Las definiciones, explicadas
Por qué el artículo 3 decide si el Reglamento te aplica
Última verificación del articulado: 29 de julio de 2026 · Reglamento (UE) 2024/1689 en su versión consolidada tras el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»).
El ámbito de aplicación del Reglamento (UE) 2024/1689 está escrito entero sobre las palabras del artículo 3. Su artículo 2 no delimita por sector de actividad ni por tamaño de empresa: su apartado 1 enumera sujetos —proveedores, responsables del despliegue, importadores, distribuidores, fabricantes de productos, representantes autorizados, personas afectadas— y objetos —sistemas de IA y modelos de IA de uso general—, y casi todos son términos que define el artículo 3. Las exclusiones que trae después (seguridad nacional y fines militares o de defensa en el apartado 3, investigación y desarrollo científicos en el 6, actividades previas a la introducción en el mercado en el 8) se redactan con ese mismo vocabulario. De ahí que leer el artículo 3 no sea el trámite previo a lo importante: es lo que determina si el resto del texto va contigo, y en qué papel.
La parte incómoda es que el papel no lo eliges tú. El artículo 25.1 lo dice sin rodeos: cualquier distribuidor, importador, responsable del despliegue o tercero «será considerado proveedor de un sistema de IA de alto riesgo», con las obligaciones del artículo 16, cuando ponga su nombre o su marca en un sistema ya introducido en el mercado (letra a), cuando lo modifique sustancialmente de manera que siga siendo de alto riesgo (letra b) o cuando cambie su finalidad prevista de forma que pase a serlo (letra c). Son tres actos rutinarios en cualquier empresa que revenda, integre o personalice software de terceros.
Las tres definiciones que más confusión generan
«Sistema de IA» (punto 1), frente al software de siempre. La definición no menciona redes neuronales ni aprendizaje profundo. Habla de un sistema basado en una máquina, diseñado para funcionar con distintos niveles de autonomía, que puede mostrar capacidad de adaptación tras el despliegue y que infiere de la información de entrada la manera de generar resultados de salida. El verbo que decide es ese: inferir. Un programa de facturación que aplica un tipo de IVA leyéndolo de una tabla no infiere nada. Un módulo que estima la probabilidad de impago a partir del histórico de cobros, sí. Y funciona en las dos direcciones: que el fabricante escriba «IA» en su folleto no mete dentro a un motor de reglas, igual que llamarlo «algoritmo» no saca fuera a un modelo entrenado.
«Proveedor» (punto 3) frente a «responsable del despliegue» (punto 4). Es la pareja que más veces se confunde, porque la intuición dice «yo no fabrico nada, yo solo lo uso». La definición de proveedor alcanza a quien desarrolla un sistema de IA o a quien hace que se lo desarrollen y lo introduce en el mercado con su propio nombre o marca, «previo pago o gratuitamente». Ese inciso final cierra la salida de «es que no lo cobro». La de responsable del despliegue alcanza a quien lo utiliza bajo su propia autoridad, con una única excepción: que el uso se enmarque en una actividad personal de carácter no profesional. Dicho de otro modo: en una empresa no hay uso que quede fuera por esa puerta.
«Modificación sustancial» (punto 23) y su gemela, «finalidad prevista» (punto 12). La primera es un cambio posterior a la introducción en el mercado que no estaba previsto en la evaluación de la conformidad inicial y que afecta al cumplimiento de los requisitos del capítulo III, sección 2, o que altera la finalidad prevista. Y la finalidad prevista no es lo que tú haces con la herramienta: es «el uso para el que un proveedor concibe un sistema de IA», según lo que él mismo diga en las instrucciones de uso, en la documentación técnica y en los materiales de promoción y venta. De ahí sale la trampa práctica: emplear un sistema para algo que su fabricante nunca contempló no es una anécdota operativa, puede ser el hecho que te convierte en proveedor.
Cómo citar una definición sin equivocarte
Cada término de esta página tiene su propio enlace permanente, del tipo #termino-3 o #termino-23, pensado para pegarlo en un correo, en una cláusula de un contrato o en una política interna. En un documento escrito, la forma correcta de citarlo es «artículo 3, punto 23, del Reglamento (UE) 2024/1689»: el texto oficial numera las definiciones como puntos dentro de un artículo único, no como apartados. Verás mucho «art. 3.23» por ahí; se entiende, pero no es como cita el DOUE.
Y conviene fijar la versión. Un glosario copiado de una fuente anterior a julio de 2026 está incompleto sin que se note, porque el Ómnibus tocó el artículo 3 en dos sitios: sustituyó el punto 14 —añadiéndole una frase que precisa cuándo un componente cumple una función de seguridad— e insertó los puntos 14 bis y 14 ter, que traen al Reglamento las definiciones de pyme y de pequeña empresa de mediana capitalización por remisión a la Recomendación 2003/361/CE y a la Recomendación (UE) 2025/1099. Esas dos categorías no son decorativas: de ellas cuelgan el formulario simplificado de documentación técnica del artículo 11, apartado 1, el acceso prioritario al espacio controlado de pruebas de la Unión del artículo 57, apartado 3 bis, y la inversión de la regla sancionadora, que aplica el importe menor —el artículo 99.6 para las pymes; el 99.6 bis, y solo en los apartados 4 y 5, para las pequeñas empresas de mediana capitalización—.
Qué hacer cuando ya tienes claras las palabras
Saber qué eres es el primer paso. El segundo es saber en qué categoría cae cada sistema que usas, porque de ahí cuelgan las obligaciones reales y los plazos. Si la duda es si algo de lo que ya utilizas está directamente prohibido, la lista cerrada del artículo 5 está desglosada en las prácticas de IA prohibidas en Europa. Si la duda es de categoría —alto riesgo, transparencia, riesgo mínimo—, el clasificador de riesgo del AI Act la resuelve con unas cuantas preguntas y te devuelve los artículos aplicables. Y si lo que te preocupa es el importe al que te expones, la calculadora de sanciones del AI Act aplica los tramos del artículo 99, incluida la inversión que beneficia a las pymes.
Una última advertencia, por si alguien llega buscando atajos: ninguna de estas tres herramientas, ni este glosario, sustituye a la lectura del articulado ni al asesoramiento sobre un caso concreto. Sirven para llegar a esa conversación sabiendo de qué se habla, que ya es bastante más de lo que llega la mayoría.
Fuentes verificadas: Reglamento (UE) 2024/1689, artículo 3 (68 puntos), artículos 2, 16, 25, 50, 73 y 99 ·
Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»), artículo 1, punto 4, letras a) y b) (modificación del artículo 3) ·
Recomendación 2003/361/CE, artículo 2 del anexo ·
Recomendación (UE) 2025/1099, punto 2 del anexo.