Artículo 25 del Reglamento de IA: responsabilidades a lo largo de la cadena de valor de la IA
Cómo el artículo 25 del RIA convierte a responsable del despliegue, distribuidor o importador en proveedor: los tres activadores y la cooperación debida.
Un integrador de sistemas compra un motor de cribado de CV de alto riesgo conforme, lo envuelve en su propia marca y lo revende. Ahora es el proveedor legal de ese sistema y debe toda la pila del artículo 16 que nunca presupuestó. Eso es el artículo 25 del Reglamento (UE) 2024/1689 en acción: reasigna las pesadas obligaciones del proveedor cuando un actor descendente cambia un sistema de alto riesgo lo suficiente como para que se le trate como su proveedor. Esta guía cubre cuándo ocurre ese vuelco, qué heredas y qué sigue debiéndote el proveedor original — y solo aplica a sistemas de alto riesgo, no a la IA empresarial general.
El artículo 25 rige las responsabilidades a lo largo de la cadena de valor de la IA. Conforme al artículo 25(1), un distribuidor, importador, responsable del despliegue u otro tercero es considerado proveedor de un sistema de IA de alto riesgo a efectos del Reglamento, y asume las obligaciones del proveedor del artículo 16, en el momento en que se cumple cualquiera de tres activadores. Cuando eso ocurre, el proveedor original deja de ser considerado el proveedor de ese sistema concreto (artículo 25(1), último párrafo), pero aún debe cooperar conforme al artículo 25(2).
Equivócate de rol y la parte equivocada presentará la documentación técnica conforme al artículo 11 y al anexo IV, ejecutará la evaluación de la conformidad conforme al artículo 43 y registrará el sistema en la base de datos de la UE conforme al artículo 49. Lee esto junto a roles y obligaciones de proveedor frente a responsable del despliegue y las obligaciones del proveedor del artículo 16 para el mapa completo de roles.
Alcance primero: el artículo 25 solo muerde para sistemas de alto riesgo
Antes de nada, confirma que el sistema es de alto riesgo. El artículo 25 solo reasigna obligaciones de proveedor, y las obligaciones del proveedor solo existen para los sistemas de alto riesgo conforme al artículo 6 con el anexo III (por ejemplo el punto 4(a), selección de personal) o el anexo I (la vía de producto).
La mayoría de la IA empresarial general no es de alto riesgo. Los asistentes de productividad, las herramientas de codificación, la búsqueda y recuperación, los generadores de textos de marketing y el enrutamiento de tickets quedan fuera de la lista de alto riesgo. Para esos sistemas no es posible ningún vuelco del artículo 25, y los deberes realistas se reducen a la alfabetización en IA del artículo 4 y, cuando el resultado de la IA llega a terceros, a la transparencia del artículo 50. El vuelco solo importa una vez que un sistema es genuinamente de alto riesgo. Si no estás seguro, clasifica primero — el resto de este artículo asume que ya lo has establecido.
Los tres activadores que vuelcan a un actor descendente en proveedor
El artículo 25(1) establece tres activadores independientes. Cumplir uno cualquiera es suficiente. El vuelco es automático, por imperio de la ley — un contrato puede asignar quién hace el trabajo práctico, pero no puede renunciar al estatus jurídico que el Reglamento asigna.
Activador 1 — poner tu nombre o marca en él (artículo 25(1)(a))
Si pones tu propio nombre o marca en un sistema de IA de alto riesgo que ya ha sido introducido en el mercado o puesto en servicio, te conviertes en su proveedor — con sujeción a cualquier acuerdo contractual en contrario. Esta es la trampa de la reventa de marca blanca y OEM. El motor subyacente puede ser impecable y estar plenamente evaluado por otra persona; el acto de marcarlo como tuyo traslada a ti el estatus de proveedor.
Activador 2 — realizar una modificación sustancial (artículo 25(1)(b))
Realizar una modificación sustancial a un sistema de IA de alto riesgo que ya está en el mercado convierte al modificador en proveedor. El término definido está en el artículo 3(23): un cambio no previsto en la evaluación de la conformidad inicial del sistema que afecta a su conformidad o altera su finalidad prevista. Ese umbral importa. La configuración rutinaria, o el ajuste fino dentro de la finalidad prevista documentada, no activa por sí solo el activador. Un cambio fuera de lo que la evaluación de la conformidad original previó, sí. Consulta qué cuenta como modificación sustancial para el test de cambio tras la comercialización en detalle.
