La cadena de valor de la IA: proveedor, responsable del despliegue, importador, distribuidor

La Ley de IA de la UE, Reglamento (UE) 2024/1689, no impone un único conjunto indiferenciado de deberes. Asigna obligaciones por rol a lo largo de la cadena de valor, y una misma organización puede ostentar roles distintos para sistemas distintos. Acierta con el rol y las obligaciones se siguen; equivócate y la carga recae sobre la parte equivocada. Este es el mapa práctico.

Los cuatro roles de operador

• Proveedor (artículo 16). Desarrolla un sistema de IA (o lo manda desarrollar) y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca. Soporta los deberes más pesados para los sistemas de alto riesgo: artículos 9 a 15, documentación técnica, evaluación de la conformidad, declaración de conformidad, marcado CE, registro.
• Responsable del despliegue (artículo 26). Utiliza un sistema de IA bajo su propia autoridad (salvo para uso personal y no profesional). Para los sistemas de alto riesgo: seguir las instrucciones, garantizar la supervisión humana, conservar los logs ≥6 meses, informar a los representantes de los trabajadores, vigilar y notificar incidentes.
• Importador (artículo 23). Introduce en el mercado de la UE un sistema de un proveedor establecido fuera de la UE. Debe verificar que el proveedor realizó el trabajo de conformidad antes de importar.
• Distribuidor (artículo 24). Comercializa un sistema sin ser proveedor ni importador. Debe comprobar que el marcado CE y la documentación están presentes.

Un fabricante de productos también puede ser tratado como proveedor cuando la IA es un componente de seguridad de su producto (artículo 25, apartado 4).

Cómo se desplazan los roles: artículo 25

Los roles no son etiquetas fijas. Conforme al artículo 25, un distribuidor, importador, responsable del despliegue o tercero pasa a ser el proveedor de un sistema de alto riesgo —heredando la pila de obligaciones del artículo 16— si: pone su nombre o marca en el sistema; realiza una modificación sustancial (artículo 3, apartado 23); o cambia la finalidad prevista de modo que el sistema pase a ser de alto riesgo. El proveedor original debe entonces cooperar y compartir información (artículo 25, apartado 2). El vuelco es automático por ministerio de la ley; un contrato reparte el trabajo, no la condición jurídica.

Por qué esta es la pregunta que lo decide todo

La mayoría de las organizaciones son responsables del despliegue: el rol más ligero del artículo 26. Pero las decisiones de adquisición, marca y personalización pueden convertir en silencio a un responsable del despliegue en proveedor. El campo más trascendente de cualquier registro de IA es el rol, porque determina si debes el puñado de deberes del responsable del despliegue o toda la pila del proveedor. Revísalo en cada cambio relevante, no solo en la firma.

Ejemplo práctico: una empresa, tres roles

Meridian Tech despliega una herramienta de RR. HH. de un tercero (responsable del despliegue, artículo 26); importa un sistema de analítica no comunitario para venderlo en la UE (importador, artículo 23, verificando la conformidad del proveedor); y renombra con su propio nombre un motor de puntuación adquirido (proveedor, artículo 25, apartado 1, letra a) → artículo 16). Tres sistemas, tres roles, tres conjuntos de obligaciones, ostentados por la misma empresa a la vez. El registro consigna cada uno por separado.

Cómo ayuda Confir

Confir deriva tu rol para cada sistema a partir de cómo lo adquieres, marcas, modificas y usas realmente —señalando los vuelcos del artículo 25 que convierten a un responsable del despliegue en proveedor— y luego delimita las obligaciones correspondientes. El motor es determinista y basado en reglas, de modo que el rol y sus deberes quedan citados y son reproducibles.

Preguntas frecuentes

¿Qué roles define la Ley de IA de la UE a lo largo de la cadena de valor?

Proveedor (artículo 16), responsable del despliegue (artículo 26), importador (artículo 23) y distribuidor (artículo 24), más el fabricante de productos tratado como proveedor para la IA que es componente de seguridad (artículo 25, apartado 4). Las obligaciones se asignan por rol, y una misma organización puede ostentar roles distintos para sistemas distintos.

¿Cuál es la diferencia entre un proveedor y un responsable del despliegue?

Un proveedor desarrolla un sistema y lo introduce en el mercado o lo pone en servicio bajo su propio nombre, soportando los deberes de alto riesgo más pesados (artículo 16). Un responsable del despliegue utiliza un sistema bajo su propia autoridad, soportando los deberes más ligeros del artículo 26: instrucciones, supervisión, conservación de logs, notificación de incidentes.

¿Cómo puede cambiar nuestro rol?

Conforme al artículo 25, un responsable del despliegue, importador o distribuidor pasa a ser el proveedor de un sistema de alto riesgo si lo marca como propio, lo modifica sustancialmente o cambia su finalidad prevista de modo que pase a ser de alto riesgo. El vuelco es automático por ministerio de la ley; los contratos reparten el trabajo, no la condición jurídica.

¿Puede una empresa ostentar varios roles?

Sí. Una empresa puede ser responsable del despliegue de un sistema, importador de otro y proveedor de un tercero, todo a la vez. El rol se evalúa por sistema, razón por la que un registro de IA consigna el rol de cada entrada.

¿Por qué el rol es la clasificación más importante?

Porque decide si debes el puñado de deberes del responsable del despliegue o toda la pila de alto riesgo del proveedor. Las decisiones de adquisición, marca y personalización pueden desplazarlo, así que debe revisarse en cada cambio relevante.

Guías relacionadas

• Roles de proveedor frente a responsable del despliegue
• Roles de la cadena de valor del artículo 25
• Obligaciones del importador
• Obligaciones del distribuidor
• El registro de casos de uso de IA