Responsable del despliegue en el AI Act: qué le toca hacer a vuestra empresa
Por Jorge Octavio Tercero, cofundador de iActiva Labs ·
Si en vuestra empresa se usa una herramienta de IA que no habéis desarrollado vosotros, el Reglamento europeo de IA os llama responsable del despliegue. Es el papel de casi todas las empresas, y mucha gente cree que ser solo usuario deja fuera de la norma. No es así: hay obligaciones que alcanzan a cualquier responsable del despliegue y otras que dependen del riesgo del sistema.
Quién es proveedor y quién es responsable del despliegue
El proveedor es quien desarrolla un sistema de IA, o lo encarga, y lo comercializa con su nombre o su marca. El responsable del despliegue, que en inglés es deployer, es quien lo utiliza bajo su propia autoridad en una actividad profesional.
Si vuestro equipo usa Copilot, ChatGPT, Claude o el módulo de IA del ERP, vosotros sois responsables del despliegue y el fabricante es el proveedor. Cada uno tiene obligaciones distintas, y las vuestras empiezan cuando la herramienta entra en el trabajo de alguien.
Lo que os alcanza siempre, sea cual sea el riesgo
El artículo 4 pide medidas para promover la alfabetización en IA de vuestro personal. Está en vigor desde el 2 de febrero de 2025 y no tiene umbral de tamaño. Tras el Ómnibus Digital ya no exige un nivel concreto de cada persona, y lo explicamos en el artículo sobre la alfabetización.
El artículo 5 prohíbe prácticas concretas, también desde el 2 de febrero de 2025. En una empresa privada la que más aparece es inferir emociones de las personas en el trabajo, que no está regulada sino prohibida, salvo por motivos médicos o de seguridad: lo contamos en este artículo. Las otras que se cruzan con la actividad normal de una empresa son la puntuación social que provoca un trato desfavorable en un contexto ajeno al de los datos, y la categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, religión, vida u orientación sexual.
El artículo 50 trae las obligaciones de transparencia, aplicables desde el 2 de agosto de 2026. Al responsable del despliegue le tocan dos. Si usa un sistema de reconocimiento de emociones o de categorización biométrica, tiene que informar a las personas expuestas. Y si publica imagen, audio o vídeo generado o manipulado con IA que pueda pasar por real, tiene que decir que es artificial. Para el texto publicado sobre asuntos de interés público hay una salida: no hace falta etiquetarlo si pasó revisión humana o control editorial y alguien responde editorialmente de la publicación. Las imágenes las tratamos en este otro artículo.
Lo que solo aplica si el sistema es de alto riesgo
El artículo 26 recoge las obligaciones del responsable del despliegue de un sistema de alto riesgo. Estas son las que más cambian el trabajo de una empresa:
- Usar el sistema conforme a las instrucciones de uso del proveedor.
- Encomendar la supervisión humana a personas con competencia, formación y autoridad. La autoridad es la que casi nunca existe: se nombra a alguien que no puede parar el sistema.
- Vigilar que los datos de entrada sean pertinentes y representativos, en la medida en que dependan de vosotros.
- Conservar los registros automáticos al menos seis meses.
- Informar a los representantes de los trabajadores y a los trabajadores afectados antes de usarlo en el lugar de trabajo.
- Informar a las personas físicas sobre las que el sistema decide o ayuda a decidir.
De los ocho ámbitos de alto riesgo del anexo III, en una empresa privada normal aparecen tres. El empleo: filtrar currículos, evaluar candidatos, decidir promociones o supervisar el rendimiento. Los servicios esenciales: solvencia y calificación crediticia, y precios de seguros de vida y de salud. Y la biometría, donde la verificación 1:1 para confirmar que alguien es quien dice ser queda fuera: el control de acceso con huella de la oficina no es alto riesgo.
Estas obligaciones se aplican a los sistemas del anexo III desde el 2 de diciembre de 2027. El calendario original las fijaba en agosto de 2026 y el Ómnibus Digital las aplazó, por lo que buena parte de lo que circula por internet sigue dando la fecha vieja.
Cuándo dejáis de ser solo responsables del despliegue
El artículo 25.1 convierte en proveedor al responsable del despliegue que modifica la finalidad prevista de un sistema que no era de alto riesgo, de forma que pase a serlo. Una empresa que solo usa Copilot y monta encima un flujo que criba candidatos ha cambiado esa finalidad y asume las obligaciones de proveedor. Lo desarrollamos en este artículo.
Qué puede costar no cumplir
El artículo 99 fija los techos de las multas. Para las prácticas prohibidas del artículo 5, hasta 35 millones de euros o el 7 % del volumen de negocios mundial, la cifra que resulte mayor. Para las obligaciones del responsable del despliegue del artículo 26 y las de transparencia del artículo 50, hasta 15 millones o el 3 %. En las pymes, incluidas las empresas emergentes, la multa es el porcentaje o el importe, el que sea menor. Son techos: cada Estado miembro define su régimen de sanciones. En España, el proyecto de ley orgánica para el buen uso y la gobernanza de la inteligencia artificial, que designa a la AESIA como autoridad principal con potestad sancionadora, entró en el Congreso de los Diputados en junio de 2026.
Por dónde empezar
Por tres cosas, en este orden. Un inventario de qué sistemas de IA se usan de verdad en la empresa, incluidos los que vienen dentro de programas que ya pagáis. Una clasificación de cada uno: si está prohibido, si es de alto riesgo, si le toca transparencia o si no os alcanza ninguna obligación concreta. Y una norma interna de uso, con formación para quienes usan cada herramienta, de la que hablamos en la plantilla de política de uso.
Es lo que hacemos en el servicio de cumplimiento del Reglamento de IA, y la parte de formación está en formación en IA para empresas.
Fuentes: Reglamento (UE) 2024/1689, artículos 3, 4, 5, 25, 26, 50, 99 y 113, en la redacción vigente tras el Reglamento (UE) 2026/1744 (Ómnibus Digital). Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, publicado en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026. Los importes y fechas se han contrastado con el texto consolidado a la fecha de publicación.
Siguiente: cuándo montar un agente propio os convierte en proveedores →