Qué exige el Reglamento europeo de IA a una empresa que integra un modelo por API

Muchos equipos dan por hecho que el Reglamento de IA de la UE (Reglamento 2024/1689) es asunto de OpenAI, Google o Mistral, porque son ellos quienes entrenan los modelos. Es cierto solo para una parte: las obligaciones de los modelos de propósito general recaen en quien los entrena. Pero quien construye un chatbot de atención al cliente o un filtro de currículos sobre esos modelos es, para el Reglamento, proveedor de un sistema de IA, con obligaciones propias que dependen de para qué se usa el sistema, no de qué modelo lleva dentro.

Resumen informativo con la situación a la fecha del artículo, sin valor de asesoramiento jurídico. El calendario del Reglamento ha sido objeto de propuestas de modificación; comprueba el texto vigente y las guías de la Comisión antes de tomar decisiones.

Primero, tu papel

Proveedor es quien desarrolla un sistema de IA y lo comercializa o pone en servicio con su nombre. Si integras un modelo en un producto y lo ofreces a clientes, eres proveedor de ese sistema. Responsable del despliegue es quien usa un sistema de IA bajo su autoridad en una actividad profesional: una empresa que usa internamente una herramienta de selección comprada a otro.

Si modificas de forma sustancial un modelo de propósito general, por ejemplo con un ajuste fino que use mucho cómputo, puedes pasar a ser proveedor de un modelo de propósito general para esa modificación. Las directrices de la Comisión de 2025 fijaron un umbral orientativo en un tercio del cómputo de entrenamiento del modelo original, que la mayoría de ajustes finos habituales no alcanza.

Las obligaciones según el uso

Transparencia: lo que afecta a casi todos

Un sistema que conversa con personas debe informarles de que interactúan con una IA, salvo que resulte evidente por el contexto. El contenido de audio, imagen, vídeo o texto generado de forma sintética debe marcarse en un formato legible por máquina cuando sea técnicamente viable. Quien despliega un sistema que genera ultrafalsificaciones debe indicarlo, y también quien publica texto generado sobre asuntos de interés público sin revisión editorial humana.

En un producto típico, esto se traduce en un aviso visible al inicio de la conversación, metadatos o marcas de agua en las imágenes generadas y una política sobre qué textos generados se publican sin revisión.

Alto riesgo: comprobar si tu caso está en la lista

El anexo III enumera usos de alto riesgo: selección de personal y gestión de trabajadores, acceso a la educación y evaluación de estudiantes, concesión de crédito y evaluación de solvencia, seguros de vida y salud, acceso a servicios públicos esenciales, y usos policiales, migratorios y judiciales, entre otros. Si tu sistema cae ahí, el proveedor necesita un sistema de gestión de riesgos, gobernanza de datos, documentación técnica, registros, supervisión humana, evaluación de conformidad y registro en la base de datos de la UE.

Un chatbot que responde preguntas sobre productos no es de alto riesgo. Un sistema que puntúa candidatos para filtrar currículos sí lo es, aunque use el mismo modelo.

Sanciones

Hasta 35 millones de euros o el 7% de la facturación mundial por usar prácticas prohibidas; hasta 15 millones o el 3% por incumplir otras obligaciones; hasta 7,5 millones o el 1% por dar información incorrecta a las autoridades. Para pymes y empresas emergentes se aplica la cantidad menor de cada par.

Errores frecuentes

Pensar que el contrato con el proveedor del modelo cubre el cumplimiento. El proveedor del modelo cumple sus obligaciones; las del sistema que construyes son tuyas.

Clasificar por tecnología. El riesgo depende del uso: el mismo código puede ser un asistente sin obligaciones especiales o un sistema de alto riesgo según quién lo use y para qué.

Olvidar la alfabetización. Es una obligación ya vigente y fácil de cumplir: formación documentada, proporcionada al uso que cada persona hace de la IA.

Lista de comprobación

Determina tu papel en cada sistema; descarta las prácticas prohibidas; documenta la formación del personal; añade el aviso de IA y el marcado del contenido sintético; comprueba cada uso contra el anexo III; y, si alguno es de alto riesgo, planifica la documentación y la evaluación de conformidad con margen, sin contar con aplazamientos no aprobados.