¿Eres proveedor o responsable del despliegue del Reglamento de IA?

La mayoría de las pymes son responsables del despliegue, y los deberes del responsable son más ligeros de lo que se teme. Esta es la pregunta que decide tus obligaciones bajo el Reglamento de IA, Reglamento (UE) 2024/1689: no el tamaño de tu empresa ni el sector, sino tu rol respecto a cada sistema de IA. El proveedor (artículo 16) desarrolla un sistema y lo comercializa o pone en servicio bajo su nombre; el responsable del despliegue (artículo 26) lo utiliza. Las obligaciones del proveedor son sustancialmente más exigentes —por eso conviene saber cuál eres antes de construir nada—.

---

Las dos figuras principales

Proveedor (artículo 16). Desarrolla un sistema de IA —o encarga su desarrollo— y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca, de forma gratuita o de pago. Si el sistema es de alto riesgo, el proveedor carga con el grueso del Reglamento: sistema de gestión de riesgos (art. 9), gobernanza de datos (art. 10), documentación técnica (art. 11 / anexo IV), registros (art. 12), supervisión humana (art. 14), evaluación de la conformidad (art. 43), declaración UE de conformidad (art. 47), marcado CE (art. 48) y registro (art. 49).

Responsable del despliegue (artículo 26). Utiliza un sistema de IA bajo su autoridad en el marco de su actividad profesional. Sus deberes, para un sistema de alto riesgo, son acotados: usarlo conforme a las instrucciones, garantizar la supervisión humana por personas competentes, vigilar el funcionamiento e informar de incidencias, conservar los registros generados automáticamente y, cuando proceda, informar a las personas afectadas. La mayoría de las pymes que usan IA de terceros encajan aquí.

---

El cambio de rol del artículo 25

Aquí es donde muchas empresas se llevan una sorpresa. El artículo 25 establece que un responsable del despliegue —o un distribuidor, importador o tercero— pasa a ser considerado proveedor de un sistema de alto riesgo, con todas sus obligaciones, en tres supuestos:

• Marca propia: pones tu nombre o marca en un sistema de alto riesgo ya comercializado.
• Modificación sustancial: modificas de forma sustancial un sistema de alto riesgo que ya está en el mercado o en servicio, de modo que sigue siendo de alto riesgo. "Modificación sustancial" se define en el artículo 3(23).
• Cambio de finalidad: modificas la finalidad prevista de un sistema de IA (incluido uno de uso general) de manera que pasa a ser de alto riesgo.

La consecuencia es clara: si tomas la API de un modelo de uso general y construyes encima una función que comercializas bajo tu nombre —sobre todo si entra en un uso del anexo III—, probablemente seas el proveedor de ese sistema, no un mero responsable del despliegue. El proveedor original del modelo conserva sus propias obligaciones de modelo de uso general (artículos 51 a 55), pero del sistema respondes tú.

---

Las otras dos figuras: importador y distribuidor

Para completar la cadena de valor:

Importador y distribuidor tienen deberes de verificación (comprobar el marcado CE, la documentación, el registro) y de actuación si detectan que un sistema no es conforme. Una pyme que revende o intermedia sistemas de IA de terceros puede caer en una de estas dos figuras.

---

Cómo decidir tu rol, sistema por sistema

Hazte tres preguntas por cada sistema de IA:

1. ¿Lo desarrollas y lo comercializas bajo tu nombre? Si sí, eres proveedor (art. 16).
2. ¿Lo usas tal cual, de un tercero, en tu actividad? Si sí, eres responsable del despliegue (art. 26).
3. ¿Le pones tu marca, lo modificas sustancialmente (art. 3(23)) o cambias su finalidad a un uso de alto riesgo? Si sí, el artículo 25 te convierte en proveedor, aunque empezaras desplegando.

El rol se decide por sistema, no por empresa: puedes ser responsable del despliegue de tu CRM con IA y, a la vez, proveedor de la función de IA que tú mismo has construido en tu producto.

---

Ejemplo práctico

Costa Soft, una pyme de 22 personas en Málaga (~2,4 M€ de facturación), usa tres sistemas de IA. (1) Un asistente de redacción comercial de terceros, tal cual. (2) Un CRM con analítica predictiva de un proveedor externo. (3) Una función propia de "recomendación de productos" que ha construido sobre la API de un modelo de uso general y que vende integrada en su SaaS bajo la marca Costa Soft.

Veredictos: en (1) y (2), Costa Soft es responsable del despliegue (art. 26) —deberes ligeros: uso conforme a instrucciones, supervisión humana, vigilancia—. En (3), al comercializar la función bajo su nombre, Costa Soft es proveedor (art. 16) de ese sistema; si la función entrara en un uso del anexo III, asumiría el régimen completo de alto riesgo por la vía del artículo 25. Como la recomendación de productos no es un uso del anexo III, el sistema (3) es de riesgo mínimo, pero Costa Soft sigue siendo su proveedor y le aplica, entre otras, la transparencia del artículo 50 si el usuario interactúa con la IA. Conclusión: dos roles distintos en la misma empresa, decididos sistema por sistema.

Cómo ayuda Confir

Confir deriva tu rol para cada sistema a partir de preguntas en lenguaje claro —quién lo desarrolla, bajo qué nombre se comercializa, si lo has modificado o cambiado de finalidad— y devuelve proveedor, responsable del despliegue, importador o distribuidor, citando el artículo y la regla que se aplicó, incluido el cambio del artículo 25 cuando procede. El motor es determinista y basado en reglas: el mismo dato de entrada produce siempre el mismo rol.

Guías relacionadas

• Proveedor o responsable del despliegue
• Obligaciones del proveedor (artículo 16)
• Obligaciones del responsable del despliegue (artículo 26)
• Modificación sustancial, definida
• Obligaciones del Reglamento de IA para PYMEs