Obligaciones del desplegador de IA: artículo 26 del AI Act
Casi ninguna pyme española fabrica inteligencia artificial. Casi todas la usan: un filtro de currículums en el ATS, un motor de scoring en la financiera, un módulo ofimático que resume actas. Por eso el artículo del Reglamento (UE) 2024/1689 que más empresas roza no es el de los proveedores, sino el 26, el que regula al responsable del despliegue.
Qué es un responsable del despliegue
La definición está en el artículo 3, punto 4, del Reglamento:
> «una persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IA bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesional».
El rol se gana usando, no comprando ni programando. Si tu asesoría usa una herramienta de terceros para cribar candidatos, tú eres el responsable del despliegue; el fabricante es el proveedor. La única exclusión es el uso personal no profesional: cualquier uso empresarial queda dentro, sin umbral de plantilla ni de facturación.
Pero ser responsable del despliegue no activa por sí solo el artículo 26, que se titula «Obligaciones de los responsables del despliegue de sistemas de IA de alto riesgo». Si la herramienta no lo es, el artículo 26 no te aplica: te aplican otras piezas, como el artículo 4 o el 50.
Cuándo tu herramienta es de alto riesgo
El artículo 6 marca dos vías. Por el apartado 1, la IA es componente de seguridad de un producto del anexo I —o el producto mismo— sujeto a evaluación de la conformidad por terceros. Por el apartado 2, figura en alguno de los ámbitos del anexo III.
Para una pyme sin fábrica la vía realista es el anexo III, y en particular su punto 4, empleo y gestión de trabajadores —contratación y selección, filtrado de solicitudes, evaluación de candidatos, y decisiones sobre condiciones laborales, promoción, rescisión, asignación de tareas o evaluación del rendimiento— y su punto 5, letras b) y c): solvencia y calificación crediticia (salvo detección de fraude financiero) y tarificación de seguros de vida y salud.
La empresa tiene además un filtro en el artículo 6, apartado 3: un sistema del anexo III no es de alto riesgo si no plantea un riesgo importante y, además, se limita a una tarea de procedimiento acotada, mejora una actividad humana ya realizada, detecta patrones sin sustituir la valoración humana o realiza una tarea preparatoria. Con una excepción tajante: si elabora perfiles de personas físicas, siempre es de alto riesgo.
Y una trampa previa: el artículo 25, apartado 1. Si pones tu marca sobre un sistema de alto riesgo ya comercializado, lo modificas sustancialmente o cambias la finalidad prevista de una herramienta corriente hasta convertirla en un caso del anexo III, pasas de desplegador a proveedor, con las obligaciones del artículo 16.
Las obligaciones del artículo 26, una a una
El artículo tiene doce apartados, pero no doce deberes: el 26.3 es una cláusula de salvaguarda —los apartados 1 y 2 no desplazan otras obligaciones ni limitan la libertad de la empresa para organizar sus recursos—, no una obligación nueva.
| Apartado | Qué exige | A quién |
|---|---|---|
| 26.1 | Medidas técnicas y organizativas adecuadas para usar el sistema conforme a las instrucciones de uso que lo acompañan | Todo desplegador |
| 26.2 | Encomendar la supervisión humana a personas físicas con la competencia, la formación y la autoridad necesarias | Todo desplegador |
| 26.4 | Que los datos de entrada sean pertinentes y suficientemente representativos para la finalidad prevista, *en la medida en que se ejerza el control* sobre ellos | Todo desplegador |
| 26.5 | Vigilar el funcionamiento e informar al proveedor (art. 72); ante un riesgo del art. 79.1, avisar sin demora al proveedor o distribuidor y a la autoridad de vigilancia y suspender el uso; ante un incidente grave, avisar primero al proveedor y luego al importador o distribuidor y a la autoridad | Todo desplegador |
| 26.6 | Conservar los archivos de registro automáticos bajo su control, un período adecuado y nunca menos de seis meses | Todo desplegador |
| 26.7 | Antes de poner en servicio o utilizar el sistema en el trabajo, informar a los representantes de los trabajadores y a los afectados de que estarán expuestos a él | Solo empleadores |
| 26.8 | Cumplir el registro del art. 49 y no utilizar el sistema si no consta en la base de datos de la UE del art. 71 | Solo autoridades públicas e instituciones de la UE |
| 26.9 | Usar la información del art. 13 para la evaluación de impacto en protección de datos del art. 35 del RGPD | Quien deba hacer EIPD |
| 26.10 | Autorización judicial o administrativa —previa o en 48 horas— para identificación biométrica remota en diferido, más informes anuales | Solo autoridades garantes del cumplimiento del Derecho |
| 26.11 | Informar a las personas físicas de que están expuestas al sistema, si este toma o ayuda a tomar decisiones sobre ellas | Todo desplegador de anexo III |
| 26.12 | Cooperar con las autoridades competentes en las medidas que adopten sobre el sistema | Todo desplegador |
Dos precisiones sobre el apartado 5. Si no se consigue contactar con el proveedor, el artículo 73 se aplica *mutatis mutandis*, con sus plazos: quince días desde que se conoce el incidente grave, dos si es una infracción generalizada o afecta a infraestructuras críticas, diez en caso de fallecimiento. Y las entidades financieras cumplen esa vigilancia con sus normas sectoriales de gobernanza interna (26.5 y 26.6, párrafos segundos).
