Montar un agente propio sobre Copilot no siempre os hace proveedores
Publicado en agosto de 2026
Dos años usando Copilot para actas y correos no cambia nada frente al Reglamento de IA. El cambio ocurre cuando alguien construye un agente propio encima, y ahí la respuesta depende de una parte del Reglamento que casi nadie mira: el artículo 6, apartado 3.
El caso que separa las dos respuestas
Alguien de RR. HH. crea un agente que revisa la carpeta de candidatos de una vacante y marca qué currículos adjuntan la titulación exigida y cuáles no. Parece que construir un sistema propio encima de una suscripción convierte automáticamente a la empresa en proveedora de un sistema de IA. No es así.
Por qué «proveedor» y «alto riesgo» son la misma puerta
El artículo 25.1.c) del Reglamento (UE) 2024/1689 dice que os convertís en proveedores cuando modificáis la finalidad prevista de un sistema que no era de alto riesgo «de tal manera que el sistema de IA de que se trate se convierta en un sistema de IA de alto riesgo de conformidad con el artículo 6». No hay una categoría de «proveedor» separada de «alto riesgo»: es la misma frontera.
La selección de personal es de alto riesgo, con un matiz
El anexo III, punto 4.a) incluye expresamente los sistemas para «analizar y filtrar las solicitudes de empleo y evaluar a los candidatos». Hasta aquí, cualquier automatización en selección parece de alto riesgo. Pero el artículo 6.3 añade un filtro: un sistema no es de alto riesgo si no influye sustancialmente en la decisión, entre otros casos, cuando solo ejecuta una tarea preparatoria.
Comprobar si un currículum adjunta un título es justo eso: una tarea preparatoria. No decide nada, no compara candidatos entre sí, no evalúa a la persona.
Lo que sí cruzaría la línea
Un agente distinto, que ordenara a los candidatos del mejor al peor, sí cruzaría la línea. Ordenar es evaluar aspectos personales de una persona física, que es la definición de elaboración de perfiles del artículo 3.52 (remite al artículo 4.4 del RGPD). Y el propio artículo 6.3 cierra la puerta a cualquier excepción cuando hay elaboración de perfiles de por medio: esos sistemas «siempre se considerarán de alto riesgo».
Misma tecnología, mismo proveedor de la suscripción. La diferencia la marca para qué se usa el agente, no dónde se construye.
Si cruzáis la línea, la cruzáis solos
El artículo 25.2 obliga al proveedor original a entregar documentación técnica, informar de fallos conocidos y dar acceso para pruebas, salvo que ya hubiera advertido que su sistema no debe transformarse en uno de alto riesgo. El Ómnibus Digital reescribió esa cláusula para dejar claro que, si se aplica la advertencia, tampoco hay obligación de cooperar.
Si ese aviso está en las condiciones de uso del proveedor, ya está aceptado desde el día en que se contrataron las licencias. No es algo que se negocie después.
Cuándo empieza a exigirse
Nada de esto es exigible hasta el 2 de diciembre de 2027, fecha en la que entra en vigor el capítulo III completo para los sistemas de alto riesgo del anexo III (artículo 113, párrafo tercero, letra c). Pero conviene revisar ahora qué hace realmente cada agente montado sobre herramientas como Copilot, porque la clasificación no depende de cuándo se exige: depende de qué construisteis.
Fuentes: artículos 3.52, 6.3, 16, 25.1.c), 25.2 y 113, párrafo tercero, letra c), y anexo III, punto 4.a), del Reglamento (UE) 2024/1689, en la redacción vigente tras el Reglamento (UE) 2026/1744 (Ómnibus Digital).
← El artículo 4 del Reglamento de IA ya no exige un nivel de alfabetización