Importa robots con IA de China: Ley de IA y ciberseguridad

El caso, en cinco líneas

Qué se ejercita

Revisión de conformidad antes de introducir los robots (Reglamento de IA, Ley de Ciberresiliencia, Directiva 2014/53 de equipos radio y normas de máquinas) y un contrato con el fabricante chino que reparta la carga. Si ya están vendidos: respuesta al requerimiento con un plan de medidas correctoras, recurso contra la orden de retirada y reclamación al fabricante por la falta de conformidad (arts. 35 y 39 de la Convención de Viena) y por los costes.

Ante quién

Vigilancia del mercado: los órganos de industria de la comunidad autónoma para las máquinas; la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales para los equipos radio; la AESIA para la IA. Las notificaciones de la Ley de Ciberresiliencia van al CSIRT coordinador y a ENISA por la plataforma única. Contra la orden de retirada, el recurso que indique su pie y después la jurisdicción contencioso-administrativa. Frente al fabricante chino, el foro del contrato: el tribunal arbitral pactado o la sección civil del Tribunal de Instancia.

Plazo

Ya rigen: la ciberseguridad de los equipos radio desde el 1 de agosto de 2025; la transparencia de la IA que conversa desde el 2 de agosto de 2026; las notificaciones del fabricante desde el 11 de septiembre de 2026 (alerta en 24 horas, notificación en 72 e informe final). Llegan: el Reglamento de máquinas el 20 de enero de 2027, la Ley de Ciberresiliencia plena el 11 de diciembre de 2027 y la IA de alto riesgo de las máquinas a más tardar el 2 de agosto de 2028. Contra la orden de retirada, un mes de alzada y, después, dos meses para el contencioso desde la resolución expresa (frente al silencio no rige el plazo de seis meses, STC 52/2014). Frente al fabricante, denuncia en plazo razonable y como máximo dos años desde la entrega (art. 39 de la Convención de Viena).

Quién puede

Importador es quien, establecido en la Unión, introduce en el mercado el robot con el nombre o la marca del fabricante chino (art. 3.6 del Reglamento de IA). Si los robots se fabrican para usted y los vende con su marca, para la Ley de Ciberresiliencia el fabricante es usted (art. 3.13), y desde 2027 también para el Reglamento de máquinas (art. 3.18.a; y, si es importador o distribuidor, art. 17). Frente al fabricante reclama la empresa que firmó el pedido, contra el vendedor que figura en él.

Riesgo económico

Retirada o recuperación de lo vendido y, si no se corrige, destrucción sin indemnización (art. 10.3 de la Ley 21/1992, de Industria), con multas de hasta 6.000.000 de euros por infracción grave (art. 34). Con la Ley de Ciberresiliencia plenamente aplicable, hasta 10.000.000 de euros o el 2 % del volumen de negocio mundial para el importador (art. 64). Y una garantía de cumplimiento firmada a su cliente sin respaldo del fabricante le deja solo frente a las dos reclamaciones: nadie puede prometerle que el fabricante chino pague.

Si su robot es una máquina, el Reglamento de IA llega en 2028

El Reglamento de IA, el Reglamento (UE) 2024/1689, ya no se lee como se publicó. El ómnibus digital de IA, el Reglamento (UE) 2026/1744, de 8 de julio de 2026, en vigor desde el 27 de julio de 2026, sacó el Reglamento de máquinas (Reglamento (UE) 2023/1230) de la sección A del anexo I y lo pasó a la sección B. La consecuencia es directa: a la IA de alto riesgo de un robot que es una máquina solo se le aplican, del Reglamento de IA, el art. 6.1, el art. 60 bis y los arts. 102 a 112 (art. 2.2). Las obligaciones del capítulo III, las del proveedor (art. 16), las del importador (art. 23) y la evaluación de la conformidad (art. 43), no le alcanzan directamente.

