Referencia
Reglamento de IA: ¿eres proveedor o responsable del despliegue?
Cuando encargas un sistema con IA y lo publicas con tu marca, el proveedor que nombra el Reglamento eres tú, no quien lo construyó. Aquí tienes de dónde sale esa definición, qué es exigible hoy y qué fijamos por escrito antes de escribir la primera línea.
Qué es exigible hoy
El Reglamento de Inteligencia Artificial —el Reglamento (UE) 2024/1689— se aplica por tramos, y el Reglamento (UE) 2026/1744, el ómnibus digital sobre IA en vigor desde el , movió parte del calendario. Citamos la versión consolidada de EUR-Lex, que recoge esa modificación.
- Artículos 4 y 5
- Exigibles desde el : alfabetización en materia de IA y prácticas prohibidas, para cualquier sistema y con independencia del papel que tengas. Las dos prohibiciones que el ómnibus añadió al artículo 5 llegan más tarde, el . El artículo 4 lo sustituyó entero: hoy obliga a «apoyar la promoción» de la alfabetización del personal y aclara que no exige garantizar un nivel específico de ninguna persona en particular.
- Artículo 50
- Exigible desde el . Transparencia: un sistema pensado para interactuar directamente con personas informa de que es un sistema de IA, y el contenido sintético sale marcado en un formato legible por máquina y detectable como generado o manipulado. Lo que ya estaba en el mercado antes de esa fecha tiene hasta el para cumplirlo, por el artículo 111.4. Corre en paralelo al régimen de alto riesgo, no en su lugar.
- El régimen de alto riesgo, aplazado
- Los artículos 6 a 27 —todo el régimen de alto riesgo— pasan al para el anexo III y al para el anexo I. Lo que da el aplazamiento es plazo para llegar: la evaluación de la conformidad tiene que estar hecha antes de introducir el sistema en el mercado o ponerlo en servicio.
Qué te hace proveedor y qué responsable del despliegue
El artículo 3.3 define al proveedor como quien desarrolla un sistema de IA «o para el que se desarrolle» uno «y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca». No exige haber construido nada: encargar el desarrollo y publicarlo con tu marca te coloca ahí desde el primer día, y quien lo construyó es tu proveedor en sentido comercial, no en el del Reglamento.
El artículo 3.4 llama responsable del despliegue a quien utiliza «bajo su propia autoridad» un sistema que publicó otro: es el papel en el que te quedas cuando contratas la licencia de un producto comercial y lo usas en tu empresa. La distancia entre los dos cabe en una frase: el proveedor responde de que el sistema sea conforme antes de existir en el mercado; el responsable del despliegue responde de cómo se usa.
Sobre un sistema que ya estaba en el mercado, el artículo 25 nombra tres formas de pasar a ser su proveedor: ponerle tu nombre o tu marca a uno de alto riesgo, modificarlo sustancialmente de manera que lo siga siendo, o cambiar la finalidad prevista de uno que no lo era —incluido uno de uso general— de tal manera que pase a serlo. Su letra a) admite acuerdos contractuales que asignen las obligaciones de otro modo, y su apartado 2 traslada el papel: quien lo introdujo inicialmente deja de ser considerado proveedor de ese sistema.
Qué fijamos por escrito antes de construir
Quién introduce el sistema en el mercado, y con qué marca
Es lo que decide el papel de cada uno, así que va en el contrato de desarrollo antes que el alcance técnico. De ahí se sigue quién redacta la documentación técnica, quién hace la evaluación de la conformidad y quién firma la declaración UE de conformidad.
Si tu sistema cae en el anexo III, y con qué conclusión
Sus ocho ámbitos son biometría, infraestructuras críticas, educación y formación profesional, empleo y gestión de los trabajadores, acceso a servicios esenciales, garantía del cumplimiento del Derecho, migración, asilo y control fronterizo, y administración de justicia y procesos democráticos. El artículo 6.3 permite concluir que un sistema de esa lista no plantea un riesgo importante cuando se cumple una de sus cuatro condiciones, y el 6.4 obliga a documentar esa evaluación antes de introducirlo en el mercado o ponerlo en servicio, y a facilitarla a la autoridad que la pida. El propio artículo 6.3 cierra una puerta: un sistema del anexo III que efectúe la elaboración de perfiles de personas físicas es de alto riesgo siempre.
Qué acceso técnico te damos sobre lo que construimos
El artículo 25.4 obliga a fijar por acuerdo escrito la información, las capacidades, el acceso técnico y la asistencia que el proveedor necesita de quien le suministra un componente. Lo que ponemos nosotros en ese acuerdo: la documentación del componente, sus limitaciones y modos de fallo conocidos, y el acceso para las pruebas de validación que pida tu evaluación de la conformidad.
Preguntas frecuentes
- Encargué el desarrollo a una empresa. ¿Quién es el proveedor?
- Si lo pones en el mercado o en servicio con tu propio nombre o tu marca, eres tú: la definición del artículo 3.3 incluye expresamente a quien no lo desarrolló, porque dice «o para el que se desarrolle» un sistema de IA. Lo dejamos escrito en el contrato de desarrollo, porque decide quién redacta la documentación técnica y quién firma la declaración de conformidad.
- Uso la API de un modelo comercial. ¿Eso me convierte en proveedor de un modelo de uso general?
- No. El artículo 3.9 define la introducción en el mercado como la primera comercialización en el mercado de la Unión, y ésa ocurrió antes de que llegaras tú. Lo que sí puede pasar es que seas proveedor del sistema: si integras ese modelo en uno y lo publicas con tu marca, ese papel es tuyo, y con él otro régimen y otras obligaciones.
- ¿El Reglamento prohíbe la IA generativa?
- No. El artículo 5 es una lista cerrada de prácticas concretas, y ninguna prohíbe la IA generativa como tal: las dos que el ómnibus le añadió alcanzan a la generación de material íntimo no consentido, no a la tecnología. Sobre las alucinaciones, la Comisión lo aclaró en sus Directrices sobre las prácticas de inteligencia artificial prohibidas: un sistema generativo que las presente incidentalmente no se sirve de «técnicas engañosas» en el sentido de ese artículo, siempre que hayas informado de sus limitaciones, integrado garantías para minimizarlas y no lo destines a contextos sensibles. Lo que sí hay para el contenido generado es el artículo 50, y es transparencia: informar, marcar, revelar.
- Trabajamos con software libre. ¿Cambia algo?
- Algo. El artículo 2.12 deja fuera del Reglamento los sistemas divulgados con licencia libre y de código abierto, salvo que se introduzcan como sistemas de alto riesgo o entren en el ámbito de los artículos 5 o 50, que es un «salvo» grande. Para los modelos de uso general, el artículo 53.2 levanta dos obligaciones, y no basta la licencia: exige publicar también los pesos, la arquitectura y la información de uso. Siguen en pie la política de derechos de autor y el resumen público del contenido de entrenamiento, y esa excepción no alcanza a los modelos con riesgo sistémico.
¿Por dónde empezamos?
Dos formas de arrancar, según lo que tengas hoy delante. Respuesta en un día laborable.