Usas o desarrollas IA.¿De qué responde tu empresa?

El artículo 25(1) contempla estos supuestos para sistemas ya introducidos en el mercado o puestos en servicio:

• Tu nombre o marca sobre un sistema de alto riesgo: 25(1)(a). El artículo deja a salvo los acuerdos contractuales que estipulen otro reparto de las obligaciones.
• Una modificación sustancial de un sistema de alto riesgo que sigue siéndolo: 25(1)(b). Una configuración o integración no equivale automáticamente a una modificación sustancial.
• Un cambio de finalidad de un sistema inicialmente no considerado de alto riesgo que lo convierte en tal según el artículo 6: 25(1)(c). Utilizar conforme a instrucciones una herramienta cuya finalidad ya incluía selección no demuestra por sí solo este cambio.

En esos supuestos se asumen las obligaciones de proveedor del artículo 16. El apartado 25(3) contempla además al fabricante de productos de la sección A del Anexo I cuando el sistema de alto riesgo es un componente de seguridad: si lo introduce en el mercado junto con el producto bajo su nombre o marca, o lo pone en servicio bajo su nombre o marca después de comercializar el producto.

Reúne la oferta e instrucciones iniciales, describe el cambio y determina quién lo ha decidido. El artículo 25(2), modificado en 2026, regula la cooperación del proveedor inicial mediante información, documentación y acceso técnico pertinentes. Esa obligación no se aplica si especificó claramente que su sistema no debía convertirse en uno de alto riesgo. El apartado 25(4) prevé acuerdos escritos sobre información, capacidades, acceso y asistencia con quienes aportan sistemas, modelos o componentes; exceptúa las aportaciones de código abierto accesibles al público, salvo los modelos GPAI. No equivalen a acceso incondicional a todos sus materiales.

El caso se refiere al proveedor del sistema que utiliza IA de finalidad general. No convierte automáticamente a la empresa en proveedora del modelo GPAI. Construir un sistema propio a partir de un modelo exige comprobar también la definición de proveedor del artículo 3. El tratamiento de datos de los CV sigue sujeto a la normativa que corresponda, incluido el RGPD.

Fuentes: artículo 25 del texto consolidado, modificación de 2026, artículo 1(12) y Comisión: modelos GPAI y sistemas.

El artículo 17 exige un sistema de gestión de calidad. EN 18286 es una referencia para organizar ese marco; las normas aplicables a los artículos 9–15 orientan otros requisitos del sistema. Su implementación y documentación necesitan trabajo conjunto de calidad e ingeniería desde el desarrollo y durante los cambios.

Las normas son voluntarias. La presunción de conformidad significa que cumplir una norma armonizada citada en el Diario Oficial de la UE permite presumir el cumplimiento de los requisitos que cubre. No acredita todo el sistema ni extiende EN 18286 automáticamente a los artículos 9–15. Consulta el estado medido de cada norma.

La clasificación es el comienzo del trabajo. Para los sistemas sujetos a los requisitos del capítulo III, la documentación debe reflejar decisiones y pruebas del desarrollo. La legislación sectorial y las reglas de coordinación del artículo 2 también forman parte de la comprobación.

• Artículo 9 — gestión de riesgos. Identificar riesgos, evaluarlos, tratarlos y comprobar las medidas. El bucle de gestión de riesgos y la identificación de riesgos del sistema desarrollan este trabajo.
• Artículo 10 — datos y gobernanza de datos. Documentar la preparación y las propiedades de los conjuntos de entrenamiento, validación y prueba, incluida la evaluación de sesgos pertinentes. La trazabilidad en MLOps permite seguir el dato hasta el resultado.
• Artículo 11 — documentación técnica. Describir el sistema y aportar lo necesario para evaluar los requisitos que le corresponden. El Anexo IV fija el contenido; documentar no es probar.
• Artículo 12 — registros. Diseñar la capacidad de registrar acontecimientos relevantes durante el funcionamiento y conservar su relación con el sistema evaluado.
• Artículo 13 — transparencia hacia quien lo despliega. Dar instrucciones e información sobre capacidades, límites y uso del sistema. No equivale a la obligación de informar de que se interactúa con IA del artículo 50.
• Artículo 14 — supervisión humana. Definir quién puede interpretar, intervenir o detener y con qué medios. La supervisión humana necesita esas decisiones de diseño.
• Artículo 15 — exactitud, robustez y ciberseguridad. Fijar las prestaciones pertinentes, evaluar los fallos y comprobar la resistencia frente a amenazas durante el ciclo de vida.
• Artículo 17 — sistema de gestión de la calidad. Organizar procedimientos, responsabilidades y controles para sostener ese trabajo.

