Responsable del despliegue o proveedor en la Ley de IA

¿Soy responsable del despliegue o proveedor según la Ley de IA? Quien solo usa un sistema de IA ya terminado, bajo su propia autoridad, es responsable del despliegue y asume pocas obligaciones. Quien lo entrega bajo su propio nombre o lo rediseña a fondo pasa a ser proveedor y carga con el catálogo completo. Esta única distinción decide cuánto te exige la Ley de IA.

Estado: 2026-09-08

La pregunta suena a papeleo, pero es la bifurcación más cara de todo el reglamento. La mayoría de las pymes compran IA o ejecutan un modelo abierto en casa, y en ambos casos son responsables del despliegue con una lista breve de deberes. El problema empieza cuando la figura cambia sin que nadie se dé cuenta. No hay formulario que presentar ni interruptor que accionar: el cambio ocurre por una acción, y por eso a tantos se les escapa.

Las dos figuras en el texto legal

Las definiciones están en el artículo 3 del Reglamento (UE) 2024/1689, la propia Ley de IA. Proveedor, según el artículo 3.3, es quien desarrolla un sistema de IA, o lo manda desarrollar, para introducirlo en el mercado o ponerlo en servicio bajo su propio nombre o marca. Responsable del despliegue, según el artículo 3.4, es quien usa un sistema de IA bajo su propia autoridad, salvo que ese uso sea puramente personal.

La diferencia es de dirección. El proveedor está al inicio de la cadena y lleva el sistema al mercado. El responsable del despliegue está al final y lo usa con un fin. Una empresa de software que construye y vende una herramienta de selección de personal es proveedor. El departamento de recursos humanos que la usa es responsable del despliegue. Eso vale incluso dentro de un mismo grupo empresarial, porque la figura se pega al acto, no al membrete.

El caso normal en una pyme: eres responsable del despliegue

Para la gran mayoría de pequeñas y medianas empresas, la pregunta de la figura termina aquí. Quien usa Microsoft Copilot, un chatbot comprado o un modelo de pesos abiertos como Llama o Qwen en su propio servidor es responsable del despliegue. Alojarlo tú mismo no te convierte en proveedor, siempre que uses el sistema como estaba previsto. Dónde se ejecuta el modelo es indiferente para la figura: la IA local en tu propio equipo y un servicio en la nube reciben el mismo trato.

La segunda bifurcación pesa más: las obligaciones plenas del responsable del despliegue solo alcanzan a quien opera un sistema de alto riesgo del anexo III. Son usos definidos de forma estrecha, en ámbitos como la selección de personal, la concesión de crédito o las infraestructuras críticas. Un modelo que busca documentos internos o redacta correos casi nunca entra ahí. Para esos sistemas queda poco del catálogo del responsable, salvo el deber de transparencia al que llegamos abajo.

Cuándo un responsable del despliegue pasa a ser proveedor

Aquí está la trampa. El artículo 25.1 nombra tres casos en los que un responsable del despliegue, u otro tercero, cuenta como proveedor y asume el catálogo completo:

• Pones tu nombre o tu marca en un sistema de alto riesgo que ya está en el mercado. La reventa bajo etiqueta propia te convierte en proveedor.
• Haces una modificación sustancial de un sistema de alto riesgo, y sigue siendo de alto riesgo.
• Cambias la finalidad de un sistema de modo que pase a ser de alto riesgo, aunque antes no lo fuera.

Los tres casos exigen un vínculo con el alto riesgo. Operar un sistema inofensivo y trastear con él no te convierte en proveedor. El artículo 25 solo muerde cuando el sistema cae bajo el anexo III, o entra en él por tu cambio. Esa es la principal tranquilidad para el día a día, y a la vez el punto donde hay que mirar con lupa.

Qué es una modificación sustancial

El término se define en el artículo 3. Es un cambio posterior a la introducción en el mercado que el proveedor original no había previsto y que afecta al cumplimiento del sistema o desplaza su finalidad prevista. Una actualización que el fabricante tenía planeada no es una modificación sustancial. Un rediseño que emprendes por tu cuenta puede serlo.

