Proveedor posterior — RIA: definición, artículo 25 y la cadena de valor de la GPAI

Un proveedor posterior es una organización que toma un sistema de IA o un modelo de IA de uso general (GPAI) que ha construido otra persona y lo integra, modifica o renombra en un producto que introduce en el mercado con su propio nombre. El término importa porque, conforme al Reglamento (UE) 2024/1689, convertirse en proveedor posterior puede sacarte del papel comparativamente ligero de responsable del despliegue y meterte en todo el bloque de obligaciones de proveedor del artículo 16, a menudo sin que pretendas asumir ninguna de ellas.

La versión corta: integrar un modelo o sistema de un tercero no te convierte automáticamente en proveedor, pero hacerle ciertas cosas concretas sí. Esta página define el concepto, expone los disparadores del artículo 25 que cambian el papel y explica la cadena de valor de la GPAI, incluida la información que te debe el proveedor del modelo situado más arriba conforme al artículo 53.

De dónde viene el término

«Proveedor posterior» es la etiqueta práctica para un agente de la cadena de valor de la IA que se sitúa por debajo del desarrollador original de un sistema o del proveedor de un modelo GPAI, pero que, por sus propios actos, asume la condición de proveedor. El Reglamento define al proveedor en el artículo 3, punto 3: cualquiera que desarrolle un sistema de IA o un modelo GPAI —o que lo encargue desarrollar— y lo introduzca en el mercado o lo ponga en servicio con su propio nombre o marca. El Reglamento sigue el nombre de la caja, no el origen de los pesos del modelo.

La cadena de valor en sí se aborda en el artículo 25 (responsabilidades a lo largo de la cadena de valor) y, para la capa del modelo, en los deberes de flujo de información del capítulo V. Un proveedor posterior es la entidad que, en algún punto de esa cadena, pasa de usar a proveer.

Los disparadores del artículo 25: cuándo la integración te convierte en proveedor

Un responsable del despliegue, importador, distribuidor o integrador se convierte en proveedor —un proveedor posterior— de un sistema de IA de alto riesgo en tres situaciones que recoge el artículo 25(1):

1. Renombrado. Pones tu propio nombre o marca en un sistema de IA de alto riesgo ya disponible en el mercado. Desde ese momento eres su proveedor.
2. Modificación sustancial. Realizas una modificación sustancial —definida en el artículo 3(23) como un cambio en el rendimiento o la finalidad prevista de un sistema que afecta a su cumplimiento de los requisitos de alto riesgo— en un sistema ya disponible en el mercado, de modo que sigue siendo de alto riesgo. Te conviertes en el proveedor del sistema modificado.
3. Cambio de finalidad prevista. Modificas la finalidad prevista de un sistema (incluido uno que no sea de alto riesgo) de manera que pasa a ser de alto riesgo. Adquieres la condición de proveedor para esa nueva finalidad.

El matiz del artículo 25(1)(c) es el que se les escapa a los integradores: reorientar o modificar sustancialmente importa incluso cuando el producto de origen cumplía perfectamente. La evaluación de la conformidad y el marcado CE del proveedor original cubren el sistema sin modificar para su finalidad original. En cuanto cruzas una de estas líneas, el papeleo original deja de cubrirte, y debes realizar tu propia evaluación de la conformidad, redactar una nueva declaración de conformidad del artículo 47 y registrarte conforme al artículo 49.

Cuando te conviertes en proveedor posterior de un sistema de alto riesgo, el bloque del artículo 16 te sigue al completo: un sistema de gestión de riesgos (artículo 9), documentación técnica (artículo 11 / anexo IV), gobernanza de datos (artículo 10), supervisión humana (artículo 14), precisión y solidez (artículo 15), evaluación de la conformidad (artículo 43), la declaración de conformidad (artículo 47) y el registro (artículo 49). Estos se aplican desde el 2 de diciembre de 2027 para los sistemas autónomos del anexo III (y desde el 2 de agosto de 2028 para los integrados en productos del anexo I) en virtud del Ómnibus Digital: el Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026.

