Obligaciones del distribuidor en la Ley de IA de la UE: qué exige el artículo 24 antes, durante y después de comercializar un sistema de alto riesgo
Deberes del distribuidor (art. 24): verificar el marcado CE, la declaración de conformidad y las instrucciones, preservar la conformidad y actuar ante no
Revendes un sistema de IA de alto riesgo que ni construiste ni importaste, y das por sentado que el papeleo del proveedor es problema de otro. No lo es. En el momento en que tu empresa pone ese sistema a disposición en el mercado de la Unión, el artículo 24 del Reglamento (UE) 2024/1689 te impone cinco deberes concretos, que abarcan el momento previo al envío, el tiempo en que el sistema está bajo tu control y el día en que un cliente notifica que funciona mal. Esta página recorre el artículo 24 cláusula por cláusula.
Quién cuenta como distribuidor, y por qué el artículo 24 te aplica
Un distribuidor es cualquier persona física o jurídica de la cadena de suministro, distinta del proveedor o el importador, que pone un sistema de IA a disposición en el mercado de la Unión (artículo 3(7)). El desencadenante es la disponibilidad comercial, no el contacto técnico: puedes ser distribuidor sin tocar nunca el código del sistema.
Dos términos definidos fijan el límite. Poner a disposición significa suministrar un sistema de IA para su distribución o uso en el mercado de la UE en el transcurso de una actividad comercial, ya sea a cambio de pago o gratuitamente (artículo 3(10)); introducir en el mercado es el primer suministro de ese tipo (artículo 3(9)). El proveedor o el importador lo introducen; todos los que aguas abajo de la cadena lo suministran de nuevo lo ponen a disposición, y son distribuidores.
Los revendedores, los revendedores de valor añadido, los socios de canal y los mercados B2B que ni desarrollaron ni importaron el sistema suelen situarse aquí. Los deberes del distribuidor muerden específicamente sobre los sistemas de IA de alto riesgo —los casos de uso autónomos del anexo III y los componentes de seguridad del anexo I—, así que la lista de comprobación de más abajo presupone un producto ya evaluado en conformidad y con marcado CE aguas arriba.
La página se organiza en torno a tres fases: qué compruebas antes de poner un sistema a disposición, las condiciones que preservas mientras está bajo tu control y qué haces cuando algo va mal.
El artículo 24 cláusula por cláusula: los cinco deberes del distribuidor
Verificación previa a la puesta a disposición (artículo 24(1))
Antes de poner a disposición un sistema de IA de alto riesgo, debes verificar cuatro cosas: que el marcado CE está colocado (artículo 48); que el sistema va acompañado de la declaración UE de conformidad (artículo 47) y de las instrucciones de uso (artículo 13); que el proveedor ha cumplido el artículo 16; y, cuando interviene un proveedor de fuera de la UE, que el importador ha cumplido el artículo 23. Inspeccionas pruebas, no vuelves a ejecutar nada.
No pongas a disposición un sistema no conforme (artículo 24(2))
Si consideras, o tienes motivos para considerar, que el sistema no es conforme, no debes ponerlo a disposición hasta que se haya restablecido la conformidad (artículo 24(2)). Una declaración ausente, un marcado CE inexistente o unas instrucciones que tus responsables del despliegue no pueden leer detienen, cada uno, el envío.
Preserva la conformidad en el almacenamiento y el transporte (artículo 24(1), último párrafo)
Mientras el sistema esté bajo tu responsabilidad, las condiciones de almacenamiento y transporte no deben comprometer su cumplimiento de los requisitos de alto riesgo de la sección 2: para los sistemas entregados como software, eso se proyecta sobre la configuración, el control de versiones y la integridad del paquete de despliegue.
Medida correctora y notificación a la autoridad (artículo 24(3) y (4))
Si tienes motivos para creer que un sistema ya distribuido no es conforme, debes adoptar medidas correctoras —ponerlo en conformidad, retirarlo o recuperarlo— e informar inmediatamente al proveedor o al importador y a las autoridades competentes (artículo 24(4)). Cuando presente un riesgo, informa también a las autoridades nacionales pertinentes (artículo 24(3)).
