Los pasados días 10 y 11 de julio de 2024, se celebró, en el Aula Unamuno del Edificio histórico de la Universidad de Salamanca, el Congreso internacional de Derecho de las plataformas digitales bajo la dirección -certera- de mi amigo el Prof. Dr. D. Fernando Carbajo Cascón y la Profª. Dra. Dª. Mercedes Curto Polo y la coordinación -eficacísima- de la Profª. Dra. Dª. Vanessa Jiménez Serranía, el Prof. Dr. D. Martín González-Orús Charro y el Prof. Dr. D. Andrés Trujillo Jiménez; auspiciado por el Proyecto Marco Regulador de las Plataformas en línea en la economía digital. Competencia y responsabilidad en el uso de datos y contenidos (Ministerio de Ciencia e Innovación. PID 2020-119002RB-I00).
En él, más de cuarenta especialistas nacionales e internacionales debatieron sobre la materia distribuidos en ocho paneles que trataron de los aspectos generales y particulares de este ámbito cada día más relevante de la regulación de la Economía. El Congreso se cerró con un octavo panel dedicado a uno de los aspectos particulares del Derecho de las plataformas digitales, cual fue el de las “plataformas y operaciones en los mercados financieros” en el que tuve el honor y placer de participar con una ponencia sobre “Algunos aspectos sobre la aplicación del Reglamento DORA a las plataformas digitales”. Fiel a la costumbre de este blog, procedo a ofrecer a sus lectores una síntesis de mi ponencia, por si les resulta de algún interés o utilidad.
A) Planteamiento: la intersección de dos conjuntos normativos complejos
Dado que los dos temas sobre los que debía disertar compartían el común denominador de ser extremadamente complejos en lo técnico y en lo jurídico; aplique mi costumbre didáctica paradójica de intentar explicar lo muy difícil de la forma más sencilla posible. Para ello recurrí, una vez más, a la pedagogía ideográfica para ofrecer una imagen simple, cual fue la matemática elemental de la intersección de dos conjuntos normativos: el genérico de las plataformas digitales y el específico del mercado financiero en una de sus expresiones más sofisticadas, cual es el de la normativa sobre resiliencia operativa digital regulada en el DORA. Expuse como la intersección de los dos conjuntos normativos se proyectaba en dos espacios principales: el económico de las tecnologías de la información y comunicación (TIC) y en el espacio operativo de la colaboración de las entidades financieras con terceros proveedores de servicios digitales que, según veremos, suelen coincidir con los grupos de sociedades liderados por los “guardianes de acceso” a las plataformas digitales.
B) El conjunto normativo genérico de las plataformas digitales
Entrado en el primer conjunto normativo genérico de las plataformas digitales y dado que, en los paneles previos del Congreso, ya se habían examinado pormenorizadamente sus diferentes aspectos, me limité a mencionar el marco regulatorio general establecido en el Derecho de la UE integrado por:
B.1) La Ley de Mercados Digitales (LMD)
El Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo de 14 de septiembre de 2022, sobre mercados disputables y equitativos en el sector digital y por el que se modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 dispone, en su artículo 1, que su finalidad reside en “contribuir al correcto funcionamiento del mercado interior estableciendo normas armonizadas que garanticen a todas las empresas, en toda la Unión, la equidad y la disputabilidad de los mercados en el sector digital donde haya guardianes de acceso, en beneficio de los usuarios profesionales y los usuarios finales”. En particular, la denominada Ley de Mercados Digitales (LMD), tiene por objeto evitar que los guardianes de acceso impongan condiciones injustas a las empresas y los usuarios finales y garantizar el carácter abierto de importantes servicios digitales. El efecto final que se persigue con estas normas comunes en todo el mercado único es fomentar la innovación, el crecimiento y la competitividad y facilita la expansión de las plataformas más pequeñas, las pequeñas y medianas empresas y las empresas emergentes que contarán con un marco único y claro a escala de la UE (el lector interesado en la materia puede consultar las entradas que publicamos en este blog financiero los días 27, 28 y 29 de diciembre de 2022 sobre la “Digitalización mercantil europea: La Ley Europea de Mercados Digitales (LMD). El Reglamento (UE) 2022/1925”).