Esta lista describe los requisitos técnicos y de gestión del mapa de normas. El proveedor debe comprobar además las obligaciones que le correspondan sobre evaluación de la conformidad, declaración, marcado y registro. Clasificar el sistema no demuestra por sí solo que las haya cumplido.

También deben organizarse el seguimiento posterior, las medidas correctoras y la cooperación que corresponda con las autoridades. La información sobre capacidades, límites e instrucciones viaja hacia el desplegador; las observaciones e incidencias del uso permiten actuar después.

La clasificación la declara el proveedor. Una herramienta no asume esa responsabilidad ni convierte una declaración sin comprobar en evidencia de conformidad.

El artículo 26 exige organizar el uso de los sistemas de alto riesgo a los que se aplica. Son responsabilidades de la organización; calidad necesita coordinar a las funciones pertinentes, sin asumir por sí sola todas las tareas.

• Instrucciones y supervisión. Aplicar las medidas técnicas y organizativas para usar el sistema conforme a sus instrucciones; encomendar la supervisión a personas con competencia, formación, autoridad y apoyo.
• Datos de entrada. Cuando controles esos datos, comprobar que sean pertinentes y suficientemente representativos para la finalidad prevista.
• Vigilancia y respuesta. Seguir el funcionamiento conforme a las instrucciones. Si hay motivos para considerar que el uso puede presentar un riesgo del artículo 79(1), informar sin demora al proveedor o distribuidor y a la autoridad de vigilancia del mercado y suspender el uso. Los incidentes graves tienen sus deberes específicos de comunicación.
• Registros. Conservar los registros automáticos bajo tu control durante un periodo adecuado a la finalidad y de al menos seis meses, salvo que otra legislación aplicable disponga algo distinto.
• Información a las personas. Antes de utilizar el sistema en el trabajo, informar a la representación de los trabajadores y a las personas afectadas. Para sistemas del Anexo III que toman o apoyan decisiones sobre personas, informarles de que están sujetas a ese uso, con las excepciones aplicables.
• Comprobaciones adicionales según el uso. Los organismos públicos y quienes actúan en su nombre deben atender el registro del artículo 49. Las autoridades públicas y las instituciones, órganos u organismos de la UE no deben utilizar un sistema sin registrar y deben informar al proveedor o distribuidor: artículo 26(8). La información del proveedor sirve también para una evaluación de impacto de protección de datos cuando corresponda. Los usos de identificación biométrica remota tienen condiciones específicas; los deberes de cooperación con las autoridades se mantienen.

La documentación del proveedor no sustituye tus decisiones sobre el uso. Debes poder conectar lo que recibes con las condiciones reales de tu organización y comunicar las incidencias pertinentes.

Fuente: artículo 26 del Reglamento consolidado.

Una FRIA es una evaluación de impacto en los derechos fundamentales. Examina cómo un uso puede afectar a las personas y qué medidas se adoptan. El artículo 27 la exige antes del primer despliegue para determinados sistemas del Anexo III:

• A organismos de Derecho público y entidades privadas que prestan servicios públicos.
• A desplegadores de los usos de evaluación de solvencia y de evaluación de riesgos o fijación de precios de seguros de vida y salud de los puntos 5(b) y 5(c).

No se exige a todo desplegador y se excluye el punto 2 del Anexo III. Debe comprobarse el sujeto y el uso concreto.

La evaluación describe el proceso, la duración y frecuencia del uso, las personas y grupos afectados, los riesgos específicos, la supervisión y las medidas de respuesta, incluidos mecanismos de reclamación. Debe actualizarse si cambian los elementos pertinentes y notificarse a la autoridad de vigilancia del mercado conforme al artículo 27.

La modificación de 2026 permite referencias o partes pertinentes de una evaluación de impacto de protección de datos. Las dos evaluaciones no son equivalentes: hay que completar lo que exija el análisis de derechos fundamentales.

Fuentes: artículo 27 y modificación de 2026, artículo 1(13).

• La finalidad. Para qué utilizaremos la IA, sobre quién y en qué decisiones intervendrá. Reúne la oferta e instrucciones del sistema de partida.
• Las funcionalidades. Qué evalúa, recomienda o cambia respecto al uso anterior; si modifica la clasificación o nuestro papel, incluido el artículo 25.
• Los compromisos. Qué ofrecemos al cliente o incorporamos a nuestro servicio, qué debemos preparar y qué evidencia permite sostenerlo.

La conversación con calidad debe dejar claro qué hay que comprobar, quién participa y qué falta antes de poner ese uso en marcha. Se aplica tanto a una nueva oferta como a adoptar o ampliar una solución de otro proveedor.