Activador 3 — modificar la finalidad prevista (artículo 25(1)(c))
Cambiar la finalidad prevista de un sistema de IA — incluido un sistema que no es de alto riesgo o de uso general — de modo que pase a ser de alto riesgo conforme al artículo 6 te convierte en proveedor de ese sistema recién de alto riesgo. Esta es la vía por la que una herramienta que nunca fue de alto riesgo lo llega a ser: un motor de puntuación general reorientado a la preselección de candidatos cae en el anexo III, punto 4(a), y la parte que lo reorientó asume las consecuencias.
El límite honesto en los tres: el uso normal, la configuración documentada y el ajuste fino dentro del alcance no te vuelcan. Solo el marcado, la modificación fuera de alcance o un cambio de finalidad hacia un uso de alto riesgo lo hacen.
Una vez que vuelcas: qué obligaciones heredas
Cuando te conviertes en proveedor, asumes el conjunto completo de obligaciones del artículo 16. No hay versión parcial. Eso significa los requisitos sustantivos de alto riesgo de los artículos 9 a 15:
- sistema de gestión de riesgos (artículo 9)
- datos y gobernanza de datos (artículo 10)
- documentación técnica (artículo 11, anexo IV)
- conservación de registros y registro de eventos (artículo 12)
- transparencia e instrucciones de uso (artículo 13)
- supervisión humana (artículo 14)
- exactitud, solidez y ciberseguridad (artículo 15)
Encima se sitúa la pila procedimental: un sistema de gestión de la calidad (artículo 17), la evaluación de la conformidad (artículo 43), la declaración UE de conformidad (artículo 47), el marcado CE (artículo 48) y el registro en la base de datos de la UE (artículo 49). Un actor no perteneciente a la UE que se convierte en proveedor por esta vía debe además designar un representante autorizado en la UE conforme al artículo 22.
Importa una excepción. Para los sistemas por la vía de producto del anexo I, el vuelco interactúa con el artículo 6(1), y no aplicas la pila autónoma directamente. Conforme al artículo 2(2), los productos del anexo I, sección B — vehículos de motor conforme al Reglamento (UE) 2018/858, más equipos de aviación, ferroviarios y marítimos — alcanzan los requisitos sustantivos a través de sus marcos sectoriales modificados por el Reglamento de IA, no por aplicación directa de los artículos 8 a 15. Para los productos del anexo I, sección A, como la maquinaria y los productos sanitarios, el artículo 43(3) encauza la evaluación de la conformidad a través de los actos sectoriales pertinentes. No atornilles la pila completa de proveedor autónomo a la IA integrada en productos.
La mayoría de las organizaciones que vuelcan nunca se dotaron de recursos como proveedores. Esa brecha es el riesgo central que el artículo 25 crea para integradores y revendedores.
El deber que sobrevive al vuelco: el proveedor original debe cooperar
El vuelco traslada el estatus de proveedor aguas abajo, pero no borra las obligaciones de información de la parte aguas arriba. El artículo 25(2) a (4) mantiene en escena al proveedor original y a cualquier proveedor de modelos.
Artículo 25(2). Cuando ocurre el vuelco, el proveedor original debe cooperar estrechamente con el nuevo proveedor, poner a disposición la información necesaria y proporcionar el acceso técnico y la demás asistencia razonablemente esperados que el nuevo proveedor necesita para cumplir — a menos que el proveedor original haya especificado claramente que su sistema no debe modificarse. Esa cláusula es por la que importan los contratos de proveedor: el proveedor original no queda en silencio simplemente porque alguien aguas abajo se haya convertido en el proveedor legal.
Artículo 25(3). Cuando un sistema de alto riesgo se construye sobre o integra un modelo de IA de uso general (GPAI), el proveedor del modelo GPAI debe apoyar el cumplimiento suministrando la información y documentación necesarias. El conjunto de obligaciones de GPAI de los artículos 51 a 55 es parcial y está en la hoja de ruta, no completo, pero el deber de apoyo del artículo 25(3) es el puente entre la capa del modelo y la capa del sistema de alto riesgo.