B.2) La Ley de Servicios Digitales (LSD)
El Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo de 19 de octubre de 2022 relativo a un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/CE) dispone, en su artículo 1, que su objetivo consiste en “contribuir al correcto funcionamiento del mercado interior de servicios intermediarios estableciendo normas armonizadas para crear un entorno en línea seguro, predecible y fiable que facilite la innovación y en el que se protejan efectivamente los derechos fundamentales amparados por la Carta, incluido el principio de protección de los consumidores” (el lector interesado en la materia puede consultar las entradas que publicamos en este blog financiero los días3, 4 y 5 de enero de 2023 sobre la “Digitalización mercantil europea: La Ley Europea de Servicios Digitales (LSD). El Reglamento (UE) 2022/2065”).
C) El conjunto normativo específico de DORA explicado en cuatro fases
Abordamos la exposición de este segundo conjunto normativo específico de DORA tratando de explicarlo en cuatro fases (desde la tranquilidad que nos da poder remitirnos a las entradas de este blog y estudios en la materia que hemos publicado):
C.1) Aspectos generales
Estacamos los siguientes:
a) El Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital del sector financiero (DORA) es una disposición cuantitativamente voluminosa (con 106 considerandos y 64 artículos que ocupan 79 hojas del DOUE) y cualitativamente compleja, que emplea técnicas regulatorias novedosas como las pruebas de resiliencia operativa digital.
b) DORA establece requisitos uniformes relativos a la seguridad de las redes y los sistemas de información que sustentan los procesos empresariales de las entidades financieras en dos ámbitos: a) El ámbito interno referido a los requisitos internos o reflexivos que resultan aplicables a las propias entidades financieras en relación con la “gestión del riesgo en el ámbito de las tecnologías de la información y la comunicación (TIC). b) El ámbito externo, referido a los requisitos externos o transitivos que resultan aplicables a las entidades financieras en relación con los proveedores terceros de servicios de TIC y los supervisores.
c) DORA -que por su propia naturaleza de Reglamento de la UE será obligatorio en todos sus elementos y directamente vinculante en cada Estado miembro- será aplicable a partir del 17 de enero de 2025.
d) DORA se inserta en el Paquete Europeo de Finanzas Digitales que abarca un conjunto de “medidas para promover y apoyar el potencial de las finanzas digitales en términos de innovación y competencia, al mismo tiempo que se mitigan los riesgos derivados de ello” y que abarca la Propuesta de Reglamento sobre los mercados de criptoactivos, la Propuesta de Reglamento sobre un régimen piloto sobre la infraestructura de mercado de la tecnología de contabilidad distribuida (DLT), etc.
e) DORA completa el sistema de gestión del riesgo de las entidades financieras -hasta ahora- basado exclusivamente en el capital añadiendo reglas para las capacidades de protección, detección, contención, recuperación y reparación frente a incidentes relacionados con las TIC.
f) DORA operará como norma supletoria de dos formas: a) De forma genérica, porque se aplicará sin perjuicio de la responsabilidad de los Estados miembros en lo concerniente a las funciones esenciales del Estado que afectan a la seguridad pública, la defensa y la seguridad nacional de conformidad con el Derecho de la Unión. b) De forma específica, porque operará de forma coordinada y como sistema adicional a las regulaciones específicas de las entidades financieras a las que resulta aplicable.
g) DORA se aplicará conforme al “principio de proporcionalidad” porque las entidades financieras aplicarán sus normas teniendo en cuenta su tamaño y perfil de riesgo general, así como la naturaleza, escala y complejidad de sus servicios, actividades y operaciones.
C.2) Estructura
a) La estructura de DORA está integrada, por sus elementos subjetivos y objetivos. En cuanto se refiere a sus elementos subjetivos, como su propio nombre indica, el ámbito del Reglamento (UE) 2022/2554 (DORA) es el sector financiero, lo que se traduce en que los sujetos sometidos a sus disposiciones son las entidades financieras diferenciando entre las incluidas y las excluidas. Atendiendo al criterio del sector del mercado financiero en el que operan de forma preferente, podemos distinguir cuatro clases de entidades financieras a las que se les aplicará el DORA: a) Las entidades del mercado bancario (p.ej. las entidades de crédito). b) Las entidades del mercado de valores (p.ej. las empresas de servicios de inversión). c) Las entidades del mercado de seguros (p.ej. las empresas de seguros y de reaseguros). d) Las entidades transversales a los tres sectores del mercado financiero (p.ej. las agencias de calificación crediticia).
b) Los elementos objetivos que integran la estructura de DORA son: a) El riesgo, ofreciendo DORA un conjunto de definiciones de riesgos relevantes en el sector de las finanzas digitales como son el riesgo relacionado con las TIC de carácter endógeno o exógeno, esto es, derivado de terceros, el riesgo de concentración de TI y la ciberamenaza. b) El incidente, ofreciendo DORA un conjunto de definiciones de incidentes relevantes en el sector de las finanzas digitales que, en función de su gravedad y de su relación con los pagos, pueden clasificarse en las siguientes categorías: Incidentes comunes relacionados con las TIC que pueden ser normales o graves e incidentes operativos o de seguridad relacionados con los pagos que también pueden ser normales o graves. Además, en esta fase actual o de siniestralidad podemos incluir el ciberataque. c) La resiliencia operativa digital entendida como la propiedad definitoria del sistema que diseña DORA.
C.3) Funcionamiento
a) El funcionamiento del sistema de resiliencia operativa digital (ROD) diseñado por DORA opera en una secuencia trifásica que parte de la gestión del riesgo operativo digital, sique con la prevención de incidentes mediante la resiliencia y acaba con la solución de los incidentes que sin duda acaecerán, a pesar de las medidas preventivas que se adopten.
b) En la primera fase de gestión del riesgo operativo digital, las entidades financieras deben tener establecido un sistema global de gestión de riesgos, del que formará parte el subsistema de gestión del riesgo operativo digital (ROD), que reposa sobre un documento básico cual es el marco de gestión del riesgo relacionado con las TIC que debe reunir los requisitos de calidad exigidos por el DORA y ser gestionado eficientemente por el órgano de dirección de la entidad financiera. Ello requiere que las entidades financieras adopten las medidas siguientes: a) El establecimiento de un marco de gestión del riesgo operativo digital relacionado con las TIC que reúna los requisitos de calidad (adecuación, fiabilidad, capacidad y resiliencia) y de cantidad o contenido (estrategias, políticas, procedimientos, y protocolos y herramientas). b) La gobernanza y control del marco interno de gestión del ROD por el órgano de dirección de la entidad financiera. c) La ejecución del marco de gestión del ROD mediante un proceso que consta de las fases siguientes: protección y prevención, detección de actividades anómalas, respuesta y recuperación, aprendizaje y evolución y comunicación.
c) La segunda fase de prevención de los incidentes operativos digitales descansa sobre las pruebas de resiliencia operativa digital que deben ajustarse a los programas de pruebas que deben cumplir dos tipos de requisitos: a) Los requisitos objetivos de las pruebas normales y avanzadas. b) Los requisitos subjetivos de los probadores externos e internos.
d) La tercera fase de la solución de los incidentes operativos digitales se ordena en las siguientes actividades que deben realizar las entidades financieras: a) La detección de los incidentes operativos digitales. b) La clasificación de los incidentes operativos digitales y de las ciberamenazas. c) La notificación de los incidentes operativos digitales y de las ciberamenazas a las autoridades competentes con un distinto alcance: La notificación obligatoria de los incidentes graves relacionados con las TIC y la notificación voluntaria de las ciberamenazas importantes.
C.4) Supervisión
a) El sistema de gestión del riesgo relacionado con las TIC que establece DORA se cierra con su supervisión pública y la eventual sanción de sus infracciones por parte de las entidades financieras.
b) La supervisión del sistema de gestión del riesgo relacionado con las TIC que establece DORA puede ser de dos tipos: En primer lugar, la supervisión privada por las propias entidades financieras o autosupervisión.
c) La supervisión pública por las autoridades competentes se organiza en tres niveles: el de las Autoridades Europeas de Supervisión, a través del Comité Mixto, el del Foro de Supervisión y el del supervisor designado para cada proveedor tercero esencial de servicios de TIC quien tendrá atribuidas las tareas y las facultades de requerimiento, de información y de inspección, sobre las entidades supervisadas radicadas dentro y fuera de la UE.
