condiciones.
El proveedor que se acoge a la exención tiene que documentar su evaluación antes de poner el sistema en servicio y entregarla si la autoridad la pide (artículo 6.4). Además, debe inscribirlo con los datos de la sección B del anexo VIII.
Qué cambió el Ómnibus: el Reglamento (UE) 2026/1744 mantuvo la obligación de inscribir estos sistemas, pero suprimió dos de los datos que había que declarar: el resumen de los motivos por los que el sistema no es de alto riesgo y la lista de Estados miembros donde se comercializa (puntos 7 y 9 de la sección B del anexo VIII). Su considerando 22 lo explica así: el registro sigue siendo "crucial para una vigilancia eficaz del mercado", pero debe ser "más proporcionado".
Desde cuándo hay que registrarse
La obligación práctica de registrar un sistema del anexo III llega el 2 de diciembre de 2027, cuando se aplica su clasificación como alto riesgo. El calendario tiene un matiz que conviene entender bien:
| Fecha | Qué se aplica |
|---|---|
| 2 de agosto de 2026 | Fecha general del AI Act, incluido el artículo 49 sobre el registro |
| 2 de diciembre de 2027 | Capítulo III, secciones 1 a 3, para el anexo III: la clasificación del artículo 6 y las obligaciones de proveedores y responsables del despliegue |
| 2 de agosto de 2028 | Lo mismo para los sistemas del anexo I (productos regulados, como máquinas o productos sanitarios) |
| 2 de agosto de 2030 | Plazo final para los sistemas de alto riesgo usados por autoridades públicas que ya estaban en servicio |
El Ómnibus no cambió la fecha del artículo 49, pero sí la del artículo 6, que define qué es "alto riesgo" en el anexo III. Como el registro se refiere a esos sistemas, nuestra lectura es que la obligación se activa con la clasificación, el 2 de diciembre de 2027. La Comisión no ha publicado una guía que lo confirme a fecha de hoy, así que conviene revisarlo cuando la publique.
Los sistemas que ya están funcionando: según el artículo 111.2, modificado por el Ómnibus, un sistema de alto riesgo puesto en servicio antes de esa fecha solo queda sujeto si después sufre cambios significativos en su diseño. Esto no es un salvoconducto: cualquier rediseño importante de un sistema de selección o de solvencia a partir de diciembre de 2027 lo mete de lleno en el reglamento.
Qué datos se inscriben
Los datos que se inscriben dependen del caso, y están en el anexo VIII del AI Act. Para un sistema de alto riesgo (sección A), el proveedor declara, entre otros:
- Datos del proveedor y, si lo hay, de su representante autorizado.
- Nombre comercial, finalidad prevista y una descripción sencilla de los datos que usa y de su lógica.
- Estado del sistema, certificado del organismo notificado si hace falta, declaración UE de conformidad e instrucciones de uso.
Para un sistema exento por el artículo 6.3 (sección B), basta con los datos del proveedor, el nombre y la finalidad del sistema, la condición de exención aplicada y su estado. Las administraciones que usan un sistema de alto riesgo (sección C) declaran sus datos, la referencia del sistema en la base de datos y un resumen de su evaluación de impacto en los derechos fundamentales.
Todo esto es público. Cualquier competidor o periodista podrá leer qué hace tu sistema, así que la descripción de la finalidad merece la misma atención que un texto legal.
El otro "registro": conservar los logs del sistema
El AI Act también obliga a que los sistemas de alto riesgo registren automáticamente sus eventos, y esta obligación sí afecta a quien los usa. El artículo 12 exige que el sistema permita técnicamente el registro automático de acontecimientos durante todo su ciclo de vida, para detectar riesgos y facilitar la supervisión.
El artículo 26.6 añade que el responsable del despliegue conservará esos archivos de registro al menos seis meses, si están bajo su control. Esta parte sí toca a las empresas privadas que usan un sistema de selección de personal o de solvencia, aunque no tengan que inscribirse en la base de datos.
Esta trazabilidad es, en nuestra experiencia, lo más caro de añadir a posteriori. Es la misma que defendemos para cualquier agente en producción en la guía de observabilidad y evaluación de agentes de IA: qué entró, qué decidió el sistema, con qué versión y quién lo revisó.
Datos clave del marco regulatorio
- El Reglamento (UE) 2026/1744, de 8 de julio de 2026, fija la aplicación del alto riesgo del anexo III el 2 de diciembre de 2027 y la del anexo I el 2 de agosto de 2028.
- El incumplimiento de las obligaciones del proveedor del artículo 16, entre las que está la de registro, se sanciona con multas de hasta el 3 % del volumen de negocio mundial anual (artículo 99.4 del AI Act).
- El 14 de octubre de 2026 el Diario Oficial publicó la Decisión de Ejecución (UE) 2026/2274, con la referencia de la norma armonizada EN 18286:2026 sobre el sistema de gestión de la calidad. Cumplirla da presunción de conformidad con ese requisito a los proveedores de alto riesgo.
- En España, la Comisión Europea recoge a la AESIA como punto de contacto único, con la designación nacional "pendiente de adopción definitiva" (Comisión Europea).
Cómo prepararte, paso a paso
Prepararse para el registro empieza por saber qué sistemas tienes y quién es su proveedor. Este es el orden que seguimos con los clientes:
- Inventario de sistemas de IA. Lista todo lo que use IA, incluido lo que compró cada departamento por su cuenta. Entregable: una hoja con sistema, finalidad, proveedor y datos que usa.
- Cruce con el anexo III. Marca los que tocan empleo, crédito, seguros de vida o salud, educación o biometría. En la mayoría de pymes son uno o dos, y casi siempre en recursos humanos.
- Decidir quién es el proveedor. Si lo compraste hecho y lo usas tal cual, el proveedor es el fabricante. Si lo desarrollaste, lo encargaste con tu marca o lo modificaste a fondo, lo eres tú.
- Evaluar la exención del artículo 6.3. Si crees que el sistema no influye en la decisión, documenta por qué y con qué condición. Si hace perfiles de personas, no hay exención posible.
- Exigir el registro al fabricante. En los contratos de compra, pide el número de registro en la base de datos de la UE y el compromiso de mantenerlo actualizado. Una administración pública, de hecho, no podrá usar un sistema sin registrar (artículo 26.8).
- Diseñar los logs desde ya. Aunque el plazo sea 2027, los sistemas que construyas hoy seguirán funcionando entonces. Conserva al menos seis meses de eventos con versión del modelo, entrada, salida y revisión humana.
Errores comunes (y cómo evitarlos)
Error: creer que toda empresa que usa IA tiene que registrarse. → La realidad: el registro es para sistemas del anexo III y lo hace el proveedor. Si te ofrecen "inscribir tu empresa en el registro de IA" sin preguntar qué sistemas tienes, desconfía.
Error: pensar que un desarrollo interno no cuenta. → La realidad: poner un sistema en servicio con tu nombre te convierte en proveedor, aunque nunca lo vendas. Es el caso típico de los filtros de currículos hechos a medida.
Error: dar por buena la exención del artículo 6.3 sin papeles. → La realidad: la exención exige una evaluación documentada antes de ponerlo en servicio y, además, su inscripción. Sin ese documento, ante una inspección el sistema es de alto riesgo.
Error: confundir el registro con los logs. → La realidad: son dos obligaciones distintas. El registro en la base de datos lo hace el proveedor; conservar los archivos de eventos durante seis meses es cosa de quien usa el sistema.
Tiempos y esfuerzo realistas
Inventariar y clasificar los sistemas de IA de una pyme lleva de una a tres semanas, según cuántos departamentos hayan comprado herramientas por su cuenta. La inscripción en sí, con la información preparada, es cuestión de horas por sistema.