Para una pyme privada quedan ocho deberes reales: 26.1, 26.2, 26.4, 26.5, 26.6, 26.9, 26.11 y 26.12, más el 26.7 si es empleadora.
Dónde acaba el 26 y empiezan el 4 y el 27
El artículo 4, alfabetización en materia de IA, obliga a proveedores y responsables del despliegue de cualquier sistema de IA, no solo de alto riesgo. El Reglamento (UE) 2026/1744 lo sustituyó entero (punto 5) por una redacción más contenida: exige «adoptar medidas para apoyar la promoción de la alfabetización» del personal y aclara que «no exige [...] garanticen un nivel específico [...] de ninguna persona en particular».
El artículo 27, evaluación de impacto relativa a los derechos fundamentales, no es para todos: obliga a los organismos de Derecho público, a las entidades privadas que prestan servicios públicos y a los desplegadores de los sistemas del anexo III, punto 5, letras b) y c). Una pyme que usa IA en selección de personal está en el artículo 26 pero no en el 27. El Ómnibus también lo tocó (punto 13): permite remitirse a la evaluación de impacto en protección de datos.
Desde cuándo: la fecha se movió y sí arrastra al artículo 26
Es el error más repetido en la prensa española, en las dos direcciones.
Lo que no cambió: el Reglamento (UE) 2026/1744 introduce cuarenta y tres modificaciones en el AI Act y ninguna toca el artículo 26. Su texto sigue siendo el publicado en el DOUE en julio de 2024.
Lo que sí cambió: su punto 40 sustituye la letra c) del párrafo tercero del artículo 113. Ahora «el capítulo III, secciones 1, 2 y 3, con excepción de su artículo 6, apartado 5», se aplica desde el 2 de diciembre de 2027 a los sistemas de alto riesgo del artículo 6, apartado 2, y el anexo III, y desde el 2 de agosto de 2028 a los del artículo 6, apartado 1, y el anexo I.
El artículo 26 vive en el capítulo III, sección 3. Luego el aplazamiento del anexo III arrastra sus obligaciones. No es una interpretación: el considerando 40 del propio Ómnibus habla de «las obligaciones [...] establecidas en el capítulo III, secciones 1, 2 y 3» y afirma que no se justifica mantener «su fecha inicial de aplicación, a saber, el 2 de agosto de 2026».
| Bloque | Aplicación | Base |
|---|---|---|
| Prohibiciones y alfabetización (art. 4) | 2-feb-2025 | Art. 113, párr. 3, a) |
| Nuevas prohibiciones (art. 5.1, b bis y b ter) | 2-dic-2026 | Art. 113, párr. 3, a), tras el Ómnibus |
| Transparencia del art. 50 | 2-ago-2026 | Fecha general del art. 113 |
| Art. 26 · sistemas del anexo III | 2-dic-2027 | Art. 113, párr. 3, c), i) |
| Art. 26 · sistemas del anexo I | 2-ago-2028 | Art. 113, párr. 3, c), ii) |
Dos matices se pierden en los resúmenes. Uno: el artículo 49, al que remite el 26.8, está en la sección 5 del capítulo III, que el Ómnibus no aplaza, y conserva la fecha general del 2 de agosto de 2026. Dos: el artículo 111, apartado 2, reescrito por el punto 39, mantiene el régimen de los sistemas heredados: los puestos en el mercado o en servicio antes de la fecha de aplicación del capítulo III solo quedan sujetos al Reglamento si después sufren «cambios significativos en sus diseños»; los destinados a autoridades públicas, el 2 de agosto de 2030 a más tardar.
