Plantilla de plan de respuesta a incidentes de IA

Plantilla en español y en inglés. English version

Aviso: esta plantilla es una guía y no constituye asesoramiento jurídico. Revísala con un abogado o asesor cualificado antes de adoptarla.

Plantilla de VORLUX AI, vorluxai.com

Plan de respuesta a incidentes de IA

Ley de IA de la UE: plantilla para el artículo 73

Campo	Valor
Organización	_______________
Referencia del documento	AIRP-[AAAA]-[NNN]
Versión	_______________
Preparado por	_______________
Aprobado por	_______________
Fecha de entrada en vigor	_______________
Fecha de revisión	_______________

Sección 1: Propósito y alcance

1.1 Propósito

Este plan define cómo [Nombre de la organización] detecta, clasifica, responde, notifica y aprende de los incidentes en los que intervienen sistemas de IA. Sirve para cumplir el artículo 73 del Reglamento (UE) 2024/1689 de IA (notificación de incidentes graves) y el artículo 26.5 (deber del responsable del despliegue de informar al proveedor), y apoya la gestión de riesgos general de la organización.

1.2 Alcance

Este plan se aplica a:

Todos los sistemas de IA que la organización utiliza como responsable del despliegue
Todos los sistemas de IA que la organización desarrolla o comercializa como proveedor
Todo el personal, contratistas y terceros que operan o supervisan sistemas de IA

Sistemas de IA cubiertos:

Nombre del sistema	Clasificación de riesgo	Responsable del sistema	Versión
	☐ Alto riesgo ☐ Limitado ☐ Mínimo
	☐ Alto riesgo ☐ Limitado ☐ Mínimo
	☐ Alto riesgo ☐ Limitado ☐ Mínimo

1.3 Contexto normativo

Según el artículo 73, el proveedor de un sistema de IA de alto riesgo comercializado en la UE debe notificar cualquier incidente grave a las autoridades de vigilancia del mercado de los Estados miembros donde se haya producido. El responsable del despliegue que detecte un incidente grave debe informar inmediatamente, primero, al proveedor y, después, al importador o distribuidor y a las autoridades de vigilancia del mercado correspondientes (artículo 26.5).

Un incidente grave (artículo 3, punto 49) es un incidente o defecto de funcionamiento de un sistema de IA que, directa o indirectamente, tiene alguna de estas consecuencias:

El fallecimiento de una persona o un perjuicio grave para su salud
Una alteración grave e irreversible de la gestión o el funcionamiento de infraestructuras críticas
El incumplimiento de obligaciones del Derecho de la Unión destinadas a proteger los derechos fundamentales
Daños graves a la propiedad o al medio ambiente
Autoridad de vigilancia del mercado para [País]: _______________
Portal o contacto para notificar: _______________
Plazos de notificación (artículo 73): a más tardar 15 días después de tener conocimiento del incidente grave; 10 días si una persona ha fallecido; 2 días si hay una infracción generalizada o una alteración grave e irreversible de infraestructuras críticas. El Reglamento cuenta días naturales, no hábiles. Detalle en la sección 5.2.

Sección 2: Categorías de incidentes

2.1 Marco de categorías

Categoría	Código	Descripción	Ejemplos
Incidente de seguridad	CAT-S	La salida de la IA causa o puede causar daño físico	Diagnóstico médico erróneo; colisión de un sistema autónomo
Vulneración de derechos	CAT-R	La salida de la IA vulnera derechos fundamentales	Decisión de contratación discriminatoria; elaboración de perfiles ilícita
Incidente de datos	CAT-D	El sistema de IA interviene en una brecha, fuga o uso indebido de datos	Exfiltración de datos de entrenamiento; datos personales expuestos en la salida
Fallo del sistema	CAT-F	El sistema de IA no está disponible, está degradado o se comporta de forma inesperada	Caída del modelo; pérdida grave de precisión
Manipulación o uso indebido	CAT-M	El sistema de IA se usa o manipula con fines dañinos	Ataques adversarios; inyección de prompts que provoca un incumplimiento de la política
Incidente de cumplimiento	CAT-C	Se detecta que el sistema de IA no cumple la normativa	Falta la evaluación de conformidad; se descubre un uso prohibido
Fallo de transparencia	CAT-T	No se informa de la intervención de la IA cuando es obligatorio	Chatbot sin identificar como IA; decisión automatizada no comunicada
Incidente reputacional	CAT-P	El sistema de IA daña de forma significativa la confianza del público	Cobertura en medios de una salida sesgada; quejas de clientes

