Cinco artículos de esta serie dicen lo mismo con distintas palabras: el sistema de gestión de la calidad del Art. 17, la conservación de documentación del Art. 18, el Anexo IV, la vigilancia poscomercialización del Art. 72 y la notificación de incidentes graves del Art. 73 no son obligaciones de quien despliega.
Este cierra la serie diciendo lo contrario: cuándo sí lo son. Porque hay tres circunstancias en que quien despliega pasa a ser proveedor, y con ese cambio le caen encima todas las anteriores.
Los tres supuestos, tasados
El Art. 25(1) es explícito: cualquier distribuidor, importador, responsable del despliegue o tercero será considerado proveedor —y quedará sujeto a las obligaciones del Art. 16— en cualquiera de estas circunstancias:
«a) cuando ponga su nombre o marca en un sistema de IA de alto riesgo previamente introducido en el mercado…, sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo.»
«b) cuando modifique sustancialmente un sistema de IA de alto riesgo que ya haya sido introducido en el mercado… de tal manera que siga siendo un sistema de IA de alto riesgo.»
«c) cuando modifique la finalidad prevista de un sistema de IA… que no haya sido considerado de alto riesgo… de tal manera que se convierta en un sistema de IA de alto riesgo.»
Son tres, y no hay una cuarta. No basta con integrar, personalizar, configurar o usar intensamente. La zona gris que mucha gente imagina no está en el artículo.
La letra b) no significa «cualquier cambio»
Aquí conviene detenerse, porque «modificación sustancial» suena a expresión coloquial y tiene definición propia:
«un cambio en un sistema de IA tras su introducción en el mercado… que no haya sido previsto o proyectado en la evaluación de la conformidad inicial realizada por el proveedor y a consecuencia del cual se vea afectado el cumplimiento… o que dé lugar a una modificación de la finalidad prevista para la que se haya evaluado el sistema.»
Dos condiciones que estrechan mucho el supuesto. La primera: el cambio no debe haber sido previsto en la evaluación de conformidad inicial. Configurar parámetros que el producto ofrece, activar módulos contemplados por el fabricante o ajustar umbrales dentro de lo previsto no entra, porque el proveedor ya lo evaluó.
La segunda: el cambio ha de afectar al cumplimiento de los requisitos o cambiar la finalidad prevista. Un cambio que no toca ninguna de las dos cosas no es sustancial por mucho trabajo que dé.
Dicho al revés: modificar sustancialmente un sistema es hacerle algo que su fabricante no contempló y que altera aquello para lo que se evaluó. No es personalizarlo.
La letra c) es la más fácil de cruzar sin darse cuenta
Y no requiere tocar el software.
Basta con cambiar para qué se usa un sistema que no era de alto riesgo, de modo que pase a serlo. La herramienta es la misma; la finalidad prevista es otra; la clasificación cambia — y quien cambió la finalidad se convierte en proveedor.
Es exactamente la pregunta que quedó abierta al hablar de consultoras de selección: una firma que ofrece a sus clientes como servicio propio un sistema construido sobre herramientas de terceros puede estar en la letra a) o en la c) sin haberlo decidido nunca de forma explícita. Y la respuesta no está en el uso: está en bajo qué marca se presta el servicio y para qué se dice que sirve.
Qué pasa con el proveedor inicial, que es lo que cierra el reparto
El Art. 25(2) responde a la pregunta que la serie dejaba colgando, y lo hace de forma tajante:
«…el proveedor que inicialmente haya introducido en el mercado el sistema de IA… dejará de ser considerado proveedor de ese sistema de IA específico… Ese proveedor inicial cooperará estrechamente con los nuevos proveedores y facilitará la información necesaria, el acceso técnico u otra asistencia razonablemente previstos…»
De modo que el rol se transfiere, no se duplica. Quien asume la marca o la modificación sustancial se queda con las obligaciones; el proveedor original sale, y a cambio queda obligado a cooperar y a facilitar lo necesario.
Con una salvedad que conviene conocer antes de firmar nada:
«El presente apartado no se aplicará en los casos en que el proveedor inicial haya indicado claramente que su sistema de IA no debe ser transformado en un sistema de IA de alto riesgo y, por lo tanto, no está sujeto a la obligación de facilitar la documentación.»
Es decir: si el fabricante advirtió expresamente que su producto no debe convertirse en alto riesgo, quien lo convierta asume el rol sin derecho a que le faciliten la documentación. Se queda con las obligaciones del proveedor y sin el material para cumplirlas. Ese aviso, cuando existe, suele estar en las condiciones del producto.
Y el caso del fine-tuning
Merece mención porque es donde más se pregunta, y ya tiene artículo propio con la escalera completa —usar, modificar, remarcar— y el umbral que fijó la Comisión. No se repite aquí.
Lo que este añade es el marco: el fine-tuning no cambia tu rol por sí mismo. Lo cambia si te sitúa en una de las tres circunstancias del Art. 25(1), y por tanto la pregunta útil no es «¿cuánto he afinado?» sino «¿bajo qué marca sale esto, y para qué digo que sirve?».
Las tres preguntas que lo resuelven
¿Bajo qué marca se presta? Si es la tuya sobre un sistema de alto riesgo de otro, letra a) — con la reserva expresa que el propio artículo hace a los acuerdos contractuales.
¿Lo has cambiado más allá de lo que el fabricante contempló? Y si sí, ¿afecta a los requisitos o a la finalidad evaluada?
¿Lo estás usando para algo distinto de aquello para lo que se puso en el mercado? Es la vía más silenciosa de las tres, porque no deja rastro técnico.
Si las tres respuestas son no, sigues siendo responsable del despliegue y las cinco obligaciones que abren este artículo no te tocan. Si alguna es sí, no te toca una: te tocan todas.
Contenido con arreglo a los artículos 3, 16 y 25 del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.