Proveedor o responsable del despliegue: cómo saber qué eres
La distinción de la que depende todo lo demás en el AI Act: qué te obliga si compras IA y qué te obliga si la fabricas o modificas.
Publicado el 2026-08-12.
Por qué esta pregunta va antes que todas las demás
Antes de preguntarte si tu sistema de IA es de alto riesgo, si tienes que registrar algo o si te toca marcar contenido, hay una pregunta previa: ¿qué papel juegas tú en ese sistema? El AI Act reparte las obligaciones de forma muy distinta según seas proveedor o responsable del despliegue (en la jerga del reglamento, «deployer»). Confundir los dos papeles es el error más común en pymes: unas se preparan para obligaciones de proveedor que nunca les tocarán, y otras ignoran las de responsable del despliegue porque asumen que «como no lo hemos fabricado nosotros, no es cosa nuestra».
Proveedor: quién es, según el reglamento
Es proveedor quien desarrolla un sistema de IA (o un modelo de uso general), o encarga que se desarrolle, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca, sea de pago o gratis. La clave no es «quién escribió el código», sino quién lo pone en circulación con su nombre encima. Si tu empresa no diseña IA y se limita a usar herramientas de terceros —un CRM con IA integrada, un asistente de selección de personal comprado a un proveedor externo, un chatbot de soporte—, normalmente no eres proveedor. La mayoría de las pymes españolas no lo son.
Responsable del despliegue: quién es
Es responsable del despliegue toda persona física o jurídica —incluida una autoridad pública— que utiliza un sistema de IA bajo su propia autoridad, salvo cuando ese uso forma parte de una actividad personal no profesional. Aquí caen la inmensa mayoría de las pymes: la empresa que usa un sistema de cribado de currículums, un scoring de riesgo crediticio comprado a un tercero, o una herramienta de videovigilancia con reconocimiento. El hecho de no haber construido el sistema no te libra de obligaciones: te toca vigilar cómo lo usas, no cómo se fabricó.
Para saber en qué grupo cae cada sistema que usas en tu empresa, el primer paso práctico es hacer el inventario de sistemas de IA: sin ese listado, no puedes clasificar nada.
Los tres casos frontera que te pueden convertir en proveedor
El artículo 25 del reglamento prevé tres situaciones en las que quien parecía «solo» responsable del despliegue, distribuidor o importador pasa a asumir las obligaciones de proveedor (las del artículo 16), aunque no haya construido el sistema desde cero:
- Poner tu marca a un sistema ajeno. Si comercializas o pones en servicio bajo tu nombre o marca un sistema de IA de alto riesgo ya existente —lo «rebrandeas»—, te conviertes en proveedor de ese sistema, salvo que un contrato reparta las obligaciones de otra forma.
- Modificar sustancialmente un sistema ya en el mercado. Cambios que alteran de forma relevante su funcionamiento y que mantienen su condición de alto riesgo te hacen responsable como proveedor de esa versión modificada.
- Cambiar la finalidad prevista. Si tomas un sistema que no estaba clasificado como de alto riesgo —incluido un sistema de uso general— y lo destinas a un uso que sí encaja en el alto riesgo (por ejemplo, adaptar un modelo genérico para decidir contrataciones), pasas a ser su proveedor.
Cuando ocurre cualquiera de estos tres supuestos, el proveedor original deja de serlo para ese sistema concreto y debe cooperar con el nuevo proveedor, facilitándole la información y el acceso técnico razonable para que pueda cumplir, salvo que hubiera advertido expresamente que su sistema no debía transformarse en uno de alto riesgo. Hay un cuarto supuesto, menos habitual en pymes: si tu empresa fabrica un producto regulado (maquinaria, dispositivos médicos, juguetes) que incorpora un sistema de IA de alto riesgo como componente de seguridad y lo comercializa con tu marca, se te considera proveedor de ese sistema aunque no lo hayas programado tú.
