Gestionar proveedores de IA bajo la Ley de IA de la UE: la diligencia debida del responsable del despliegue
Gestionar proveedores de IA es la diligencia del responsable: verificar su conformidad —marcado CE, documentación, registro— y asegurar cooperación.
La mayoría de las organizaciones se encuentran con la Ley de IA de la UE, el Reglamento (UE) 2024/1689, como responsables del despliegue de IA de terceros, no como constructores de sistemas de alto riesgo. Eso hace de la gestión de proveedores la actividad de cumplimiento central: no una «obligación del proveedor» estatutaria, sino la diligencia debida que un responsable del despliegue realiza sobre el paquete de conformidad de un proveedor. Bien hecha, es la mayor parte de lo que debe un responsable del despliegue.
Enfócalo como diligencia debida, no como un deber del proveedor
La Ley impone obligaciones a proveedores, responsables del despliegue, importadores y distribuidores, no a los «vendedores» como categoría aparte. Así que, cuando evalúas a un proveedor de IA, estás haciendo diligencia debida de responsable del despliegue sobre si el proveedor ha cumplido sus obligaciones, para poder fiarte del sistema y cumplir tus deberes del artículo 26. Enfócalo así; mantiene las responsabilidades claras.
Qué verificar en un sistema de alto riesgo
Si el sistema que vas a comprar es de alto riesgo, confirma que el proveedor tiene el paquete en orden:
- Marcado CE (artículo 48) y una declaración de conformidad (artículo 47).
- Documentación técnica (artículo 11, anexo IV) y una evaluación de la conformidad (artículo 43) completada.
- Registro en la base de datos de la UE (artículo 49).
- Para proveedores de fuera de la UE, un representante autorizado en la UE (artículo 22).
- Instrucciones de uso (artículo 13) claras: las necesitas para operar el sistema correctamente y ejercer la supervisión.
Para un sistema que no sea de alto riesgo, la diligencia es más ligera, pero aun así confirmas que cualquier obligación de transparencia del artículo 50 está cubierta y que la posición GPAI del proveedor (sobre el modelo subyacente) es sólida.
Qué asegurar en el contrato
Dos cosas importan más allá del paquete. Primero, la cooperación del artículo 25(2): si pudieras modificar o cambiar la marca del sistema (lo que te convertiría en proveedor según el artículo 25), asegura el compromiso del proveedor original de cooperar y de compartir la información y el acceso técnico que necesitarías. Segundo, información y asistencia para cumplir tus deberes de responsable del despliegue: instrucciones, acceso a registros, canales de notificación de incidentes para el artículo 73.
Continua, no puntual
La gestión de proveedores es continua. Vuelve a verificar ante una modificación sustancial, ante un cambio de modelo del proveedor y ante cambios de rol (una personalización que te convierte en proveedor). Mantén un registro del estado de conformidad de cada proveedor junto al sistema en tu inventario, para que la pregunta de una autoridad tenga una respuesta documentada.
Ejemplo práctico: contratar una herramienta de HR-tech
Borealis Group contrata una herramienta de cribado de candidaturas de alto riesgo. Su diligencia debida de proveedor confirma el marcado CE del proveedor, la declaración de conformidad, la documentación del anexo IV, el registro en la base de datos de la UE y (al ser el proveedor de fuera de la UE) su representante autorizado, y obtiene las instrucciones de uso. El contrato asegura la cooperación del artículo 25(2) por si Borealis personaliza después la herramienta, y un canal de notificación de incidentes. Borealis registra el estado del proveedor en su inventario y lo vuelve a comprobar en la renovación.
Cómo ayuda Confir
Confir estructura el registro de diligencia debida del proveedor frente a las obligaciones de este —marcado CE, declaración, documentación, registro, representante autorizado— junto a cada sistema de tu inventario, y marca cuándo una personalización prevista te convertiría en proveedor según el artículo 25. El motor es determinista y basado en reglas, de modo que el registro de diligencia es consistente y auditable.
Preguntas frecuentes
¿Qué es la gestión de proveedores de IA bajo la Ley de IA de la UE?
Es la diligencia debida del responsable del despliegue sobre el paquete de conformidad de un proveedor de IA: verificar que el proveedor ha cumplido sus obligaciones para que puedas fiarte del sistema y cumplir tus propios deberes del artículo 26. La Ley impone obligaciones a proveedores y responsables del despliegue, no una «obligación del proveedor» aparte, así que es mejor enfocarlo como diligencia.
¿Qué deberíamos verificar en un sistema de alto riesgo de un proveedor?
Marcado CE (artículo 48), la declaración de conformidad (artículo 47), la documentación técnica (artículo 11, anexo IV) y la evaluación de la conformidad completada (artículo 43), el registro en la base de datos de la UE (artículo 49), un representante autorizado en la UE para proveedores de fuera de la UE (artículo 22) e instrucciones de uso claras (artículo 13).
¿Qué debería asegurar el contrato?
La cooperación y el acceso a la información del artículo 25(2) por parte del proveedor original (importante si pudieras modificar o cambiar la marca del sistema y convertirte en su proveedor), acceso a instrucciones y registros para cumplir tus deberes de responsable del despliegue, y un canal de notificación de incidentes para los incidentes graves del artículo 73.
¿Es la gestión de proveedores una comprobación puntual?
No. Vuelve a verificar ante una modificación sustancial, ante un cambio de modelo del proveedor y ante cualquier cambio de rol que pudiera convertirte en proveedor. Mantén el estado de conformidad de cada proveedor junto al sistema en tu inventario y vuelve a comprobarlo en la renovación.
¿Hace falta verificar también a proveedores que no sean de alto riesgo?
Se aplica una diligencia más ligera. Confirma que cualquier obligación de transparencia del artículo 50 está cubierta y que la posición GPAI del proveedor sobre el modelo subyacente es sólida, pero no hay paquete de conformidad de alto riesgo que verificar para un sistema de riesgo mínimo o limitado.
Guías relacionadas
- Obligaciones del responsable del despliegue (artículo 26)
- Roles de la cadena de valor de la IA
- La evaluación de proveedores como diligencia debida del responsable del despliegue
- Roles de la cadena de valor (artículo 25)
- El registro de casos de uso de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →