Capítulo 5 de 8

Obligaciones del proveedor y del responsable del despliegue

17 min de lectura

Deberes del proveedor (arts. 8 a 22) y del responsable del despliegue (art. 26) en IA de alto riesgo según el RIA, con el plazo de diciembre de 2027.

El Reglamento (UE) 2024/1689 (Reglamento de IA o RIA) divide los deberes de la IA de alto riesgo en dos bloques ligados a los roles, no a las empresas. El proveedor es quien desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca (art. 3(3)). El proveedor asume el bloque de diseño y entrada al mercado de los artículos 8–22, más los pasos de evaluación de la conformidad de los artículos 43, 47, 48 y 49. El responsable del despliegue es quien utiliza un sistema de IA bajo su propia autoridad en un contexto profesional (art. 3(4)), y asume el bloque operativo del artículo 26, más la evaluación de impacto relativa a los derechos fundamentales del artículo 27 cuando proceda.

Los roles se atribuyen por sistema de IA, no por organización. La misma empresa es habitualmente el proveedor del sistema que vende y el responsable del despliegue de las herramientas que compra, y conforme al artículo 25 un responsable del despliegue puede asumir el rol de proveedor a mitad del ciclo de vida. Este capítulo expone ambos bloques, los pone uno al lado del otro en una sola tabla, explica cuándo se pasa a ser proveedor por el artículo 25 y cierra con las fechas de aplicación. Esa última sección cubre las fechas, ahora resueltas: el plazo del 2 de diciembre de 2027 es ley desde el 27 de julio de 2026.

Un sistema de alto riesgo, dos bloques de obligaciones

Los roles, no la tecnología, reparten los deberes (art. 3)

La Ley de IA de la UE no pregunta qué clase de empresa eres. Pregunta cuál es tu relación con cada sistema de IA. Para los sistemas clasificados como de alto riesgo conforme al artículo 6, a saber, los sistemas integrados en productos con arreglo a la legislación sectorial del anexo I (art. 6(1)) y los sistemas independientes en las áreas de casos de uso del anexo III (art. 6(2)), las definiciones del artículo 3 reparten dos cargas de trabajo muy distintas. El proveedor debe hacer que el sistema sea lícito antes de que nadie pueda usarlo. El responsable del despliegue debe mantenerlo lícito en funcionamiento. Si no tienes claro qué definición te atrapa, resuélvelo primero: ¿soy proveedor o responsable del despliegue? recorre los casos límite.

Muchas empresas asumen ambos bloques

Como los roles se atribuyen por sistema, una misma organización a menudo asume ambos bloques a la vez: proveedor del modelo de puntuación de fraude que construyó, responsable del despliegue de la herramienta adquirida de cribado de currículos en su departamento de RR. HH. Tu registro de obligaciones tiene que anotar el rol por sistema. Una etiqueta a nivel de empresa como «somos un responsable del despliegue» es el tipo de atajo que provoca que se pasen por alto obligaciones.

El bloque del proveedor: arts. 8 a 22 y la introducción en el mercado

Lo que el propio sistema debe cumplir (arts. 8–15)

El artículo 8 ancla el bloque: los sistemas de IA de alto riesgo deben cumplir los requisitos del capítulo III, Sección 2, teniendo en cuenta su finalidad prevista y el estado de la técnica. Siete artículos detallan qué significa eso.

Gestión de riesgos (art. 9). Un proceso de gestión de riesgos continuo e iterativo a lo largo de todo el ciclo de vida: identificar, estimar, evaluar y mitigar. Lo desglosamos en el sistema de gestión de riesgos del artículo 9.
Gobernanza de datos (art. 10). Criterios de calidad para los conjuntos de datos de entrenamiento, validación y prueba, que abarcan la relevancia, la representatividad y el examen de posibles sesgos.
Documentación técnica (art. 11). Elaborada antes de la introducción en el mercado o la puesta en servicio, que abarca los elementos del anexo IV, y mantenida actualizada. La plantilla de documentación técnica del anexo IV te da la estructura completa.
Conservación de registros (art. 12). El sistema debe permitir técnicamente el registro automático de acontecimientos (archivos de registro) a lo largo de su vida útil.
Transparencia e instrucciones de uso (art. 13). Este es el gozne entre los dos bloques. Las instrucciones que el proveedor redacta aquí son aquello dentro de lo que el responsable del despliegue está legalmente obligado a operar conforme al artículo 26(1).
Supervisión humana (art. 14). Medidas de supervisión diseñadas dentro del sistema, o identificadas por el proveedor para que el responsable del despliegue las aplique.
Precisión, solidez y ciberseguridad (art. 15). Niveles adecuados de cada una, con un rendimiento constante a lo largo del ciclo de vida.

