¿Soy proveedor o responsable del despliegue? Cuándo una empresa pasa a ser proveedor de IA (art. 25)

Para quién

Para empresas que integran, adaptan o revenden sistemas de IA de terceros, y para quienes los compran y los personalizan: agencias, consultoras, integradores, distribuidores y empresas que usan IA con su marca.

Requisitos previos

• Saber si el sistema es de alto riesgo. Si no lo es, el art. 25 solo importa si cambias su finalidad. Ver la ficha del art. 6 y el anexo III.
• Tener el contrato con el proveedor a mano.

Qué dice la norma

El art. 25, apartado 1, considera proveedor de un sistema de alto riesgo, con las obligaciones del art. 16, a cualquier distribuidor, importador, responsable del despliegue o tercero que:

Para productos del anexo I, sección A, el fabricante del producto es el proveedor del sistema de IA que es componente de seguridad si lo comercializa o pone en servicio bajo su nombre o marca (apartado 3).

Qué cambia cuando pasas a ser proveedor

• Asumes las obligaciones del art. 16: requisitos técnicos, sistema de gestión de la calidad, documentación, evaluación de la conformidad y más. Ver los requisitos de los arts. 8 a 15.
• El proveedor inicial deja de serlo respecto a ese sistema específico (apartado 2).
• El proveedor inicial debe cooperar con el nuevo: poner a disposición la información necesaria, el acceso técnico y la asistencia razonablemente esperable. Tras el Ómnibus, esa cooperación incluye, cuando proceda, documentación técnica suficiente, información sobre limitaciones y modos de fallo conocidos, y acceso técnico específico para pruebas y validación.
• Excepción: el proveedor inicial queda liberado de cooperar y entregar documentación si indicó claramente que su sistema no debe transformarse en un sistema de alto riesgo.

Qué hacer en el contrato

El apartado 4 obliga al proveedor y al tercero que le suministra un sistema, herramienta, servicio, componente o proceso a fijar por escrito la información, las capacidades, el acceso técnico y la asistencia necesarios para que el proveedor del sistema de alto riesgo cumpla el Reglamento. Revisa que tu contrato lo recoge. Ver la checklist de proveedores.

Pasos

1. Clasifica el sistema

Determina si es de alto riesgo y para qué finalidad lo vas a usar tú.

• Entregable: ficha de clasificación y finalidad.

2. Compara tu uso con la finalidad prevista del proveedor

Si lo usas para algo distinto de lo que declara el proveedor, y ese uso es de alto riesgo, puedes ser proveedor (supuesto c).

• Entregable: contraste entre finalidad del proveedor y uso real.

3. Revisa tu marca y tus modificaciones

¿Lo comercializas bajo tu nombre? ¿Lo has reentrenado o adaptado de forma sustancial? Documenta qué has cambiado.

• Entregable: registro de modificaciones y de uso de marca.

4. Decide: usar como estaba o asumir el papel de proveedor

Puedes mantener el sistema sin cambios y limitarte al art. 26, o asumir las obligaciones de proveedor con todo lo que conlleva.

• Entregable: decisión documentada y plan de cumplimiento.

5. Ajusta el contrato

Que el proveedor se comprometa por escrito a darte información y acceso. Si necesitas cooperación, pide la documentación técnica y las limitaciones conocidas.

• Entregable: cláusulas de cooperación firmadas.

Checklist

• Sistemas clasificados y finalidad de uso definida.
• Uso real contrastado con la finalidad del proveedor.
• Marca y modificaciones revisadas.
• Decisión documentada sobre el rol (art. 25 o art. 26).
• Contrato con cooperación e información por escrito.

Errores frecuentes

• Pensar que ponerle tu logo es inofensivo. El supuesto a) te convierte en proveedor, salvo que el contrato asigne las obligaciones de otro modo.
• Usar un asistente general para decidir sobre personas (selección, crédito, evaluación) sin analizar si cambias su finalidad hacia un uso de alto riesgo.
• No pedir información al proveedor inicial. Tras el Ómnibus, debe darla.