Respuesta breve. El Reglamento Europeo de Inteligencia Artificial no impone las mismas obligaciones a todas las empresas. El análisis depende de si la organización actúa como proveedor, responsable del despliegue, importador, distribuidor o usuario profesional. Identificar correctamente el rol permite saber qué documentación, controles, transparencia, supervisión y evidencias debe preparar la empresa.
Muchas empresas utilizan herramientas de inteligencia artificial sin haber determinado qué papel ocupan dentro de la cadena de valor. Para ordenar las obligaciones y preparar una hoja de ruta, consulta el servicio de abogados AI Act para empresas en España. No es lo mismo desarrollar un sistema, integrarlo en un producto, contratarlo como servicio SaaS o utilizarlo internamente para apoyar una decisión. Esa diferencia puede cambiar las obligaciones aplicables y la documentación que debe conservarse.
¿Qué rol tiene mi empresa según el AI Act?
El Reglamento (UE) 2024/1689 distribuye responsabilidades entre los distintos participantes del mercado. La clasificación no depende solo del nombre comercial del producto, sino de la actividad real, la finalidad prevista, el control sobre el sistema y las modificaciones realizadas.
Además, una empresa puede tener más de un rol en un mismo proyecto. Por ejemplo, puede utilizar un modelo de terceros, integrarlo en su propio software y comercializar el resultado con su marca. En ese caso, la evaluación debe hacerse sobre cada fase y no únicamente sobre el contrato con el proveedor tecnológico.
Cuando la empresa va a implantar una herramienta de IA de un tercero, conviene revisar antes su finalidad, los datos tratados, el proveedor y la supervisión prevista. Consulta esta guía para revisar una implantación de inteligencia artificial antes de contratar.
| Rol | Cuándo aparece | Qué debe revisar la empresa |
|---|---|---|
| Proveedor | Desarrolla o comercializa un sistema o modelo bajo su nombre o marca. | Gestión de riesgos, documentación técnica, calidad, instrucciones, evaluación de conformidad y seguimiento. |
| Responsable del despliegue | Utiliza el sistema bajo su autoridad para una actividad profesional. | Uso conforme a instrucciones, supervisión humana, información, registros, medidas organizativas y control de incidencias. |
| Importador o distribuidor | Introduce o comercializa sistemas de un proveedor situado fuera de la Unión Europea. | Identificación del proveedor, marcado, documentación, instrucciones, trazabilidad y cooperación con las autoridades. |
| Usuario profesional | Emplea IA dentro de su organización, aunque no la haya desarrollado. | Inventario, políticas internas, formación, privacidad, supervisión y evidencias del uso responsable. |
1. Obligaciones del proveedor de un sistema de IA
El proveedor debe comprender el sistema que coloca en el mercado o pone en servicio y documentar sus características esenciales. Si el sistema puede ser de alto riesgo, el análisis debe abarcar la gestión de riesgos, los datos, la precisión, la robustez, la ciberseguridad, la supervisión humana y la documentación técnica.
También debe definir instrucciones claras para quienes desplieguen el sistema, establecer mecanismos de seguimiento y conservar evidencias suficientes para demostrar el cumplimiento. La documentación comercial por sí sola no sustituye a la documentación exigible por el Reglamento.
2. Obligaciones del responsable del despliegue
El responsable del despliegue es la organización que utiliza el sistema bajo su autoridad. Debe aplicar las instrucciones del proveedor, asignar responsabilidades internas, comprobar que el uso previsto coincide con la finalidad autorizada y garantizar una supervisión humana efectiva cuando resulte necesaria.
En determinados usos será necesario informar a las personas afectadas, mantener registros, evaluar impactos y coordinar el AI Act con la legislación de privacidad, la normativa laboral, la regulación sectorial y la seguridad de la información. La contratación de un proveedor externo no elimina las obligaciones de la empresa que utiliza la herramienta.
3. Qué deben revisar importadores y distribuidores
Las empresas que introducen o distribuyen sistemas de IA deben verificar que el proveedor ha cumplido sus obligaciones formales y que el sistema incluye la información, instrucciones y documentación necesarias. Deben poder identificar al proveedor, facilitar la trazabilidad de la cadena y colaborar con las autoridades competentes.
Si detectan riesgos de incumplimiento, no deben seguir comercializando el sistema sin adoptar medidas correctoras. Este punto es especialmente relevante para distribuidores de software, plataformas SaaS, integradores tecnológicos y empresas que incorporan herramientas de IA de terceros a sus propios servicios.
4. Fechas que debe controlar una empresa
Aplicación de las prohibiciones y de la obligación de promover la alfabetización en IA.
Aplicación de las obligaciones de transparencia del artículo 50 y de determinadas reglas de ejecución.
Aplicación prevista de las reglas para determinados usos de alto riesgo del anexo III.
Aplicación prevista para sistemas de alto riesgo integrados en productos regulados.
Las fechas deben comprobarse junto con las modificaciones y orientaciones oficiales vigentes. La Comisión Europea señala que el calendario es progresivo y que no todas las obligaciones comienzan el mismo día.
Checklist: qué debería hacer una empresa ahora
- Crear un inventario de sistemas, modelos, proveedores y usos internos de IA.
- Asignar el rol jurídico de la empresa en cada proyecto.
- Documentar la finalidad, usuarios, datos, decisiones y riesgos asociados.
- Revisar si existe una práctica prohibida o una obligación de transparencia.
- Comprobar la relación entre AI Act, protección de datos, EIPD, contratos y normativa sectorial.
- Revisar cláusulas sobre documentación, auditoría, incidentes, subcontratación y salida del proveedor.
- Definir formación y alfabetización en IA para las personas que utilizan los sistemas.
- Establecer supervisión humana, control de accesos, registros y revisión periódica.
- Conservar evidencias que permitan explicar qué se decidió, quién lo aprobó y con qué información.
Preguntas frecuentes
¿Una empresa que usa ChatGPT es automáticamente proveedor de IA?
Generalmente no. Si la empresa utiliza una herramienta de un tercero bajo sus condiciones, normalmente actúa como responsable del despliegue o usuario profesional. La respuesta puede cambiar si modifica sustancialmente el sistema, lo integra bajo su propia marca o altera su finalidad.
¿El AI Act sustituye a la protección de datos?
No. Son normas complementarias. El AI Act regula determinados riesgos y obligaciones de los sistemas de inteligencia artificial; la protección de datos sigue siendo aplicable cuando se tratan datos personales, junto con las obligaciones de seguridad, transparencia y derechos que correspondan.
¿Qué debe hacer una pyme que compra una herramienta de IA?
Debe identificar el uso y el rol que ocupa, revisar la documentación e instrucciones del proveedor, comprobar los datos tratados, analizar riesgos, formar a las personas usuarias y dejar constancia de las medidas adoptadas. El tamaño de la empresa no elimina automáticamente las obligaciones aplicables.
¿Necesitas ordenar el cumplimiento del AI Act?
ScandoUp puede ayudarte desde su servicio de abogados AI Act para empresas en España a identificar el rol de tu empresa, revisar proveedores y contratos tecnológicos, coordinar el AI Act con la legislación de privacidad y preparar una hoja de ruta proporcionada al riesgo.
Fuentes oficiales: Reglamento (UE) 2024/1689; marco europeo de inteligencia artificial; alfabetización en IA; obligaciones de transparencia; calendario de ejecución.
Actualizado: 13 de octubre de 2026. Autor: Álvaro Ruipérez Candón, abogado de derecho digital, privacidad e inteligencia artificial en ScandoUp Global Legal. Contenido informativo, no constituye asesoramiento jurídico para un caso concreto.