Paso 2
Qué eres respecto de cada sistema, y si te aplica
Al acabar este paso, cada fila del inventario dirá si el Reglamento alcanza ese uso y en qué papel —proveedor o responsable del despliegue—, con el motivo escrito.
Qué es este paso
El Reglamento reparte obligaciones según el papel que ocupas respecto de cada sistema, no según el tipo de empresa. La pregunta «¿somos proveedor o responsable del despliegue?» está mal formulada: el rol va por sistema, y en el mismo inventario puedes ser responsable del despliegue de doce herramientas y proveedor de una.
Este paso añade dos columnas al inventario. La primera responde si el Reglamento se aplica a ese uso. La segunda, en qué papel: proveedor, responsable del despliegue o los dos. Debajo de cada respuesta va una línea con el motivo, para que quien la lea dentro de un año entienda por qué se decidió así.
La mayoría de las pymes son responsables del despliegue de casi todo lo que usan. El trabajo del paso está en encontrar las excepciones: la herramienta que desarrollasteis y ofrecéis a clientes con vuestra marca, el modelo de un tercero que integrasteis en un producto propio, el sistema al que cambiasteis la finalidad.
Por qué
El artículo 3 define las dos figuras. Proveedor es quien desarrolla un sistema de IA, o lo hace desarrollar, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca, previo pago o gratuitamente; la puesta en servicio incluye el uso propio. Responsable del despliegue es quien utiliza un sistema de IA bajo su propia autoridad, salvo que el uso se enmarque en una actividad personal de carácter no profesional. Cada figura tiene sus propias obligaciones, y por eso el rol es lo primero que hay que fijar.
El ámbito lo fija el artículo 2. Se aplica, entre otros, a los proveedores que introducen en el mercado o ponen en servicio sistemas de IA en la Unión, estén donde estén, y a los responsables del despliegue establecidos o ubicados en la Unión. Deja fuera, entre otros supuestos, los usos exclusivamente militares, de defensa o de seguridad nacional; los sistemas desarrollados y puestos en servicio con la investigación y el desarrollo científicos como única finalidad; las actividades de investigación y prueba anteriores a la introducción en el mercado, salvo las pruebas en condiciones reales, y el uso por personas físicas en una actividad puramente personal. Para una empresa que usa IA en su actividad, lo normal es que el Reglamento se aplique.
El rol puede cambiar, y el artículo 25, apartado 1, dice cuándo. Quien despliega pasa a considerarse proveedor de un sistema de alto riesgo si pone su nombre o marca en un sistema de alto riesgo previamente introducido en el mercado o puesto en servicio; si lo modifica sustancialmente de forma que siga siendo de alto riesgo, o si cambia la finalidad prevista de un sistema que no era de alto riesgo de forma que pase a serlo. Los tres supuestos se refieren al alto riesgo: poner tu marca en un sistema de riesgo mínimo no te convierte en proveedor por la vía del artículo 25, aunque la condición de proveedor se siga analizando con arreglo a la definición general del artículo 3, punto 3.
Cómo, en tres acciones
Primero, si el Reglamento te aplica
Para cada fila, comprueba que el uso es profesional y que tu organización está establecida en la Unión o, si está fuera, que los resultados del sistema se usan en la Unión. Si alguna exclusión del artículo 2 parece encajar, no la des por buena sin más: escribe cuál y por qué, y márcala para revisión con criterio experto. En una pyme que usa IA en su negocio, esa columna dirá «se aplica» en casi todas las filas.
Después, el papel en ese sistema
Pregúntate quién desarrolló el sistema y con qué nombre o marca se ofrece. Si lo usas bajo tu autoridad y lo desarrolló otro, que lo comercializa con su marca, eres responsable del despliegue. Si lo desarrollasteis vosotros, o lo encargasteis, y lo ponéis en el mercado o en servicio con vuestra marca —también para uso propio—, sois proveedor. Si con el mismo sistema haces las dos cosas, marca las dos.
Al final, el artículo 25 y el motivo por escrito
Si un sistema puede ser de alto riesgo, revisa si le has puesto tu marca, si lo has modificado sustancialmente o si le has dado una finalidad distinta de la prevista por su proveedor. Escribe el rol, una línea de motivo —«lo usamos bajo nuestra autoridad; lo desarrolla y comercializa el proveedor con su marca»— y la fecha. Si el rol cambia más adelante, se actualiza la fila y se conserva la versión anterior.
El error típico
Decidir el rol una vez para toda la empresa.
Es cómodo escribir «responsable del despliegue» en la cabecera y olvidarse, y suele ser cierto para casi todo. El problema está en la fila que no lo es: el asistente que vuestro equipo construyó sobre un modelo de terceros y que ofrecéis a clientes con vuestra marca, o la herramienta interna que acabó convertida en producto. Esa fila tiene obligaciones distintas, y es justo la que un rol único esconde. Se evita decidiendo fila a fila, con el motivo escrito.
Tiempo estimado
Un día de trabajo, entre los días 8 y 12 de la Ruta, solapado con el cierre de la primera versión del inventario.
Qué te llevas
La columna de rol del inventario, sistema por sistema: si el Reglamento se aplica, en qué papel, una línea de motivo y la fecha de la decisión.
Así se hace en Alethexis
En Alethexis, cada sistema del inventario lleva su rol —deployer, provider o ambos— y la tabla se filtra por él; el asistente de clasificación lo vuelve a preguntar en su primer paso, «Rol de tu organización en este sistema».
Si un sistema no tiene rol propio, hereda el que la organización indicó en su configuración, y si tampoco consta, no se presume: si el sistema activa el artículo 50, se mantiene en el nivel de transparencia (P3) y la sección queda en revisión hasta que alguien lo decida.
Para profundizar
- ¿Me aplica siquiera el AI Act? El Art. 2 responde antes que cualquier clasificación
- Cuándo dejas de ser quien despliega y pasas a ser proveedor: los tres supuestos del Art. 25
- EU AI Act: ¿proveedor o responsable del despliegue? El rol va por sistema
- Glosario: responsable del despliegue
- Glosario: proveedor