Y no te quedas solo: el artículo 25(2), reescrito por el Ómnibus Digital, obliga al proveedor inicial a cooperar contigo y a entregarte la documentación técnica, las limitaciones y modos de fallo conocidos y un acceso técnico específico para pruebas, salvo que hubiera especificado claramente que su sistema no debía convertirse en uno de alto riesgo. Esa cooperación y los acuerdos por escrito del artículo 25(4) —que ahora alcanzan también a quienes suministran modelos, herramientas o componentes de IA— son sancionables conforme al artículo 99(4).

La cadena de valor de la GPAI: qué baja hasta ti

Un segundo sentido, distinto, de «proveedor posterior» aparece en las reglas de la GPAI. Aquí, tú eres el proveedor posterior que construye un sistema de IA sobre el modelo de IA de uso general de otra persona, y el proveedor del modelo GPAI se sitúa más arriba.

Los deberes sobre el modelo no se te transfieren. Se quedan con el proveedor del modelo conforme al artículo 53, que obliga a los proveedores de modelos GPAI a:

• redactar y mantener la documentación técnica del modelo;
• facilitar información y documentación a los proveedores posteriores que integran el modelo, para que esos proveedores entiendan sus capacidades y limitaciones y puedan cumplir sus propias obligaciones;
• implantar una política para cumplir la normativa de la UE en materia de derechos de autor; y
• publicar un resumen suficientemente detallado de los datos de entrenamiento.

Ese segundo deber es la bisagra de la cadena de valor: el proveedor del modelo debe darte a ti, el proveedor posterior, la información que necesitas para cumplir tus obligaciones respecto del sistema que construyes. Tienes derecho a ella; no se espera que reconstruyas tú mismo el interior del modelo. Las obligaciones de la GPAI están en vigor desde el 2 de agosto de 2025, y las multas a los proveedores de modelos GPAI las impone la Comisión, desde el 2 de agosto de 2026, conforme al artículo 101 (15 M€ o el 3 %), una vía separada de las sanciones del artículo 99 a los proveedores y responsables del despliegue de sistemas.

Ejemplo práctico: Mistwald Analytics GmbH, una empresa de SaaS de 35 personas

Mistwald Analytics GmbH, con sede en Leipzig, unos 35 empleados y unos 5 M€ de facturación, licencia un modelo GPAI de un tercero y construye un producto de RR. HH. sobre él. Dos decisiones de producto deciden su papel.

Decisión uno: una función de resumen de reuniones. Mistwald usa el modelo para resumir notas internas de reuniones dentro de su producto. No es un uso de alto riesgo; Mistwald es el proveedor de su sistema, así que debe comprobar si le alcanza el marcado del texto generado del artículo 50(2), pero el bloque del artículo 16 no muerde. El proveedor del modelo aún le debe a Mistwald la información del artículo 53 para que Mistwald entienda lo que está distribuyendo.

Decisión dos: una función automatizada de clasificación de candidatos. Mistwald añade una función que puntúa y clasifica a los aspirantes a un puesto para sus clientes empleadores, y la distribuye bajo la marca Mistwald. Ocurren dos cosas a la vez. La función es de alto riesgo conforme al anexo III, punto 4(a) (contratación). Y como Mistwald la introduce en el mercado con su propio nombre y ha construido una función de alto riesgo diferenciada sobre el modelo, el artículo 25 convierte a Mistwald en proveedor posterior que carga con todo el bloque del artículo 16: su propia evaluación de la conformidad (vía del anexo VI), documentación del anexo IV, una declaración de conformidad del artículo 47 y el registro conforme al artículo 49, todo ello con plazo del 2 de diciembre de 2027. Los deberes de GPAI del proveedor del modelo conforme al artículo 53 no descargan ninguna de las obligaciones de Mistwald a nivel de sistema; solo le dan derecho a la información que necesita. Los clientes empleadores de Mistwald son responsables del despliegue conforme al artículo 26.

Sobre la exposición: incumplir las obligaciones del proveedor de alto riesgo se sitúa en 15 000 000 € o el 3 % del volumen de negocios anual mundial conforme al artículo 99(4), y para una pyme el límite del artículo 99(6) toma la menor de las dos cifras.

Cómo ayuda Confir

Confir registra cada sistema de IA que construyes sobre un sistema o modelo GPAI de un tercero, lo clasifica por su uso conforme a los artículos 5 y 6, y deriva tu papel: responsable del despliegue (artículo 26) o, cuando se dispara un supuesto del artículo 25, proveedor posterior con el bloque del artículo 16. El motor es determinista y basado en reglas: la misma entrada devuelve el mismo veredicto de papel, y la regla que se disparó se muestra en lenguaje claro, de modo que la línea entre integrar un modelo y convertirse en el proveedor de su sistema es explícita en lugar de adivinada.

Preguntas frecuentes

¿Qué es un proveedor posterior en el RIA?

Un proveedor posterior es una organización que toma un sistema de IA o un modelo GPAI construido por otra persona y, al integrarlo, modificarlo sustancialmente o renombrarlo, introduce un producto en el mercado con su propio nombre, convirtiéndose así en proveedor conforme al artículo 25. El término también describe a cualquier empresa que construye un sistema de IA sobre un modelo GPAI situado más arriba, a quien el proveedor del modelo debe información conforme al artículo 53.

¿Integrar un modelo de un tercero me convierte en proveedor automáticamente?

No. Limitarse a usar o integrar un modelo GPAI no te convierte, por sí solo, en el proveedor de ese modelo. Te conviertes en proveedor posterior de un sistema de IA conforme al artículo 25 solo si introduces un sistema de alto riesgo en el mercado con tu propio nombre, lo modificas sustancialmente (artículo 3(23)) o cambias la finalidad prevista de un sistema de modo que pase a ser de alto riesgo. A falta de esos disparadores, normalmente eres responsable del despliegue.

¿Qué exige el artículo 25 a un proveedor posterior?

Si un supuesto del artículo 25 se aplica a un sistema de alto riesgo, asumes todo el bloque de proveedor del artículo 16: gestión de riesgos (artículo 9), documentación técnica (artículo 11 / anexo IV), gobernanza de datos (artículo 10), supervisión humana (artículo 14), precisión y solidez (artículo 15), una nueva evaluación de la conformidad (artículo 43), una declaración de conformidad (artículo 47) y el registro (artículo 49). El marcado CE del proveedor original no cubre tu sistema modificado o renombrado.

¿Qué información me debe facilitar el proveedor del modelo GPAI situado más arriba?

Conforme al artículo 53, el proveedor del modelo GPAI debe facilitar a los proveedores posteriores información y documentación sobre el modelo —suficiente para entender sus capacidades y limitaciones y para cumplir tus propias obligaciones—, junto con documentación técnica, una política de cumplimiento de los derechos de autor y un resumen publicado de los datos de entrenamiento. Tienes derecho a ello; no se espera que hagas ingeniería inversa del modelo. Estos deberes se aplican desde el 2 de agosto de 2025.

¿Las multas del proveedor del modelo GPAI son las mismas que las mías?

No. Las multas a los proveedores de modelos GPAI las impone la Comisión conforme al artículo 101 (hasta 15 M€ o el 3 %). Las multas a los proveedores y responsables del despliegue de sistemas —incluidos los proveedores posteriores de sistemas de IA— las imponen las autoridades nacionales conforme al artículo 99, con las obligaciones de alto riesgo y la mayoría de las demás en el tramo de 15 M€ o el 3 % conforme al artículo 99(4). Las dos vías de ejecución son distintas, aunque las cifras de cabecera son similares.

¿Cuándo se aplican las obligaciones de alto riesgo de un proveedor posterior?

Para los sistemas autónomos de alto riesgo del anexo III, desde el 2 de diciembre de 2027; para la IA de alto riesgo integrada en productos del anexo I, desde el 2 de agosto de 2028. Ambas fechas las fija el Ómnibus Digital, el Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026, que aplazó la fecha original del 2 de agosto de 2026 para el anexo III.

Guías relacionadas

• Proveedor — definición, obligaciones y el cambio de papel del artículo 25
• Responsable del despliegue — definición y obligaciones
• Modificación sustancial — artículo 3(23) y el viraje a proveedor
• Operador — cómo usa el término el RIA
• Artículo 25 — responsabilidades a lo largo de la cadena de valor de la IA
• Artículo 16 — obligaciones del proveedor explicadas
• Artículo 53 — obligaciones de los proveedores de modelos GPAI
• Modelo de IA de uso general — definición y obligaciones