Cooperación e información previa solicitud (artículo 24(6))
Ante una solicitud motivada de una autoridad competente, debes facilitar toda la información y documentación necesaria para demostrar la conformidad, y cooperar en cualquier actuación que se emprenda (artículo 24(6)).
Los deberes del distribuidor son deliberadamente más ligeros que los del proveedor. Verificas y preservas; no ejecutas la evaluación de la conformidad, no elaboras la documentación técnica del anexo IV ni colocas tú mismo el marcado CE.
La lista de comprobación de verificación del distribuidor
Cada comprobación previa a la puesta a disposición se corresponde con un artículo rector y con el artefacto que lo acredita. El distribuidor revisa esa prueba; no vuelve a ejecutar la evaluación de la conformidad del artículo 43, que sigue en manos del proveedor.
| Comprobación | Artículo | Artefacto a obtener o inspeccionar | Si falla |
|---|---|---|---|
| El marcado CE está colocado | Artículo 48 | Marcado CE en el sistema, embalaje o documentación | No poner a disposición (artículo 24(2)) |
| La declaración UE de conformidad acompaña al sistema | Artículo 47 | Declaración escrita firmada | No poner a disposición (artículo 24(2)) |
| Las instrucciones de uso están presentes y son inteligibles | Artículo 13 | Instrucciones en una lengua que los responsables del despliegue comprendan | No poner a disposición (artículo 24(2)) |
| El proveedor ha cumplido sus obligaciones | Artículo 16 | Pruebas de la evaluación de la conformidad, documentación, registro | No poner a disposición (artículo 24(2)) |
| El importador ha cumplido sus obligaciones (proveedor de fuera de la UE) | Artículo 23 | Nombre/dirección del importador en el sistema; registros conservados | No poner a disposición (artículo 24(2)) |
| El almacenamiento y el transporte preservan la conformidad | Artículo 24(1) | Integridad del paquete, configuración, control de versiones | Subsanar antes del suministro |
Esta tabla está acotada al distribuidor. Omite los pasos exclusivos del importador —marcar tu propio nombre y dirección en el sistema, la conservación durante diez años de la declaración de conformidad y la confirmación de un representante autorizado conforme al artículo 22—, que no son deberes del distribuidor.
Distribuidor frente a importador: deberes paralelos, distintas posiciones en la cadena
Ambos roles verifican en buena medida los mismos artefactos, pero se sitúan en puntos distintos de la cadena. Un importador (artículo 23) es la primera parte establecida en la UE de un sistema cuyo proveedor está fuera de la Unión; un distribuidor (artículo 24) es todo el que aguas abajo de la cadena pone ese sistema a disposición.
Los importadores soportan la carga más pesada: deben indicar su propio nombre y dirección en el sistema, conservar la declaración de conformidad y el certificado durante diez años, y confirmar que el proveedor de fuera de la UE nombró un representante autorizado conforme al artículo 22. Los distribuidores no soportan ninguna de esas dos obligaciones.
La misma empresa puede ser ambos para productos distintos. Si el sistema de un desarrollador de fuera de la UE entra en la UE a través de tu empresa con tu nombre, eres el importador; si revendes un sistema ya introducido en el mercado de la UE, eres el distribuidor.
Cuando un distribuidor se convierte en proveedor: el vuelco del artículo 25
Esta es la trampa. El artículo 25(1) reclasifica a un distribuidor (o a un importador, o a un responsable del despliegue) como el proveedor de un sistema de alto riesgo en tres situaciones: poner su nombre o marca en el sistema; hacer una modificación sustancial (artículo 3(23)) que lo mantiene de alto riesgo; o modificar la finalidad prevista de un sistema no de alto riesgo de modo que pase a ser de alto riesgo.
Una modificación sustancial conforme al artículo 3(23) es un cambio no previsto en la evaluación de la conformidad inicial que afecta al cumplimiento de la sección 2 o altera la finalidad prevista: el etiquetado blanco, el reentrenamiento o la reorientación cumplen todos el criterio.
Una vez reclasificado, las obligaciones del artículo 16 del proveedor original ya no le aplican a este para ese sistema, aunque debe seguir cooperando y facilitar la información necesaria (artículo 25(2)). El nuevo proveedor hereda toda la pila: gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica del anexo IV (artículo 11), evaluación de la conformidad (artículo 43), marcado CE (artículo 48), la declaración de conformidad (artículo 47) y el registro en la base de datos (artículo 49).
La línea clara: si el sistema que vendes es el mismo sobre el que el proveedor declaró la conformidad, y lleva el nombre del proveedor, estás distribuyendo, no proporcionando.
Ejemplo práctico: un revendedor regional de un sistema de calificación crediticia de alto riesgo
Iberia Risk Solutions es un revendedor fintech de 60 personas con sede en Madrid. Distribuye un sistema de IA de calificación de solvencia —de alto riesgo conforme al anexo III, punto 5(b)— construido por un proveedor de la UE, a cooperativas de crédito españolas. No construyó nada y no importa nada: es un distribuidor.
Fase 1: antes de poner a disposición. Iberia Risk inspecciona el marcado CE (artículo 48), archiva la declaración de conformidad (artículo 47), confirma las instrucciones de uso en español (artículo 13) y se cerciora de que el proveedor cumplió el artículo 16. Todas las comprobaciones pasan, así que distribuye legalmente.
Fase 2: preservar la conformidad. Almacena el paquete de despliegue y la configuración para que las condiciones de almacenamiento no degraden la conformidad documentada (artículo 24(1)).
Fase 3: no conformidad. Una cooperativa de crédito notifica que el modelo de puntuación se comporta fuera de sus limitaciones documentadas. Iberia Risk adopta medidas correctoras, notifica al proveedor y a la autoridad nacional competente española pertinente, y facilita la documentación previa solicitud (artículo 24(4) y (6)).
El contrafáctico. Si Iberia Risk hubiera rebautizado la herramienta con su propio nombre, o la hubiera reentrenado para un nuevo uso, el artículo 25 la volcaría al rol de proveedor, lo que desencadenaría una nueva evaluación de la conformidad (artículo 43) y el registro en la base de datos (artículo 49).
Sanciones, plazos y cómo ayuda Confir
El incumplimiento del artículo 24 se encuadra en el artículo 99(4): multas de hasta 15 M€ o el 3 % del volumen de negocios anual mundial total del ejercicio anterior, lo que sea mayor. Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa a la cifra inferior de las dos. Desencadena el artículo 25 y luego incumple la pila del proveedor, y te enfrentas al mismo tramo del artículo 99(4).
Sobre los plazos: el Digital Omnibus aplaza las obligaciones de alto riesgo de los sistemas autónomos del anexo III (artículo 6(2)) del 2 de agosto de 2026 al 2 de diciembre de 2027, y los sistemas integrados en productos del anexo I al 2 de agosto de 2028. El paquete ya está adoptado: el Parlamento Europeo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial (artículo 113), prevista antes del 2 de agosto de 2026; planifica con las nuevas fechas ya fijadas. No todo se retrasa: las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025 y no se ven afectadas.
El motor determinista y basado en reglas de Confir deriva tu rol —proveedor, responsable del despliegue, importador o distribuidor— a partir de una entrada de cadena de suministro en lenguaje claro, mapea la lista de comprobación del artículo 24 sobre los sistemas que manejas y señala los desencadenantes del artículo 25 que te reclasificarían. Las mismas respuestas producen siempre el mismo hallazgo, con la regla que se activa mostrada en lenguaje claro: basado en reglas, no inferencia de modelo. Sin alucinación, sin IA en el producto.
Preguntas frecuentes
¿Qué debe verificar exactamente un distribuidor antes de poner a disposición un sistema de IA de alto riesgo?
Conforme al artículo 24(1) del Reglamento (UE) 2024/1689, un distribuidor debe verificar cuatro cosas antes de poner a disposición un sistema de IA de alto riesgo: que el sistema lleva el marcado CE (artículo 48); que va acompañado de la declaración UE de conformidad (artículo 47) y de las instrucciones de uso (artículo 13); que el proveedor ha cumplido sus obligaciones del artículo 16; y, cuando interviene un proveedor de fuera de la UE, que el importador ha cumplido sus obligaciones del artículo 23. El distribuidor revisa esta prueba; no vuelve a ejecutar la evaluación de la conformidad, que sigue siendo tarea del proveedor.