En la práctica, los despachos discuten sobre todo tres casos límite con modelos ejecutados en local: el ajuste fino sobre datos propios, la reconstrucción de una tubería de recuperación y el entrenamiento sobre un conjunto de datos sectorial. Que eso cuente como modificación sustancial depende, según nuestra interpretación, de si el sistema es de alto riesgo y de si el cambio toca su cumplimiento o su finalidad. Ajustar un modelo de lenguaje para la búsqueda interna no es, por sí solo, un cambio de figura. Rediseñar ese mismo modelo para preparar decisiones de crédito bien puede serlo. La regla práctica: no decide la tecnología, sino lo que el sistema modificado acaba haciendo.

Qué obligaciones se atan a cada figura

Para los sistemas de alto riesgo, la Ley de IA reparte el trabajo con limpieza. El proveedor carga con los deberes de la fase de diseño, el responsable del despliegue con los de la operación.

Según el artículo 16, el proveedor debe, entre otras cosas, llevar un sistema de gestión de riesgos y de calidad, elaborar la documentación técnica, superar una evaluación de la conformidad, colocar el marcado CE, registrar el sistema y entregar unas instrucciones de uso. Es la parte pesada, y nace sobre el papel, mucho antes del primer uso.

Según el artículo 26, el responsable del despliegue tiene una lista mucho más corta: usar el sistema conforme a las instrucciones, garantizar una vigilancia humana competente, supervisar su funcionamiento, controlar los datos de entrada en la medida de su alcance, conservar los registros generados de forma automática durante al menos seis meses e informar al proveedor o a la autoridad de riesgos e incidentes. Si el sistema se usa en el trabajo, el responsable debe informar antes a las personas trabajadoras y a su representación. El artículo 26 no prevé una exención general para pymes, aunque hay medidas de apoyo para empresas pequeñas en otras partes del reglamento.

Quien pasa a ser proveedor por el artículo 25 asume la lista larga por completo. Por eso el cambio de figura sale tan caro: traslada la carga de la parte breve del responsable a la parte plena del proveedor.

El deber que alcanza a todos

Un malentendido es tenaz: que la Ley de IA solo concierne a las operaciones de alto riesgo. Eso vale para los deberes de responsable y proveedor de arriba, pero no para el artículo 50. El deber de transparencia se aplica desde el 2 de agosto de 2026 y no depende de la clasificación de alto riesgo ni de si eres responsable del despliegue o proveedor.

Si operas un chatbot, debes declarar que los usuarios hablan con una máquina. Si publicas imágenes o textos generados por IA sobre asuntos de interés público, debes marcarlos como tales. Los proveedores de sistemas generativos deben marcar sus salidas de forma legible por máquina. Estos deberes alcanzan a casi cualquier empresa que use IA de cara al exterior, y son el punto de contacto más frecuente con la ley. El detalle está en nuestro artículo sobre la transparencia de chatbots y contenido de IA.

IA local y la pregunta de la figura

Que ejecutes un modelo en la nube o en tu propio servidor no cambia nada sobre responsable del despliegue o proveedor. Lo que cambia es tu capacidad de demostrar la figura. Con un sistema autoalojado sabes qué modelo se ejecuta, qué datos entran y qué has alterado. Esa es justo la trazabilidad que exige el artículo 26, y el núcleo de la soberanía del dato.

El precio es atención en el sitio correcto. Rediseña un modelo local hasta el punto de que vuelque en una finalidad de alto riesgo, y pasas a ser proveedor y tienes que cargar con ello. La ventaja: como tienes el montaje en tus manos, ves venir el cambio de figura. Con una caja negra comprada, a menudo solo te enteras en un litigio de que una función añadida desplazó el sistema. En España, un proyecto de este tipo puede encajar además en las categorías del Kit Digital para IA.

Pasos concretos

Para aclarar la figura bastan cuatro preguntas por sistema. Primera: ¿lo uso como previó el fabricante, o lo he rediseñado? Segunda: ¿la finalidad cae bajo el anexo III, en un ámbito de alto riesgo? Tercera: ¿entrego el sistema bajo mi propio nombre? Cuarta: ¿opero un chatbot o publico contenido de IA, de modo que se aplique el artículo 50? Quien responde no a las tres primeras, y con honestidad a la cuarta, es responsable del despliegue con muy poco que hacer.

Esta exposición es nuestra interpretación de la situación legal actual y no sustituye una revisión de tu caso concreto. Si quieres saber en qué figura están tus sistemas, y cómo un montaje local y auditable simplifica la pregunta de la figura, habla con nosotros sobre un proyecto piloto.