Los deberes de conducta del proveedor (art. 16)

El artículo 16 superpone después los propios deberes de conducta del proveedor: indicar tu identidad y datos de contacto; mantener un sistema de gestión de la calidad conforme al artículo 17; conservar la documentación técnica durante diez años (art. 18); conservar los registros generados automáticamente que estén bajo tu control (art. 19); adoptar medidas correctoras e informar a los agentes posteriores cuando algo no sea conforme (art. 20); y cooperar con las autoridades competentes (art. 21). Los proveedores establecidos fuera de la UE deben designar un representante autorizado en la Unión antes de comercializar el sistema (art. 22). El desglose punto por punto está en los deberes del proveedor del artículo 16.

Entrada al mercado (arts. 43, 47, 48 y 49)

Nada llega al mercado de la UE hasta que el proveedor ha completado cuatro pasos:

Evaluación de la conformidad (art. 43). Control interno conforme al anexo VI para la mayoría de los sistemas del anexo III. Para los sistemas biométricos del anexo III punto 1, el proveedor elige entre el anexo VI y el procedimiento con organismo notificado del anexo VII cuando se hayan aplicado plenamente las normas armonizadas.
Declaración UE de conformidad (art. 47). Elaborada con el contenido del anexo V y conservada durante diez años.
Marcado CE (art. 48). Colocado de forma visible, legible e indeleble, o de forma digital para los sistemas suministrados digitalmente.
Registro (art. 49). El proveedor se registra a sí mismo y al sistema en la base de datos de la UE establecida conforme al artículo 71 antes de introducirlo en el mercado.

Esa es la carga de trabajo del proveedor a grandes rasgos. El análisis en profundidad está en las obligaciones del proveedor al completo.

El bloque del responsable del despliegue: el artículo 26 en funcionamiento

El bloque del responsable del despliegue es operativo, no de diseño. El artículo 26 no te pide rediseñar el sistema, solo hacerlo funcionar de forma responsable.

Operar dentro de las instrucciones de uso (art. 26(1))

Los responsables del despliegue deben adoptar medidas técnicas y organizativas adecuadas para usar el sistema conforme a las instrucciones de uso del proveedor. Las instrucciones son el perímetro legal de tu uso. Si te sales de ellas, te arriesgas a un incumplimiento del artículo 26, y a pasar a ser proveedor conforme al artículo 25 si la desviación equivale a una nueva finalidad prevista.

Asignar una supervisión humana competente (art. 26(2))

La supervisión humana debe asignarse a personas físicas con la competencia, la formación, la autoridad y el apoyo necesarios. Un titular nominal sin la autoridad para detener el sistema no cumple el artículo.

Controlar los datos de entrada y vigilar el funcionamiento (art. 26(4) y 26(5))

En la medida en que el responsable del despliegue ejerza control sobre los datos de entrada, esos datos deben ser relevantes y suficientemente representativos en vista de la finalidad prevista del sistema (art. 26(4)). Los responsables del despliegue también vigilan el funcionamiento sobre la base de las instrucciones de uso (art. 26(5)). Cuando el uso pueda presentar un riesgo en el sentido del artículo 79(1), informan al proveedor o distribuidor y a la autoridad de vigilancia del mercado pertinente sin demora indebida, y suspenden el uso. Ante un incidente grave, el responsable del despliegue informa primero al proveedor, luego al importador o distribuidor y a las autoridades, alimentando el propio deber de notificación del proveedor conforme al artículo 73.

