Artículo 25 del AI Act: cuándo dejas de ser usuario y pasas a ser proveedor
El Reglamento (UE) 2024/1689 se suele explicar con una premisa cómoda: unos pocos fabricantes son proveedores y cargan con el peso; las demás empresas usan sus herramientas como responsables del despliegue, con obligaciones mucho más ligeras.
El artículo 25 rompe esa separación. Se titula «Responsabilidades a lo largo de la cadena de valor de la IA» y describe tres situaciones en las que una empresa que compró una herramienta pasa a ser tratada como si la hubiera fabricado. No hay trámite ni resolución administrativa: la conversión opera por el hecho descrito en la norma. Y la diferencia es de orden de magnitud, porque el proveedor asume las doce obligaciones del artículo 16, la evaluación de la conformidad, el marcado CE y el registro en la base de datos de la UE.
Los tres supuestos, tal como están escritos
Dice el artículo 25, apartado 1: «Cualquier distribuidor, importador, responsable del despliegue o tercero será considerado proveedor de un sistema de IA de alto riesgo a los efectos del presente Reglamento y estará sujeto a las obligaciones del proveedor previstas en el artículo 16 en cualquiera de las siguientes circunstancias».
| Letra | Texto literal | En una pyme |
|---|---|---|
| a) | «cuando ponga su nombre o marca en un sistema de IA de alto riesgo previamente introducido en el mercado o puesto en servicio, sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo» | Revendes o integras la herramienta de otro con tu logotipo |
| b) | «cuando modifique sustancialmente un sistema de IA de alto riesgo que ya haya sido introducido en el mercado o puesto en servicio de tal manera que siga siendo un sistema de IA de alto riesgo con arreglo al artículo 6» | Tocas por dentro algo que ya era de alto riesgo y sigue siéndolo |
| c) | «cuando modifique la finalidad prevista de un sistema de IA, incluido un sistema de IA de uso general, que no haya sido considerado de alto riesgo […] de tal manera que el sistema de IA de que se trate se convierta en un sistema de IA de alto riesgo» | Coges algo genérico y lo pones a hacer una tarea del anexo III |
La letra a) merece una lectura despacio. El inciso final preserva los pactos que repartan las obligaciones de otro modo, pero la conversión la declara el Reglamento «a los efectos del presente Reglamento». Un contrato reparte costes entre las partes; el texto no dice que borre tu condición de proveedor ante la autoridad de vigilancia del mercado.
La letra c) es la que más silenciosamente afecta a una pyme: no exige tocar el código, basta cambiar el uso de un sistema que no era de alto riesgo. El artículo 3, punto 12, define «finalidad prevista» como «el uso para el que un proveedor concibe un sistema de IA […] según la información facilitada […] en las instrucciones de uso, los materiales y las declaraciones de promoción y venta, y la documentación técnica».
Qué es una «modificación sustancial»
El artículo 3, punto 23, la define sin adornos:
> «un cambio en un sistema de IA tras su introducción en el mercado o puesta en servicio que no haya sido previsto o proyectado en la evaluación de la conformidad inicial realizada por el proveedor y a consecuencia del cual se vea afectado el cumplimiento por parte del sistema de IA de los requisitos establecidos en el capítulo III, sección 2, o que dé lugar a una modificación de la finalidad prevista para la que se haya evaluado el sistema de IA de que se trate».
Dos disparadores independientes: afectar al cumplimiento de los requisitos técnicos o alterar la finalidad prevista ya evaluada.
Hay una vía de escape que casi nadie cita: el artículo 43, apartado 4, excluye los cambios que el fabricante ya predeterminó en la evaluación inicial y documentó en el anexo IV, punto 2, letra f). El mismo artículo impone la consecuencia contraria: toda modificación sustancial obliga a un nuevo procedimiento de evaluación de la conformidad, tanto si distribuyes el sistema como si te lo quedas para uso interno.