Sección 3: Niveles de gravedad

3.1 Clasificación de gravedad

Nivel	Nombre	Definición	Plazo de respuesta
SEV-1	Crítico	Daño activo o inminente; vulneración grave de derechos fundamentales; vida en peligro	Inmediato (< 1 hora)
SEV-2	Alto	Daño grave producido o probable; se activa una obligación normativa importante	< 4 horas
SEV-3	Medio	Salida dañina detectada; sin daño inmediato pero con riesgo de escalada	< 24 horas
SEV-4	Bajo	Cuasi incidente; incumplimiento de política sin daño; anomalía aislada	< 5 días laborables
SEV-5	Informativo	Rendimiento por debajo del umbral; hallazgo a vigilar	Siguiente ciclo de revisión

3.2 Matriz de decisión de gravedad

Responde a estas preguntas para clasificar la gravedad:

Paso 1: ¿Ya se ha producido un daño?

Fallecimiento o lesión física grave → SEV-1
Daño económico o psicológico significativo → SEV-2
Daño leve o solo riesgo de daño → SEV-3 o inferior

Paso 2: ¿Hay un derecho fundamental afectado?

Vulneración irreversible → SEV-1
Vulneración reversible → SEV-2
Impacto posible o menor → SEV-3

Paso 3: ¿Se activa la notificación a la autoridad?

Se cumple el umbral de incidente grave del artículo 73 → como mínimo SEV-2

Paso 4: ¿El sistema sigue funcionando y causando daño?

Sí → sube un nivel; valora la parada inmediata

Sección 4: Procedimientos de respuesta

4.1 Equipo de respuesta

Rol	Responsabilidades	Contacto principal	Contacto suplente
Responsable del incidente (IC)	Dueño del incidente; decide contención y notificación
Responsable del sistema de IA	Conocimiento técnico; acceso al sistema
Legal / Cumplimiento	Notificaciones a autoridades; evaluación de la exposición legal
DPD	Evaluación de protección de datos; obligaciones del RGPD
Responsable de comunicación	Comunicación interna y externa
TI / Seguridad	Acceso a sistemas; registros; contención técnica
Patrocinador ejecutivo	Autoriza las decisiones importantes (parada, comunicación pública)

Línea interna de escalado: _______________
Guardia 24/7: _______________

4.2 Fase 1: Detección y registro (todos los niveles)

Fuentes de detección:

Sistema interno de monitorización y alertas
Queja o aviso de un usuario
Observación de un empleado
Aviso de un tercero (proveedor, socio, autoridad)
Seguimiento de medios y redes sociales
Hallazgo de una auditoría posterior

Acciones inmediatas (primeros 60 minutos en SEV-1/2):

Registra el incidente en el registro de incidentes (sección 7)
Asigna un identificador: INC-[AAAA]-[NNN]
Nombra al responsable del incidente
Clasifica la gravedad con la matriz de la sección 3.2
Avisa al equipo de respuesta con las plantillas de la sección 6
Conserva las pruebas: registros, capturas, versiones del modelo, datos de entrada y salida
Decide si hay que suspender el sistema de IA (sección 4.3)

4.3 Fase 2: Contención

Lista de decisión de contención:

Pregunta	Si la respuesta es sí
¿El sistema de IA está produciendo salidas dañinas ahora?	Suspéndelo o limítalo de inmediato
¿La causa se limita a una función o tipo de entrada concreta?	Restringe ese tipo de entrada; mantén el resto en marcha
¿El incidente afecta a un solo usuario o caso?	Aísla ese caso; sigue con monitorización reforzada
¿El problema está en el modelo de base (no es un caso límite)?	Suspensión completa; avisa al proveedor
¿Ha habido una brecha de datos personales?	Activa el procedimiento de brechas del RGPD; avisa al DPD

Protocolo de suspensión del sistema:

Acción	Autoriza	Documentación necesaria
Suspender el sistema < 4 horas	Responsable del sistema de IA	Entrada en el registro del incidente
Suspender el sistema 4–24 horas	Responsable del sistema de IA + IC	Registro del incidente + aviso a dirección
Suspender el sistema > 24 horas	Patrocinador ejecutivo + Legal	Aviso al consejo; comunicación a clientes

Solución temporal: _______________

4.4 Fase 3: Investigación

Lista de investigación:

Categorías de causa raíz:

Código	Causa raíz	Foco de la investigación
RC-01	Problema en los datos de entrenamiento	Calidad de datos, sesgo, datos desactualizados
RC-02	Defecto de arquitectura del modelo	Informes de evaluación del modelo
RC-03	Manipulación del prompt o de la entrada	Validación de entradas, seguridad
RC-04	Fallo de infraestructura o integración	Registros del sistema, llamadas a la API
RC-05	Fallo de la supervisión humana	Revisión del proceso, registros de formación
RC-06	Uso fuera del alcance previsto	Registros de uso, autorizaciones
RC-07	Fallo del proveedor o de un tercero	Revisión del SLA, comunicación con el proveedor
RC-08	Laguna normativa	Revisión de políticas y cumplimiento