Registros, trabajadores y personas afectadas (art. 26(6), (7) y (11))

Los registros generados automáticamente que estén bajo el control del responsable del despliegue deben conservarse durante un período adecuado a la finalidad prevista, y durante al menos seis meses, salvo que otra disposición del Derecho de la Unión o nacional establezca otra cosa (art. 26(6)). Antes de poner en servicio un sistema de alto riesgo en el lugar de trabajo, los empleadores responsables del despliegue deben informar a los representantes de los trabajadores y a los trabajadores afectados (art. 26(7)), y los responsables del despliegue deben informar a las personas físicas de que están sujetas a un sistema de IA de alto riesgo cuando este toma o asiste decisiones sobre ellas (art. 26(11)). Los responsables del despliegue que sean autoridades públicas también verifican y completan el registro conforme al artículo 49(3), y todo responsable del despliegue coopera con las autoridades competentes (art. 26(12)).

La evaluación de impacto relativa a los derechos fundamentales (art. 27)

Un subconjunto de responsables del despliegue asume un deber más: una evaluación de impacto relativa a los derechos fundamentales (EIDF). Se aplica a los responsables del despliegue que sean organismos de Derecho público o entidades privadas que prestan servicios públicos, y a los responsables del despliegue de sistemas del anexo III puntos 5(b) y 5(c), a saber, la evaluación de la solvencia y la evaluación y fijación de precios de los riesgos de los seguros de vida y de salud. La EIDF se realiza antes del primer uso, con notificación a la autoridad de vigilancia del mercado. El recorrido completo está en las obligaciones del responsable del despliegue al completo, y el texto artículo por artículo está en los deberes del responsable del despliegue del artículo 26.

Uno al lado del otro: deberes del proveedor frente al responsable del despliegue para el mismo sistema

La tabla siguiente contrapone ambos bloques, área de deber por área de deber, para un mismo sistema de IA de alto riesgo.

Área de deber	Proveedor	Responsable del despliegue
Gestión de riesgos	Ejecuta el sistema de gestión de riesgos del ciclo de vida del artículo 9	Vigila el funcionamiento en directo; devuelve los riesgos al proveedor y a la autoridad (art. 26(5))
Datos	Gobernanza de datos del artículo 10 para los datos de entrenamiento, validación y prueba	Garantiza datos de entrada relevantes y suficientemente representativos allí donde controla las entradas (art. 26(4))
Documentación	Elabora la documentación técnica del anexo IV (art. 11) y las instrucciones de uso (art. 13)	Opera dentro de esas instrucciones (art. 26(1))
Archivos de registro	Integra el registro automático en el sistema (art. 12); conserva los registros bajo su control (art. 19)	Conserva los registros bajo su control durante al menos seis meses (art. 26(6))
Supervisión humana	Diseña las medidas de supervisión dentro del sistema (art. 14)	Asigna a personas competentes, formadas y apoyadas para ejercerla (art. 26(2))
Precisión, solidez, ciberseguridad	Debe garantizarlas desde el diseño (art. 15)	Suspende el uso cuando el funcionamiento presenta un riesgo del artículo 79(1)
Gestión de calidad	Mantiene un SGC conforme al artículo 17	Sin equivalente para el responsable del despliegue
Entrada al mercado	Evaluación de la conformidad (art. 43), declaración UE de conformidad (art. 47), marcado CE (art. 48), registro en la base de datos de la UE (art. 49)	Ninguno — salvo el registro del uso por los responsables del despliegue que sean autoridades públicas (art. 49(3))
Incidentes y poscomercialización	Ejecuta la vigilancia poscomercialización (art. 72); notifica los incidentes graves (art. 73)	Informa al proveedor/distribuidor y a la autoridad de vigilancia del mercado; suspende el uso (art. 26(5))
Personas afectadas	Informa a través de las instrucciones de uso	Informa a los representantes de los trabajadores (art. 26(7)) y a las personas afectadas (art. 26(11)); ciertos responsables del despliegue realizan la EIDF del artículo 27 antes del primer uso