d) El régimen sancionador que establece DORA descansa sobre una relación jurídica de responsabilidad administrativa que se desarrolla en las tres fases siguientes: a) La supervisión, porque las autoridades competentes dispondrán de todas las facultades de supervisión, investigación y sanción necesarias para cumplir con sus obligaciones. b) La infracción, porque los Estados miembros de la UE deberán establecer normas que prevean sanciones administrativas y medidas correctoras adecuadas en caso de infracción del DORA y garantizarán su aplicación efectiva. c) La sanción, porque los Estados miembros de la UE deberán conferir a las autoridades competentes la facultad de aplicar las sanciones administrativas o medidas correctoras en caso de infracción del DORA para garantizar que las entidades financieras sigan cumpliendo los requisitos legales.
D) La intersección de ambos conjuntos normativos
En este punto, retome el hilo argumental que deje anunciado en el planteamiento de mi poonencia donde anticipaba que la intersección de los dos conjuntos normativos se proyectaba en dos espacios principales: en el económico de las tecnologías de la información y comunicación (TIC) y en el espacio operativo de la colaboración de las entidades financieras con terceros proveedores de servicios digitales que, según veremos, suelen coincidir con los grupos de sociedades liderados por los “guardianes de acceso” a las plataformas digitales. En efecto:
D.1) La intersección en el espacio económico de las tecnologías de la información y comunicación (TIC)
Este primer espacio de intersección entre la regulación de las plataformas digitales y DORA se evidencia en dos tipos de disposiciones de DORA que son:
a) La manifestación funcional de los “servicios de TIC”; definidos como como “los servicios digitales y de datos prestados a través de los sistemas de TIC a uno o varios usuarios internos o externos de forma continua, incluidos el hardware como servicio y los servicios de hardware que incluyen la prestación de asistencia técnica a través de actualizaciones de software o firmware por parte del proveedor de hardware y excluidos los servicios telefónicos analógicos tradicionales”.
b) La manifestación subjetiva de los “proveedores de servicios de TIC” que, a su vez, pueden clasificarse en dos categorías en función de la integración o no en la entidad financiera y el carácter esencial de los servicios que presta, de tal modo que podemos diferenciar entre “proveedor intragrupo de servicios de TIC” -definido como “una empresa que forma parte de un grupo financiero y presta principalmente servicios de TIC a entidades financieras del mismo grupo o a entidades financieras que pertenecen al mismo sistema institucional de protección, también a sus sociedades matrices, filiales o sucursales o a otras entidades que compartan propiedad o control”- y “proveedor tercero de servicios de TIC».
D.2) La intersección en el espacio operativo de la colaboración de las entidades financieras con terceros proveedores de servicios digitales
En el planteamiento de mi ponencia, avancé que la intersección de los dos conjuntos normativos se proyectaba, en segundo término, en el espacio operativo de la colaboración de las entidades financieras con terceros proveedores de servicios digitales porque, estos últimos suelen coincidir con los grupos de sociedades liderados por los “guardianes de acceso” a las plataformas digitales.
En este punto, recordé que, el pasado día 6 de septiembre de 2023, la Comisión Europea designo, por primera vez, seis guardianes de acceso en virtud de la Ley de Mercados Digitales (LMD/DMA). Se trató de ALPHABET, AMAZON, APPLE, BYTEDANCE, META Y MICROSOFT quienes especificaron 22 servicios básicos de plataforma que van a prestar (el lector interesado en ello puede consultar las entradas de este blog de 18 y 19 de septiembre de 2023 tituladas ”La Comisión Europea designa seis Guardianes de Acceso a los Mercados Digitales (ALPHABET, AMAZON, APPLE, BYTEDANCE, META Y MICROSOFT) y abre cuatro investigaciones de mercado en ejecución del Reglamento (UE) 2022/1925”).
Visto lo anterior, es oportuno constatar que según acabamos de ver, el “proveedor tercero de servicios de TIC« se define como “una empresa que presta servicios de TIC”, precisado en forma de “proveedor tercero esencial de servicios de TIC como un proveedor tercero de servicios de TIC designado como esencial de conformidad con el artículo 31 quien, a su vez, puede estar radicado en la UE o ser un proveedor tercero de servicios de TIC establecido en un tercer país definido como un proveedor tercero de servicios de TIC que sea una persona jurídica establecida en un tercer país que haya celebrado un acuerdo contractual con una entidad financiera para la prestación de servicios de TIC”.
Llegados a este punto, nos pareció procedente caracterizar este segundo espacio de intersección sobre una doble base:
a) Los “principios
En primer lugar, recordando los “principios fundamentales de una buena gestión del riesgo relacionado con las TIC derivado de terceros” que enumera DORA y que son:
a.1) La responsabilidad, como un principio general a todas las entidades financieras cuando externalizan y subcontratan servicios o actividades en terceras entidades, plasmado en el art.28.1.a) de DORA cuando dice: “Las entidades financieras que tengan acuerdos contractuales en vigor para utilizar servicios de TIC en el funcionamiento de sus operaciones comerciales serán, en todo momento, plenamente responsables del cumplimiento y observancia de todas las obligaciones con arreglo al presente Reglamento y al Derecho aplicable en materia de servicios financieros”.
a.2) La proporcionalidad, como un principio también común a todas las entidades financieras cuando externalizan y subcontratan servicios o actividades en terceras entidades, plasmado en el art.28.1.b) de DORA. Adviértase que se trata de una aplicación de la característica general de DORA que se manifiesta en su art.4. Procede recordar que este principio de proporcionalidad rige tanto en el ámbito de gestión del ROD derivado de factores internos o endógenos como externos o exógenos como lo podemos verificar: a.2.1) En el ámbito de gestión del ROD derivado de factores internos o endógenos cuando el DORA, en su artículo 16 se refiere al “marco simplificado de gestión del riesgo relacionado con las TIC”. a.2.2.b) En el ámbito de gestión del ROD derivado de factores externos o exógenos cuando el DORA, en su artículo 28, enuncia los “principios fundamentales de una buena gestión del riesgo relacionado con las TIC derivado de terceros”.
b) La contratación
En segundo lugar, destaqué un aspecto específicamente jurídico cual es el de la contratación porque, dado que la necesidad frecuente de las entidades financieras de recurrir a proveedores terceros de servicios de TIC se documenta en forma de contratos, el DORA presta una particular atención a su contenido en tres fases:
b.1) Precontractual: Las entidades financieras deben realizar una suerte de “examen de conciencia” antes de recurrir a proveedores terceros de servicios de TIC para suscribir los correspondientes contratos. Este “examen de conciencia” precontractual abarca un control de calidad de los terceros proveedores porque “las entidades financieras únicamente podrán celebrar acuerdos contractuales con proveedores terceros de servicios de TIC que cumplan estándares adecuados en materia de seguridad de la información”.
b.2) Contractual: Los contratos que documenten las relaciones de las entidades financieras con los proveedores terceros de servicios de TIC deberán describir los derechos y obligaciones de la entidad financiera y del proveedor tercero de servicios de TIC de manera clara, formalizándose en un documento escrito que estará a disposición de las partes en papel, o en un documento en otro formato descargable, duradero y accesible. Las cláusulas contractuales fundamentales de estos documentos deben describir dos tipos de elementos con un alcance diferente: Sobre los elementos que sustenten funciones normales y sobre los elementos que sustenten funciones esenciales o importantes.
b.3) Postcontractual: Las entidades financieras deberán garantizar la posibilidad de terminar los acuerdos contractuales sobre el uso de servicios de TIC con dos dimensiones: b.3.1) Si se trata de servicios de TIC que sustentan funciones normales u ordinarias, deben garantizar la resolución contractual en los supuestos tipificados. b.3.2) Si se trata de servicios de TIC que sustentan funciones esenciales o importantes, las entidades financieras deberán establecer estrategias de salida que tendrán en cuenta los riesgos que puedan surgir en relación con los proveedores terceros de servicios de TIC, en particular un posible fallo por su parte, un deterioro de la calidad de los servicios de TIC prestados, cualquier perturbación de la actividad debida a una falta de prestación de servicios de TIC o a una prestación inadecuada, o cualquier riesgo sustancial que pueda plantearse en relación con el ejercicio adecuado y continuo del servicio de TIC correspondiente, o la terminación de los acuerdos contractuales con proveedores terceros de servicios de TIC en cualquiera de las circunstancias enumeradas para los servicios normales. En estos supuestos, las entidades financieras se asegurarán de poder abandonar los acuerdos contractuales sin perturbación de sus operaciones comerciales; limitación del cumplimiento de los requisitos reglamentarios; ni perjuicio para la continuidad y la calidad de los servicios prestados a los clientes (art.28.8)
E) Un mensaje final optimista: ya está aquí el Reglamento de Inteligencia Artificial
Dado el entorno en el que se desarrollaba el Congreso y dado el carácter final de mi Ponencia, me pareció conveniente anticipar, en día 11 de julio la noticia seguro de que, el día siguiente, en el DOUE del pasado viernes, 12 de julio se publicó el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo de 13 de junio de 2024 por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) (RIA).
Sin pretender en modo alguno comentar este esperado y transcendental RIA, ante el seguro tsunami de comentarios de todo tipo y especie que nos espera en todo tipo de medios y con una más que previsible confusión -muchas veces interesada- en la materia que ya hemos denunciado en anteriores ocasiones; si nos parece oportuno apuntar simplemente algunos de sus aspectos generales. Todo ello sin perjuicio de anunciar a los lectores de este blog que, en los próximos días, le dedicaremos una atención especial siguiendo la estela de las muchas entradas que hemos dedicado a la regulación de la IA en general y a su empleo en el mercado financiero es particular (el lector interesado puede encontrar estas muchas entradas introduciendo el término IA en los potentes motores de búsqueda de esta plataforma WordPress).
E.1) Forma
De entrada, nos interesa destacar que estamos ante un Reglamento cuantitativamente voluminoso, reflejado en 144 páginas de DOUE, que consta de 180 considerandos, 113 artículos y 13 anexos; y cualitativamente complejo, por las materias que trata y por cómo las trata (para verificar esta afirmación, invitamos el lector a consultar, a modo de ejemplo, el Anexo III que establece los “Sistemas de IA de alto riesgo a que se refiere el artículo 6, apartado 2” o el Anexo XIII que hace lo propio con los “Criterios para la clasificación de los modelos de IA de uso general con riesgo sistémico a que se refiere el artículo 51”).
E.2) Impacto normativo en el Derecho de la UE
Según reza su título, el RIA tiene un impacto profundo en dos tipos de disposiciones del Derecho vigente de la UE (ver su Capítulo XIII, de Disposiciones finales, artículos 102 a 110):
a) Reglamentos, en concreto, los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144
b) Directivas, en concreto, las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828
E.3) Implementación y responsabilidad
Destaca el régimen de responsabilidad administrativa que se traza en su Capítulo XII, dedicado a las sanciones (artículos 99 a 101).
En cuanto a la responsabilidad civil derivada de su incumplimiento, recordamos que, el día 28 de septiembre de 2022, la Comisión Europea publicó la Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a la adaptación de las normas de responsabilidad civil extracontractual a la inteligencia artificial (Directiva sobre responsabilidad en materia de IA) (Bruselas, 28.9.2022, COM(2022) 496 final, 2022/0303 (COD) (el lector puede consultar las dos entradas de este blog de 14 y 15 de diciembre de 2022 sobre la “Inteligencia Artificial Responsable (IAR): la Propuesta de Directiva sobre responsabilidad en materia de IA de 28 de septiembre de 2022”).
E.4) Vigencia
Partiendo de la regla general de que el RIA “será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro”, su artículo 113 -dedicado a su “entrada en vigor y aplicación”- periodifica su vigencia en dos fases:
a) Una fase común, porque el RIA entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea y será aplicable a partir del 2 de agosto de 2026.
b) Una fase especial porque lo anterior no obsta para que: los capítulos I y II serán aplicables a partir del 2 de febrero de 2025; el capítulo III, sección 4, el capítulo V, el capítulo VII y el capítulo XII y el artículo 78 serán aplicables a partir del 2 de agosto de 2025, a excepción del artículo 101; y el artículo 6, apartado 1, y las obligaciones correspondientes serán aplicables a partir del 2 de agosto de 2027.
Todo ello sin perjuicio del régimen transitorio previsto en el artículo 111 para los “sistemas de IA ya introducidos en el mercado o puestos en servicio y modelos de IA de uso general ya introducidos en el mercado”.