Hay una frase que escuchamos a menudo en reuniones con directivos: «el AI Act no me aplica, yo no fabrico inteligencia artificial». Es la confusión más cara del mercado ahora mismo. Porque las obligaciones del deployer del AI Act recaen precisamente sobre quien usa la IA, no solo sobre quien la construye.
Si tu empresa usa un chatbot comprado, una herramienta de selección de personal con IA o un asistente que redacta correos, eres una empresa usuaria de IA. En el lenguaje del Reglamento, eres un deployer. Y eso conlleva deberes propios.
En este artículo lo explicamos en llano: qué dice exactamente la norma, qué te toca hacer hoy y qué no. Es divulgación para que entiendas tu posición, no un dictamen legal. Para decisiones concretas, conviene contar con asesoría jurídica.
¿Cuál es la diferencia entre proveedor y deployer de IA?
El Reglamento (UE) 2024/1689, conocido como AI Act, reparte responsabilidades según el papel que juega cada empresa. No trata igual a quien crea la IA que a quien la usa. Esa diferencia es la clave de todo.
Su artículo 3 define dos figuras. El proveedor es quien desarrolla un sistema de IA y lo pone en el mercado bajo su nombre o marca, con o sin pago. El deployer es, en palabras del propio Reglamento, la persona física o jurídica «que usa un sistema de IA bajo su autoridad», salvo cuando el uso es personal y no profesional. La diferencia, punto por punto:
- Proveedor — desarrolla el sistema de IA y lo comercializa bajo su nombre o marca. Carga con el grueso de las obligaciones técnicas y de conformidad. Ejemplo: la empresa que fabrica y vende el chatbot.
- Deployer (empresa usuaria) — usa un sistema de IA de un tercero bajo su autoridad en su actividad profesional. Obligaciones más ligeras, pero propias y no cero. Ejemplo: tu empresa, que paga la licencia de ese chatbot y lo usa para atender clientes.
Traducido: si pagas una licencia de una herramienta de IA y la usas para trabajar, no eres proveedor. Eres deployer. Y aunque tus obligaciones son menos que las del fabricante, no son cero. Por eso entender qué necesita saber un directivo sobre la IA en su empresa empieza por saber en qué lado de la mesa estás sentado.
La regla de oro: casi cualquier empresa que use una herramienta de IA comprada o contratada para su operativa es un deployer. El mito «no fabrico IA, no me aplica» confunde dos papeles que el Reglamento separa a propósito.
¿Qué te obliga hoy el artículo 4? La alfabetización en IA
Empecemos por lo que no admite espera. El artículo 4 del AI Act obliga a proveedores y deployers a garantizar «un nivel suficiente de alfabetización en materia de IA» de su plantilla y de quien opere la IA en su nombre.
No es una recomendación a futuro. Esta obligación está vigente desde el 2 de febrero de 2025. La supervisión y sanción pasa a las autoridades nacionales a partir del 2 de agosto de 2026, pero el deber de actuar ya existe hoy.
¿Qué significa en la práctica? Que tu equipo entienda qué hace la herramienta que usa, qué límites tiene y cuándo desconfiar de su resultado. No exige certificaciones caras. Exige que las personas que operan la IA sepan lo que tienen entre manos, según su formación y el contexto de uso.
¿Qué obligaciones impone el artículo 26 si el sistema es de alto riesgo?
Aquí está el grueso de las obligaciones del deployer, y aquí está también el matiz que conviene no perder. La mayor parte de los deberes del artículo 26 aplican solo cuando el sistema de IA es de alto riesgo según el Reglamento. No toda IA lo es.
Son de alto riesgo, por ejemplo, sistemas de selección de personal, de evaluación crediticia o de acceso a servicios esenciales. Si tu IA cae en esa categoría (el Anexo III del Reglamento la define), el artículo 26 te pide, entre otras cosas:
- Usar el sistema según las instrucciones del proveedor, con medidas técnicas y organizativas adecuadas.
- Asignar la supervisión humana a personas con la competencia, formación y autoridad necesarias. La IA no decide sola.
- Vigilar los datos de entrada, cuando los controlas, para que sean relevantes y representativos del uso previsto.
- Conservar los registros (logs) que genere el sistema, dentro de tu control.
- Informar a los trabajadores y sus representantes antes de usar el sistema en el puesto de trabajo.
- Informar a las personas afectadas cuando la IA se use para tomar o ayudar a tomar decisiones que les conciernen.
El Reglamento añade que el deployer debe usar la información del proveedor (artículo 13) para cumplir su evaluación de impacto en protección de datos cuando el RGPD lo exija. Saber dónde encaja cada deber forma parte de tener una gobernanza de IA proporcionada para una empresa pequeña, sin montar una burocracia que no necesitas.
Un caso aparte: el artículo 27 exige una evaluación de impacto en los derechos fundamentales antes de usar ciertos sistemas de alto riesgo. Pero solo recae sobre organismos públicos y entidades privadas que prestan servicios públicos. La mayoría de pymes no entra aquí.
¿Cómo etiquetar deepfakes y texto de IA? La transparencia del artículo 50
Hay un tercer bloque que aplica a muchos más deployers, no solo a los de alto riesgo. El artículo 50 regula la transparencia frente al engaño. Si usas IA generativa, te interesa.
El artículo 50, apartado 4, obliga al deployer a revelar los deepfakes: imágenes, audios o vídeos generados o manipulados con IA que parezcan auténticos. Si publicas un vídeo manipulado que un espectador podría tomar por real, tienes que dejar claro que es artificial.
La misma lógica vale para el texto generado por IA publicado «para informar al público sobre asuntos de interés general». Ahí hay que revelar que el texto es de IA, salvo que haya pasado por revisión y responsabilidad editorial humana. Es importante el matiz: la norma no obliga a etiquetar todo lo que toque una IA, sino lo que pueda engañar o informe al público sin control humano.
Conviene no confundir esto con el panorama general del AI Act de la Unión Europea: el artículo 50 es la pata de transparencia, distinta de los deberes de alto riesgo del artículo 26.
¿Sigue corriendo el reloj del AI Act aunque haya respiro?
El calendario del AI Act ha tenido aplazamientos. Eso ha generado la sensación de que «hay tiempo». Pero hay dos cosas que no esperan: la alfabetización del artículo 4, vigente desde 2025, y las obligaciones de transparencia del artículo 50.
Lo hemos contado en detalle al analizar lo que el AI Act no aplazó pese a la prórroga. Y para situar las fechas exactas de cada bloque tras el Digital Omnibus, ayuda repasar el calendario del AI Act hasta 2027 y 2028. El respiro es real para algunos deberes de alto riesgo, no para todos.
A esto se suma la capa nacional: España aprobó su propia ley de IA, con AESIA como autoridad supervisora y su régimen de sanciones, que es quien vigilará en la práctica el cumplimiento de estos deberes. El AI Act marca las obligaciones; la ley española pone el supervisor.
El primer paso práctico no es jurídico: es de inventario. Saber qué herramientas de IA usa tu empresa, para qué, y quién las opera. A partir de ahí, cada deber encaja en su sitio. Lo demás es hacerlo con criterio y con el humano al mando.