Dicho de otro modo: si tu pyme usa hoy una herramienta que no es de alto riesgo, el artículo 26 no le llegará nunca. Lo que sí le llega en 2026 es la transparencia del artículo 50; la del artículo 4 le llegó en 2025.
Qué se arriesga quien incumple
El artículo 99, apartado 4, letra e), somete «las obligaciones de los responsables del despliegue con arreglo al artículo 26» a multas de hasta 15.000.000 EUR o el 3 % del volumen de negocios mundial, la cuantía que sea superior. Para pymes se invierte la regla: el apartado 6 ordena aplicar el importe o el porcentaje menor de los dos, y el proyecto español lo replica en su artículo 30.8.
En España el régimen sancionador todavía no existe. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096, BOCG Serie A núm. 97-1, de 12 de junio de 2026) está en tramitación: hasta que se apruebe no hay infracciones tipificadas en Derecho español. Su artículo 21.2 califica de graves los incumplimientos de los apartados 26.1, 26.2, 26.4, 26.5, 26.6, 26.9, 26.11 y 26.12, con multas de hasta 7.500.000 EUR o el 1 % del volumen de negocios (artículo 30.1, letra c). Detalle relevante para empleadores: el 26.7 no aparece tipificado. Sigue siendo obligación europea directamente aplicable, pero el proyecto no le asigna sanción nacional. Su artículo 5.2, letra e), designa además a la AESIA como autoridad de vigilancia del mercado para el anexo III, punto 4: la IA en empleo y gestión de personas.
Por dónde empezar
No hace falta esperar a diciembre de 2027 para lo único que después no se improvisa: saber qué usas. Inventaría las herramientas con IA ya en producción, anota el proveedor y la finalidad prevista de cada una, guarda las instrucciones de uso y comprueba en el contrato si el proveedor te entrega los archivos de registro. El 26.6 exige esos seis meses de logs solo «en la medida en que dichos archivos estén bajo su control»: ese control se pacta, no se presume.
Preguntas frecuentes sobre las obligaciones del desplegador
¿Qué es un responsable del despliegue y por qué mi pyme puede serlo?
Es quien utiliza un sistema de IA bajo su propia autoridad, según la definición del artículo 3 del Reglamento (UE) 2024/1689. Casi ninguna pyme española fabrica sistemas de IA, pero muchas los usan, y usarlos bajo su autoridad la convierte en responsable del despliegue, no en mera usuaria.
¿Modificó el Ómnibus digital el artículo 26?
No. Barridos los cuarenta y tres puntos del Reglamento (UE) 2026/1744, el artículo 26 no figura entre los modificados. Lo que sí cambió es cuándo se aplica: al estar en el capítulo III, sección 3, su fecha pasa al 2 de diciembre de 2027 para los sistemas del anexo III y al 2 de agosto de 2028 para los del anexo I.
Entonces, ¿qué obligaciones de IA tiene hoy una pyme que usa herramientas de terceros?
Las del artículo 4, sobre alfabetización en materia de IA, exigibles desde el 2 de febrero de 2025, y las de transparencia del artículo 50 desde el 2 de agosto de 2026. Las del artículo 26 llegan después, con el resto del capítulo III.
¿Tiene multa no informar a los trabajadores de que se usa IA?
No por la vía del Reglamento en España, al menos con el texto en tramitación. El Proyecto de Ley Orgánica 121/000096 tipifica en su artículo 21.2 varios apartados del artículo 26 pero omite el 26.7, que es el que impone informar a los trabajadores. La vía que queda es la laboral, por transgresión de los derechos de información de los representantes.
Fuentes
- Reglamento (UE) 2024/1689, DOUE L, 2024/1689, de 12 de julio de 2024. Artículos 3.4, 6, 25, 26, 27, 49, 50, 73, 99, 111 y 113; anexo III.
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), DOUE Serie L de 24 de julio de 2026, en vigor desde el 27 de julio de 2026. Considerando 40 y artículo 1, puntos 5, 13, 39 y 40.
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, 121/000096, BOCG, Serie A, núm. 97-1, de 12 de junio de 2026. Artículos 5, 21 y 30. Norma en tramitación: no está en vigor.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.