Artículo 25(4). Para los sistemas de IA de alto riesgo que son componentes de seguridad de productos conforme al artículo 6(1), el fabricante del producto se considera el proveedor y asume las obligaciones correspondientes.
Dónde muerde esto en las sanciones: suministrar información incorrecta, incompleta o engañosa a las autoridades se sitúa en el tramo más bajo — hasta 7,5 millones EUR o el 1 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(5)). La mayoría de los incumplimientos de obligaciones por un proveedor se sitúan un tramo por encima, en 15 millones EUR o el 3 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(4)). Para pymes y empresas emergentes, el artículo 99(6) limita la multa al menor entre el porcentaje y la suma fija.
La trampa del artículo 25 para integradores, revendedores y vendedores de marca blanca
Aquí está la trampa expuesta sin rodeos. Un integrador de sistemas o un revendedor de valor añadido compra un sistema de alto riesgo conforme, lo remarca (activador 1) o le cablea una lógica personalizada que cambia su comportamiento más allá del alcance de conformidad original (activador 2), y se convierte en silencio en el proveedor legal — heredando toda la pila del artículo 16 que nunca planificó.
Una segunda trampa atrapa a los responsables del despliegue. Un equipo toma una herramienta que no es de alto riesgo y la afina hacia un uso de alto riesgo (activador 3) — por ejemplo, reorientar una herramienta de puntuación general a la preselección de candidatos, que cae bajo el anexo III, punto 4(a). La herramienta era inofensiva el lunes y un sistema de alto riesgo bajo tu condición de proveedor el viernes.
Los contratos asignan trabajo, no estatus jurídico. Una cláusula que diga "el vendedor sigue siendo el proveedor" no sobrevive una vez que pones tu marca en el sistema o lo modificas sustancialmente. Lo que los contratos deberían hacer es blindar los compromisos de cooperación y acceso a la información del artículo 25(2) que vas a necesitar.
La mitigación es concreta:
- Mantén los cambios dentro de la finalidad prevista documentada del sistema.
- Conserva el marcado original cuando puedas, en lugar de remarcar.
- Asegura por escrito, antes del lanzamiento, los compromisos de cooperación y acceso a la información del artículo 25(2) de aguas arriba.
- Vuelve a ejecutar tu clasificación de roles en cada cambio material, no una sola vez al firmar.
Vigila el calendario, también. Las obligaciones autónomas de alto riesgo del anexo III fijaban originalmente el 2 de agosto de 2026 en el texto. El Ómnibus Digital aplaza la fecha del alto riesgo autónomo al 2 de diciembre de 2027, y ese aplazamiento ya está adoptado — el pleno del Parlamento Europeo lo votó el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026 —, pendiente solo de su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Planifica frente al 2 de diciembre de 2027 para el alto riesgo autónomo del anexo III. El aplazamiento es un cambio de fechas fijas; la variante de "parar el reloj" fue rechazada, así que no todo está retrasado.
Los activadores y consecuencias del artículo 25 de un vistazo
Los tres activadores y lo que cada uno arrastra sobre ti:
| Activador | Base legal | Escenario típico | Quién se convierte en proveedor | Obligaciones clave heredadas |
|---|---|---|---|---|
| Nombre o marca | Artículo 25(1)(a) | Reventa de marca blanca u OEM | El remarcador | Todo el artículo 16, más los artículos 43, 47, 48, 49 |
| Modificación sustancial | Artículo 25(1)(b), artículo 3(23) | El integrador altera un sistema desplegado más allá de su alcance de conformidad | El modificador | Toda la pila del artículo 16 |
| Cambio de finalidad prevista | Artículo 25(1)(c) | Herramienta no de alto riesgo reorientada a un uso del anexo III | El modificador | Toda la pila del artículo 16 para el sistema ahora de alto riesgo |
| Deber que permanece | Artículo 25(2), 25(3) | Cualquier vuelco; modelo GPAI integrado | Proveedor original / proveedor del modelo GPAI | Cooperar, compartir información, suministrar documentación |
Ejemplo práctico: un integrador remarca y reorienta una herramienta de cribado
Considera TalentBridge, un integrador de tecnología de RR. HH. de la UE de 120 personas. Licencia un motor de cribado de CV de alto riesgo conforme de un proveedor aguas arriba y lo revende a clientes corporativos con su propia marca.
En el momento en que TalentBridge distribuye el motor con su propio nombre, se dispara el activador 1 (artículo 25(1)(a)) — ahora es el proveedor del sistema de marca. TalentBridge añade entonces una capa de clasificación de "encaje cultural" personalizada que la evaluación de la conformidad original nunca previó. Eso es una modificación sustancial conforme al artículo 25(1)(b) y al artículo 3(23), y confirma el vuelco de forma independiente. Cualquiera de los dos activadores por sí solo habría bastado; TalentBridge disparó dos.
La consecuencia es la pila completa de proveedor autónomo. TalentBridge debe ser titular de la documentación técnica del anexo IV (artículo 11), ejecutar la evaluación de la conformidad (artículo 43), emitir la declaración UE de conformidad (artículo 47), marcar CE el sistema (artículo 48) y registrarlo en la base de datos de la UE (artículo 49). Como la selección de personal se sitúa en el anexo III, punto 4(a), los clientes corporativos que despliegan la herramienta aguas abajo siguen asumiendo sus propios deberes de responsable del despliegue conforme a los artículos 26 y 27 — el vuelco no los exime. (Consulta las obligaciones del responsable del despliegue del artículo 26 para ese lado descendente.)
La resolución que TalentBridge debería alcanzar: negociar por escrito la cooperación y el acceso a la documentación del artículo 25(2) del proveedor aguas arriba, no llegar al remarcado cuando el caso comercial lo permita, y volver a ejecutar su clasificación de roles antes del lanzamiento en lugar de después de que llegue una consulta de control.
Un flujo de trabajo práctico de reevaluación de roles
Cinco pasos, en orden, cada vez que el sistema o tu rol cambia:
- Confirma el estatus de alto riesgo. Prueba el sistema frente al artículo 6 con el anexo III o el anexo I. Si no es de alto riesgo, el artículo 25 no aplica y tus deberes se reducen a la alfabetización del artículo 4 y la transparencia del artículo 50.
- Prueba cada activador del artículo 25(1) frente a tus acciones reales: marcado, alcance de la modificación frente al umbral del artículo 3(23) y deriva de la finalidad prevista hacia un uso del anexo III.
- Dimensiona la pila heredada. Si se dispara algún activador, mapea las obligaciones completas del artículo 16 y comprueba si necesitas un representante autorizado del artículo 22.
- Asegura por escrito los deberes de aguas arriba. Fija la cooperación del artículo 25(2) y el apoyo GPAI del artículo 25(3) que se te deben.
- Vuelve a probar en cada cambio material. El vuelco está impulsado por eventos, así que reevalúa el estatus de rol siempre que cambien el marcado, la función o la finalidad — no una sola vez en la contratación.
Cómo ayuda Confir
Confir mapea cada sistema de tu inventario frente a los activadores del artículo 25 y ensambla el conjunto de documentación resultante. El motor de síntesis es determinista y basado en reglas — sin inferencia de modelos, sin alucinaciones. Aplica la lógica de los activadores a cómo has configurado, marcado y modificado de hecho cada sistema, señala dónde ha ocurrido un vuelco y dimensiona las obligaciones del artículo 16 que se derivan. Cuando el proveedor original te debe la cooperación del artículo 25(2), Confir hace seguimiento de los compromisos de acceso a la información junto al registro del sistema, de modo que un cambio de rol nunca te deje en silencio sosteniendo una pila de proveedor sin presupuestar.
Preguntas frecuentes
¿Qué hace realmente el artículo 25 del Reglamento de IA?
El artículo 25 rige las responsabilidades a lo largo de la cadena de valor de la IA. Su regla central es el vuelco a proveedor: conforme al artículo 25(1), un distribuidor, importador, responsable del despliegue u otro tercero es tratado como el proveedor de un sistema de IA de alto riesgo — y hereda las obligaciones del artículo 16 — si pone su nombre o marca en el sistema, realiza una modificación sustancial o cambia la finalidad prevista de modo que el sistema pase a ser de alto riesgo. También impone deberes de cooperación e información al proveedor original conforme al artículo 25(2) a (4).