Lo que de verdad lleva tiempo es lo que exige el registro detrás: documentación técnica, gestión de riesgos, supervisión humana y trazabilidad de un sistema de alto riesgo. En un sistema nuevo, diseñar esas piezas desde el principio añade de dos a cuatro semanas al proyecto. Añadirlas a un sistema que ya funciona puede llevar meses y obliga a pararlo.
Métricas que conviene medir desde el primer día: porcentaje de sistemas inventariados y clasificados, sistemas del anexo III con proveedor identificado, contratos con cláusula de registro y porcentaje de decisiones con log completo y revisión humana registrada.
Preguntas frecuentes
¿Tiene que registrarse mi empresa por usar inteligencia artificial?
No. El AI Act no crea un registro general de empresas que usan IA. Solo se inscriben, en la base de datos de la UE, los sistemas de alto riesgo del anexo III y los que su proveedor declara exentos, y lo hace el proveedor. Las empresas privadas que solo usan esos sistemas no se inscriben.
¿Desde cuándo es obligatorio registrar un sistema de IA de alto riesgo?
El Reglamento (UE) 2026/1744 aplazó la clasificación de alto riesgo del anexo III al 2 de diciembre de 2027, y la del anexo I al 2 de agosto de 2028. El artículo 49 no cambió de fecha, pero se refiere a esos sistemas, así que en la práctica la obligación se activa con la clasificación.
¿Hay que registrar un chatbot o un agente de voz?
No, salvo que su finalidad esté en el anexo III. Un chatbot de atención al cliente o un agente de voz que da citas no son de alto riesgo y no se inscriben. Sí deben avisar de que son una IA, por el artículo 50 del AI Act, aplicable desde el 2 de agosto de 2026.
¿Quién registra un sistema de selección de personal que compro a un proveedor?
El fabricante que lo comercializa con su marca. Tu empresa, como responsable del despliegue, no se inscribe, pero debe usarlo según sus instrucciones, garantizar la supervisión humana y conservar los logs al menos seis meses. Si le pones tu marca o lo modificas sustancialmente, pasas a ser proveedor.
¿Qué cambió el Ómnibus de IA en el registro?
Mantuvo la obligación de registrar los sistemas que el proveedor considera exentos por el artículo 6.3, pero suprimió dos datos que había que declarar: el resumen de los motivos de la exención y los Estados miembros donde se comercializa. La evaluación sigue documentándose y la autoridad puede pedirla.
¿Hay que registrar en la AESIA?
No. El registro del AI Act se hace en la base de datos de la UE, no ante la AESIA. Solo los sistemas de infraestructuras críticas del anexo III se registran a nivel nacional. La AESIA es el punto de contacto de España para el AI Act, con su designación formal como autoridad aún pendiente.
¿Qué multa hay por no registrar un sistema de alto riesgo?
El incumplimiento de las obligaciones del proveedor del artículo 16, entre ellas el registro, se sanciona con multas de hasta el 3 % del volumen de negocio mundial anual, según el artículo 99.4 del AI Act. Para las pymes se aplica la cuantía menor de las previstas.
¿No sabes si alguno de tus sistemas de IA es de alto riesgo?
En NAXIA construimos agentes de IA y automatizaciones con el cumplimiento dentro del diseño: inventario de sistemas, clasificación frente al anexo III, trazabilidad de cada decisión y supervisión humana donde la norma la exige. Lo hemos aplicado en atención al cliente, recursos humanos y operaciones.
Si quieres saber si tienes algo que registrar y qué hacer antes de diciembre de 2027, habla con nosotros: sin compromiso y sin powerpoints de 40 páginas.
O si prefieres, explora primero nuestro proceso de implementación.
NAXIA es una agencia española de inteligencia artificial y automatización para empresas de todos los tamaños: diseña, implanta y mantiene agentes de IA, agentes de voz y automatizaciones integradas con los sistemas de cada cliente. Fundada en 2024, con sede en Pamplona (Navarra), trabaja con empresas de toda España y ha entregado más de 20 proyectos.