Leer la tabla: bloques complementarios, no duplicados

Casi ninguna fila contiene el mismo deber dos veces; los bloques se engranan en lugar de solaparse. Las instrucciones del artículo 13 del proveedor son el reglamento del artículo 26(1) del responsable del despliegue. El diseño de registro del artículo 12 del proveedor hace posible la conservación del artículo 26(6) del responsable del despliegue. La vigilancia del artículo 26(5) del responsable del despliegue alimenta el sistema poscomercialización del artículo 72 y las notificaciones de incidentes del artículo 73 del proveedor. Recorta un deber de cualquiera de los bloques y el circuito se rompe para ambas partes.

Artículo 25: cuando el responsable del despliegue pasa a ser el proveedor

Tres desencadenantes: renombrar, modificar sustancialmente, reconvertir (art. 25(1))

El artículo 25(1) enumera tres formas en que un distribuidor, importador, responsable del despliegue u otro tercero pasa a ser el proveedor de un sistema de alto riesgo:

Renombrar (art. 25(1)(a)). Poner tu nombre o marca en un sistema de IA de alto riesgo ya introducido en el mercado o en servicio. Poner tu marca en el sistema de otro proveedor puede convertirte en proveedor, sin perjuicio de los acuerdos contractuales que asignen las obligaciones de otro modo.
Modificar sustancialmente (art. 25(1)(b)). Hacer una modificación sustancial a un sistema de alto riesgo ya introducido en el mercado, de tal modo que siga siendo de alto riesgo.
Reconvertir (art. 25(1)(c)). Modificar la finalidad prevista de un sistema de IA, incluido un sistema de IA de uso general, que no era de alto riesgo, de modo que pase a serlo. Reconvertir una herramienta genérica para el cribado de contratación conforme al anexo III punto 4 es el caso de manual.

Lo que cuesta pasar a ser proveedor (art. 25(2))

La consecuencia es el bloque completo del artículo 16 a tu nombre: nueva evaluación de la conformidad, nueva declaración de conformidad, marcado CE y registro. El proveedor original deja de ser el proveedor de ese sistema, pero, salvo que haya excluido expresamente el uso de alto riesgo, debe cooperar y entregar la información y la documentación que el nuevo proveedor necesita (art. 25(2), sustituido por el Ómnibus Digital). El afinado, la personalización profunda y el renombrado de los sistemas adquiridos son las vías más habituales para pasar a ser proveedor sin darte cuenta, así que todo cambio en un sistema de alto riesgo adquirido debería pasar una comprobación del artículo 25 antes de lanzarse.

Cuándo se aplican ambos bloques: fechas y sanciones

2 de diciembre de 2027: el plazo modificado de alto riesgo

Ambos bloques se activan desde la misma fecha de aplicación. Proveedores y responsables del despliegue entran en vigor a la vez, sin período de gracia para el responsable del despliegue. El Ómnibus Digital (Reglamento (UE) 2026/1744, de 8 de julio de 2026, DO L de 24.7.2026), con acuerdo político de 6 y 7 de mayo de 2026, aplaza las obligaciones de alto riesgo de los sistemas independientes del anexo III (art. 6(2)) al 2 de diciembre de 2027 y los sistemas del anexo I integrados en productos (art. 6(1)) al 2 de agosto de 2028. El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Las nuevas fechas son fechas de calendario fijas. La propuesta de la Comisión de noviembre de 2025 habría vinculado el inicio a la disponibilidad de normas y herramientas de apoyo, con fechas límite de respaldo; los colegisladores adoptaron en su lugar fechas fijas, así que no planifiques en torno a la disponibilidad de normas armonizadas.

Lo que ya se aplica en cualquier caso

No todo se movió. Las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025, y las normas de IA de uso general de los artículos 51–55 desde el 2 de agosto de 2025. El artículo 50, incluido el marcado del apartado 2, se aplica desde el 2 de agosto de 2026. Los sistemas generativos ya introducidos en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 (art. 111(4)). Dos nuevas prohibiciones del artículo 5, letras ba) y bb), se aplican desde el 2 de diciembre de 2026. En cuanto a la clasificación, el borrador de directrices de la Comisión conforme al artículo 6(5) se publicó el 19 de mayo de 2026, con la consulta específica cerrada el 23 de julio de 2026 (ampliada desde el 23 de junio) y las directrices definitivas previstas antes de que termine 2026. El borrador de directrices no es jurídicamente vinculante; la interpretación autorizada corresponde al Tribunal de Justicia de la UE.

