Recursos para la gobernanza de IA
Responsabilidades del proveedor frente al implementador según la Ley de IA de la UE
Una de las distinciones estructurales más determinantes de la Ley de Inteligencia Artificial de la Unión Europea es la división de responsabilidades entre el Proveedor (Provider) y el Implementador (Deployer).
AI Liability
Compliance
EU AI Act
Legal Framework
Una de las distinciones estructurales más determinantes de la Ley de Inteligencia Artificial de la Unión Europea es la división de responsabilidades entre el Proveedor (Provider) y el Implementador (Deployer). La confusión entre estos roles expone a las organizaciones a una responsabilidad legal inesperada, en especial al integrar API de terceros o modificar modelos fundacionales de código abierto.
Definición de los roles jurídicos
La Ley de IA establece definiciones precisas basadas en el control operativo y la modificación del sistema:
- Proveedor (Artículo 3(3)): Toda persona física o jurídica que desarrolle un sistema de IA o un modelo de IA de uso general, o que encargue su desarrollo, y lo comercialice o ponga en servicio con su propio nombre o marca comercial.
- Implementador (Artículo 3(4)): Toda persona física o jurídica que utilice un sistema de IA bajo su autoridad, salvo cuando se utilice en una actividad puramente personal y no profesional.
El detonante del Artículo 25: Cuándo un implementador pasa a ser proveedor
Según el Artículo 25 de la Ley de IA de la UE, los implementadores, importadores o distribuidores asumen automáticamente todas las obligaciones legales de un Proveedor si:
- Ponen su propio nombre o marca comercial en un sistema de IA de alto riesgo ya existente;
- Realizan una modificación sustancial en un sistema de IA de alto riesgo que altere su rendimiento, clasificación de riesgo o conformidad legal; o
- Modifican la finalidad prevista de un sistema de IA existente de modo que pase a estar clasificado como de Alto Riesgo bajo el Anexo III.
Por ejemplo, ajustar un modelo de código abierto con datos médicos o de contratación propios puede reclasificar a una empresa de usuario a Proveedor principal, transfiriéndole todas las cargas de evaluación de conformidad, documentación y marcado CE.
Matriz comparativa de obligaciones
| Área de responsabilidad | Obligaciones del Implementador | Obligaciones del Proveedor |
|---|---|---|
| Gestión de riesgos | Asegurar que los parámetros sigan las instrucciones de uso (Art. 26). | Diseñar, implantar y mantener un Sistema de Gestión de Riesgos formal (Art. 9). |
| Gobernanza de datos | Suministrar datos de entrada pertinentes que cumplan criterios de calidad bajo su control. | Mantener una rigurosa gobernanza de datos en conjuntos de entrenamiento, validación y prueba (Art. 10). |
| Documentación técnica | Conservar los registros generados automáticamente durante los plazos legales. | Redactar y conservar la documentación técnica del Anexo IV y las declaraciones UE de conformidad. |
| Supervisión humana | Designar personal competente con los recursos y la autoridad operativa necesarios. | Diseñar restricciones e interfaces de sistema que faciliten una supervisión humana eficaz (Art. 14). |
| Evaluaciones de conformidad | Verificar que el Proveedor completó las evaluaciones antes de activar el sistema. | Someterse a procedimientos formales de evaluación de conformidad y colocar el marcado CE (Art. 43). |
Comprender y documentar estos límites contractuales y arquitectónicos es imprescindible para conservar límites de cumplimiento sólidos en toda iniciativa de IA empresarial.