Guía de alto riesgo de la Ley de IA de la UE

Capítulo 5 de 8

Obligaciones del proveedor frente al responsable del despliegue de IA de alto riesgo: dos bloques, uno al lado del otro

17 min de lectura

Obligaciones del proveedor (Artículos 8–22) frente a los deberes del responsable del despliegue (Artículo 26) para la IA de alto riesgo, uno al lado del otro — con el plazo adoptado del 2 de diciembre de 2027.

El Reglamento (UE) 2024/1689 divide los deberes de la IA de alto riesgo en dos bloques ligados a los papeles, no a las empresas. El proveedor es quien desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca (Artículo 3(3)). El proveedor asume el bloque de diseño y entrada al mercado de los Artículos 8–22, más los pasos de evaluación de la conformidad de los Artículos 43, 47, 48 y 49. El responsable del despliegue es quien utiliza un sistema de IA bajo su propia autoridad en un contexto profesional (Artículo 3(4)), y asume el bloque operativo del Artículo 26, más la evaluación de impacto relativa a los derechos fundamentales del Artículo 27 cuando proceda.

Los papeles se atribuyen por sistema de IA, no por organización. La misma empresa es habitualmente el proveedor del sistema que vende y el responsable del despliegue de las herramientas que compra, y conforme al Artículo 25 un responsable del despliegue puede asumir el papel de proveedor a mitad del ciclo de vida. Este capítulo expone ambos bloques, los pone uno al lado del otro en una sola tabla, recorre el traspaso de papel del Artículo 25 y cierra con las fechas de aplicación. Esa última sección cubre las fechas, ahora resueltas: el plazo del 2 de diciembre de 2027 se adoptó en junio de 2026.

Un sistema de alto riesgo, dos bloques de obligaciones

Los papeles, no la tecnología, reparten los deberes (Artículo 3)

La Ley de IA de la UE no pregunta qué clase de empresa eres. Pregunta cuál es tu relación con cada sistema de IA. Para los sistemas clasificados como de alto riesgo conforme al Artículo 6, a saber, los sistemas integrados en productos con arreglo a la legislación sectorial del Anexo I (Artículo 6(1)) y los sistemas independientes en las áreas de casos de uso del Anexo III (Artículo 6(2)), las definiciones del Artículo 3 reparten dos cargas de trabajo muy distintas. El proveedor debe hacer que el sistema sea lícito antes de que nadie pueda usarlo. El responsable del despliegue debe mantenerlo lícito en funcionamiento. Si no tienes claro qué definición te atrapa, resuélvelo primero: ¿soy proveedor o responsable del despliegue? recorre los casos límite.

Muchas empresas asumen ambos bloques

Como los papeles se atribuyen por sistema, una misma organización a menudo asume ambos bloques a la vez: proveedor del modelo de puntuación de fraude que construyó, responsable del despliegue de la herramienta adquirida de cribado de currículums en su departamento de RR. HH. Tu registro de obligaciones tiene que anotar el papel por sistema. Una etiqueta a nivel de empresa como «somos un responsable del despliegue» es el tipo de atajo que provoca que se pasen por alto obligaciones.

El bloque del proveedor: Artículos 8–22 más la carrera de obstáculos de entrada al mercado

Lo que el propio sistema debe cumplir (Artículos 8–15)

El Artículo 8 ancla el bloque: los sistemas de IA de alto riesgo deben cumplir los requisitos del Capítulo III, Sección 2, teniendo en cuenta su finalidad prevista y el estado de la técnica. Siete artículos detallan qué significa eso.

Gestión de riesgos (Artículo 9). Un proceso de gestión de riesgos continuo e iterativo a lo largo de todo el ciclo de vida: identificar, estimar, evaluar y mitigar. Lo desglosamos en el sistema de gestión de riesgos del Artículo 9.
Gobernanza de datos (Artículo 10). Criterios de calidad para los conjuntos de datos de entrenamiento, validación y prueba, que abarcan la relevancia, la representatividad y el examen de posibles sesgos.
Documentación técnica (Artículo 11). Elaborada antes de la introducción en el mercado o la puesta en servicio, que abarca los elementos del Anexo IV, y mantenida actualizada. La plantilla de documentación técnica del Anexo IV te da la estructura completa.
Conservación de registros (Artículo 12). El sistema debe permitir técnicamente el registro automático de eventos (logs) a lo largo de su vida útil.
Transparencia e instrucciones de uso (Artículo 13). Este es el gozne entre los dos bloques. Las instrucciones que el proveedor redacta aquí son aquello dentro de lo que el responsable del despliegue está legalmente obligado a operar conforme al Artículo 26(1).
Supervisión humana (Artículo 14). Medidas de supervisión diseñadas dentro del sistema, o identificadas por el proveedor para que el responsable del despliegue las aplique.
Precisión, robustez y ciberseguridad (Artículo 15). Niveles adecuados de cada una, con un rendimiento constante a lo largo del ciclo de vida.

Los deberes de conducta del proveedor (Artículo 16)

El Artículo 16 superpone después los propios deberes de conducta del proveedor: indicar tu identidad y datos de contacto; mantener un sistema de gestión de calidad conforme al Artículo 17; conservar la documentación técnica durante diez años (Artículo 18); conservar los registros generados automáticamente que estén bajo tu control (Artículo 19); adoptar medidas correctoras e informar a los agentes posteriores cuando algo no sea conforme (Artículo 20); y cooperar con las autoridades competentes (Artículo 21). Los proveedores establecidos fuera de la UE deben designar un representante autorizado en la Unión antes de comercializar el sistema (Artículo 22). El desglose punto por punto está en los deberes del proveedor del Artículo 16.

Entrada al mercado (Artículos 43, 47, 48 y 49)

Nada llega al mercado de la UE hasta que el proveedor ha completado cuatro pasos:

Evaluación de la conformidad (Artículo 43). Control interno conforme al Anexo VI para la mayoría de los sistemas del Anexo III. Para los sistemas biométricos del Anexo III punto 1, el proveedor elige entre el Anexo VI y el procedimiento con organismo notificado del Anexo VII cuando se hayan aplicado plenamente las normas armonizadas.
Declaración UE de conformidad (Artículo 47). Elaborada con el contenido del Anexo V y conservada durante diez años.
Marcado CE (Artículo 48). Colocado de forma visible, legible e indeleble, o de forma digital para los sistemas suministrados digitalmente.
Registro (Artículo 49). El proveedor se registra a sí mismo y al sistema en la base de datos de la UE establecida conforme al Artículo 71 antes de introducirlo en el mercado.

Esa es la carga de trabajo del proveedor a grandes rasgos. El análisis en profundidad está en las obligaciones del proveedor al completo.

El bloque del responsable del despliegue: el Artículo 26 en funcionamiento

El bloque del responsable del despliegue es operativo, no de diseño. El Artículo 26 no te pide rediseñar el sistema, solo hacerlo funcionar de forma responsable.

Operar dentro de las instrucciones de uso (Artículo 26(1))

Los responsables del despliegue deben adoptar medidas técnicas y organizativas adecuadas para usar el sistema conforme a las instrucciones de uso del proveedor. Las instrucciones son el perímetro legal de tu uso. Salte de ellas y te arriesgas a un incumplimiento del Artículo 26, y a un traspaso de papel del Artículo 25 si la desviación equivale a una nueva finalidad prevista.

Asignar una supervisión humana competente (Artículo 26(2))

La supervisión humana debe asignarse a personas físicas con la competencia, la formación, la autoridad y el apoyo necesarios. Un titular nominal sin la autoridad para detener el sistema no cumple el artículo.

Controlar los datos de entrada y vigilar el funcionamiento (Artículo 26(4) y 26(5))

En la medida en que el responsable del despliegue ejerza control sobre los datos de entrada, esos datos deben ser relevantes y suficientemente representativos en vista de la finalidad prevista del sistema (Artículo 26(4)). Los responsables del despliegue también vigilan el funcionamiento sobre la base de las instrucciones de uso (Artículo 26(5)). Cuando el uso pueda presentar un riesgo en el sentido del Artículo 79(1), informan al proveedor o distribuidor y a la autoridad de vigilancia del mercado pertinente sin demora indebida, y suspenden el uso. Ante un incidente grave, el responsable del despliegue informa primero al proveedor, luego al importador o distribuidor y a las autoridades, alimentando el propio deber de notificación del proveedor conforme al Artículo 73.

Registros, trabajadores y personas afectadas (Artículo 26(6), (7) y (11))

Los registros generados automáticamente que estén bajo el control del responsable del despliegue deben conservarse durante un período adecuado a la finalidad prevista, y durante al menos seis meses, salvo que otra disposición del Derecho de la Unión o nacional establezca otra cosa (Artículo 26(6)). Antes de poner en servicio un sistema de alto riesgo en el lugar de trabajo, los empleadores responsables del despliegue deben informar a los representantes de los trabajadores y a los trabajadores afectados (Artículo 26(7)), y los responsables del despliegue deben informar a las personas físicas de que están sujetas a un sistema de IA de alto riesgo cuando este toma o asiste decisiones sobre ellas (Artículo 26(11)). Los responsables del despliegue que sean autoridades públicas también verifican y completan el registro conforme al Artículo 49(3), y todo responsable del despliegue coopera con las autoridades competentes (Artículo 26(12)).

La evaluación de impacto relativa a los derechos fundamentales (Artículo 27)

Un subconjunto de responsables del despliegue asume un deber más: una evaluación de impacto relativa a los derechos fundamentales (EIDF). Se aplica a los responsables del despliegue que sean organismos de Derecho público o entidades privadas que prestan servicios públicos, y a los responsables del despliegue de sistemas del Anexo III puntos 5(b) y 5(c), a saber, la evaluación de la solvencia y la evaluación y fijación de precios de los riesgos de los seguros de vida y de salud. La EIDF se realiza antes del primer uso, con notificación a la autoridad de vigilancia del mercado. El recorrido completo está en las obligaciones del responsable del despliegue al completo, y el texto artículo por artículo está en los deberes del responsable del despliegue del Artículo 26.

Uno al lado del otro: deberes del proveedor frente al responsable del despliegue para el mismo sistema

La tabla siguiente contrapone ambos bloques, área de deber por área de deber, para un mismo sistema de IA de alto riesgo.

Área de deber	Proveedor	Responsable del despliegue
Gestión de riesgos	Ejecuta el sistema de gestión de riesgos del ciclo de vida del Artículo 9	Vigila el funcionamiento en directo; devuelve los riesgos al proveedor y a la autoridad (Artículo 26(5))
Datos	Gobernanza de datos del Artículo 10 para los datos de entrenamiento, validación y prueba	Garantiza datos de entrada relevantes y suficientemente representativos allí donde controla las entradas (Artículo 26(4))
Documentación	Elabora la documentación técnica del Anexo IV (Artículo 11) y las instrucciones de uso (Artículo 13)	Opera dentro de esas instrucciones (Artículo 26(1))
Registro de eventos	Integra el registro automático en el sistema (Artículo 12); conserva los registros bajo su control (Artículo 19)	Conserva los registros bajo su control durante al menos seis meses (Artículo 26(6))
Supervisión humana	Diseña las medidas de supervisión dentro del sistema (Artículo 14)	Asigna a personas competentes, formadas y apoyadas para ejercerla (Artículo 26(2))
Precisión, robustez, ciberseguridad	Debe lograrlas por diseño (Artículo 15)	Suspende el uso cuando el funcionamiento presenta un riesgo del Artículo 79(1)
Gestión de calidad	Mantiene un SGC conforme al Artículo 17	Sin equivalente para el responsable del despliegue
Entrada al mercado	Evaluación de la conformidad (Artículo 43), declaración UE de conformidad (Artículo 47), marcado CE (Artículo 48), registro en la base de datos de la UE (Artículo 49)	Ninguno — salvo el registro del uso por los responsables del despliegue que sean autoridades públicas (Artículo 49(3))
Incidentes y poscomercialización	Ejecuta la vigilancia poscomercialización (Artículo 72); notifica los incidentes graves (Artículo 73)	Informa al proveedor/distribuidor y a la autoridad de vigilancia del mercado; suspende el uso (Artículo 26(5))
Personas afectadas	Informa a través de las instrucciones de uso	Informa a los representantes de los trabajadores (Artículo 26(7)) y a las personas afectadas (Artículo 26(11)); ciertos responsables del despliegue realizan la EIDF del Artículo 27 antes del primer uso

Leer la tabla: bloques complementarios, no duplicados

Casi ninguna fila contiene el mismo deber dos veces; los bloques se engranan en lugar de solaparse. Las instrucciones del Artículo 13 del proveedor son el reglamento del Artículo 26(1) del responsable del despliegue. El diseño de registro del Artículo 12 del proveedor hace posible la conservación del Artículo 26(6) del responsable del despliegue. La vigilancia del Artículo 26(5) del responsable del despliegue alimenta el sistema poscomercialización del Artículo 72 y las notificaciones de incidentes del Artículo 73 del proveedor. Recorta un deber de cualquiera de los bloques y el circuito se rompe para ambas partes.

Artículo 25: cuando el responsable del despliegue pasa a ser el proveedor

Tres desencadenantes: renombrar, modificar sustancialmente, reconvertir (Artículo 25(1))

El Artículo 25(1) enumera tres formas en que un distribuidor, importador, responsable del despliegue u otro tercero pasa a ser el proveedor de un sistema de alto riesgo:

Renombrar (Artículo 25(1)(a)). Poner tu nombre o marca en un sistema de IA de alto riesgo ya introducido en el mercado o en servicio. Comercializar con marca propia el sistema de un proveedor te convierte en su proveedor, con independencia de los acuerdos contractuales.
Modificar sustancialmente (Artículo 25(1)(b)). Hacer una modificación sustancial a un sistema de alto riesgo ya introducido en el mercado, de tal modo que siga siendo de alto riesgo.
Reconvertir (Artículo 25(1)(c)). Modificar la finalidad prevista de un sistema de IA, incluido un sistema de IA de uso general, que no era de alto riesgo, de modo que pase a serlo. Reconvertir una herramienta genérica para el cribado de contratación conforme al Anexo III punto 4 es el caso de manual.

Lo que cuesta el traspaso de papel (Artículo 25(2))

La consecuencia es el bloque completo del Artículo 16 a tu nombre: nueva evaluación de la conformidad, nueva declaración de conformidad, marcado CE y registro. El proveedor original deja de ser el proveedor de ese sistema, pero debe cooperar y entregar la información y la documentación que el nuevo proveedor necesita (Artículo 25(2)). El afinado, la personalización profunda y el renombrado de los sistemas adquiridos son los traspasos de papel accidentales más habituales, así que todo cambio en un sistema de alto riesgo adquirido debería pasar una comprobación del Artículo 25 antes de lanzarse.

Cuando muerden ambos bloques: fechas, la salvedad del Ómnibus y las sanciones

2 de diciembre de 2027: el plazo adoptado de alto riesgo

Ambos bloques se activan desde la misma fecha de aplicación. Proveedores y responsables del despliegue entran en vigor a la vez, sin período de gracia para el responsable del despliegue. El Digital Omnibus, adoptado en junio de 2026 (Parlamento Europeo el 16 de junio, Consejo el 29 de junio) tras un acuerdo político de 6–7 de mayo de 2026, aplaza las obligaciones de alto riesgo de los sistemas independientes del Anexo III (Artículo 6(2)) al 2 de diciembre de 2027 y los sistemas del Anexo I integrados en productos (Artículo 6(1)) al 2 de agosto de 2028. Entra en vigor con su publicación en el Diario Oficial, un trámite que no cambia las fechas. Las nuevas fechas son fechas de calendario fijas. La propuesta de «parar el reloj» supeditada a las normas fue rechazada, así que no planifiques en torno a la disponibilidad de normas armonizadas.

Lo que ya se aplica en cualquier caso

No todo se movió. Las prohibiciones del Artículo 5 se aplican desde el 2 de febrero de 2025, y las normas de IA de uso general de los Artículos 51–55 desde el 2 de agosto de 2025. La mayoría de las obligaciones de transparencia del Artículo 50 no han cambiado, con el marcado de contenidos y las marcas de agua, más la nueva prohibición de material de abuso sexual infantil/«desnudadores», aplicables desde el 2 de diciembre de 2026. En cuanto a la clasificación, el borrador de directrices de la Comisión conforme al Artículo 6(5) se publicó el 19 de mayo de 2026, con la consulta específica abierta hasta el 23 de junio de 2026 y la versión final prevista más adelante en 2026. El borrador de directrices no es jurídicamente vinculante; la interpretación autorizada corresponde al Tribunal de Justicia de la UE.

El precio de ejecutar el bloque equivocado (Artículo 99)

Los incumplimientos de las obligaciones del proveedor conforme al Artículo 16 o de las obligaciones del responsable del despliegue conforme al Artículo 26 acarrean multas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial total, la cifra que sea mayor (Artículo 99(4)). Los incumplimientos de las prohibiciones del Artículo 5 se sitúan en el nivel más alto, con hasta 35 millones de euros o el 7 % (Artículo 99(3)). Facilitar información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades competentes arriesga hasta 7,5 millones de euros o el 1 % (Artículo 99(5)). Las pymes y las empresas emergentes se benefician del tope proporcional del Artículo 99(6), conforme al cual cada multa es la menor entre el porcentaje o el importe fijo.

Conclusión: sabe qué bloque(s) asumes, por sistema

Una comprobación de papel en tres preguntas para cada sistema de alto riesgo

Pasa cada sistema de tu inventario de IA por tres preguntas:

¿Lo desarrollamos, o lo introducimos en el mercado con nuestro propio nombre o marca? Si es así, asumes el bloque del proveedor: Artículos 8–22 más la entrada al mercado.
¿Lo operamos bajo nuestra propia autoridad en un contexto profesional? Si es así, asumes el bloque del responsable del despliegue: Artículo 26, más el Artículo 27 cuando te atrapen los desencadenantes de la EIDF.
¿Lo hemos renombrado, modificado sustancialmente o reconvertido? Si es así, el Artículo 25 ha traspasado el bloque del proveedor sobre ti, encima de lo que ya asumías.

Muchas empresas responden que sí a la pregunta 1 para el producto que venden y que sí a la pregunta 2 para las herramientas de RR. HH., crédito o biometría que compran. Eso es normal. Lo que importa es que el registro de cumplimiento anote el papel por sistema, no por empresa. La plantilla de registro de sistemas de IA está construida en torno a exactamente ese campo de papel por sistema.

Mantener ambos bloques evidenciados en un solo lugar

Ambos bloques convergen en el mismo rastro de prueba: documentación técnica, registros, registros de supervisión, notificaciones de incidentes. El expediente del Anexo IV de un proveedor y la prueba operativa del Artículo 26 de un responsable del despliegue se solapan en gran medida en los artefactos subyacentes, así que tratar los papeles por sistema te permite gestionar esa prueba una vez en lugar de por duplicado.

Para cada sistema de alto riesgo de tu inventario, decide qué bloque de obligaciones asume tu organización (proveedor, responsable del despliegue o ambos) y anota el razonamiento. Luego comprueba en cada sistema adquirido la exposición al Artículo 25: cualquier renombrado, modificación sustancial o reconversión significa que el bloque del proveedor ha recaído sobre ti, nueva evaluación de la conformidad incluida. Esa única decisión por sistema determina cada plazo, documento y deber que sigue.

Cómo ayuda Confir

Confir asigna el papel por sistema de IA, ya sea proveedor, responsable del despliegue o ambos, y genera la lista de obligaciones correspondiente: el bloque de los Artículos 8–22 y de entrada al mercado para los sistemas en papel de proveedor, el bloque operativo del Artículo 26 (más la EIDF del Artículo 27 cuando se activa) para los sistemas en papel de responsable del despliegue, y una marca del Artículo 25 siempre que un sistema adquirido se haya renombrado, modificado o reconvertido. El motor de síntesis es determinista y basado en reglas: la misma lógica cada vez, sin inferencia de modelos, sin alucinaciones. El registro de obligaciones que ven tus auditores es exactamente el registro que deriva el reglamento.

