El responsable del despliegue es la empresa o persona que utiliza un sistema de IA bajo su propia autoridad en una actividad profesional (art. 3.4 del AI Act). El proveedor es quien lo desarrolla o encarga y lo comercializa o usa con su nombre (art. 3.3). Contexto en la guía del Reglamento Europeo de IA para empresas.
¿Qué es el responsable del despliegue y qué es el proveedor?
El Reglamento Europeo de IA (RIA, conocido como AI Act) los define así:
«3) "proveedor": una persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamente; 4) "responsable del despliegue": una persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IA bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesional;»
Dos matices:
- Encargar también cuenta. Si un tercero desarrolla la herramienta y la usas con tu nombre, el proveedor eres tú.
- El uso propio es «puesta en servicio» (art. 3, punto 11): no hace falta vender nada para ser proveedor.
Importador, distribuidor y operador
- Importador (art. 3, punto 6): está en la Unión e introduce en el mercado un sistema con la marca de alguien establecido fuera.
- Distribuidor (art. 3, punto 7): comercializa el sistema en la cadena de suministro, sin ser proveedor ni importador.
- Operador (art. 3, punto 8): término que agrupa a todos los anteriores, al fabricante del producto y al representante autorizado.
Ejemplo hipotético: quien introduce en España un programa de selección de una empresa estadounidense es importador; quien lo revende, distribuidor; quien lo usa para contratar, responsable del despliegue.
¿Cuándo una empresa usuaria pasa a ser proveedor? (art. 25)
El art. 25.1, que el Ómnibus no ha modificado, convierte en proveedor de un sistema de alto riesgo al distribuidor, importador, responsable del despliegue o tercero que:
«a) cuando ponga su nombre o marca en un sistema de IA de alto riesgo previamente introducido en el mercado o puesto en servicio, sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo; b) cuando modifique sustancialmente un sistema de IA de alto riesgo que ya haya sido introducido en el mercado o puesto en servicio de tal manera que siga siendo un sistema de IA de alto riesgo con arreglo al artículo 6; c) cuando modifique la finalidad prevista de un sistema de IA, incluido un sistema de IA de uso general, que no haya sido considerado de alto riesgo y ya haya sido introducido en el mercado o puesto en servicio, de tal manera que el sistema de IA de que se trate se convierta en un sistema de IA de alto riesgo de conformidad con el artículo 6.»
Una «modificación sustancial» es un cambio no previsto en la evaluación de la conformidad inicial que afecta al cumplimiento de los requisitos o cambia la finalidad prevista (art. 3, punto 23). Ejemplos hipotéticos:
- Letra a): una consultora de recursos humanos vende con su marca la herramienta de selección de un tercero.
- Letra b): una empresa reentrena con sus datos un sistema de evaluación del rendimiento y cambia sus criterios.
- Letra c): una pyme configura un asistente de uso general para puntuar candidatos, finalidad del anexo III, punto 4 (ver IA en recursos humanos).
El proveedor inicial deja de serlo para ese sistema, pero debe colaborar:
«Ese proveedor inicial cooperará estrechamente con los nuevos proveedores, pondrá a disposición la información necesaria y proporcionará el acceso técnico y otra asistencia que pueda esperarse razonablemente para el cumplimiento de las obligaciones establecidas en el presente Reglamento […] a) poner a disposición documentación técnica suficiente para evaluar el cumplimiento de los requisitos establecidos en el artículo 16; b) informar a los nuevos proveedores sobre las limitaciones y los modos de fallo conocidos, y c) proporcionar a los nuevos proveedores un acceso técnico específico, incluido para la prueba y la validación.»
No hay deber de cooperar si el proveedor inicial indicó claramente que su sistema no debe transformarse en uno de alto riesgo (art. 25.2, último párrafo). El acuerdo escrito con quien suministra componentes a un sistema de alto riesgo incluye ahora expresamente a quien suministra «un modelo de IA» (art. 25.4). Y el incumplimiento de los apartados 2 y 4 del art. 25 pasa a ser sancionable (art. 99.4, letra d bis). Todo ello, en la redacción dada por el Reglamento (UE) 2026/1744; el resto de novedades está en qué cambia el Ómnibus digital. Las cuantías, en multas y sanciones del AI Act.
¿Qué obligaciones tiene cada papel?
| Qué establece la norma | Qué supone para la empresa |
|---|---|
| Proveedor de alto riesgo: arts. 8 a 17, 43, 47 a 49. Cualquier proveedor: art. 4 y, según el sistema, arts. 50.1 y 50.2. Responsable del despliegue de alto riesgo: art. 26 y, a veces, art. 27. Cualquier responsable del despliegue: art. 4 y, según el uso, arts. 50.3 y 50.4. | Si solo usas herramientas de terceros, úsalas según sus instrucciones, supervísalas y forma a tu equipo. |
El importador verifica la evaluación de la conformidad, la documentación técnica y el marcado CE (art. 23.1); el distribuidor, el marcado CE, la declaración UE de conformidad y las instrucciones (art. 24.1). Las obligaciones de alto riesgo se aplican desde el 2 de diciembre de 2027 o el 2 de agosto de 2028 (art. 113, en la redacción dada por el Reglamento (UE) 2026/1744). Detalle en ¿es mi sistema de IA de alto riesgo? y en el calendario de fechas clave del AI Act.