Sus requisitos de IA llegarán por otra puerta: la Comisión los añadirá al anexo III del Reglamento de máquinas mediante actos delegados, que se aplicarán a más tardar el 2 de agosto de 2028. Para el resto de la IA de alto riesgo, el capítulo III se aplica desde el 2 de diciembre de 2027 a la del anexo III y desde el 2 de agosto de 2028 a la del art. 6.1 y el anexo I. Lo que nadie le cuenta es que buena parte de lo publicado todavía da el 2 de agosto de 2027 y sitúa las máquinas en la sección A: un contrato o una garantía redactados con esa premisa obligan a cosas que la norma ya no pide y callan lo que sí pide.

Lo que sí rige ya: si el robot conversa con personas, como un humanoide de recepción, el sistema de IA que conversa debe diseñarse para que la persona sepa que habla con una IA, salvo que resulte evidente (art. 50.1), desde el 2 de agosto de 2026. Esa obligación es del proveedor, y proveedor es también quien introduce el sistema con su propio nombre o marca (art. 3.3). Y si el robot no es una máquina sino un juguete o un equipo radio de la sección A, y su IA es de alto riesgo, desde el 2 de agosto de 2028 se le aplican el art. 23 (lo que comprueba el importador), el art. 22 (el representante autorizado del fabricante chino) y el art. 25 (cuándo usted pasa a ser proveedor), con multas de hasta 15.000.000 de euros o el 3 % del volumen de negocio mundial, el importe menor si es una pyme (art. 99).

Cuándo la IA del robot es de alto riesgo y qué cambia en 2027

Por la vía del anexo I, una IA es de alto riesgo si es componente de seguridad de un producto regulado por uno de esos actos, o es el propio producto, y ese producto debe pasar una evaluación de la conformidad con un tercero (art. 6.1). El ómnibus precisa dos cosas que deciden muchos casos. No es componente de seguridad la IA que solo sirve para asistir al usuario, optimizar el rendimiento, la eficiencia, la automatización, la comodidad o el control de calidad (art. 6.1 bis), salvo que su fallo pueda poner en peligro la salud y la seguridad (art. 6.1 ter). Y un robot no es de alto riesgo solo porque su módulo radio pase por un organismo notificado por el espectro o las interferencias (art. 6.1 quater).

La pregunta que importa en un cobot es otra: si la visión artificial que detecta a la persona y frena el brazo es una función de seguridad que aprende. Desde el 20 de enero de 2027, el Reglamento de máquinas incluye en su anexo I, parte A, los componentes de seguridad con comportamiento total o parcialmente autoevolutivo por aprendizaje automático y las máquinas que los integran, y para ellos exige organismo notificado (art. 25.2). Hasta el 19 de enero de 2027 rige el Real Decreto 1644/2008, y lo introducido conforme a la Directiva 2006/42 antes del 20 de enero puede seguir comercializándose (art. 52.1). Ninguna de las dos normas define «robot»: es máquina o cuasi máquina según los criterios generales, y un brazo sin efector o un sistema de accionamiento suele ser cuasi máquina, con declaración de incorporación y no de conformidad.

Desde 2027 el importador de máquinas comprueba la evaluación de la conformidad, la documentación técnica, el marcado CE y los documentos (art. 13.2), pone sus datos (art. 13.3), guarda la declaración diez años y facilita a la autoridad la documentación, incluso el código fuente o la lógica de programación si se le pide de forma motivada (art. 13.8). Lo que nadie le cuenta es que esa petición le llega a usted, no a la fábrica china: si el contrato no obliga al fabricante a entregarla en plazo, usted no puede cumplir. Y si vende la máquina con su nombre o marca, o la modifica, pasa a ser el fabricante (arts. 17 y 18), con la evaluación y el organismo notificado a su cargo.

La ciberseguridad del robot con wifi se exige desde agosto de 2025

Un robot con wifi, Bluetooth o 5G es un equipo radioeléctrico de la Directiva 2014/53, incorporada en España por el Real Decreto 188/2016. Desde el 1 de agosto de 2025, el Reglamento Delegado (UE) 2022/30 activa para su marcado CE tres requisitos de ciberseguridad: no dañar la red, para todo equipo que pueda comunicarse por internet; proteger los datos personales y la privacidad, si el equipo conectado puede tratarlos; y protegerse contra el fraude, si permite transferir dinero (art. 3.3, letras d, e y f, de la Directiva). La fecha original, el 1 de agosto de 2024, la cambió el Reglamento Delegado 2023/2444, y estos requisitos quedan derogados el 11 de diciembre de 2027 por el Reglamento Delegado 2026/339, cuando se aplique entera la Ley de Ciberresiliencia.