Preguntas frecuentes

¿Cuáles son las obligaciones del proveedor para la IA de alto riesgo conforme a la Ley de IA de la UE? Los proveedores deben garantizar que el sistema cumple los requisitos de la Sección 2 — gestión de riesgos (Artículo 9), gobernanza de datos (Artículo 10), documentación técnica (Artículo 11), conservación de registros (Artículo 12), transparencia (Artículo 13), supervisión humana (Artículo 14) y precisión, robustez y ciberseguridad (Artículo 15) — más los deberes del Artículo 16: un sistema de gestión de calidad, la evaluación de la conformidad, la declaración UE de conformidad, el marcado CE y el registro en la base de datos de la UE.

¿Cuáles son las obligaciones del responsable del despliegue conforme al Artículo 26 de la Ley de IA de la UE? Los responsables del despliegue deben usar los sistemas de IA de alto riesgo conforme a las instrucciones de uso del proveedor, asignar la supervisión humana a personal competente y formado, garantizar datos de entrada relevantes allí donde los controlen, vigilar el funcionamiento, notificar los riesgos y los incidentes graves, conservar los registros generados automáticamente durante al menos seis meses e informar a los trabajadores y a las personas afectadas. Ciertos responsables del despliegue también deben completar una evaluación de impacto relativa a los derechos fundamentales conforme al Artículo 27.

¿Cuál es la diferencia entre un proveedor y un responsable del despliegue conforme a la Ley de IA de la UE? Un proveedor desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca. Un responsable del despliegue utiliza un sistema de IA bajo su propia autoridad en un contexto profesional. Para los sistemas de alto riesgo, los proveedores asumen el bloque de diseño y entrada al mercado (Artículos 8–22), mientras que los responsables del despliegue asumen los deberes operativos del Artículo 26.

¿Puede un responsable del despliegue pasar a ser proveedor conforme a la Ley de IA de la UE? Sí. Conforme al Artículo 25, un responsable del despliegue se trata como el proveedor de un sistema de IA de alto riesgo si pone su propio nombre o marca en el sistema, hace una modificación sustancial que lo mantiene de alto riesgo, o cambia la finalidad prevista de un sistema no de alto riesgo de modo que pase a serlo. Entonces se aplica el bloque completo del proveedor — incluida una nueva evaluación de la conformidad.

¿Quién tiene que realizar una evaluación de impacto relativa a los derechos fundamentales (EIDF)? El Artículo 27 exige una EIDF a los responsables del despliegue que sean organismos de Derecho público o entidades privadas que prestan servicios públicos, y a los responsables del despliegue de sistemas de alto riesgo para la evaluación de la solvencia o la fijación de precios de los riesgos de los seguros de vida y de salud conforme al Anexo III puntos 5(b) y 5(c). Debe completarse antes del primer uso, y debe notificarse a la autoridad de vigilancia del mercado.

¿Cuándo empiezan a aplicarse las obligaciones de la IA de alto riesgo? El Digital Omnibus, adoptado en junio de 2026, aplaza la fecha de alto riesgo de los sistemas independientes del Anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027, y los sistemas del Anexo I integrados en productos del 2 de agosto de 2027 al 2 de agosto de 2028. Entra en vigor con su publicación en el Diario Oficial, un trámite que no cambia estas fechas de calendario fijas.

¿Cuáles son las sanciones por incumplir las obligaciones del proveedor o del responsable del despliegue? Los incumplimientos de las obligaciones del proveedor conforme al Artículo 16 o de las obligaciones del responsable del despliegue conforme al Artículo 26 pueden acarrear multas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial, la cifra que sea mayor (Artículo 99(4)). Facilitar información incorrecta, incompleta o engañosa a las autoridades arriesga hasta 7,5 millones de euros o el 1 % (Artículo 99(5)). Las pymes y las empresas emergentes se benefician de un tope proporcional conforme al Artículo 99(6).

Plataforma de Confir para la Ley de IA de la UE