¿Tiene un distribuidor que conservar registros o registrar el sistema en la base de datos de la UE?
No. El registro en la base de datos conforme al artículo 49 y la elaboración de la documentación técnica conforme al artículo 11 son obligaciones del proveedor, y la conservación durante diez años de la declaración de conformidad es específicamente un deber del importador conforme al artículo 23. Un distribuidor puro conforme al artículo 24 verifica los artefactos de conformidad, preserva la conformidad durante el almacenamiento y el transporte, y coopera con las autoridades previa solicitud. Esos deberes de base de datos y de conservación de registros solo se aplican si el distribuidor cruza al estatuto de proveedor conforme al artículo 25 por rebautizar o modificar sustancialmente el sistema.
¿Qué debe hacer un distribuidor si descubre que un sistema que ya vendió no es conforme?
El artículo 24(4) exige al distribuidor adoptar medidas correctoras inmediatas —poner el sistema en conformidad, retirarlo o recuperarlo— e informar al proveedor, al importador si existe y a las autoridades competentes. Cuando el sistema presenta un riesgo, el artículo 24(3) exige al distribuidor informar a las autoridades nacionales pertinentes del Estado miembro de que se trate, dando detalles de la no conformidad y de cualquier medida correctora adoptada. Actuar con prontitud limita tanto la exposición legal del artículo 99(4) como el daño que un sistema no conforme puede causar en el campo.
¿En qué se diferencia un distribuidor de un importador en la Ley de IA de la UE?
Un importador (artículo 23) es la primera parte establecida en la UE que introduce en el mercado un sistema de IA de un proveedor establecido fuera de la Unión; un distribuidor (artículo 24) es cualquier actor posterior de la cadena de suministro interna que pone el sistema a disposición. Ambos verifican los mismos artefactos de conformidad, pero los importadores soportan deberes más pesados: marcar su propio nombre y dirección en el sistema, conservar la declaración de conformidad y el certificado durante diez años, y confirmar que un proveedor de fuera de la UE nombró un representante autorizado conforme al artículo 22. Los distribuidores no soportan esas obligaciones adicionales.
¿Cuándo se convierte un distribuidor en proveedor conforme al artículo 25?
El artículo 25(1) trata a un distribuidor como proveedor —con toda la pila de obligaciones del artículo 16— en tres casos: pone su propio nombre o marca en un sistema de IA de alto riesgo; hace una modificación sustancial (artículo 3(23)) que mantiene el sistema de alto riesgo; o modifica la finalidad prevista de un sistema no de alto riesgo de modo que pase a ser de alto riesgo. Una vez reclasificado, el distribuidor debe completar la evaluación de la conformidad (artículo 43), elaborar la documentación técnica, colocar el marcado CE (artículo 48), firmar la declaración de conformidad (artículo 47) y registrar el sistema (artículo 49).
¿Qué sanción afronta un distribuidor por incumplir el artículo 24?
El incumplimiento del artículo 24 se encuadra en el artículo 99(4): multas de hasta 15 M€ o el 3 % del volumen de negocios anual mundial total del ejercicio anterior, lo que sea mayor. Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa a la cifra inferior de esas dos en lugar de la superior. Si un distribuidor desencadena el artículo 25 y luego incumple las obligaciones del proveedor, queda expuesto al mismo tramo del artículo 99(4), porque los incumplimientos del artículo 16 se rigen por la misma disposición.
¿Se han ampliado a 2027 los plazos del distribuidor?
El Digital Omnibus aplaza las obligaciones de alto riesgo de los sistemas autónomos del anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027 (y los sistemas integrados en productos del anexo I al 2 de agosto de 2028). El paquete ya está adoptado: el Parlamento Europeo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026; planifica ya con las fechas aplazadas. Las prohibiciones del artículo 5, en vigor desde el 2 de febrero de 2025, no se ven afectadas por nada de esto.
Guías relacionadas
- Obligaciones del importador conforme al artículo 23
- Distribuidor (glosario de la Ley de IA de la UE)
- Artículo 25: responsabilidades a lo largo de la cadena de valor de la IA
- Artículo 16: obligaciones del proveedor
- Roles de proveedor frente a responsable del despliegue, explicados
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →