El AI Act distingue entre quien hace la IA y quien la usa
Una de las novedades más relevantes del AI Act respecto a otras normativas europeas es que no impone las mismas obligaciones a todos los actores de la cadena. El reglamento identifica dos figuras principales —el proveedor y el deployer— y asigna a cada una un conjunto diferente de responsabilidades.
Saber en qué posición está tu empresa no siempre es obvio. Una misma organización puede ser proveedor en unos casos y deployer en otros, incluso con el mismo sistema de IA. Y confundirlos tiene consecuencias: las obligaciones son distintas, los plazos son distintos y las sanciones también.
Qué es un proveedor según el AI Act
El artículo 3.3 define al proveedor como la persona física o jurídica que desarrolla un sistema de IA —o encarga su desarrollo— con el fin de comercializarlo o ponerlo en servicio bajo su propio nombre o marca, sea de forma gratuita o a cambio de una remuneración.
Son proveedores:
- La empresa tecnológica que desarrolla y vende o licencia software con IA.
- La empresa que encarga a un tercero el desarrollo de un sistema de IA para luego comercializarlo bajo su nombre.
- El distribuidor o importador que modifica sustancialmente un sistema antes de ponerlo en el mercado de la UE.
- El deployer que adapta un sistema de IA fuera del uso previsto originalmente —en ese caso asume las obligaciones del proveedor.
Qué es un deployer según el AI Act
El deployer (artículo 3.4) es la persona física o jurídica que utiliza un sistema de IA bajo su propia responsabilidad, salvo cuando lo usa en el marco de una actividad personal no profesional.
Es deployer la empresa que compra o contrata un sistema de IA desarrollado por otro y lo integra en sus procesos o lo usa para prestar servicios. Por ejemplo: un banco que usa un sistema de scoring crediticio externo, una empresa de RRHH que usa una herramienta de cribado de currículums comprada a un proveedor, o un hospital que usa un sistema de diagnóstico asistido por IA de un fabricante de equipos médicos.
Obligaciones del proveedor de sistemas de alto riesgo
Los proveedores de sistemas de alto riesgo cargan con las obligaciones más exigentes del AI Act y deben cumplirlas antes de comercializar o poner en servicio el sistema:
- Sistema de gestión de riesgos continuo durante todo el ciclo de vida del sistema.
- Gobernanza de datos: los conjuntos de entrenamiento, validación y prueba deben ser relevantes, representativos y suficientemente libres de errores.
- Documentación técnica conforme al Anexo IV, que acredite el diseño, desarrollo y funcionamiento del sistema.
- Registro automático de eventos que permita rastrear el funcionamiento a lo largo de toda la vida útil.
- Supervisión humana efectiva: el sistema tiene que diseñarse para que las personas puedan entenderlo, intervenir y detenerlo si es necesario.
- Evaluación de conformidad antes de comercializarlo. En algunos casos basta la autoevaluación; en otros —reconocimiento biométrico, infraestructuras críticas— se requiere un organismo notificado independiente.
- Marcado CE y registro en la base de datos de la UE antes de poner el sistema en el mercado.
- Seguimiento post-comercialización para vigilar el comportamiento en condiciones reales e informar de incidentes graves a las autoridades.
Obligaciones del deployer de sistemas de alto riesgo
El deployer no desarrolla el sistema, pero tiene responsabilidades propias sobre cómo lo usa:
- Usar el sistema conforme a las instrucciones del proveedor. Si lo usa de forma diferente al uso previsto, puede asumir las obligaciones del proveedor.
- Designar a una persona responsable de supervisar su funcionamiento en la organización.
- Llevar un registro de uso del sistema durante su operación, en la medida en que tenga control sobre esos registros.
- Informar al proveedor cuando detecte que el sistema no funciona correctamente o presenta riesgos no previstos.
- Informar a las personas afectadas cuando el sistema tome o influya en decisiones que les afecten directamente.
- Realizar una evaluación de impacto sobre los derechos fundamentales antes de poner en servicio el sistema en determinados contextos.
- Conservar los registros generados durante al menos seis meses.
Cuándo el deployer se convierte en proveedor
El AI Act prevé expresamente que el deployer asuma las obligaciones del proveedor en tres supuestos: cuando pone en el mercado un sistema de IA con su propio nombre o marca; cuando modifica sustancialmente el uso previsto por el proveedor original; o cuando realiza cambios que alteran el comportamiento del sistema más allá de lo que contempla la documentación original.
Esto es crítico para empresas que personalizan herramientas de IA compradas a terceros o que las integran en sus propios productos antes de venderlos a clientes. Si la personalización va más allá del uso previsto, la empresa deja de ser deployer y pasa a ser proveedor, con todo lo que eso implica.
Qué ocurre con los modelos de IA de uso general (GPAI)
El AI Act introduce una categoría adicional: los modelos de IA de uso general (GPAI), como los grandes modelos de lenguaje. Sus proveedores tienen obligaciones específicas de transparencia y documentación. Si el modelo tiene “riesgo sistémico” —capacidades por encima de un umbral de potencia computacional— las obligaciones son aún más exigentes.
Las empresas que usen estos modelos como base para desarrollar sus propios sistemas deben entender cómo se distribuye la responsabilidad entre el proveedor del modelo base y el proveedor del sistema derivado. No es algo que se resuelva solo: hay que documentarlo y reflejarlo en los contratos.
Por dónde empezar si no sabes en qué posición está tu empresa
El primer paso es mapear todos los sistemas de IA que tu empresa desarrolla o usa e identificar para cada uno si actúas como proveedor, como deployer o como ambos. A partir de ahí, la clasificación por nivel de riesgo determina qué obligaciones concretas aplican y en qué plazos.
Si tienes dificultades para determinar tu posición en la cadena de valor del AI Act, o para identificar qué sistemas requieren acción prioritaria, en Adapta RGPD hacemos ese análisis inicial y diseñamos el plan de cumplimiento para cada organización. También coordinamos el AI Act con el RGPD para evitar duplicidades.