¿Cuándo se convierte un responsable del despliegue o revendedor en proveedor conforme al artículo 25?
Siempre que se cumpla cualquiera de los tres activadores del artículo 25(1): marcar el sistema con tu propio nombre o marca (artículo 25(1)(a)); realizar una modificación sustancial según se define en el artículo 3(23) (artículo 25(1)(b)); o modificar la finalidad prevista de modo que un sistema pase a ser de alto riesgo conforme al artículo 6 (artículo 25(1)(c)). Cumplir un solo activador basta — el vuelco ocurre automáticamente por ley, no por elección, aunque los contratos pueden asignar el trabajo práctico.
¿Puede un contrato impedir que ocurra el vuelco a proveedor del artículo 25?
No, no del todo. El artículo 25(1) opera por ley: si pones tu marca en un sistema de alto riesgo o lo modificas sustancialmente, te conviertes en su proveedor con independencia de la redacción del contrato. El artículo 25(1)(a) hace referencia a acuerdos contractuales para el caso del marcado, pero los contratos asignan principalmente quién hace el trabajo, no quién ostenta el estatus jurídico. Lo que los contratos deberían asegurar es el deber del proveedor original del artículo 25(2) de cooperar y compartir la información y el acceso técnico que necesitas para cumplir.
¿Qué obligaciones heredo si me convierto en proveedor conforme al artículo 25?
El conjunto completo del artículo 16: gestión de riesgos, gobernanza de datos, documentación técnica (artículo 11, anexo IV), conservación de registros, transparencia, supervisión humana y exactitud, solidez y ciberseguridad (artículos 9 a 15). Más un sistema de gestión de la calidad (artículo 17), la evaluación de la conformidad (artículo 43), la declaración UE de conformidad (artículo 47), el marcado CE (artículo 48) y el registro en la base de datos de la UE (artículo 49). Un actor no perteneciente a la UE debe además designar un representante autorizado conforme al artículo 22.
¿Tiene el proveedor original algún deber tras el vuelco?
Sí. Conforme al artículo 25(2), el proveedor original debe cooperar estrechamente con el nuevo proveedor, poner a disposición la información necesaria y proporcionar el acceso técnico y la asistencia razonablemente esperados — a menos que haya especificado claramente que su sistema no debe modificarse. Cuando se integra un modelo de IA de uso general, el artículo 25(3) obliga al proveedor del modelo GPAI a suministrar información y documentación de apoyo. El vuelco traslada el estatus de proveedor aguas abajo, pero no borra las obligaciones de información de la parte aguas arriba.
¿Aplica el artículo 25 a la IA que no es de alto riesgo?
No. Todo el mecanismo está atado a los sistemas de alto riesgo conforme al artículo 6 con el anexo III o el anexo I. La mayoría de la IA empresarial general — asistentes de productividad, herramientas de codificación, búsqueda y recuperación, herramientas de marketing — no es de alto riesgo, así que no es posible ningún vuelco del artículo 25. Para esos sistemas los deberes realistas son la alfabetización en IA del artículo 4 y, cuando el resultado de la IA llega a terceros, la transparencia del artículo 50. El vuelco solo importa una vez que un sistema es genuinamente de alto riesgo.
¿Cómo interactúan los sistemas de IA integrados en productos con el artículo 25?
De forma distinta a los sistemas autónomos. Para la IA por la vía de producto del anexo I, el artículo 25(4) trata al fabricante del producto como el proveedor. Conforme al artículo 2(2), los productos de la sección B, como vehículos de motor, aviación y ferroviario, alcanzan los requisitos a través de sus marcos sectoriales modificados en lugar de por aplicación directa de los artículos 8 a 16, y los productos de la sección A encauzan la evaluación de la conformidad a través de los actos sectoriales conforme al artículo 43(3). No deberías aplicar la pila completa de alto riesgo autónomo directamente a la IA integrada en productos.
Guías relacionadas
- roles y obligaciones de proveedor frente a responsable del despliegue
- obligaciones del proveedor del artículo 16
- obligaciones del responsable del despliegue del artículo 26
- qué cuenta como modificación sustancial
- obligaciones del importador del artículo 23
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →