Herramienta gratuita · Cumplimiento
¿Eres proveedor, responsable del despliegue, importador o distribuidor? Averígualo antes de nada
El AI Act no reparte obligaciones por sector ni por tamaño: las reparte por el papel que juegas frente a un sistema de IA concreto. Equivocarte de rol invalida todo lo que hagas después. Este árbol te lleva al tuyo en cuatro o cinco preguntas, con el artículo que fundamenta cada paso, y te avisa si estás convirtiéndote en proveedor sin saberlo.
Respuesta rápida
Los siete papeles que reconoce el Reglamento (UE) 2024/1689
| Rol | Qué lo define | Definición | Obligaciones |
|---|---|---|---|
| Proveedor | Desarrolla el sistema (o se lo desarrollan) y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca, previo pago o gratuitamente | Art. 3.3 | Art. 16 |
| Responsable del despliegue deployer | Utiliza el sistema bajo su propia autoridad, salvo que el uso sea una actividad personal de carácter no profesional | Art. 3.4 | Art. 26 |
| Importador | Está ubicado o establecido en la Unión e introduce en el mercado un sistema que lleva el nombre o la marca de alguien establecido en un tercer país | Art. 3.6 | Art. 23 |
| Distribuidor | Forma parte de la cadena de suministro, no es el proveedor ni el importador, y comercializa el sistema en el mercado de la Unión | Art. 3.7 | Art. 24 |
| Representante autorizado | Está en la Unión y ha recibido y aceptado por escrito el mandato de un proveedor para actuar en su nombre | Art. 3.5 | Art. 22 |
| Fabricante del producto | Introduce en el mercado o pone en servicio un sistema de IA de alto riesgo junto con su producto y bajo su marca | Art. 25.3 | Art. 16 |
| Proveedor posterior | Es proveedor de un sistema de IA que integra un modelo de IA, sea propio o de un tercero por contrato | Art. 3.68 | Art. 16 y art. 25.4 |
Y el artículo que lo pone todo patas arriba: el artículo 25 convierte en proveedor —con las obligaciones del artículo 16— a cualquier distribuidor, importador, responsable del despliegue o tercero que ponga su nombre o su marca en un sistema de IA de alto riesgo ya introducido en el mercado, que lo modifique sustancialmente, o que le cambie la finalidad prevista de forma que pase a ser de alto riesgo. Y lo hace «sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo».
Última verificación: 29 de julio de 2026 · cotejado contra el texto en español del Reglamento (UE) 2024/1689 y del Reglamento (UE) 2026/1744 publicados en el DOUE.
Cómo funciona
La lógica detrás del árbol
Parte de lo que haces
La primera pregunta no te pide que te autodefinas: te pregunta qué haces materialmente con un sistema concreto. Desarrollarlo, usarlo, revenderlo, integrarlo en un producto o representar a un proveedor de fuera de la UE son cinco caminos distintos, y cada uno lleva a una definición literal del artículo 3.
Comprueba el ámbito
Antes de asignarte obligaciones comprueba si el Reglamento te alcanza. El artículo 2.1 llega a los proveedores estén donde estén, a los responsables del despliegue establecidos en la Unión y a los de terceros países cuando los resultados de salida se utilizan en la Unión.
Busca la conversión del art. 25
Dos preguntas están puestas ahí solo para detectar el salto silencioso a proveedor: si aparece tu marca en el sistema y si lo has modificado o le has cambiado la finalidad. Es lo que le pasa a la mayoría de las pymes integradoras sin que nadie se lo advierta.
Devuelve rol, artículo y fecha
El resultado no es una etiqueta: es la lista de obligaciones con su artículo y la fecha desde la que te obligan, que no es la misma para el capítulo III que para el artículo 50. Y si sales con dos roles, te dice cuáles y por qué.
Empieza por aquí: ¿qué haces con el sistema?
El rol, explicado
Por qué el rol lo decide todo y por qué tanta gente se equivoca
Última verificación del articulado: 29 de julio de 2026 · Reglamento (UE) 2024/1689 en su versión resultante del Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA», en vigor desde el 27 de julio de 2026).
El Reglamento (UE) 2024/1689 no tiene un capítulo de «obligaciones de las empresas». Tiene un artículo 16 para los proveedores, un artículo 22 para los representantes autorizados, un artículo 23 para los importadores, un artículo 24 para los distribuidores y un artículo 26 para los responsables del despliegue. Ninguno se solapa con otro, y las cargas son de órdenes de magnitud distintos: el proveedor levanta un sistema de gestión de la calidad (art. 17), documentación técnica (art. 18), archivos de registro (art. 19), evaluación de la conformidad (art. 43), declaración UE de conformidad (art. 47), marcado CE (art. 48) y registro en la base de datos de la UE (art. 49.1); el responsable del despliegue, en cambio, usa el sistema conforme a las instrucciones, asigna supervisión humana competente, vigila el funcionamiento y conserva los registros seis meses.
Por eso la pregunta del rol va antes que cualquier otra. Un análisis de riesgo impecable, un inventario de sistemas y un plan de cumplimiento no valen nada si están construidos sobre el rol equivocado: se acaba documentando lo que no toca y dejando sin hacer lo que sí. Y hay una capa de confusión añadida en español, porque la traducción oficial de deployer es «responsable del despliegue», que suena a departamento de sistemas, a quien instala el software. No lo es. El artículo 3.4 define al responsable del despliegue como quien utiliza un sistema de IA bajo su propia autoridad. La dirección de una empresa que compra un software de cribado de currículos es responsable del despliegue; su equipo de informática, que lo instaló, no es nada por haberlo instalado.
Error 1: creer que el contrato reparte los roles
Es el más caro. Muchos contratos con proveedores de software incluyen una cláusula que dice, en esencia, que el cumplimiento del AI Act corresponde al fabricante. El artículo 25.1.a) se anticipó a eso: quien pone su nombre o su marca en un sistema de IA de alto riesgo ya introducido en el mercado pasa a ser proveedor «sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo». El contrato reparte responsabilidades civiles entre las partes; no reparte roles regulatorios frente a la autoridad de vigilancia del mercado. Si tu marca está en la pantalla, el rol es tuyo.
Error 2: pensar que integrar no es desarrollar
La escena típica: una consultora conecta un modelo de un tercero, le pone una interfaz, lo entrena con los datos del cliente y lo entrega como «nuestra solución». Nadie ha escrito un modelo desde cero, así que nadie se siente proveedor. Pero el artículo 3.3 no exige haber desarrollado el sistema uno mismo: incluye a quien hace que se lo desarrollen y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca. Y la puesta en servicio del artículo 3.11 abarca el suministro «para uso propio», así que ni siquiera hace falta venderlo a nadie.
El artículo 25 cierra el cerco por dos vías más. La letra b) del apartado 1 convierte en proveedor a quien modifica sustancialmente un sistema de alto riesgo que sigue siéndolo; y «modificación sustancial» tiene definición propia en el artículo 3.23: un cambio no previsto en la evaluación de la conformidad inicial que afecta al cumplimiento de los requisitos del capítulo III, sección 2, o que altera la finalidad prevista. La letra c) alcanza a quien cambia la finalidad prevista de un sistema que no era de alto riesgo —incluido un sistema de IA de uso general— de manera que pase a serlo con arreglo al artículo 6. Ese es el caso del asistente conversacional genérico al que se le encomienda filtrar candidaturas.
