Nos llegó hace unos meses un correo de dos líneas que resume el problema mejor que cualquier informe: "Hemos puesto un chatbot en la web. ¿Eso nos convierte en proveedor?". La respuesta correcta era no. La respuesta que esa empresa había recibido de su asesoría era sí, y llevaban semanas preparando documentación técnica que nadie les iba a pedir nunca. (Nos pasó algo parecido en 2023 con un cliente del sector logístico, así que tampoco vamos a dar lecciones desde la grada.)
El Reglamento (UE) 2024/1689 reparte las cargas entre dos figuras y lo hace en su artículo 3. Una desarrolla el sistema o lo saca al mercado. La otra lo utiliza bajo su propia autoridad en el ejercicio de una actividad profesional: es lo que el texto en inglés llama deployer y la versión española traduce como responsable del despliegue. Saber si eres proveedor o responsable del despliegue suena a distinción burocrática. No lo es. Determina si te toca redactar documentación técnica y evaluaciones de conformidad, o si te basta con un aviso bien colocado en pantalla.
La pregunta que decide qué obligaciones te caen encima
Proveedor es quien desarrolla un sistema de IA o lo introduce en el mercado bajo su propia marca. Responsable del despliegue es quien lo utiliza bajo su autoridad en una actividad profesional. El primero responde de la documentación técnica y la conformidad; el segundo, de la transparencia y la supervisión humana.
¿Por qué nos obsesiona tanto esta clasificación? Porque las dos figuras no comparten ni una sola obligación idéntica en todo el texto. El primer eslabón de la cadena carga con la evaluación de conformidad, el marcado CE, la documentación técnica, el sistema de gestión de riesgos y el registro en la base de datos europea. La parte usuaria carga con transparencia hacia las personas afectadas, supervisión humana efectiva y conservación de registros.
Cuatro preguntas para autodiagnosticarte en dos minutos
- ¿Has desarrollado o entrenado el sistema?
- ¿Lo comercializas bajo tu nombre o marca?
- ¿Lo has modificado sustancialmente?
- ¿Solo lo configuras y lo utilizas?
Un sí en las tres primeras te coloca en la primera casilla. Un sí únicamente en la cuarta te deja en la segunda. Mira, lo que pasa es que casi nadie llega a este punto por curiosidad jurídica. Llega porque un cliente grande le ha mandado un cuestionario de compliance con la casilla "indique su rol conforme al Reglamento (UE) 2024/1689" y no sabe qué marcar.
Qué cambia en el día a día según la casilla
| Criterio | Primera casilla | Segunda casilla |
|---|---|---|
| Apartados de transparencia aplicables | 1 y 2 | 3 y 4 |
| Quién redacta el aviso de interacción con IA | Sí, es su obligación legal | No, aunque lo muestra su interfaz |
| Quién marca técnicamente el archivo generado | Sí, marcas de agua y metadatos | No, pero revela el contenido engañoso |
| Documentación técnica y conformidad | Obligatorias en alto riesgo | No exigibles |
| Fecha de aplicación general | 2 de agosto de 2026 | 2 de agosto de 2026 |
| Riesgo sancionador propio | Hasta 15 M€ o 3 % | Hasta 15 M€ o 3 % |
El calendario tampoco ayuda a tomárselo con calma. Las prohibiciones del artículo 5 ya se aplican desde el 2 de febrero de 2025, igual que el deber de alfabetización en materia de IA del artículo 4, que recae sobre ambas figuras por igual y que casi nadie incluye en sus planes. El régimen sancionador y las reglas de los modelos de uso general entraron el 2 de agosto de 2025. Y el bloque de transparencia, el que afecta a casi todas las pymes que hemos auditado, se aplica desde el 2 de agosto de 2026. Conviene saber también que el aplazamiento del Ómnibus digital solo alcanzó al marcado técnico del contenido sintético ya comercializado: ni el aviso de interacción ni la revelación de los deepfakes se movieron de fecha. Quedan meses, no años.
Si te equivocas al autoclasificarte, el riesgo no es simétrico. Creerte el segundo rol cuando en realidad eres el primero te deja sin documentación técnica frente a una inspección: el tramo sancionador general del artículo 99 llega hasta 15 millones de euros o el 3 % del volumen de negocio mundial. Creerte el primero cuando eres el segundo solo te cuesta dinero en consultoría innecesaria. Hemos visto bastante más de lo segundo que de lo primero, por cierto, y eso dice algo del ruido que hay en el mercado.
