Si tu empresa usa sistemas de IA de terceros y los adapta, les pone su marca o cambia para qué sirven, esto va contigo. Cinco artículos de esta serie dicen lo mismo con distintas palabras: el sistema de gestión de la calidad del Art. 17, la conservación de documentación del Art. 18, el Anexo IV, la vigilancia poscomercialización del Art. 72 y la notificación de incidentes graves del Art. 73 no son obligaciones de quien despliega —con una salvedad en el Art. 73: si quien despliega un sistema de alto riesgo detecta un incidente grave y no consigue contactar con el proveedor, el Art. 26(5) le aplica el Art. 73 mutatis mutandis—.
Este cierra la serie diciendo lo contrario: cuándo sí lo son. Porque hay tres circunstancias en que quien despliega pasa a ser considerado proveedor de un sistema de IA de alto riesgo, y con ese cambio le caen encima todas las anteriores.
Los tres supuestos, tasados
El Art. 25(1) es explícito: cualquier distribuidor, importador, responsable del despliegue o tercero será considerado proveedor de un sistema de IA de alto riesgo —y quedará sujeto a las obligaciones del Art. 16— en cualquiera de estas circunstancias, las tres acotadas al alto riesgo:
«a) cuando ponga su nombre o marca en un sistema de IA de alto riesgo previamente introducido en el mercado o puesto en servicio, sin perjuicio de los acuerdos contractuales que estipulen que las obligaciones se asignan de otro modo»
«b) cuando modifique sustancialmente un sistema de IA de alto riesgo que ya haya sido introducido en el mercado o puesto en servicio de tal manera que siga siendo un sistema de IA de alto riesgo con arreglo al artículo 6»
«c) cuando modifique la finalidad prevista de un sistema de IA, incluido un sistema de IA de uso general, que no haya sido considerado de alto riesgo y ya haya sido introducido en el mercado o puesto en servicio, de tal manera que el sistema de IA de que se trate se convierta en un sistema de IA de alto riesgo de conformidad con el artículo 6»
En el apartado 1 son tres, y no hay una cuarta. (El apartado 3 añade el caso del fabricante de un producto del anexo I, sección A, cuyo sistema de IA de alto riesgo es componente de seguridad del producto y se introduce en el mercado junto con él, o se pone en servicio después, bajo el nombre o la marca del fabricante.) No basta con integrar, personalizar, configurar o usar intensamente. La zona gris que mucha gente imagina no está en el artículo.
La figura recorre las tres circunstancias del Art. 25(1) en su orden, tras una pregunta previa: ¿el sistema es de alto riesgo, o pasa a serlo por el cambio? Si lo es y se da cualquiera de las tres —poner tu nombre o marca en un sistema de alto riesgo ya introducido en el mercado o puesto en servicio, modificarlo sustancialmente de modo que siga siendo de alto riesgo, o cambiar la finalidad prevista de uno que no lo era de modo que pase a serlo—, se te considera proveedor del sistema de alto riesgo, sujeto a las obligaciones del proveedor del Art. 16. Si no, no opera ninguna, y la condición de proveedor se analiza por la definición del Art. 3, punto 3.
La letra b) no significa «cualquier cambio»
Aquí conviene detenerse, porque «modificación sustancial» suena a expresión coloquial y tiene definición propia en el Art. 3, punto 23:
«un cambio en un sistema de IA tras su introducción en el mercado o puesta en servicio que no haya sido previsto o proyectado en la evaluación de la conformidad inicial realizada por el proveedor y a consecuencia del cual se vea afectado el cumplimiento por parte del sistema de IA de los requisitos establecidos en el capítulo III, sección 2, o que dé lugar a una modificación de la finalidad prevista para la que se haya evaluado el sistema de IA de que se trate»
Dos condiciones que estrechan mucho el supuesto. La primera: el cambio no debe haber sido previsto en la evaluación de conformidad inicial. Configurar parámetros que el producto ofrece, activar módulos contemplados por el fabricante o ajustar umbrales dentro de lo previsto no entra si estaba previsto en esa evaluación, porque el proveedor ya lo evaluó.
La segunda: el cambio ha de afectar al cumplimiento de los requisitos del capítulo III, sección 2, o cambiar la finalidad prevista para la que se evaluó el sistema. Un cambio que no toca ninguna de las dos cosas no es sustancial por mucho trabajo que dé.
Dicho al revés: modificar sustancialmente un sistema es hacerle algo que su fabricante no contempló y que altera aquello para lo que se evaluó. No es personalizarlo. Y para la letra b) no basta: el sistema ha de ser de alto riesgo y seguir siéndolo tras el cambio.