El precio de ejecutar el bloque equivocado (art. 99)

Los incumplimientos de las obligaciones del proveedor conforme al artículo 16 o de las obligaciones del responsable del despliegue conforme al artículo 26 acarrean multas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial total, la cifra que sea mayor (art. 99(4)). Desde el Ómnibus Digital, el tramo del artículo 99(4) cubre también las obligaciones de la cadena de suministro del artículo 25, apartados 2 y 4 (letra d bis). Los incumplimientos de las prohibiciones del artículo 5 se sitúan en el nivel más alto, con hasta 35 millones de euros o el 7 % (art. 99(3)). Facilitar información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades competentes arriesga hasta 7,5 millones de euros o el 1 % (art. 99(5)). Las pymes y las empresas emergentes se benefician del tope proporcional del artículo 99(6), conforme al cual cada multa es la menor entre el porcentaje o el importe fijo. Para las pequeñas empresas de mediana capitalización, el menor importe se aplica solo a las multas de los apartados 4 y 5 del artículo 99, no a las de prácticas prohibidas del apartado 3 (art. 99, apartado 6 bis).

Conclusión: identifica qué bloque asumes en cada sistema

Una comprobación de rol en tres preguntas para cada sistema de alto riesgo

Pasa cada sistema de tu inventario de IA por tres preguntas:

¿Lo desarrollamos, o lo introducimos en el mercado con nuestro propio nombre o marca? Si es así, asumes el bloque del proveedor: artículos 8–22 más la entrada al mercado.
¿Lo operamos bajo nuestra propia autoridad en un contexto profesional? Si es así, asumes el bloque del responsable del despliegue: artículo 26, más el artículo 27 cuando te atrapen los desencadenantes de la EIDF.
¿Lo hemos renombrado, modificado sustancialmente o reconvertido? Si es así, el artículo 25 ha traspasado el bloque del proveedor sobre ti, encima de lo que ya asumías.

Muchas empresas responden que sí a la pregunta 1 para el producto que venden y que sí a la pregunta 2 para las herramientas de RR. HH., crédito o biometría que compran. Eso es normal. Lo que importa es que el registro de cumplimiento anote el rol por sistema, no por empresa. La plantilla de registro de sistemas de IA está construida en torno a exactamente ese campo de rol por sistema.

Las pruebas de ambos bloques, en un solo lugar

Ambos bloques convergen en el mismo rastro de prueba: documentación técnica, registros, registros de supervisión, notificaciones de incidentes. El expediente del anexo IV de un proveedor y la prueba operativa del artículo 26 de un responsable del despliegue se solapan en gran medida en la documentación subyacente, así que tratar los roles por sistema te permite gestionar esa prueba una vez en lugar de por duplicado.

Para cada sistema de alto riesgo de tu inventario, decide qué bloque de obligaciones asume tu organización (proveedor, responsable del despliegue o ambos) y anota el razonamiento. Luego comprueba en cada sistema adquirido la exposición al artículo 25: cualquier renombrado, modificación sustancial o reconversión significa que el bloque del proveedor ha recaído sobre ti, nueva evaluación de la conformidad incluida. Esa única decisión por sistema determina cada plazo, documento y deber que sigue.

Cómo ayuda Confir

Confir asigna el rol por sistema de IA, ya sea proveedor, responsable del despliegue o ambos, y genera la lista de obligaciones correspondiente: el bloque de los artículos 8–22 y de entrada al mercado para los sistemas con rol de proveedor, el bloque operativo del artículo 26 (más la EIDF del artículo 27 cuando se activa) para los sistemas con rol de responsable del despliegue, y una marca del artículo 25 siempre que un sistema adquirido se haya renombrado, modificado o reconvertido. El motor de síntesis es determinista y basado en reglas: la misma lógica cada vez, sin inferencia de modelos, sin alucinaciones. El registro de obligaciones que ven tus auditores es exactamente el registro que deriva el reglamento.

Preguntas frecuentes

¿Cuáles son las obligaciones del proveedor para la IA de alto riesgo conforme a la Ley de IA de la UE? Los proveedores deben garantizar que el sistema cumple los requisitos de la Sección 2 — gestión de riesgos (art. 9), gobernanza de datos (art. 10), documentación técnica (art. 11), conservación de registros (art. 12), transparencia (art. 13), supervisión humana (art. 14) y precisión, solidez y ciberseguridad (art. 15) — más los deberes del artículo 16: un sistema de gestión de la calidad, la evaluación de la conformidad, la declaración UE de conformidad, el marcado CE y el registro en la base de datos de la UE.

¿Cuáles son las obligaciones del responsable del despliegue conforme al artículo 26 de la Ley de IA de la UE? Los responsables del despliegue deben usar los sistemas de IA de alto riesgo conforme a las instrucciones de uso del proveedor, asignar la supervisión humana a personal competente y formado, garantizar datos de entrada relevantes allí donde los controlen, vigilar el funcionamiento, notificar los riesgos y los incidentes graves, conservar los archivos de registro generados automáticamente que estén bajo su control durante al menos seis meses (salvo que el Derecho de la Unión o nacional disponga otra cosa) e informar a los trabajadores y a las personas afectadas. Ciertos responsables del despliegue también deben completar una evaluación de impacto relativa a los derechos fundamentales conforme al artículo 27.

¿Cuál es la diferencia entre un proveedor y un responsable del despliegue conforme a la Ley de IA de la UE? Un proveedor desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca. Un responsable del despliegue utiliza un sistema de IA bajo su propia autoridad en un contexto profesional. Para los sistemas de alto riesgo, los proveedores asumen el bloque de diseño y entrada al mercado (arts. 8–22), mientras que los responsables del despliegue asumen los deberes operativos del artículo 26.

¿Puede un responsable del despliegue pasar a ser proveedor conforme a la Ley de IA de la UE? Sí. Conforme al artículo 25, un responsable del despliegue se trata como el proveedor de un sistema de IA de alto riesgo si pone su propio nombre o marca en el sistema, hace una modificación sustancial que lo mantiene de alto riesgo, o cambia la finalidad prevista de un sistema no de alto riesgo de modo que pase a serlo. Entonces se aplica el bloque completo del proveedor — incluida una nueva evaluación de la conformidad.

¿Quién tiene que realizar una evaluación de impacto relativa a los derechos fundamentales (EIDF)? El artículo 27 exige una EIDF a los responsables del despliegue que sean organismos de Derecho público o entidades privadas que prestan servicios públicos, y a los responsables del despliegue de sistemas de alto riesgo para la evaluación de la solvencia o la fijación de precios de los riesgos de los seguros de vida y de salud conforme al anexo III puntos 5(b) y 5(c). Debe completarse antes del primer uso, y debe notificarse a la autoridad de vigilancia del mercado.

¿Cuándo empiezan a aplicarse las obligaciones de la IA de alto riesgo? El Ómnibus Digital aplaza la fecha de alto riesgo de los sistemas independientes del anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027, y los sistemas del anexo I integrados en productos del 2 de agosto de 2027 al 2 de agosto de 2028. El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026.

¿Cuáles son las sanciones por incumplir las obligaciones del proveedor o del responsable del despliegue? Los incumplimientos de las obligaciones del proveedor conforme al artículo 16 o de las obligaciones del responsable del despliegue conforme al artículo 26 pueden acarrear multas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial, la cifra que sea mayor (art. 99(4)). Facilitar información incorrecta, incompleta o engañosa a las autoridades arriesga hasta 7,5 millones de euros o el 1 % (art. 99(5)). Las pymes y las empresas emergentes se benefician de un tope proporcional conforme al artículo 99(6).

Plataforma de Confir para la Ley de IA de la UE