Artículo 13 del Reglamento Europeo de IA: obligaciones de transparencia para la IA de alto riesgo

El artículo 13 exige que los sistemas de IA de alto riesgo sean transparentes y faciliten información a los usuarios. Conozca las seis obligaciones de transparencia y cómo documentar el cumplimiento.

Actualizado el 31 de julio de 2026 — plazo modificado. El Digital Omnibus (adoptado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026) aplazó las obligaciones de alto riesgo del anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027. Las obligaciones de transparencia del artículo 50 no se aplazaron y siguen aplicándose desde el 2 de agosto de 2026. Este artículo se ha corregido en consecuencia. Si su sistema de IA está clasificado como de alto riesgo con arreglo al Reglamento Europeo de IA, el artículo 13 exige que sea «lo suficientemente transparente para que los usuarios puedan interpretar la salida del sistema y usarla adecuadamente». No es una recomendación blanda: es una obligación exigible, con multas de hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial, la cifra que sea mayor.

La mayoría de las empresas subestima el artículo 13. Da por supuesto que transparencia significa «añadir una cláusula de exención» o «mostrar puntuaciones de confianza». En realidad, el artículo 13 exige seis categorías de información distintas, cada una con requisitos documentales concretos.

Esta guía desglosa lo que el artículo 13 exige realmente, las lagunas de cumplimiento habituales y cómo incorporar la transparencia a su sistema de IA de alto riesgo antes del plazo del 2 de diciembre de 2027.

Qué exige realmente el artículo 13

El artículo 13 impone que los sistemas de IA de alto riesgo faciliten a los usuarios información que sea:

Concisa, completa, correcta y clara: sin jerga ni ambigüedad
Pertinente y accesible: adaptada al papel del usuario y a su competencia técnica
Suficiente para que los usuarios interpreten la salida: los usuarios deben entender qué les dice el sistema y por qué
Suficiente para que los usuarios utilicen el sistema adecuadamente: los usuarios deben saber cuándo confiar en la salida y cuándo apartarse de ella

El Reglamento enumera seis categorías de información que deben facilitarse:

Identidad y datos de contacto del proveedor
Características, capacidades y limitaciones del rendimiento, incluidas la precisión, la solidez y los modos de fallo conocidos
Cambios en el sistema y en su rendimiento: historial de versiones y actualizaciones
Nivel de precisión, solidez y ciberseguridad: en forma de métricas cuantitativas
Circunstancias conocidas o previsibles que puedan generar riesgos: casos límite y modos de fallo
Medidas de supervisión humana: qué se espera que haga la persona que opera el sistema

Cada uno de estos elementos debe documentarse y ponerse a disposición de los usuarios. Si despliega un sistema de IA de alto riesgo sin esta información, no está cumpliendo.

Las seis categorías de información en detalle

1. Identidad y datos de contacto del proveedor

Es el requisito más sencillo: los usuarios deben saber quién construyó el sistema y cómo ponerse en contacto.

Qué buscan los auditores:

Nombre, dirección y correo de contacto del proveedor, visibles en la interfaz o en la documentación
Identificación clara de la persona jurídica responsable del cumplimiento

Fallo habitual: desplegar un sistema sin identificación del proveedor, o enterrar los datos de contacto en unas condiciones del servicio de 50 páginas.

2. Características, capacidades y limitaciones del rendimiento

Los usuarios deben entender qué puede y qué no puede hacer el sistema. Esto incluye:

La finalidad prevista: para qué está diseñado el sistema
Las características de rendimiento: precisión, latencia, capacidad de procesamiento
Las limitaciones conocidas: tareas que el sistema no puede realizar de forma fiable

Qué buscan los auditores:

Una especificación escrita de la finalidad prevista y de los casos de uso fuera de alcance
Referencias de rendimiento (por ejemplo, «92 % de precisión en el conjunto de validación»)
Documentación de los modos de fallo conocidos (por ejemplo, «rendimiento deficiente con texto manuscrito»)

Fallo habitual: ofrecer solo afirmaciones de marketing («precisión de última generación») sin datos cuantitativos de rendimiento ni limitaciones documentadas.

3. Cambios en el sistema y en su rendimiento

Los usuarios deben ser informados cuando el sistema se actualice y de cómo ha cambiado su rendimiento.

Qué buscan los auditores:

Historial de versiones con notas de publicación
Comparación del rendimiento antes y después de las actualizaciones
Un mecanismo de notificación a los usuarios (correo electrónico, aviso en la aplicación, etc.)

Fallo habitual: actualizar los modelos en silencio, sin avisar a los usuarios ni documentar los cambios de rendimiento.

4. Nivel de precisión, solidez y ciberseguridad

El artículo 13 exige expresamente métricas cuantitativas de:

Precisión: precisión, exhaustividad, F1 o medidas propias del dominio
Solidez: rendimiento ante entradas adversarias o desplazamiento de la distribución
Ciberseguridad: resistencia al envenenamiento de datos, la extracción de modelos o los ataques adversarios

Qué buscan los auditores:

Informes de rendimiento en el conjunto de prueba con intervalos de confianza
Referencias de solidez (por ejemplo, el rendimiento con datos fuera de distribución)
Informes de auditoría de ciberseguridad o resultados de pruebas de intrusión

Fallo habitual: comunicar solo la precisión agregada, sin desglosar el rendimiento por grupo demográfico, caso límite o escenario adversario.

5. Circunstancias conocidas o previsibles que puedan generar riesgos

Debe advertirse a los usuarios de las situaciones en las que es probable que el sistema falle o produzca resultados inseguros.

Qué buscan los auditores:

Una lista documentada de casos límite y modos de fallo
Orientaciones de mitigación de riesgos (por ejemplo, «No utilice este sistema para el diagnóstico médico»)
Pruebas de que los usuarios reciben formación sobre estas limitaciones

Fallo habitual: no facilitar documentación de los modos de fallo, dando por supuesto que los usuarios «ya se darán cuenta».

6. Medidas de supervisión humana

El artículo 14 impone la supervisión humana para los sistemas de IA de alto riesgo. El artículo 13 exige que se informe a los usuarios de qué actuaciones de supervisión se espera que realicen.

Qué buscan los auditores:

Documentación del papel de la persona que opera el sistema (por ejemplo, «Revisar todos los casos señalados antes de la decisión final»)
Materiales de formación para quienes operan el sistema
Pruebas de que el sistema respalda la supervisión (funciones de explicabilidad, mecanismos de anulación, etc.)

Fallo habitual: desplegar un sistema totalmente automatizado sin ningún papel documentado de supervisión humana.

Lista de comprobación del cumplimiento del artículo 13

Categoría de información	Documentación necesaria	Laguna habitual
Identidad del proveedor	Nombre, dirección y correo de contacto en la interfaz o la documentación	Sin identificación del proveedor
Características, capacidades, limitaciones	Finalidad prevista, referencias de rendimiento, modos de fallo	Afirmaciones de marketing sin datos cuantitativos
Cambios y actualizaciones	Historial de versiones, notas de publicación, notificaciones a los usuarios	Actualizaciones silenciosas, sin notificación
Precisión, solidez, ciberseguridad	Informes del conjunto de prueba, referencias de solidez, auditorías de seguridad	Solo precisión agregada, sin desglose por casos límite
Riesgos y modos de fallo conocidos	Lista de casos límite, orientaciones de mitigación de riesgos	Sin documentación de los modos de fallo
Medidas de supervisión humana	Papel del operador, materiales de formación, mecanismos de anulación	Sin papel de supervisión documentado

Cómo interactúa el artículo 13 con otros requisitos

El artículo 13 no existe aislado. Se cruza con:

El artículo 9 (gestión de riesgos): los riesgos que identifique conforme al artículo 9 deben comunicarse a los usuarios conforme al artículo 13
El artículo 10 (gobernanza de datos): las métricas de calidad de los datos que documente conforme al artículo 10 alimentan la información sobre precisión que exige el artículo 13
El artículo 14 (supervisión humana): las medidas de supervisión que diseñe conforme al artículo 14 deben explicarse a los usuarios conforme al artículo 13
El artículo 50 (transparencia de determinados sistemas de IA): si su sistema también está sujeto al artículo 50 (chatbots, reconocimiento de emociones, etc.), tiene obligaciones de transparencia adicionales, aplicables desde el 2 de agosto de 2026

Una estrategia de cumplimiento completa aborda todo esto de forma conjunta, no como listas de comprobación aisladas.

Ejemplo concreto: un sistema de calificación crediticia

Supongamos que ha construido un sistema de calificación crediticia con IA. Con arreglo al anexo III, punto 5, letra b), es un sistema de alto riesgo. Así se ve el cumplimiento del artículo 13:

Identidad del proveedor: la interfaz del sistema muestra «Proporcionado por FinTech Corp, 123 Main St, Dublín, Irlanda. Contacto: compliance@fintechcorp.eu»
Características, capacidades, limitaciones: documenta que el sistema está diseñado para decisiones de crédito al consumo de hasta 50.000 €, alcanza un 89 % de precisión en los datos de validación y rinde mal con solicitantes de historial crediticio escaso (menos de 3 líneas de crédito).
Cambios y actualizaciones: cuando actualiza el modelo, envía un correo a todos los usuarios con un enlace a las notas de publicación, que muestran la nueva precisión (91 %) y los cambios en las tasas de falsos positivos y falsos negativos.
Precisión, solidez, ciberseguridad: facilita un informe de rendimiento con la precisión, la exhaustividad y el F1 por grupo demográfico, además de los resultados de las pruebas de solidez con entradas adversarias (por ejemplo, solicitantes que declaran deliberadamente ingresos falsos).
Riesgos conocidos: documenta que el sistema puede infravalorar el riesgo de los trabajadores autónomos y sobrevalorar el de las personas inmigradas recientemente. Facilita esta orientación: «Revise manualmente todas las solicitudes de autónomos y de personas inmigradas recientemente.»
Supervisión humana: documenta que los gestores de préstamos deben revisar todas las solicitudes señaladas como «límite» (puntuación de 600 a 650) y tienen potestad para apartarse de la recomendación del sistema.

Todo ello se reúne en un documento de información al usuario que se entrega a cada gestor de préstamos que utiliza el sistema. Cuando un auditor pide pruebas del artículo 13, usted le entrega ese documento junto con los registros de formación que acreditan que los gestores de préstamos se han formado en él.

Qué ocurre si no cumple

El incumplimiento del artículo 13 puede dar lugar a:

Multas administrativas de hasta 15 millones de euros o el 3 % del volumen de negocios mundial con arreglo al artículo 99, apartado 4; para las pymes, la cifra menor
Actuaciones de vigilancia del mercado: las autoridades nacionales pueden ordenarle retirar su sistema del mercado o suspender su uso
Exposición a responsabilidad: si un usuario hace un mal uso de su sistema porque usted no facilitó información adecuada, puede responder de los daños resultantes

La fecha operativa para los sistemas de alto riesgo del anexo III es el 2 de diciembre de 2027. Si despliega un sistema de IA de alto riesgo en la UE, necesita ya la documentación de cumplimiento del artículo 13.

Antipatrones habituales que Vigilia detecta

La auditoría del Reglamento Europeo de IA de Vigilia señala estos antipatrones del artículo 13:

Sin documentación dirigida al usuario: el sistema no tiene interfaz ni documentación que explique su finalidad, sus limitaciones o su rendimiento
Afirmaciones de marketing sin datos cuantitativos: el sistema declara «alta precisión» pero no aporta métricas del conjunto de prueba
Sin documentación de los modos de fallo: no se advierte a los usuarios de los casos límite ni de las situaciones en las que es probable que el sistema falle
Sin orientaciones de supervisión humana: no se dice a los usuarios qué actuaciones de supervisión se espera que realicen
Actualizaciones silenciosas: el sistema se actualiza sin notificarlo a los usuarios ni documentar los cambios de rendimiento
Sin identificación del proveedor: los usuarios no saben quién construyó el sistema ni cómo contactar con él

Cada antipatrón se asocia a una estimación de exposición a multas y a una hoja de ruta de corrección.

Cómo cumplir en 20 minutos

La auditoría del Reglamento Europeo de IA de Vigilia genera un análisis de lagunas del artículo 13 en 20 minutos. Usted responde a preguntas sobre su documentación de transparencia, la información a los usuarios y sus medidas de supervisión. Vigilia relaciona sus respuestas con los requisitos del artículo 13 y señala las lagunas.

El resultado es un PDF listo para auditoría que cubre:

La puntuación de cumplimiento del artículo 13 (0-100)
Las lagunas concretas (por ejemplo, «sin modos de fallo documentados»)
Una hoja de ruta de corrección con el esfuerzo estimado
Estimaciones de exposición a multas para cada laguna

Las auditorías de cumplimiento tradicionales cuestan de 5.000 a 40.000 € y tardan de 1 a 3 meses. Vigilia cuesta 499 € y tarda 20 minutos.

Genere ahora su informe de cumplimiento del artículo 13: www.aivigilia.com

Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico. Consulte a un abogado especializado en el Reglamento Europeo de IA para obtener orientación sobre su situación concreta.