Lo que te cae encima
Si entras en cualquiera de los tres supuestos asumes el artículo 16 entero: cumplir los requisitos del capítulo III, sección 2; identificarte con nombre y dirección de contacto en el sistema o su documentación; mantener un sistema de gestión de la calidad (art. 17); conservar documentación y registros (arts. 18 y 19); superar la evaluación de la conformidad (art. 43); redactar la declaración UE (art. 47); colocar el marcado CE (art. 48); registrarte y registrar el sistema (art. 49.1); adoptar medidas correctoras e informar (art. 20); demostrar la conformidad si la autoridad la reclama motivadamente; y garantizar la accesibilidad (Directivas (UE) 2016/2102 y 2019/882).
Para los sistemas del anexo III, puntos 2 a 8, la evaluación es de control interno según el anexo VI, sin organismo notificado (art. 43.2). El Ómnibus digital sobre IA añadió para pymes un formulario simplificado de documentación técnica (art. 11.1) y un sistema de calidad proporcional al tamaño de la organización (art. 17.2): alivios de forma, no dispensas.
Qué le queda al proveedor original
Cuando se dan las circunstancias del apartado 1, el proveedor inicial «dejará de ser considerado proveedor de ese sistema de IA específico». A cambio, el artículo 25, apartado 2, en la redacción que le dio el punto 12 del Ómnibus, le obliga a cooperar estrechamente contigo y desglosa tres deberes que en el texto de 2024 no estaban detallados:
| Deber | Texto del nuevo art. 25.2 |
|---|---|
| Documentación | «poner a disposición documentación técnica suficiente para evaluar el cumplimiento de los requisitos establecidos en el artículo 16» |
| Fallos conocidos | «informar a los nuevos proveedores sobre las limitaciones y los modos de fallo conocidos» |
| Acceso técnico | «proporcionar a los nuevos proveedores un acceso técnico específico, incluido para la prueba y la validación» |
La trampa está en el último párrafo: nada de esto «se aplicará en los casos en que el proveedor inicial haya indicado claramente que su sistema de IA no debe ser transformado en un sistema de IA de alto riesgo». Basta con que sus condiciones prohíban el uso de alto riesgo, y suelen hacerlo, para que te quedes sin documentación, sin información sobre fallos y sin acceso técnico, conservando íntegras las obligaciones del artículo 16.
Quedan dos apartados que se citan poco. El 25.3 hace proveedor al fabricante del producto cuando el sistema de alto riesgo es componente de seguridad de un producto del anexo I, sección A, bajo su marca. El 25.4, también reescrito por el Ómnibus, obliga a fijar por acuerdo escrito la información y el acceso técnico que un tercero debe darte cuando su sistema, modelo o componente se integra en el tuyo.
Tres casos verosímiles
Una consultora de RR. HH. revende con su marca. Contrata un software de cribado de currículos, lo etiqueta con su nombre comercial y lo ofrece a sus clientes. El cribado está en el anexo III, punto 4, letra a). Artículo 25.1.a): es proveedora.
Un despacho reentrena el modelo con sus expedientes. Afina una herramienta de evaluación de solvencia (anexo III, punto 5, letra b) con su histórico y cambia los umbrales de decisión. Si eso no estaba previsto en la evaluación inicial y afecta a los requisitos del capítulo III, sección 2, hay modificación sustancial: artículo 25.1.b), y toca repetir la evaluación de la conformidad.
Una pyme usa un chatbot genérico para filtrar candidatos. El sistema de uso general no era de alto riesgo; al destinarlo a filtrar solicitudes de empleo entra en el anexo III, punto 4, letra a). Artículo 25.1.c): es proveedora aunque no haya tocado una línea de código y el uso sea interno, porque el artículo 3, punto 11, incluye el «uso propio» en la puesta en servicio.
Un matiz: usar fuera de manual algo que ya era de alto riesgo no te hace proveedor. Incumple el artículo 26, apartado 1, que obliga a seguir las instrucciones de uso.