Qué obliga a cada figura, en una tabla
| Aspecto | Proveedor | Responsable del despliegue |
|---|---|---|
| Quién es | Desarrolla un sistema de IA (o lo encarga) y lo introduce en el mercado o lo pone en servicio con su nombre o marca. | Usa el sistema bajo su propia autoridad; no aplica en uso personal no profesional. |
| Caso típico en una pyme | Poco frecuente: solo si desarrollas IA propia, la rebrandeas, la modificas sustancialmente o le cambias la finalidad (art. 25). | Frecuente: compras o contratas un sistema de IA ya hecho por otro y lo usas en tu operativa. |
| Obligaciones si el sistema es de alto riesgo | Gestión del riesgo, documentación técnica, evaluación de conformidad, marcado CE, registro en la base de datos de la UE (art. 16). | Usarlo según instrucciones, supervisión humana cualificada, vigilar su funcionamiento, informar a trabajadores afectados, conservar logs al menos seis meses (art. 26). |
| Si detecta un riesgo grave | Debe adoptar medidas correctoras e informar a las autoridades (art. 20). | Debe suspender el uso e informar sin demora al proveedor y a la autoridad de vigilancia (art. 26.5). |
| Modelos de uso general (GPAI) | Obligaciones específicas de transparencia técnica y, si hay riesgo sistémico, de evaluación (ver modelos de uso general). | No tiene obligaciones de proveedor por usar el modelo, salvo que lo integre y le cambie la finalidad (art. 25.1.c). |
| Transparencia del art. 50 | Debe garantizar que los contenidos generados por IA sean detectables (marcado técnico). | Debe informar a las personas cuando interactúan con IA o ven contenido generado o manipulado por IA. |
| Entrada en vigor de la obligación | 2 de agosto de 2026 (transparencia) y 2 de diciembre de 2027 (alto riesgo del anexo III), según el caso. | Mismas fechas que el proveedor para cada obligación correspondiente. |
Fechas que importan según qué papel tengas
Las obligaciones de proveedor y de responsable del despliegue no entran todas a la vez. La alfabetización en IA del artículo 4 y las prácticas prohibidas del artículo 5 son exigibles desde el 2 de febrero de 2025, y afectan a ambas figuras por igual. Las obligaciones de transparencia del artículo 50 llegan el 2 de agosto de 2026, pero reparten tareas distintas: el proveedor debe hacer el contenido detectable técnicamente y el responsable del despliegue debe avisar a las personas cuando corresponda. Las obligaciones de alto riesgo del anexo III (empleo, crédito, educación, biometría, servicios esenciales) —los artículos 16 y 26 que llenan la tabla anterior— se aplazaron al 2 de diciembre de 2027, y las del anexo I (IA integrada en productos regulados) al 2 de agosto de 2028. Repasa qué se aplica exactamente el 2 de agosto de 2026 en esta guía si tienes dudas sobre esa fecha en concreto.
Cómo saberlo en la práctica
Para cada sistema de tu inventario, hazte tres preguntas en orden: ¿lo he desarrollado yo o alguien por encargo mío? ¿Le he puesto mi marca a un sistema de otro? ¿Lo he modificado sustancialmente o le he dado un uso distinto del previsto por quien lo vendió? Si la respuesta a las tres es no, eres responsable del despliegue de ese sistema y tus obligaciones son las de vigilancia, supervisión humana e información, no las de conformidad técnica. Confundirlo no es un matiz académico: el régimen sancionador ya es exigible desde el 2 de agosto de 2025, y responder ante una inspección con las obligaciones equivocadas no exime de las que sí te correspondían. Puedes ver qué arriesga una pyme según el caso en esta guía sobre sanciones.
Preguntas frecuentes
¿Puedo ser proveedor y responsable del despliegue del mismo sistema a la vez?
Sí, es posible: ocurre cuando desarrollas una herramienta de IA para uso interno, sin comercializarla a terceros, y la usas dentro de tu propia empresa, asumiendo así ambos papeles definidos en el artículo 3 del reglamento.
¿Contratar un desarrollo a medida me convierte en proveedor?
Depende de bajo qué nombre o marca se introduzca el sistema en el mercado o se ponga en servicio; si lo comercializas con tu marca, el artículo 25 te atribuye las obligaciones de proveedor aunque no hayas escrito el código tú mismo.
¿Qué pasa si modifico ligeramente un sistema de IA que he comprado?
Solo pasas a ser proveedor si la modificación es «sustancial» en el sentido del artículo 25 y el sistema sigue siendo de alto riesgo tras el cambio; los ajustes de configuración menores no suelen desplazar esa responsabilidad.
¿El proveedor original queda libre de toda obligación tras un cambio de marca o finalidad?
No del todo: aunque deja de ser proveedor de ese sistema concreto, el artículo 25.2 le obliga a cooperar con el nuevo proveedor facilitándole información y acceso técnico razonable, salvo que hubiera advertido expresamente que el sistema no debía convertirse en uno de alto riesgo.