Si has contratado un chatbot de terceros y solo lo configuras
Este es el escenario mayoritario. Contratas una herramienta conversacional, la conectas a tu web, cargas tu catálogo o tus preguntas frecuentes, ajustas el tono, eliges el color de la burbuja. Nada de eso te convierte en nada: eres la parte usuaria y poco más.
La frontera está en si has tocado el motor o solo el salpicadero. Rellenar una base de conocimiento, escribir el prompt de sistema, decidir en qué páginas aparece, limitar temas: configuración. Reentrenar el modelo con datos propios, encadenarlo con otros componentes hasta cambiar su finalidad o reempaquetarlo como producto tuyo: eso ya es otra cosa, y lo vemos en la sección siguiente.
¿Qué te toca entonces? Curiosamente, en el caso del chatbot, la obligación de informar a la persona de que está interactuando con una máquina recae sobre quien desarrolló la herramienta. Pero en la práctica el aviso aparece en tu web y la persona reclama a tu empresa. Y ojo con la excepción de que "resulte evidente": bautizar al asistente con nombre propio o ponerle un icono de robot no se considera suficiente (que es, básicamente, lo que hace medio sector convencido de haber cumplido). Nosotros siempre recomendamos asumirlo contractualmente: exige al suministrador que el aviso venga activado por defecto y guarda una captura fechada de cómo se ve en tu interfaz. Si quieres entender dónde encaja todo esto en un marco más amplio de gobernanza interna, con inventario, responsabilidades y evidencias, hemos publicado nuestro marco de cumplimiento del AI Act aplicado a la gobernanza corporativa, que es el esqueleto completo que usamos en cada auditoría desde el primer día.
Si desarrollas la herramienta o la comercializas con tu marca
Aquí cambia el peso. Quien diseña un sistema de IA, lo entrena, lo hace desarrollar por un tercero y lo introduce en el mercado o lo pone en servicio bajo su propio nombre comercial asume el papel del primer eslabón. Sin matices y sin importar si cobra por ello.
Lo que nadie nos cuenta en la primera reunión es que esto incluye el servicio interno. Una gestoría que construye un clasificador de documentos para su propio uso, sin venderlo a nadie, lo está "poniendo en servicio" y entra en la definición. La ausencia de factura no te saca del perímetro.
El caso del white label, que es el que más sorpresas genera
Imagina que contratas una plataforma de IA, la vistes con tu logotipo y se la ofreces a tus clientes como "nuestro asistente inteligente". El artículo 25 del reglamento es explícito: si pones tu nombre o tu marca en un sistema de alto riesgo ya comercializado, pasas a asumir las obligaciones del primer eslabón. Lo mismo ocurre si lo modificas sustancialmente o si cambias su finalidad prevista.
Esa cláusula fue la que nos hizo cambiar de criterio internamente. Durante los primeros meses dábamos por buena una regla simple ("si no has escrito código, no eres el primero") hasta que revisamos ese precepto con un caso de reventa de marca blanca en el sector inmobiliario. La regla era falsa. Ahora preguntamos siempre por el contrato de licencia antes que por el equipo técnico, porque la marca pesa más que el teclado.
Y el integrador, que suele quedarse sin respuesta
Queda un perfil intermedio del que casi nadie habla: la consultora que ensambla tres modelos ajenos, les añade su capa de orquestación y entrega al cliente un sistema que ninguno de los tres fabricantes previó. Ahí no hay marca propia necesariamente, pero sí finalidad nueva. Y la finalidad nueva mueve de casilla igual que el logotipo. Nuestra regla práctica: si el resultado hace algo que ninguno de los componentes podía hacer por separado, documenta como si fueras el primer eslabón.
Si llegas a esta casilla, prepárate para documentación técnica conforme al anexo IV, sistema de gestión de riesgos, gobernanza de datos de entrenamiento, registros automáticos y declaración de conformidad. No es un fin de semana de trabajo: en los proyectos que hemos acompañado, lo razonable han sido entre tres y cinco meses para una herramienta de complejidad media, repartidos entre producto, legal y seguridad.
Si publicas imágenes, vídeos o voces generadas con una herramienta ajena
Cambiamos de terreno. Aquí no hablamos de quién construyó nada, sino de quién pulsa "publicar". Un estudio de diseño que genera una ilustración con una herramienta comercial y la cuelga en la campaña de un cliente está en el apartado 4 de esa norma, no en el 2.
La diferencia es operativa y conviene tenerla clara. Quien desarrolla la herramienta debe incorporar un marcado legible por máquina en el contenido sintético: marcas de agua, metadatos, identificadores. Quien lo publica debe revelarlo de forma visible a las personas cuando se trate de contenido que simule a personas, lugares o hechos reales y pueda inducir a error.
Los textos informativos tienen su propia trampa
Si generas texto con IA y lo publicas para informar al público sobre asuntos de interés público, también te toca revelarlo. Salvo que haya pasado por revisión humana y alguien asuma la responsabilidad editorial del resultado. Esa excepción es la que salva a media industria del contenido, y es también la que más gente aplica sin poder demostrarla. Si el revisor no deja rastro en ningún sistema, la excepción es una afirmación, no una prueba. Nosotros exigimos nombre y fecha en el gestor de contenidos. Sin eso, no vale.
Si usas IA para analizar emociones o datos biométricos de personas
Terreno minado y sección corta, porque aquí la respuesta es casi siempre la misma. El apartado 3 del precepto coloca la obligación sobre quien utiliza el sistema: informar a las personas expuestas de que están siendo sometidas a reconocimiento de emociones o a categorización biométrica, y tratar sus datos conforme al RGPD.
Antes de preocuparte por el aviso, comprueba otra cosa. El artículo 5 prohíbe directamente el reconocimiento de emociones en el lugar de trabajo y en centros educativos, salvo excepciones médicas o de seguridad muy tasadas, y esa prohibición ya se aplica desde febrero de 2025 con un tramo sancionador que alcanza los 35 millones de euros o el 7 % del volumen de negocio mundial. Un software de selección de personal que puntúe el "entusiasmo" de un candidato en vídeo no necesita etiqueta. Necesita apagarse.
Cuando eres las dos cosas a la vez y nadie te lo ha advertido
Total, que llega el escenario incómodo: la mayoría de empresas medianas con cierta madurez digital ocupan ambas casillas al mismo tiempo, y lo descubren tarde.
Pongamos una agencia de marketing de treinta personas. Usa un asistente conversacional de terceros para atención al cliente: ahí es parte usuaria. Ha construido un clasificador propio de leads que vende como módulo a sus clientes: ahí ocupa la primera casilla. Y genera creatividades con herramientas de imagen que publica en campañas: ahí vuelve a la figura del apartado 4. Tres roles, tres regímenes, una sola empresa.
¿Es esto un problema? Solo si lo gestionas como un bloque único. El error que más repetimos al principio fue intentar clasificar la empresa. No se clasifica la empresa. Se clasifica cada sistema de IA por separado, y una misma organización puede tener siete sistemas en cinco situaciones distintas. Cuando cambiamos el enfoque de "rol corporativo" a "rol por sistema", los inventarios dejaron de contradecirse.
Hay un detalle que todos pasan por alto y que vale su peso en oro: tu posición puede cambiar sola, sin que tú hagas nada. Si tu suministrador actualiza el modelo y modifica la finalidad prevista, o si tú añades una función que lo lleva a un uso nuevo, la clasificación se mueve. Revísala cada vez que haya un cambio de versión relevante. Dos veces al año, como mínimo.
Las pymes que solo consumen herramientas ajenas tienen un recorrido mucho más corto de lo que les cuentan, y conviene saberlo antes de firmar cualquier presupuesto de asesoría: lo desglosamos tarea por tarea en el análisis de qué obliga el AI Act a una pyme que solo usa IA, donde la carga real se queda en poco más de cuatro o cinco tareas documentales perfectamente asumibles.
Cómo documentar tu papel antes de que te lo pregunte una autoridad
La autoridad española es AESIA, creada por el Real Decreto 729/2023 y con sede en A Coruña. No esperes a que llame. Y, seamos honestos, el primero que te va a preguntar no será un inspector: será el departamento de compras de un cliente corporativo que necesita cerrar su propio expediente.
