Proveedor o responsable del despliegue: la distinción que lo cambia todo
La distinción del AI Act que más cambia sus obligaciones, y la que más empresas tienen mal. Cuándo una empresa que solo usa IA se convierte en proveedora sin saberlo.
Antes de preguntarse qué obligaciones tiene su empresa, hay que responder a otra cosa: qué papel ocupa. El Reglamento Europeo de Inteligencia Artificial no impone lo mismo a quien crea un sistema que a quien lo utiliza, y la diferencia no es de matiz. Es la diferencia entre unas pocas obligaciones de uso responsable y todo el expediente técnico de conformidad.
Las dos figuras, en corto
Proveedor es quien desarrolla un sistema de inteligencia artificial —o hace que se desarrolle— y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca.
Responsable del despliegue es quien utiliza un sistema de inteligencia artificial bajo su propia autoridad, en el marco de su actividad profesional.
Si su empresa compró una herramienta y la usa tal cual, es responsable del despliegue. Es el caso de la gran mayoría de las pymes españolas, y es la posición cómoda: las obligaciones existen, pero son de otro orden.
Qué le toca a cada uno
Para un sistema de alto riesgo, la asimetría es evidente.
| Proveedor | Responsable del despliegue | |
|---|---|---|
| Sistema de gestión de riesgos | Sí | No |
| Documentación técnica y expediente | Sí | No |
| Evaluación de conformidad y marcado CE | Sí | No |
| Gobernanza de los datos de entrenamiento | Sí | No |
| Uso conforme a las instrucciones | — | Sí |
| Supervisión humana efectiva | Diseñarla | Ejercerla |
| Información a las personas afectadas | — | Sí |
| Conservación de los registros del sistema | — | Sí |
| Vigilancia y comunicación de incidentes | Sí | Sí |
Traducido: el proveedor responde de que el sistema esté bien construido; el responsable del despliegue, de que se use bien.
Las tres formas de convertirse en proveedor sin querer
Aquí está el problema real, y es el que más empresas tienen mal en su autoevaluación. El artículo 25 establece que un responsable del despliegue pasa a ser considerado proveedor de un sistema de alto riesgo en tres supuestos:
1. Poner su nombre o su marca
Si usted comercializa o pone en servicio un sistema de alto riesgo bajo su propia marca comercial, asume el papel de proveedor aunque el sistema lo haya construido otro. Es el caso clásico de la empresa que integra una herramienta de terceros en su producto con su propio logotipo, o que la ofrece a sus clientes como si fuera suya.
2. Modificarlo de forma sustancial
Si altera de manera sustancial un sistema de alto riesgo ya introducido en el mercado y este sigue siendo de alto riesgo tras el cambio, la responsabilidad pasa a usted. Ajustar parámetros dentro de lo previsto por el fabricante no es una modificación sustancial. Reentrenar el modelo con sus propios datos o cambiar aquello para lo que fue diseñado, sí puede serlo.
3. Cambiar la finalidad prevista
Si coge un sistema que no era de alto riesgo y lo destina a un uso que sí lo es, usted es el proveedor de ese sistema de alto riesgo. Es el supuesto más fácil de cometer sin darse cuenta: un asistente generativo de propósito general no es alto riesgo, pero montar sobre él un cribado automático de candidaturas convierte ese uso en un sistema de alto riesgo del que responde usted, no la empresa que fabricó el modelo.
El tercer supuesto es el que más nos encontramos. Alguien del equipo monta con buen criterio una automatización sobre una herramienta generativa, y esa automatización toma decisiones que afectan a personas. Nadie fue consciente de estar cambiando de categoría.
Cómo comprobarlo en su empresa
Tres preguntas, sistema por sistema:
- ¿Aparece nuestro nombre o nuestra marca delante de este sistema para alguien de fuera?
- ¿Hemos cambiado cómo funciona más allá de lo que permite la configuración normal del producto?
- ¿Lo estamos usando para algo distinto de aquello para lo que el fabricante lo vendió?
Si las tres respuestas son “no”, es usted responsable del despliegue y puede respirar. Si alguna es “sí” y el uso cae en un ámbito de alto riesgo, conviene sentarse a mirarlo con calma, porque el conjunto de obligaciones que le corresponde es de otra magnitud.
Y una advertencia práctica: esta clasificación no es de la empresa, es de cada sistema. Lo normal es ser responsable del despliegue en casi todo y proveedor en una cosa concreta que alguien montó hace ocho meses.