4.5 Fase 4: Corrección

Plan de corrección:

Problema detectado	Acción correctora	Responsable	Fecha límite	Estado
				☐ Planificada ☐ En curso ☐ Hecha
				☐ Planificada ☐ En curso ☐ Hecha
				☐ Planificada ☐ En curso ☐ Hecha

Antes de volver a poner en marcha el sistema, confirma:

Causa raíz identificada y resuelta
Personas afectadas informadas (si procede)
Notificaciones a autoridades enviadas (si procede)
Monitorización reforzada activa
Visto bueno del responsable del incidente, Legal y el responsable del sistema de IA

4.6 Fase 5: Recuperación y seguimiento

Lista de recuperación:

Sistema restablecido el [fecha/hora]: _______________
Periodo de monitorización reforzada fijado: _______________ días
Indicadores y umbrales de anomalía revisados y actualizados
Personal informado de sus tareas de seguimiento
Revisión posterior al incidente programada para: _______________

Sección 5: Obligaciones de notificación

5.1 Notificación interna

Tipo de informe	Destinatarios	Momento	Plantilla
Alerta de incidente	Equipo de respuesta	En cuanto se detecta	Sección 6.1
Actualización de estado	Patrocinador ejecutivo	Cada 4 horas en SEV-1/2	Sección 6.2
Aviso al consejo	Consejo / gobierno corporativo	En SEV-1 o si se notifica a la autoridad	Sección 6.2
Resumen del incidente	Todas las partes interesadas	En los 5 días siguientes al cierre	Sección 8.2

5.2 Notificación externa

Notificación a la autoridad (artículo 73, incidentes graves):

Los plazos cuentan desde que el proveedor o, en su caso, el responsable del despliegue tiene conocimiento del incidente grave. La notificación debe hacerse en cuanto se establezca una relación causal (o una probabilidad razonable de ella) entre el sistema de IA y el incidente.

Supuesto	Plazo máximo	Quién notifica y a quién	Método
El responsable del despliegue detecta un incidente grave (art. 26.5)	Inmediatamente	Responsable del despliegue → primero al proveedor; después al importador o distribuidor y a la autoridad de vigilancia del mercado	[Portal/contacto]
Fallecimiento de una persona (art. 73.4)	10 días	Proveedor → autoridad de vigilancia del mercado del Estado miembro donde ocurrió	[Portal/contacto]
Infracción generalizada, o alteración grave e irreversible de infraestructuras críticas (art. 73.3)	2 días	Proveedor → misma autoridad	[Portal/contacto]
Cualquier otro incidente grave (art. 73.2)	15 días	Proveedor → misma autoridad	[Portal/contacto]
Informe inicial incompleto (art. 73.5)	Dentro de los plazos anteriores, seguido del informe completo	Proveedor → misma autoridad	Notificación de seguimiento

Notificación por el RGPD (si hay datos personales):

Supuesto	Plazo	Autoridad	Método
Brecha de datos personales	Sin dilación indebida y, si es posible, en 72 horas	Autoridad de control (AEPD en España)	[Portal/contacto]
Alto riesgo para las personas	Sin dilación indebida	Personas afectadas	Comunicación directa

Comunicación a las personas afectadas:

Necesaria cuando: ☐ Sistema de alto riesgo ☐ Derechos vulnerados ☐ Brecha de datos personales ☐ Una decisión les afectó
Medio: ☐ Correo electrónico ☐ Carta ☐ Aviso en la aplicación ☐ Teléfono

Sección 6: Plantillas de comunicación

6.1 Alerta interna de incidente

Asunto: [URGENTE] Alerta de incidente de IA — INC-[AAAA]-[NNN] — [Nombre del sistema] — SEV-[X]

ALERTA DE INCIDENTE DE IA

ID del incidente: INC-[AAAA]-[NNN]
Fecha y hora: [DD/MM/AAAA HH:MM]
Sistema de IA: [Nombre y versión del sistema]
Gravedad: SEV-[1/2/3/4]
Categoría: [Código y nombre de la categoría]
Responsable del incidente: [Nombre]

Resumen: [Descripción de 2–3 frases de lo ocurrido]

Estado actual: [En curso / Contenido / Resuelto]

Acciones inmediatas:

[Acción 1]

[Acción 2]

Próxima actualización: [HH:MM]

Canal o sala del incidente: [Enlace o número]

6.2 Actualización de estado para dirección

Asunto: Actualización del incidente de IA — INC-[AAAA]-[NNN] — [Hora]

ACTUALIZACIÓN DE ESTADO — [Hora]

Incidente: INC-[AAAA]-[NNN] | [Nombre del sistema] | SEV-[X]
Actualización n.º: [N]

Situación actual: [Breve descripción]
Personas afectadas: [Número / Desconocido]
Estado del sistema: ☐ Funciona con normalidad ☐ Suspendido ☐ Suspendido en parte
¿Se activa una obligación de notificación? ☐ Sí: notificar antes del [fecha] ☐ No ☐ En evaluación

Acciones completadas desde la última actualización:

[Acción]

Acciones en curso:

[Acción]

Decisiones que necesitamos de dirección:

[Punto de decisión, si lo hay]

Próxima actualización: [Hora]

6.3 Carta de notificación a la autoridad (artículo 73)

[Membrete de la organización]

Fecha: _______________
Para: [Nombre y dirección de la autoridad de vigilancia del mercado]

Asunto: Notificación de incidente grave, artículo 73 del Reglamento (UE) 2024/1689
Referencia del incidente: INC-[AAAA]-[NNN]

Estimados señores:

Conforme al artículo 73 del Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial), notificamos un incidente grave relacionado con un sistema de IA del que [Nombre de la organización] es [proveedor / responsable del despliegue].

1. Datos del sistema de IA

Nombre y versión del sistema: _______________
Clasificación de riesgo: alto riesgo (anexo III, ámbito: _______________)
Referencia de la declaración UE de conformidad: _______________

2. Resumen del incidente

Fecha y hora en que ocurrió: _______________
Fecha y hora en que tuvimos conocimiento: _______________
Naturaleza del incidente: _______________
Categorías de personas afectadas: _______________
Número estimado de personas afectadas: _______________
Ámbito geográfico: _______________

3. Medidas inmediatas adoptadas [Describir las medidas de contención y mitigación]

4. Medidas en curso [Describir la corrección actual y la prevista]

5. Información adicional Enviaremos un informe de seguimiento con el análisis de la causa raíz y las medidas correctoras definitivas antes del [fecha].

Quedamos a su disposición para cualquier pregunta o solicitud de información. Contacto: [Nombre, cargo] en [correo / teléfono].

Atentamente,

_______________
[Nombre]
[Cargo / Responsable de IA / DPD]
[Organización]

6.4 Comunicación a las personas afectadas

Asunto: Aviso importante sobre un sistema de IA que le ha afectado

Estimado/a [Nombre / cliente]:

Le escribimos para informarle de un incidente en un sistema de inteligencia artificial que utiliza [Nombre de la organización] y que puede haberle afectado [a usted / a una decisión sobre usted / a sus datos].

Qué ha ocurrido: [Descripción del incidente en lenguaje claro]

Cómo le ha afectado: [Impacto concreto para esta persona]

Qué hemos hecho: [Medidas adoptadas para contener y corregir]

Qué puede hacer usted:

Si se tomó una decisión sobre usted con ayuda de IA, puede pedir que una persona la revise.

Puede pedir más información sobre cómo se usó la IA.

Puede escribir a nuestro responsable de IA en [datos de contacto] con cualquier pregunta.

Lamentamos sinceramente las molestias o el perjuicio causados.

[Nombre, cargo]
[Organización]
[Fecha]

6.5 Notificación al proveedor

Asunto: Notificación de incidente de IA — [Nombre del sistema] — INC-[AAAA]-[NNN]

Estimado/a [contacto del proveedor]:

Le escribimos para notificarle un incidente relacionado con [Nombre del sistema / API / modelo], suministrado por su organización y desplegado por nosotros en [contexto]. Como responsables del despliegue, le informamos conforme al artículo 26.5 del Reglamento (UE) 2024/1689.

Referencia del incidente: INC-[AAAA]-[NNN]
Fecha y hora del incidente: _______________
Naturaleza del incidente: [Breve descripción]

Necesitamos de su parte, con urgencia:

Confirmación de si el problema es conocido o ha afectado a otros clientes

Los registros del sistema del periodo [hora de inicio] a [hora de fin]

Una evaluación preliminar de la causa raíz antes del [plazo]

Su contacto de respuesta a incidentes y su vía de escalado

Le rogamos que lo trate con prioridad. Responda a [nombre] en [correo] en un plazo de [plazo].

[Nombre, cargo]
[Organización]

Sección 7: Registro de incidentes

Usa esta tabla (o tu herramienta de GRC/ITSM) para llevar el registro de todos los incidentes de IA.

ID del incidente	Fecha	Sistema	Categoría	Gravedad	Estado	¿Notificado a la autoridad?	IC	Fecha de cierre
INC-[AAAA]-001					☐ Abierto ☐ Cerrado	☐ Sí ☐ No
INC-[AAAA]-002					☐ Abierto ☐ Cerrado	☐ Sí ☐ No

Conservación: _______________ años, según tu asesoría jurídica. Como referencia, el responsable del despliegue de un sistema de alto riesgo debe conservar los registros generados automáticamente al menos seis meses (artículo 26.6).