Lo que funciona es un inventario simple, no una plataforma de gobernanza de cincuenta mil euros. Una hoja de cálculo bien mantenida resuelve el 80 % del trabajo en empresas de menos de cien empleados.
Las siete columnas que no pueden faltar
- Nombre del sistema y suministrador
- Rol asumido en ese sistema concreto
- Finalidad prevista por el fabricante
- Uso real que le damos nosotros
- Artículo del reglamento aplicable
- Fecha de última revisión del rol
- Persona responsable interna
La cuarta columna es la que genera todas las sorpresas. Cuando el uso real se separa de la finalidad prevista, ahí tienes un candidato a modificación sustancial y un posible salto de casilla. En los inventarios que hemos revisado, entre el 20 y el 30 % de los sistemas mostraban esa desviación sin que nadie la hubiera registrado.
Guarda también las pruebas de lo que afirmas: contrato de licencia, captura del aviso de transparencia con fecha, registro del revisor humano si aplicas la excepción editorial, y el correo donde tu suministrador confirma quién asume qué. Ese último documento ha salvado más expedientes que cualquier informe de consultoría. Y si algún día te llega un requerimiento, recuerda que facilitar información incorrecta a las autoridades tiene su propio tramo: hasta 7,5 millones de euros o el 1 % del volumen de negocio. Es mejor un inventario modesto y verdadero que uno impecable e inventado.
Preguntas frecuentes sobre los dos roles
¿Qué es un responsable del despliegue según el Reglamento de IA?
Es la persona física o jurídica que utiliza un sistema de IA bajo su propia autoridad en el ejercicio de una actividad profesional. No lo ha desarrollado ni lo comercializa: lo aplica a su operación diaria. Su carga principal es la transparencia hacia las personas afectadas y la supervisión humana efectiva.
¿Puedo asumir los dos roles a la vez en mi empresa?
Sí, y es lo habitual en organizaciones con varias herramientas. La clasificación se hace sistema por sistema, no por empresa. Puedes desarrollar una herramienta propia y asumir el primer papel en ella, mientras utilizas tres soluciones de terceros donde eres solo la parte usuaria. Cada caso lleva su propio expediente.
¿Mi empresa cambia de rol si usa ChatGPT para trabajar?
No. Usar una herramienta generativa comercial tal como viene, incluso con instrucciones propias, te mantiene en la segunda casilla. El cambio llega si la integras en un producto que vendes, la reentrenas con datos propios o la ofreces a tus clientes bajo tu marca.
¿Cambiar el prompt de sistema me convierte en el primer eslabón?
No por sí solo. Ajustar instrucciones, tono o temas permitidos es configuración dentro de la finalidad prevista. El salto se produce cuando modificas sustancialmente el sistema, lo reentrenas, alteras su finalidad o lo comercializas bajo tu marca, conforme al artículo 25.
¿Desde cuándo tengo que cumplir las obligaciones de transparencia?
Desde el 2 de agosto de 2026 para el bloque completo del artículo 50. Antes ya aplican las prohibiciones del artículo 5 y el deber de alfabetización en IA (desde febrero de 2025) y las reglas sobre modelos de uso general y sanciones (desde agosto de 2025). Los sistemas de alto riesgo integrados en productos regulados esperan hasta agosto de 2027.
¿Qué pasa si mi suministrador no marca el contenido generado?
Su incumplimiento no te exime del tuyo. Si publicas contenido sintético que simule personas o hechos reales, tu deber de revelación visible subsiste. Reclama el marcado por contrato, documenta la reclamación y añade tú el aviso mientras tanto.
¿Necesito registrarme en alguna base de datos europea?
Solo si desarrollas o comercializas sistemas de alto riesgo. Quien utiliza herramientas ajenas de riesgo limitado no tiene obligación de registro. Las autoridades públicas que usan sistemas de alto riesgo sí tienen deberes registrales específicos.
Conclusión: una pregunta, dos expedientes distintos
Si has llegado hasta aquí con el caso de tu empresa en la cabeza, probablemente ya sepas la respuesta. Y probablemente sea "depende del sistema", que es exactamente lo que el reglamento quiere que entiendas.
Haz el inventario esta semana. Siete columnas, una fila por herramienta, una revisión al semestre. Eso te deja en mejor posición que el 90 % de las empresas que hemos auditado durante el último año, y te costará una tarde en lugar de un presupuesto.