Cuando esa conversión ocurre, el artículo 25.2 traslada el rol entero: el proveedor inicial deja de ser proveedor de ese sistema concreto. A cambio queda obligado a cooperar, y el Reglamento (UE) 2026/1744 reforzó ese deber con tres contenidos expresos: poner a disposición documentación técnica suficiente para evaluar el cumplimiento del artículo 16, informar de las limitaciones y los modos de fallo conocidos, y dar acceso técnico específico, incluido para la prueba y la validación. Con una excepción que conviene leer antes de firmar nada: ese apartado no se aplica cuando el proveedor inicial haya indicado claramente que su sistema no debe transformarse en un sistema de alto riesgo. Si sus condiciones de uso lo excluyen y tú lo haces igual, te quedas con el rol de proveedor y sin su ayuda.
Error 3: confundir importador con distribuidor
No es una cuestión de volumen ni de si hay aduana de por medio. Son dos datos objetivos. Importador (art. 3.6): estar ubicado o establecido en la Unión e introducir en el mercado un sistema que lleva el nombre o la marca de una persona establecida en un tercer país. Distribuidor (art. 3.7): formar parte de la cadena de suministro, no ser el proveedor ni el importador, y comercializar el sistema en el mercado de la Unión. Un partner español que revende una herramienta estadounidense y es el primero que la trae a la Unión es importador, no distribuidor, y sus obligaciones del artículo 23 son bastante más exigentes que las del 24: tiene que verificar la evaluación de la conformidad, la documentación técnica, el marcado CE y que el proveedor haya designado representante autorizado, además de conservar diez años la declaración UE de conformidad.
Qué pasa si eres dos roles a la vez
Pasa constantemente, y el Reglamento lo asume: el artículo 3.8 define «operador» como el conjunto de proveedor, fabricante del producto, responsable del despliegue, representante autorizado, importador o distribuidor, precisamente porque una misma entidad puede ocupar varias casillas. Las combinaciones habituales son tres. La primera, importador y responsable del despliegue: traes una herramienta de fuera de la UE y además la usas dentro de casa, así que acumulas el artículo 23 y el artículo 26. La segunda, distribuidor convertido en proveedor por el artículo 25: sigues teniendo las obligaciones del artículo 24 respecto de lo que revendes sin tocar, y las del artículo 16 respecto del sistema al que le pusiste tu marca. La tercera, proveedor y responsable del despliegue del mismo sistema, que es lo normal cuando una empresa desarrolla una herramienta interna: es proveedor por ponerla en servicio para uso propio (arts. 3.3 y 3.11) y responsable del despliegue por usarla bajo su propia autoridad (art. 3.4).
La regla práctica es que los roles se suman, no se sustituyen, y que se determinan por sistema, no por empresa. La única sustitución que contempla el Reglamento es la del artículo 25.2, y opera sobre el proveedor inicial, no sobre ti. Si tu organización usa cinco sistemas de IA distintos, puede tener cinco combinaciones de rol diferentes, y el inventario debería reflejarlo así.
Desde cuándo obliga cada cosa
Las obligaciones por rol de los artículos 16 y 22 a 27 viven en el capítulo III, secciones 1 a 3, y el Reglamento (UE) 2026/1744 retrasó su aplicación al reescribir la letra c) del párrafo tercero del artículo 113: el 2 de diciembre de 2027 para los sistemas clasificados como de alto riesgo por el artículo 6.2 y el anexo III, y el 2 de agosto de 2028 para los del artículo 6.1 y el anexo I. Las obligaciones de transparencia del artículo 50 van por otro carril: pertenecen al capítulo IV y se aplican desde la fecha general del 2 de agosto de 2026, alcanzando unas veces al proveedor (apartados 1 y 2) y otras al responsable del despliegue (apartados 3 y 4). Y hay algo que ya obliga hoy: la alfabetización en materia de IA del artículo 4, exigible a proveedores y responsables del despliegue desde el 2 de febrero de 2025 por estar en el capítulo I. El detalle completo del calendario y de lo que cambió está en el Reglamento (UE) 2026/1744 explicado.