El importador solo introduce equipos radio conformes: antes comprueba la evaluación de la conformidad, que el equipo pueda funcionar sin incumplir el uso del espectro, la documentación técnica, el marcado CE y las instrucciones y la información de seguridad en una lengua comprensible, y pone su nombre y su dirección postal (art. 12 de la Directiva; art. 11 del Real Decreto 188/2016). Si cree que no es conforme, no lo introduce, y si hay riesgo informa al fabricante y a la autoridad. Por eso una declaración CE que solo cita la Directiva de máquinas en un robot con wifi, como la del ejemplo, es una señal de alarma: o el módulo radio no se evaluó, o no se evaluó con los requisitos de ciberseguridad.

El órgano estatal competente es hoy la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, aunque el Real Decreto 188/2016 consolidado aún trae el nombre antiguo. En la aduana el robot no pasa el control de seguridad del SOIVRE, que no cubre las máquinas ni los robots industriales, pero si es un aparato eléctrico sí pasa, antes del despacho, el de sustancias peligrosas y la comprobación de que el importador está inscrito en el Registro Integrado Industrial, con las exclusiones de su norma; lo cuenta «El SOIVRE declara no conforme su producto y no sale de la aduana». Nuestros partners con oficinas en China y nuestros ingenieros peritos en España y en China revisan antes del embarque que el módulo radio y la versión del firmware sean los de los informes de ensayo, porque un cambio de chip de wifi sin nueva evaluación puede dejar la declaración sin respaldo.

Ley de Ciberresiliencia: los avisos de 24 horas ya corren

La Ley de Ciberresiliencia, el Reglamento (UE) 2024/2847, alcanza a todo producto con elementos digitales cuyo uso previsto incluya una conexión de datos a un dispositivo o una red (art. 2.1): un robot con wifi, Bluetooth, 5G, puerto de datos o nube, y las máquinas no están excluidas. Se aplica plenamente el 11 de diciembre de 2027 y solo a lo introducido desde entonces, salvo una modificación sustancial posterior (arts. 69.2 y 71.2). Pero su art. 14 rige desde el 11 de septiembre de 2026 y alcanza también a los productos vendidos antes (art. 69.3): los cobots que usted ya tiene instalados en sus clientes están dentro.

Ese artículo obliga al fabricante a notificar toda vulnerabilidad aprovechada activamente con una alerta temprana en 24 horas, una notificación en 72 horas y un informe final a más tardar 14 días después de tener la medida correctora; y cada incidente grave que afecte a la seguridad del producto, con alerta en 24 horas, notificación en 72 horas e informe final en un mes. Las notificaciones llegan a la vez al CSIRT coordinador y a ENISA por la plataforma única. Si el fabricante es chino, se notifica al CSIRT del Estado del representante autorizado con más productos suyos o, si no lo hay, del importador que más productos introduce (art. 14.7): si ese importador es usted, el aviso va al CSIRT de España.

Lo que nadie le cuenta: para esta ley es fabricante quien encarga el diseño o la fabricación y comercializa el producto con su nombre o marca (art. 3.13). Si los cobots se hacen para usted y llevan su marca, la notificación de 24 horas es suya desde ya, aunque el código sea del fabricante chino; y desde 2027 el importador o distribuidor que pone su marca o modifica sustancialmente el producto asume todas las obligaciones del fabricante (art. 21). Sin marca propia, usted no notifica a ENISA, pero con la aplicación plena debe comprobar antes de introducir (art. 19.2), no introducir lo que no cumple (art. 19.3), avisar al fabricante de cada vulnerabilidad que conozca y corregir, retirar o recuperar (art. 19.5). Las multas llegan a 15.000.000 de euros o el 2,5 % por el anexo I y los arts. 13 y 14, y a 10.000.000 o el 2 % por las obligaciones del importador (art. 64).

Si la autoridad le pide papeles o le ordena retirar los robots

Para introducir una máquina en la Unión hace falta un operador establecido aquí que responda ante la autoridad (art. 4 del Reglamento (UE) 2019/1020): el representante autorizado que el fabricante chino haya designado por escrito para esas tareas o, si no lo hay, el importador. La autoridad puede exigir documentos y acceso al software, inspeccionar sin aviso, comprar muestras sin identificarse y, si el operador no corrige, prohibir la comercialización y ordenar la retirada o la recuperación (art. 14.4) en el plazo que fije (art. 16). En frontera puede suspenderse el despacho, y la suspensión decae si en cuatro días hábiles la autoridad de vigilancia no pide mantenerla (arts. 26 y 27); que la mercancía se despache no prueba que sea conforme.

En España vigilan las máquinas los órganos de industria de las comunidades autónomas, y la Ley 21/1992, de Industria, permite la retirada y, si no se corrige, la destrucción sin indemnización (art. 10.3). Importar o comercializar sin cumplir cuando hay peligro grave es infracción grave (art. 31.2.a), con multas de hasta 60.000, 6.000.000 y 100.000.000 de euros según sea leve, grave o muy grave (art. 34), y responden fabricantes, vendedores e importadores (art. 33.1.c). La IA la supervisa la AESIA (Real Decreto 729/2023). No hay ley española con el régimen sancionador del Reglamento de IA: el proyecto de ley orgánica caducó el 6 de octubre de 2026.

Contra la orden de retirada o de inmovilización que no agota la vía cabe recurso de alzada en un mes; sin respuesta en tres meses se entiende desestimado. El recurso no suspende por sí solo, pero puede pedirse la suspensión y, si no se resuelve en un mes, se entiende concedida (arts. 117 y 121 a 123 de la Ley 39/2015). Después, dos meses para el recurso contencioso-administrativo desde la notificación de la resolución expresa, y, si la alzada se desestimó por silencio, sin el plazo de seis meses que aún figura en el art. 46.1, porque el Tribunal Constitucional no deja oponerlo frente al silencio (STC 52/2014, de 10 de abril), con medidas cautelares y, si hay urgencia, cautelarísimas (arts. 46, 130 y 135 de la Ley 29/1998). La defensa se gana antes, con un plan de medidas correctoras creíble y la documentación del fabricante ya en su poder; el recorrido completo de una retirada lo cuenta «Le ordenan retirar los robots o máquinas importados de China».

El contrato con el fabricante chino: dónde se gana o se pierde

Con su proveedor chino rige la Convención de Viena de 1980, salvo que el contrato la excluya. El robot debe ser apto para el uso especial que se hizo saber al vendedor al contratar (art. 35.2.b): si consta que lo compraba para venderlo en la Unión Europea, un robot sin conformidad radio o de ciberseguridad puede ser falta de conformidad. El problema es el tiempo: la falta se denuncia en plazo razonable, precisando su naturaleza, y como máximo dos años desde la entrega efectiva (art. 39), y una vulnerabilidad aflora a menudo más tarde. Por eso conviene pactar una garantía regulatoria que dure lo que el período de soporte.

Las cláusulas que deciden: conformidad con cada norma citada por su nombre (Directiva 2014/53 con el Reglamento Delegado 2022/30, Ley de Ciberresiliencia, Reglamento de máquinas y, cuando proceda, Reglamento de IA); entrega a la autoridad, en plazo corto, de la documentación técnica y del código fuente o la lógica de programación; parches y soporte durante al menos cinco años, con su fecha de fin, que la Ley de Ciberresiliencia exigirá a lo introducido desde el 11 de diciembre de 2027 (arts. 13.8 y 13.19); aviso a usted en horas de cada vulnerabilidad o incidente y copia de lo que notifique; acceso a los registros; ninguna actualización remota sin aviso; representante autorizado; y los costes de retirada a su cargo si la causa es suya. Si el robot es de la sección A, el ómnibus obligará, desde el 2 de agosto de 2028, al proveedor inicial a darle documentación, informarle de las limitaciones y modos de fallo conocidos y darle acceso técnico para pruebas cuando usted pase a ser proveedor (art. 25.2), salvo que él indicara claramente que su sistema no debe convertirse en alto riesgo: póngalo igualmente en el contrato.

La prueba se consigue en China y antes de pagar el resto. Nuestros partners con oficinas allí y nuestros ingenieros peritos revisan en fábrica que el marcado, los datos del fabricante, el firmware y los módulos radio coincidan con lo evaluado, lo vuelven a comprobar a la llegada y, si hay que reclamar, ese material es la base del dictamen pericial, que en un juicio en España firma un perito con título oficial (art. 340 de la Ley de Enjuiciamiento Civil). Si su cliente es una empresa española que le compró para revender, la venta es mercantil y el Código de Comercio da treinta días desde la entrega para reclamar por vicios internos (art. 342). Dónde demandar al fabricante lo cuenta «Quiere demandar a su proveedor chino: ¿arbitraje o tribunales?», y los daños a personas o bienes, «Su robot o batería china causó daños: por qué responde usted».

Cómo lo llevamos, paso a paso

1. 1

   Clasificar el robot y fijar su calendario

   Con la ficha técnica y el uso previsto decidimos si es máquina, cuasi máquina, juguete o equipo radio; si su IA es componente de seguridad o solo asiste u optimiza; si se conecta a internet o a la nube; y, con ello, qué normas le alcanzan y desde qué fecha.

2. 2

   Revisar la documentación antes de introducirlo

   Declaración UE de conformidad con todas las normas que le tocan, documentación técnica, informes de ensayo del módulo radio con los requisitos de ciberseguridad, instrucciones e información de seguridad en castellano, datos del fabricante y del importador, y quién actúa como operador responsable en la Unión. Si algo no cumple, el robot no se introduce hasta que cumpla.

3. 3

   Inspección en origen y a la llegada

   Nuestros partners con oficinas en China y nuestros ingenieros peritos en España y en China comprueban antes del embarque que el robot es el de la ficha, con su marcado, su firmware y sus módulos radio, y repiten la comprobación a la llegada. Es la prueba que necesitará si hay que reclamar, y conviene tenerla antes de pagar el resto.

4. 4

   Contrato o adenda con el fabricante chino

   Garantía regulatoria que dure el soporte, entrega de documentación y código a la autoridad, parches, aviso de vulnerabilidades e incidentes en horas, acceso a registros, representante autorizado, costes de retirada y la decisión, por escrito, de si los robots llevan su marca. Lo redactamos en español y en inglés, y nuestros partners en China lo trasladan a la fábrica.

5. 5

   Protocolo para vulnerabilidades e incidentes

   Quién recibe el aviso del cliente, cómo se traslada al fabricante sin demora, quién notifica en 24 horas si la marca es suya y cuándo hay que informar a la autoridad por un riesgo (art. 12.7 de la Directiva 2014/53; art. 19.5 de la Ley de Ciberresiliencia, cuando se aplique plenamente).

6. 6

   Defensa ante la autoridad y reclamación al fabricante

   Respuesta al requerimiento con un plan de medidas correctoras, recurso contra la orden de retirada y, frente al fabricante, denuncia de la falta de conformidad en plazo y reclamación de los costes. Para demandarle en España hay que intentar antes la negociación que exige la Ley Orgánica 1/2025; para el arbitraje, no.