Sección 8: Revisión posterior al incidente

8.1 Proceso de revisión

Haz una revisión posterior al incidente (PIR) para todos los incidentes SEV-1 a SEV-3 en los 10 días laborables siguientes al cierre.

Orden del día de la reunión:

Cronología del incidente (15 min)
Repaso de la causa raíz (20 min)
Qué funcionó bien (10 min)
Qué podría haber ido mejor (15 min)
Acciones y responsables (15 min)
Cambios de políticas o procesos necesarios (10 min)
Cambios de formación necesarios (5 min)

8.2 Informe de la revisión posterior

Campo	Valor
ID del incidente	_______________
Fecha de la revisión	_______________
Moderador	_______________
Asistentes	_______________

Apartado	Resumen
Causa raíz (confirmada)
Factores contribuyentes
Tiempo de detección
Tiempo de respuesta
Tiempo de contención
Impacto total (personas, duración)
Notificaciones a autoridades realizadas
Qué funcionó bien
Qué hay que mejorar

Acciones de la revisión:

Acción	Responsable	Fecha límite	Estado

¿Cambios de políticas o procesos? ☐ Sí (indicar): _______________ ☐ No
¿Cambios de formación? ☐ Sí (indicar): _______________ ☐ No
¿Actualizar la evaluación de impacto (FRIA)? ☐ Sí ☐ No

Sección 9: Revisión y mantenimiento del plan

Motivo de revisión	Acción
Cada año	Revisión completa del plan
Tras cualquier incidente SEV-1 o SEV-2	Revisar y actualizar las secciones afectadas
Nuevo sistema de IA desplegado	Verificar la cobertura; actualizar el inventario de sistemas
Cambio normativo	Revisar las obligaciones de notificación
Cambio en la estructura del equipo	Actualizar los contactos

Última revisión: _______________
Aprobado por: _______________

Plantilla de VORLUX AI | vorluxai.com | Versión 1.1, octubre de 2026 | Basada en los artículos 3.49, 26.5 y 73 del Reglamento (UE) 2024/1689
Esta plantilla es orientativa y no constituye asesoramiento jurídico. Consulta con un asesor cualificado para tu caso.

Template in English and Spanish. Versión en español

Disclaimer: This template is provided for guidance purposes only. It does not constitute legal advice. Organisations should consult qualified legal counsel to ensure compliance with applicable laws and regulations.

Template provided by VORLUX AI, vorluxai.com

AI Incident Response Plan

EU AI Act: Article 73 template

Field	Value
Organisation	_______________
Document Reference	AIRP-[YYYY]-[NNN]
Version	_______________
Prepared by	_______________
Approved by	_______________
Effective Date	_______________
Review Date	_______________

Section 1: Purpose and Scope

1.1 Purpose

This plan defines how [Organisation Name] identifies, classifies, responds to, reports, and learns from incidents involving AI systems. It supports compliance with Article 73 of Regulation (EU) 2024/1689, the EU AI Act (serious incident reporting), and Article 26(5) (the deployer’s duty to inform the provider), and it feeds the organisation’s broader risk management.

1.2 Scope

This plan applies to:

All AI systems operated by the organisation in a deployer capacity
All AI systems developed or provided by the organisation
All staff, contractors, and third parties involved in operating or monitoring AI systems

AI Systems Covered:

System Name	Risk Classification	System Owner	Version
	☐ High-risk ☐ Limited ☐ Minimal
	☐ High-risk ☐ Limited ☐ Minimal
	☐ High-risk ☐ Limited ☐ Minimal

1.3 Regulatory Context

Under Article 73, the provider of a high-risk AI system placed on the EU market must report any serious incident to the market surveillance authorities of the Member States where it occurred. A deployer that identifies a serious incident must immediately inform first the provider, and then the importer or distributor and the relevant market surveillance authorities (Article 26(5)).

A serious incident (Article 3(49)) is an incident or malfunctioning of an AI system that, directly or indirectly, leads to any of the following:

The death of a person, or serious harm to a person’s health
A serious and irreversible disruption of the management or operation of critical infrastructure
The infringement of obligations under Union law intended to protect fundamental rights
Serious harm to property or the environment
Market surveillance authority for [Country]: _______________
Reporting portal / contact: _______________
Reporting deadlines (Article 73): not later than 15 days after becoming aware of the serious incident; 10 days if a person has died; 2 days for a widespread infringement or a serious and irreversible disruption of critical infrastructure. The Regulation counts calendar days, not working days. Details in Section 5.2.