Infografía
Importador y distribuidor: en qué se diferencian
Ambos son operadores (art. 3, punto 8). Ejemplo hipotético de la página
| Importador | Distribuidor | |
|---|---|---|
| Quién es | Está en la Unión e introduce en el mercado un sistema con la marca de alguien establecido fuera (art. 3, punto 6) | Comercializa el sistema en la cadena de suministro, sin ser proveedor ni importador (art. 3, punto 7) |
| Ejemplo hipotético | Introduce en España un programa de selección de una empresa estadounidense | Revende ese programa |
| Qué verifica en alto riesgo | La evaluación de la conformidad, la documentación técnica y el marcado CE (art. 23.1) | El marcado CE, la declaración UE de conformidad y las instrucciones (art. 24.1) |
| Puede pasar a ser proveedor | Sí, en los supuestos del art. 25.1 | Sí, en los supuestos del art. 25.1 |
Ver y descargar como imagen
Descargar la infografía «Importador y distribuidor: en qué se diferencian» (PNG)
El caso típico: una pyme que usa ChatGPT o Copilot
Ejemplo hipotético: una gestoría de 12 personas usa ChatGPT y Copilot para redactar correos y resumir documentos. Es responsable del despliegue (art. 3, punto 4). Sus obligaciones del RIA hoy:
- Adoptar medidas para apoyar la alfabetización en IA de su personal (art. 4, en la redacción dada por el Reglamento (UE) 2026/1744).
- No utilizar ningún sistema para las prácticas de IA prohibidas por el artículo 5, que alcanzan también a quien solo usa la herramienta.
- Si publica ultrasuplantaciones o textos sobre asuntos de interés público, hacerlo saber (art. 50.4; ver cómo etiquetar contenido generado con IA).
El RGPD se aplica a los datos que introduce: ver usar ChatGPT en la empresa sin incumplir la ley.
El riesgo aparece si usa el asistente para una finalidad del anexo III, como seleccionar o evaluar personal: el art. 25.1, letra c), menciona expresamente los sistemas de uso general. El RIA no detalla cuándo un uso concreto equivale a «modificar la finalidad prevista». Revísalo antes de decidir sobre personas con IA general.
¿Y si integro un modelo de uso general vía API?
Un modelo de IA de uso general realiza de manera competente una gran variedad de tareas y puede integrarse en diversos sistemas (art. 3, punto 63). Puede comercializarse vía API y necesita otros componentes, como una interfaz, para ser un sistema de IA (considerando 97).
Ejemplo hipotético: una tienda en línea integra vía API el modelo de un tercero en un asistente de atención al cliente con su marca. Entonces:
- Es proveedora de ese sistema (art. 3, puntos 3 y 11) y «proveedor posterior» del modelo (art. 3, punto 68).
- Debe avisar de que se habla con una IA, salvo que sea evidente (art. 50.1), y marcar el contenido sintético que genere (art. 50.2).
- No asume las obligaciones del modelo: documentación, información a proveedores posteriores, derechos de autor y resumen del entrenamiento (art. 53), más las del art. 55 si tiene riesgo sistémico. Son de quien lo creó y se aplican desde el 2 de agosto de 2025 (art. 113, letra b). Si la tienda modifica o ajusta el modelo, sus obligaciones se limitan a esa modificación (considerando 109).
- Si el sistema decide sobre personas en un ámbito del anexo III, es proveedora de un sistema de alto riesgo.
Lo mismo vale para los agentes de IA en la empresa construidos sobre modelos de terceros.
Identifica tu papel en el AI Act
Preguntas frecuentes
¿Qué es un responsable del despliegue en el AI Act?
La persona o empresa que utiliza un sistema de IA bajo su propia autoridad en una actividad profesional (art. 3, punto 4). Por ejemplo, la empresa que usa ChatGPT o un programa de selección en su trabajo. El uso personal no profesional queda fuera.
¿Si uso ChatGPT en mi empresa soy proveedor?
No, si solo lo usas. Lo serías si desarrollas un sistema propio sobre su modelo y lo usas con tu nombre (art. 3, punto 3), y podrías serlo si lo usas para una finalidad de alto riesgo (art. 25.1, letra c).
¿Qué cambia el Ómnibus en el artículo 25?
No cambia los supuestos del art. 25.1. Concreta la cooperación del proveedor inicial con el nuevo proveedor (art. 25.2), incluye los modelos de IA en el acuerdo escrito del art. 25.4 y sanciona el incumplimiento de ambos apartados (art. 99.4, letra d bis).
¿Puedo ser proveedor y responsable del despliegue a la vez?
Sí. Un operador puede desempeñar más de una función a la vez y debe cumplir de forma acumulativa las obligaciones de cada una (considerando 83). Ejemplo hipotético: la empresa que desarrolla una herramienta propia y la usa en su actividad es proveedora (art. 3, puntos 3 y 11) y, al usarla, responsable del despliegue.
Análisis de Pablo Sáez Hurtado en prensa
- Marcas de agua invisibles en Claude: el AI Act desplaza el reto al responsable del despliegue · Economist & Jurist, 19/08/2026
Fuentes
Información general sobre la normativa vigente, comprobada el 20 de octubre de 2026 con el Reglamento (UE) 2024/1689 en su versión consolidada a 27 de julio de 2026, tras el Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA). No constituye asesoramiento para un caso concreto. Las citas literales proceden de las versiones en español publicadas en el Diario Oficial de la Unión Europea y en el BOE.