La letra c) es la más fácil de cruzar sin darse cuenta
Y no requiere tocar el software.
Basta con modificar la finalidad prevista —el uso para el que el proveedor lo concibió, según sus instrucciones de uso, sus materiales y declaraciones de promoción y venta y su documentación técnica— de un sistema que no era de alto riesgo y ya estaba en el mercado o en servicio, de modo que pase a serlo con arreglo al artículo 6. La herramienta es la misma; la finalidad prevista es otra; la clasificación cambia — y quien cambió la finalidad se convierte en proveedor.
Es exactamente la pregunta que quedó abierta al hablar de consultoras de selección: una firma que ofrece a sus clientes como servicio propio un sistema construido sobre herramientas de terceros puede estar en la letra a) o en la c) —si el sistema es de alto riesgo o pasa a serlo— sin haberlo decidido nunca de forma explícita. Y la respuesta no está en el uso: está en bajo qué marca se presta el servicio y para qué se dice que sirve.
Qué pasa con el proveedor inicial, que es lo que cierra el reparto
El Art. 25(2), en la redacción del Reglamento (UE) 2026/1744, responde a la pregunta que la serie dejaba colgando, y lo hace de forma tajante:
«el proveedor que inicialmente haya introducido en el mercado el sistema de IA o lo haya puesto en servicio dejará de ser considerado proveedor de ese sistema de IA específico a efectos del presente Reglamento»
«Ese proveedor inicial cooperará estrechamente con los nuevos proveedores, pondrá a disposición la información necesaria y proporcionará el acceso técnico y otra asistencia que pueda esperarse razonablemente para el cumplimiento de las obligaciones establecidas en el presente Reglamento, en particular en lo que respecta al cumplimiento de la evaluación de la conformidad de los sistemas de IA de alto riesgo»
De modo que el rol se transfiere, no se duplica. Quien entra en cualquiera de las tres circunstancias se queda con las obligaciones; el proveedor original sale, y a cambio queda obligado a cooperar y, cuando sea pertinente, a poner a disposición documentación técnica suficiente para evaluar el cumplimiento de los requisitos del artículo 16, informar de las limitaciones y los modos de fallo conocidos y proporcionar un acceso técnico específico, incluido para la prueba y la validación.
Con una salvedad que conviene conocer antes de firmar nada:
«El presente apartado no se aplicará en los casos en que el proveedor inicial haya indicado claramente que su sistema de IA no debe ser transformado en un sistema de IA de alto riesgo y, por lo tanto, no está sujeto a la obligación de cooperar con los nuevos proveedores y entregarles la documentación.»
Es decir: si el proveedor inicial indicó claramente que su sistema no debe transformarse en uno de alto riesgo, quien lo transforme asume el rol sin que el proveedor inicial esté obligado a cooperar con él ni a entregarle la documentación. Se queda con las obligaciones del proveedor y sin ese apoyo para cumplirlas. Conviene comprobar si ese aviso existe antes de adaptar el sistema.
Y el caso del fine-tuning
Merece mención porque es donde más se pregunta, y ya tiene artículo propio con la escalera completa —usar, modificar, remarcar—. No se repite aquí.
Lo que este añade es el marco: el fine-tuning no cambia tu rol por sí mismo. Lo cambia si te sitúa en una de las tres circunstancias del Art. 25(1), y por tanto la pregunta útil no es «¿cuánto he afinado?» sino «¿bajo qué marca sale esto, para qué digo que sirve y es o pasa a ser de alto riesgo?».
Las tres preguntas que lo resuelven
¿Bajo qué marca se presta? Si es la tuya sobre un sistema de alto riesgo de otro, letra a) — con la reserva expresa que el propio artículo hace a los acuerdos contractuales.
¿Has cambiado un sistema de alto riesgo más allá de lo que el fabricante contempló en su evaluación de la conformidad? Y si sí, ¿afecta a los requisitos o a la finalidad evaluada, y sigue siendo de alto riesgo?
¿Has modificado la finalidad prevista de un sistema que no era de alto riesgo, de modo que pase a serlo? Es la vía más silenciosa de las tres, porque no deja rastro técnico.
Si las tres respuestas son no, sigues siendo responsable del despliegue y las cinco obligaciones que abren este artículo no te tocan, con la salvedad del Art. 73 que se indica al principio. Si alguna es sí, no te toca una: te tocan todas.
Contenido con arreglo a los artículos 3, 16 y 25 del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.