Section 2: Incident Categories

2.1 Category Framework

Category	Code	Description	Examples
Safety Incident	CAT-S	AI output causes or risks physical harm	Medical AI misdiagnosis; autonomous system collision
Rights Violation	CAT-R	AI output infringes fundamental rights	Discriminatory hiring decision; unlawful profiling
Data Incident	CAT-D	AI system involved in data breach, leak, or misuse	Training data exfiltrated; personal data exposed in output
System Failure	CAT-F	AI system unavailable, degraded, or behaving unexpectedly	Model crashes; severe accuracy degradation
Manipulation / Misuse	CAT-M	AI system used or manipulated for harmful purposes	Adversarial attacks; prompt injection leading to policy violation
Compliance Incident	CAT-C	AI system found to be non-compliant with regulation	Missing conformity assessment; prohibited use discovered
Transparency Breach	CAT-T	Failure to disclose AI involvement as required	Chatbot not labelled; automated decision not notified
Reputational Incident	CAT-P	AI system causes significant public trust harm	Media coverage of biased AI output; customer complaints

Section 3: Severity Levels

3.1 Severity Classification

Level	Name	Definition	Response Timeframe
SEV-1	Critical	Active harm occurring or imminent; fundamental rights severely violated; life at risk	Immediate (< 1 hour)
SEV-2	High	Serious harm occurred or likely; significant regulatory obligation triggered	< 4 hours
SEV-3	Medium	Harmful output detected; no immediate harm but risk of escalation	< 24 hours
SEV-4	Low	Near-miss; policy violation without harm; isolated anomaly	< 5 business days
SEV-5	Informational	Performance degradation below threshold; finding to monitor	Next review cycle

3.2 Severity Decision Matrix

Use the following questions to classify severity:

Step 1: Has harm already occurred?

Death or serious physical injury → SEV-1
Significant financial or psychological harm → SEV-2
Minor harm or harm risk only → SEV-3 or lower

Step 2: Is a fundamental right involved?

Irreversible rights violation → SEV-1
Reversible rights violation → SEV-2
Possible / minor rights impact → SEV-3

Step 3: Is regulatory reporting triggered?

Article 73 serious-incident threshold met → escalate to minimum SEV-2

Step 4: Is the system still running and causing harm?

Yes → escalate by one level; consider immediate shutdown

Section 4: Incident Response Procedures

4.1 Response Team

Role	Responsibilities	Primary Contact	Backup Contact
Incident Commander (IC)	Overall incident ownership; decisions on containment and reporting
AI System Owner	Technical knowledge; system access
Legal / Compliance	Regulatory reporting; legal exposure assessment
DPO	Data protection assessment; GDPR obligations
Communications Lead	Internal and external communications
IT / Security	System access; logging; technical containment
Executive Sponsor	Authorises major decisions (shutdown, public disclosure)

Escalation hotline (internal): _______________
24/7 on-call rotation: _______________

4.2 Phase 1: Detection and Intake (All Severities)

Detection Sources:

Internal monitoring / alerting system
User complaint or report
Employee observation
Third-party notification (vendor, partner, regulator)
Media / social media monitoring
Post-incident audit discovery

Immediate Actions (within first 60 minutes for SEV-1/2):

Log the incident in the Incident Register (see Section 7)
Assign an Incident ID: INC-[YYYY]-[NNN]
Assign an Incident Commander
Classify severity using the matrix in Section 3.2
Notify the response team using communication templates in Section 6
Preserve evidence: logs, screenshots, model versions, input/output data
Assess whether the AI system must be suspended (see Section 4.3)

4.3 Phase 2: Containment

Containment Decision Checklist:

Question	Yes → Action
Is the AI system currently producing harmful outputs?	Suspend or throttle the system immediately
Can the root cause be isolated to a specific feature or input type?	Restrict that input type; keep other functions running
Is the incident limited to one user/case?	Quarantine that case; continue with enhanced monitoring
Is the issue in the underlying model (not just an edge case)?	Full system suspension; notify vendor
Has a data breach occurred?	Invoke GDPR breach procedures; notify DPO

System Suspension Protocol:

Action	Authorised by	Documentation Required
Suspend AI system for < 4 hours	AI System Owner	Incident log entry
Suspend AI system for 4–24 hours	AI System Owner + IC	Incident log + executive notification
Suspend AI system for > 24 hours	Executive Sponsor + Legal	Board notification; customer communication

Temporary workaround: _______________

4.4 Phase 3: Investigation

Investigation Checklist:

Root Cause Categories:

Code	Root Cause	Investigation Focus
RC-01	Training data issue	Data quality, bias, outdated data
RC-02	Model architecture flaw	Model evaluation reports
RC-03	Prompt / input manipulation	Input validation, security
RC-04	Infrastructure / integration failure	System logs, API calls
RC-05	Human oversight failure	Process review, training records
RC-06	Scope creep / misuse	Usage logs, authorisation records
RC-07	Vendor / third-party failure	SLA review, vendor communication
RC-08	Regulatory gap	Policy and compliance review

4.5 Phase 4: Remediation

Remediation Plan Template:

Issue Identified	Remediation Action	Owner	Deadline	Status
				☐ Planned ☐ In progress ☐ Complete
				☐ Planned ☐ In progress ☐ Complete
				☐ Planned ☐ In progress ☐ Complete

Before resuming system operation, confirm:

Root cause identified and resolved
Affected individuals notified (if required)
Regulatory reports submitted (if required)
Enhanced monitoring in place
Sign-off from Incident Commander, Legal, and AI System Owner

4.6 Phase 5: Recovery and Monitoring

Recovery Checklist:

System reinstated at [date/time]: _______________
Enhanced monitoring period defined: _______________ days
KPIs and anomaly thresholds reviewed and updated
Staff briefed on post-incident monitoring responsibilities
Post-incident review scheduled for: _______________

Section 5: Reporting Obligations

5.1 Internal Reporting

Report Type	Audience	Timing	Template
Incident Alert	Response Team	Immediately on detection	Section 6.1
Status Update	Executive Sponsor	Every 4 hours for SEV-1/2	Section 6.2
Board Notification	Board / Governance	For SEV-1 or regulatory report triggered	Section 6.2
Incident Summary	All stakeholders	Within 5 days of closure	Section 8.2

5.2 External Reporting

Regulatory Reporting (Article 73, serious incidents):

Deadlines run from the moment the provider or, where applicable, the deployer becomes aware of the serious incident. The report is due as soon as a causal link (or the reasonable likelihood of one) between the AI system and the incident is established.

Trigger	Latest deadline	Who reports to whom	Method
Deployer identifies a serious incident (Art. 26(5))	Immediately	Deployer → first the provider; then the importer or distributor and the market surveillance authority	[Portal/contact]
Death of a person (Art. 73(4))	10 days	Provider → market surveillance authority of the Member State where it occurred	[Portal/contact]
Widespread infringement, or serious and irreversible disruption of critical infrastructure (Art. 73(3))	2 days	Provider → same authority	[Portal/contact]
Any other serious incident (Art. 73(2))	15 days	Provider → same authority	[Portal/contact]
Incomplete initial report (Art. 73(5))	Within the deadlines above, followed by the complete report	Provider → same authority	Follow-up notification

GDPR Reporting (if personal data involved):

Trigger	Timeline	Authority	Method
Personal data breach	Without undue delay and, where feasible, within 72 hours	Supervisory Authority (e.g., AEPD for Spain)	[Portal/contact]
High risk to individuals	Without undue delay	Affected individuals	Direct notification

Affected Individual Notification:

Required when: ☐ High-risk AI system ☐ Rights violated ☐ Personal data breached ☐ Decision affected them
Notification method: ☐ Email ☐ Letter ☐ In-app ☐ Phone

Section 6: Communication Templates

6.1 Internal Incident Alert

Subject: [URGENT] AI Incident Alert — INC-[YYYY]-[NNN] — [System Name] — SEV-[X]

AI INCIDENT ALERT

Incident ID: INC-[YYYY]-[NNN]
Date/Time: [DD/MM/YYYY HH:MM]
AI System: [System Name and Version]
Severity: SEV-[1/2/3/4]
Category: [Category Code and Name]
Incident Commander: [Name]

Summary: [2–3 sentence description of what has happened]

Current Status: [Ongoing / Contained / Resolved]

Immediate actions taken:

[Action 1]

[Action 2]

Next update by: [HH:MM]

Incident bridge/channel: [Link or number]

6.2 Executive Status Update

Subject: AI Incident Status Update — INC-[YYYY]-[NNN] — [Time]

STATUS UPDATE — [Time]

Incident: INC-[YYYY]-[NNN] | [System Name] | SEV-[X]
Update #: [N]

Current situation: [Brief description]
Individuals affected: [Number / Unknown]
System status: ☐ Running normally ☐ Suspended ☐ Partially suspended
Regulatory obligation triggered? ☐ Yes: report due by [date] ☐ No ☐ Under assessment

Actions completed since last update:

[Action]

Actions in progress:

[Action]

Decisions needed from executive sponsor:

[Decision point, if any]

Next update by: [Time]

6.3 Regulatory Notification Letter (Article 73)

[Organisation letterhead]

Date: _______________
To: [Market Surveillance Authority Name and Address]

Re: Serious Incident Notification, Article 73 of Regulation (EU) 2024/1689
Incident Reference: INC-[YYYY]-[NNN]

Dear [Authority Name / Sir or Madam],

In accordance with Article 73 of Regulation (EU) 2024/1689 (the EU AI Act), we are notifying you of a serious incident involving an AI system for which [Organisation Name] is the [provider / deployer].