Desde cuándo aplica
El calendario cambió el 27 de julio de 2026. El artículo 25 vive en el capítulo III, sección 3, y el punto 40 del Reglamento (UE) 2026/1744 sustituyó la letra c) del párrafo tercero del artículo 113:
| Sistemas | Aplicación del capítulo III, secciones 1, 2 y 3 |
|---|---|
| Alto riesgo por el art. 6.2 y el anexo III | 2 de diciembre de 2027 |
| Alto riesgo por el art. 6.1 y el anexo I | 2 de agosto de 2028 |
Hasta el Ómnibus, esa sección entraba con la fecha general del 2 de agosto de 2026 y solo el artículo 6, apartado 1, se retrasaba a 2027. Quien planificara su cumplimiento con agosto de 2026 en la mano trabaja con un calendario derogado.
Eso no permite esperar dieciséis meses. El artículo 111, apartado 2, aplica el Reglamento a los sistemas anteriores solo si después sufren «cambios significativos en sus diseños», y poner tu marca o cambiar la finalidad de una herramienta es justo el tipo de acto que lo activa.
Cuánto cuesta equivocarse
El artículo 99, apartado 4, castiga el incumplimiento del artículo 16 con multas de hasta 15.000.000 EUR o el 3 % del volumen de negocios mundial, si esta cuantía fuese superior. El Ómnibus le añadió una letra d bis) con «las obligaciones de los proveedores y operadores en virtud del artículo 25, apartados 2 y 4»: la cooperación del proveedor inicial y el acuerdo escrito con terceros pasan a ser sancionables por sí mismos. Para pymes rige el apartado 6, que aplica el porcentaje o el importe menor.
En España, el régimen sancionador y la potestad de la AESIA dependen del Proyecto de Ley Orgánica 121/000096, en tramitación. Su artículo 25 regula las infracciones leves de los representantes autorizados: no tiene relación con el artículo 25 europeo.
Qué puedes hacer esta semana
1. Inventaría tus herramientas de IA, anota si tu marca aparece en la cadena hacia el cliente y compara el uso real de cada una con la finalidad prevista que declara su fabricante.
2. Cruza esos usos con los ocho ámbitos del anexo III: los puntos 4 (empleo) y 5 (solvencia, seguros de vida y salud) alcanzan a más pymes.
3. Busca en las condiciones de tus proveedores la cláusula que prohíbe el uso de alto riesgo, y con tus integradores externos, el acuerdo escrito del artículo 25.4.
Preguntas frecuentes sobre el artículo 25
¿Cuándo deja una empresa de ser usuaria y pasa a ser proveedora de IA?
Cuando concurre alguno de los supuestos del artículo 25.1 del Reglamento (UE) 2024/1689: poner el propio nombre o marca en un sistema de alto riesgo ya introducido en el mercado, modificarlo sustancialmente, o cambiar su finalidad prevista de modo que pase a ser de alto riesgo. A partir de ahí caen encima las obligaciones de proveedor.
¿El proveedor original queda libre de responsabilidad?
Deja de ser considerado proveedor de ese sistema concreto, pero no queda libre. El punto 12 del Reglamento (UE) 2026/1744 sustituyó el apartado 2 del artículo 25 y le impone cooperar estrechamente con el nuevo proveedor, poner a su disposición la información necesaria y darle el acceso técnico y la asistencia razonablemente esperables.
¿Hay multa por incumplir el artículo 25?
Desde el Ómnibus digital, sí. Antes el artículo 25 no aparecía en la lista del artículo 99.4. El punto 38, letra b), del Reglamento (UE) 2026/1744 insertó una letra d bis) que somete las obligaciones de los apartados 2 y 4 del artículo 25 a multas de hasta 15.000.000 de euros o el 3 % del volumen de negocios mundial.
Fuentes
- Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial), DOUE de 12 de julio de 2024: artículos 3 (puntos 11, 12 y 23), 6, 16, 25, 26, 43, 99, 111 y 113, considerandos 83 a 90 y anexos III y IV. https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), DOUE Serie L de 24 de julio de 2026, en vigor desde el 27 de julio de 2026: puntos 10, 11, 12, 38, 39 y 40 de su artículo 1. https://eur-lex.europa.eu/eli/reg/2026/1744/oj
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, expediente 121/000096, BOCG, Serie A, núm. 97-1, de 12 de junio de 2026, artículo 25. En tramitación; no es Derecho vigente.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.