Dos avisos para terminar. El primero: casi todo lo anterior gira alrededor de los sistemas de alto riesgo, incluida la conversión del artículo 25. Si todavía no sabes en qué categoría cae el tuyo, pasa antes por el clasificador de riesgo del AI Act y vuelve con la respuesta. El segundo: este árbol te da el rol, no el detalle de cada obligación; para eso está la comparativa de obligaciones de proveedor, responsable del despliegue e importador.
Preguntas frecuentes
Lo que más se pregunta sobre los roles del AI Act
¿Qué diferencia hay entre proveedor y responsable del despliegue? +
El proveedor desarrolla el sistema de IA, o hace que se lo desarrollen, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca, previo pago o gratuitamente (art. 3.3). El responsable del despliegue simplemente lo utiliza bajo su propia autoridad, salvo que ese uso sea una actividad personal de carácter no profesional (art. 3.4). El primero responde del artículo 16 (sistema de gestión de la calidad, documentación técnica, evaluación de la conformidad, marcado CE, registro); el segundo, del artículo 26 (uso conforme a las instrucciones, supervisión humana competente, vigilancia del funcionamiento, conservación de los archivos de registro).
¿Puedo ser proveedor y responsable del despliegue a la vez? +
Sí, y es lo habitual cuando una empresa desarrolla una herramienta de IA para uso interno: es proveedor porque la pone en servicio con su nombre, y la puesta en servicio del artículo 3.11 incluye el suministro «para uso propio»; y es responsable del despliegue porque la utiliza bajo su propia autoridad (art. 3.4). Los roles se acumulan: se cumplen a la vez el artículo 16 y el artículo 26. El artículo 3.8 agrupa todos los papeles bajo el término «operador» precisamente porque una misma entidad puede ocupar varios.
¿Cuándo se convierte en proveedor una empresa que solo usa IA? +
En tres supuestos del artículo 25.1, siempre referidos a sistemas de IA de alto riesgo: cuando pone su nombre o su marca en un sistema ya introducido en el mercado o puesto en servicio, letra a); cuando lo modifica sustancialmente y sigue siendo de alto riesgo, letra b); y cuando le cambia la finalidad prevista —incluida la de un sistema de IA de uso general— de forma que pase a ser de alto riesgo conforme al artículo 6, letra c). La letra a) precisa que ocurre «sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo»: el contrato con el fabricante no evita la conversión.
¿Qué diferencia a un importador de un distribuidor? +
Dos datos objetivos. El importador está ubicado o establecido en la Unión e introduce en el mercado un sistema de IA que lleva el nombre o la marca de una persona física o jurídica establecida en un tercer país (art. 3.6). El distribuidor forma parte de la cadena de suministro, no es el proveedor ni el importador, y comercializa el sistema en el mercado de la Unión (art. 3.7). Las obligaciones del importador (art. 23) son más exigentes: debe verificar la evaluación de la conformidad, la documentación técnica, el marcado CE y la designación de representante autorizado, y conservar diez años la declaración UE de conformidad.
¿Desde cuándo me obligan las obligaciones de mi rol? +
Las obligaciones por rol de los artículos 16 y 22 a 27 están en el capítulo III, secciones 1 a 3, y tras la reforma del artículo 113 por el Reglamento (UE) 2026/1744 se aplican desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del artículo 6.2 y el anexo III, y desde el 2 de agosto de 2028 para los del artículo 6.1 y el anexo I. Las obligaciones de transparencia del artículo 50 se aplican antes, desde el 2 de agosto de 2026. Y la alfabetización en materia de IA del artículo 4 obliga a proveedores y responsables del despliegue desde el 2 de febrero de 2025.
¿Y ahora qué?
¿Quieres confirmar tu rol sobre cada sistema que usas?
Agenda una sesión gratuita de 30 minutos y repasamos el inventario: qué sistemas de IA hay en tu empresa, qué papel juegas frente a cada uno y en cuáles estás a un paso de convertirte en proveedor sin haberlo decidido.