1. AI System Details

System name and version: _______________
Risk classification: High-risk (Annex III, category: _______________)
EU declaration of conformity reference: _______________

2. Incident Summary

Date/time of occurrence: _______________
Date/time we became aware: _______________
Nature of incident: _______________
Categories of persons affected: _______________
Estimated number of affected individuals: _______________
Geographical scope: _______________

3. Immediate Actions Taken [Describe containment and mitigation actions]

4. Ongoing Actions [Describe current and planned remediation]

5. Further Information A follow-up report with root cause analysis and final remediation measures will be provided by [date].

We are available for any further questions or information requests. Please contact [Name, Role] at [email / phone].

Yours sincerely,

_______________
[Name]
[Title / AI Officer / DPO]
[Organisation]

6.4 Affected Individual Notification

Subject: Important notice regarding an AI system that affected you

Dear [Name / Customer],

We are writing to let you know that an incident occurred involving an artificial intelligence system used by [Organisation Name] that may have affected [you / a decision made about you / your data].

What happened: [Plain language description of the incident]

How it affected you: [Explain the specific impact on this individual]

What we have done: [List actions taken to contain and remediate]

What you can do:

If a decision was made about you using AI, you have the right to request a human review of that decision.

You may request further information about how AI was used.

You may contact our AI Officer at [contact details] with any questions.

We sincerely apologise for any inconvenience or harm caused.

[Name, Role]
[Organisation]
[Date]

6.5 Vendor Notification

Subject: AI Incident Notification — [System Name] — INC-[YYYY]-[NNN]

Dear [Vendor Contact],

We are writing to notify you of an incident involving [System Name / API / Model] provided by your organisation and deployed by us in [context]. As the deployer, we are informing you under Article 26(5) of Regulation (EU) 2024/1689.

Incident reference: INC-[YYYY]-[NNN]
Date/time of incident: _______________
Nature of incident: [Brief description]

We require the following from you as a matter of urgency:

Confirmation of whether this issue is known or has affected other customers

Relevant system logs for the period [start time] to [end time]

Preliminary root cause assessment by [deadline]

Your incident response contact and escalation path

Please treat this as priority. Respond to [name] at [email] within [timeframe].

[Name, Role]
[Organisation]

Section 7: Incident Register

Use the table below (or integrate with your GRC/ITSM platform) to maintain a log of all AI incidents.

Incident ID	Date	System	Category	Severity	Status	Regulatory Report?	IC	Date Closed
INC-[YYYY]-001					☐ Open ☐ Closed	☐ Yes ☐ No
INC-[YYYY]-002					☐ Open ☐ Closed	☐ Yes ☐ No

Retention: _______________ years, as set by your legal advice. For reference, the deployer of a high-risk system must keep the automatically generated logs for at least six months (Article 26(6)).

Section 8: Post-Incident Review

8.1 Review Process

A post-incident review (PIR) must be conducted for all SEV-1 to SEV-3 incidents within 10 business days of incident closure.

PIR Meeting Agenda:

Incident timeline (15 min)
Root cause walkthrough (20 min)
What went well (10 min)
What could have been better (15 min)
Action items and owners (15 min)
Policy / process updates required (10 min)
Training updates required (5 min)

8.2 Post-Incident Review Report

Field	Value
Incident ID	_______________
PIR Date	_______________
Facilitator	_______________
Attendees	_______________

Section	Summary
Root Cause (confirmed)
Contributing factors
Detection time
Response time
Containment time
Total impact (individuals, duration)
Regulatory notifications made
What worked well
What needs improvement

Action Items from PIR:

Action	Owner	Deadline	Status

Policy or process updates triggered: ☐ Yes (specify): _______________ ☐ No
Training updates triggered: ☐ Yes (specify): _______________ ☐ No
FRIA update triggered: ☐ Yes ☐ No

Section 9: Plan Review and Maintenance

Review Trigger	Action
Annually	Full plan review
After any SEV-1 or SEV-2 incident	Review and update affected sections
New AI system deployed	Verify coverage; update system registry
Regulatory update	Review reporting obligations
Change in team structure	Update contact details

Last reviewed: _______________
Approved by: _______________

Template provided by VORLUX AI | vorluxai.com | Version 1.1, October 2026 | Based on Articles 3(49), 26(5) and 73 of Regulation (EU) 2024/1689
This is guidance only, not legal advice. Consult qualified legal counsel for your specific situation.