La norma aplicable

• Arts. 2, 3, 6, 23, 25, 50 y 99 del Reglamento (UE) 2024/1689, de inteligencia artificial, en la redacción del Reglamento (UE) 2026/1744. A la IA de alto riesgo de los productos de la sección B del anexo I, donde están hoy las máquinas, solo se le aplican el art. 6.1, el 60 bis y los arts. 102 a 112. Es de alto riesgo la IA que es componente de seguridad de un producto que debe pasar evaluación de terceros, salvo la que solo asiste u optimiza sin riesgo para la seguridad. El importador comprueba evaluación, documentación, marcado y representante autorizado; con marca propia pasa a ser proveedor. La IA que conversa con personas debe advertir que lo es. Multas de hasta 35, 15 y 7,5 millones de euros o el 7, el 3 y el 1 %. 32024R1689
• Arts. 2, 3, 14, 19, 21, 64, 69 y 71 del Reglamento (UE) 2024/2847, de ciberresiliencia. Se aplica a los productos con elementos digitales que se conectan a un dispositivo o una red. El fabricante, también quien comercializa con su marca lo fabricado para él, notifica desde el 11 de septiembre de 2026 las vulnerabilidades aprovechadas y los incidentes graves en 24 y 72 horas, también de lo vendido antes. El importador comprueba antes de introducir, no introduce lo no conforme, informa y corrige, retira o recupera. Aplicación plena el 11 de diciembre de 2027. Multas de hasta 15, 10 y 5 millones de euros o el 2,5, el 2 y el 1 %. 32024R2847
• Arts. 3, 10 y 12 de la Directiva 2014/53/UE, de equipos radioeléctricos. Fija los requisitos esenciales, entre ellos los de ciberseguridad del art. 3.3, letras d, e y f, que se activan por acto delegado. El fabricante evalúa, documenta y pone el marcado CE; el importador solo introduce equipos conformes, comprueba la evaluación, la documentación y el marcado, pone sus datos, conserva la declaración diez años y corrige, retira o recupera lo que no cumple, informando a la autoridad si hay riesgo. 32014L0053
• Arts. 1 y 3 del Reglamento Delegado (UE) 2022/30. Aplica el requisito de no dañar la red a todo equipo radio que pueda comunicarse por internet; el de datos personales y privacidad, a los conectados que puedan tratar datos personales y a los de cuidado infantil, juguetes y ponibles; y el de fraude, a los que permitan transferir dinero. Se aplica desde el 1 de agosto de 2025, fecha fijada por el Reglamento Delegado 2023/2444, y queda derogado el 11 de diciembre de 2027. 32022R0030
• Arts. 13, 17, 18, 25 y 52 del Reglamento (UE) 2023/1230, de máquinas. Se aplica desde el 20 de enero de 2027; lo introducido antes conforme a la Directiva 2006/42 puede seguir comercializándose. El importador comprueba evaluación, documentación técnica y marcado CE, pone sus datos, guarda la declaración diez años y facilita la documentación, incluido el código fuente o la lógica de programación si se pide motivadamente. Con marca propia o modificación pasa a ser fabricante. Los componentes de seguridad autoevolutivos por aprendizaje automático y sus máquinas exigen organismo notificado. 32023R1230
• Arts. 4, 14, 16, 26 y 27 del Reglamento (UE) 2019/1020, de vigilancia del mercado. Exige un operador establecido en la Unión responsable del producto; da a la autoridad poderes para pedir documentos y acceso al software, inspeccionar, comprar muestras y ordenar la retirada o la recuperación en el plazo que fije; y permite suspender el despacho en frontera, suspensión que decae si la autoridad de vigilancia no pide mantenerla en cuatro días hábiles. 02019R1020-20260812
• Arts. 10, 31, 33 y 34 de la Ley 21/1992, de Industria. Permite retirar los productos que no cumplen y, si no se corrige, destruirlos sin indemnización; tipifica como grave importar o comercializar sin cumplir cuando hay peligro grave; hace responder a fabricantes, vendedores e importadores; y fija multas de hasta 60.000, 6.000.000 y 100.000.000 de euros. BOE-A-1992-17363
• Arts. 35 y 39 de la Convención de Viena de 1980. La mercancía debe ser apta para el uso especial que se hizo saber al vendedor al contratar. La falta de conformidad se denuncia en plazo razonable, especificando su naturaleza, y como máximo dos años desde la entrega efectiva, salvo una garantía contractual más larga. BOE-A-1991-2552

Artículos comprobados uno a uno contra el texto consolidado del BOE.

Preguntas frecuentes