Empieza aquí

El Reglamento, en sus propias palabras

Ámbito, rol, nivel y fecha, en ese orden, porque es el orden en que las respuestas dependen unas de otras. Nada de esta página clasifica tu sistema: explica las categorías que usa el Reglamento y cita la disposición que respalda cada frase.

De qué habla el Reglamento

Qué cuenta como sistema de IA

Lo define el artículo 3, apartado 1, y la definición es más amplia que "aprendizaje automático" y más estrecha que "software". Un sistema entra en el ámbito cuando está basado en una máquina, está diseñado para funcionar con distintos niveles de autonomía, puede mostrar capacidad de adaptación tras el despliegue e infiere de la información de entrada que recibe la manera de generar resultados de salida como predicciones, contenidos, recomendaciones o decisiones que pueden influir en entornos físicos o virtuales. Los elementos se leen juntos: un motor de reglas determinista escrito a mano no infiere, y un modelo que solo ejecuta un investigador no se ha introducido en el mercado.

Basado en una máquina y diseñado para funcionar con distintos niveles de autonomía.
Puede mostrar capacidad de adaptación tras el despliegue: puede seguir cambiando una vez en marcha.
Infiere, a partir de la entrada, cómo generar los resultados de salida. Este es el elemento decisivo.
Los resultados son predicciones, contenidos, recomendaciones o decisiones.
Esos resultados pueden influir en entornos físicos o virtuales.

Conviene saber La Comisión ha publicado directrices sobre esta definición. Son su interpretación, no son vinculantes y un tribunal no queda sujeto a ellas. Donde aquí importan, se señalan como tales.

UE Art. 3(1) UE Guidelines on the definition of an AI system Interpretación de la Comisión

El modelo y el sistema son objetos distintos

Un modelo de IA de uso general es el artefacto entrenado: el artículo 3, apartado 63, describe un modelo que presenta un grado considerable de generalidad y es capaz de realizar de manera competente una gran variedad de tareas distintas. Un sistema de IA de uso general, en el artículo 3, apartado 66, es un sistema basado en ese modelo que puede servir para diversos fines. La distinción decide quién debe qué: el capítulo V vincula a quien proporciona el modelo, mientras que el sistema que montas encima se clasifica como cualquier otro, por aquello para lo que se usa.

UE Art. 3(63), (66)

Si te alcanza

A quién vincula el Reglamento

El artículo 2, apartado 1, enumera las partes incluidas en el ámbito. Dos de sus filas alcanzan a equipos que dan por hecho que el Reglamento es problema de otro: un responsable del despliegue establecido en la Unión queda vinculado aunque el sistema venga de un proveedor externo, y un proveedor o responsable del despliegue de un tercer país queda vinculado cuando los resultados de salida del sistema se utilizan en la Unión.

Parte	Incluida cuando
Proveedor	Introduce un sistema de IA en el mercado o lo pone en servicio en la Unión, o introduce un modelo de IA de uso general en el mercado de la Unión, con independencia de dónde esté establecido.
Responsable del despliegue	Tiene su lugar de establecimiento, o está situado, en la Unión.
Proveedor o responsable del despliegue de un tercer país	Los resultados de salida del sistema de IA se utilizan en la Unión.
Importador y distribuidor	Introduce un sistema de IA en el mercado de la Unión o lo comercializa en él.
Fabricante del producto	Introduce en el mercado un producto junto con un sistema de IA, bajo su propio nombre o marca.
Representante autorizado	Actúa por cuenta de un proveedor no establecido en la Unión.
Personas afectadas	Están situadas en la Unión.

UE Art. 2(1)

Hasta dónde no llega el Reglamento

Las exclusiones son más estrechas de lo que suele citarse. Cada una excluye una actividad, no un tipo de empresa, y dos de ellas dejan de operar en cuanto un sistema llega al mercado.

Fines militares, de defensa o de seguridad nacional, con independencia del tipo de entidad que desarrolle esas actividades (art. 2, ap. 3).
Sistemas y modelos desarrollados y puestos en servicio con el único fin de realizar actividades de investigación y desarrollo científicos (art. 2, ap. 6).
Actividades de investigación, prueba o desarrollo previas a la introducción en el mercado o la puesta en servicio. Las pruebas en condiciones reales no están cubiertas por esa exclusión (art. 2, ap. 8).
Responsables del despliegue que sean personas físicas y utilicen un sistema en una actividad puramente personal de carácter no profesional (art. 2, ap. 10).
Sistemas divulgados con arreglo a licencias libres y de código abierto, salvo que se introduzcan en el mercado o se pongan en servicio como sistemas de alto riesgo o como sistemas de los artículos 5 o 50 (art. 2, ap. 12).

UE Art. 2(3), (6), (8), (10), (12)

Este Reglamento no sustituye a la normativa de protección de datos

El artículo 2, apartado 7, mantiene plenamente aplicable el Derecho de la Unión sobre protección de datos personales, privacidad y confidencialidad de las comunicaciones a los datos personales tratados en relación con los derechos y obligaciones que aquí se establecen. Los dos regímenes se encuentran en puntos concretos, no se funden: el responsable del despliegue usa la información del artículo 13 para su evaluación de impacto de protección de datos del RGPD, y la evaluación de impacto relativa a los derechos fundamentales puede remitirse a esa evaluación cuando ya cubra lo mismo.

UE Art. 2(7) UE Art. 26(9) UE Art. 27(4)

En qué rol estás

Los roles, y qué te sitúa en uno

El Reglamento no pregunta qué clase de empresa eres. Pregunta qué hiciste con un sistema concreto. Toda obligación del Reglamento cuelga de uno de estos roles, y los dos que importan a la mayoría de los equipos de ingeniería son proveedor y responsable del despliegue.

Rol	Qué te sitúa en él	Definido en
Proveedor	Desarrollas un sistema o un modelo de IA de uso general, o haces que se desarrolle, y lo introduces en el mercado o lo pones en servicio con tu nombre o marca. Que sea de pago o gratuito es indiferente.	Art. 3(3)
Responsable del despliegue	Utilizas un sistema bajo tu propia autoridad, fuera de una actividad personal de carácter no profesional.	Art. 3(4)
Importador	Estás en la Unión e introduces en el mercado un sistema que lleva el nombre o la marca de una persona establecida en un tercer país.	Art. 3(6)
Distribuidor	Formas parte de la cadena de suministro, sin ser proveedor ni importador, y comercializas un sistema en el mercado de la Unión.	Art. 3(7)
Representante autorizado	Estás en la Unión y tienes un mandato escrito de un proveedor para cumplir sus obligaciones.	Art. 3(5)

UE Art. 3(3) to (7)

Un sistema cada vez, un rol cada vez

El rol se adhiere a un sistema, no a una empresa. El artículo 3, apartado 3, te convierte en proveedor del sistema que introduces en el mercado; el artículo 3, apartado 4, te convierte en responsable del despliegue del sistema que utilizas bajo tu propia autoridad. Un mismo equipo suele ser las dos cosas: proveedor del producto que vende y responsable del despliegue de las herramientas de terceros que opera. Responde la pregunta una vez por sistema, y respóndela en el rol que ocupas para ese sistema, o las obligaciones que leas serán las de otro.

UE Art. 3(3), (4) UE Art. 25

Cuándo se mueve tu rol

El artículo 25 convierte a un distribuidor, importador, responsable del despliegue o cualquier otro tercero en proveedor de un sistema de alto riesgo, con las obligaciones de proveedor del artículo 16, en tres supuestos. El cambio no es teórico para un equipo de plataforma: poner tu marca en un sistema comprado, o cambiar para qué sirve un sistema, es un martes cualquiera.

Pones tu nombre o marca en un sistema de alto riesgo ya introducido en el mercado (art. 25, ap. 1, letra a).
Realizas una modificación sustancial en un sistema de alto riesgo ya introducido en el mercado y este sigue siendo de alto riesgo (art. 25, ap. 1, letra b).
Modificas la finalidad prevista de un sistema que no era de alto riesgo, incluido un sistema de IA de uso general, de modo que pasa a serlo (art. 25, ap. 1, letra c).

Conviene saber Cuando ocurre, el proveedor inicial deja de ser el proveedor de ese sistema y debe cooperar: documentación técnica, limitaciones y modos de fallo conocidos, y acceso técnico específico para pruebas y validación (art. 25, ap. 2).

UE Art. 25(1), (2) UE Art. 3(23) UE Art. 16

Dónde encaja tu sistema

Cómo clasifica el Reglamento lo que ejecutas

La pirámide que dibuja cualquier explicación es un recurso didáctico, no la estructura del Reglamento. Lo que el texto hace es crear regímenes separados que pueden acumularse sobre el mismo sistema: un sistema de alto riesgo que habla con personas debe los requisitos del capítulo III y la información del artículo 50, y un sistema que no es nada de lo anterior sigue debiendo el artículo 4.

Qué hace el Reglamento	Dónde	Qué significa para ti
Prohíbe una práctica	Art. 5	No existe vía de cumplimiento. La práctica está prohibida.
Clasifica un sistema como de alto riesgo por la vía del producto	Art. 6(1), anexo I	El sistema es un componente de seguridad de un producto, o un producto, cubierto por la legislación de armonización del anexo I y que exige evaluación de la conformidad por terceros.
Clasifica un sistema como de alto riesgo por la vía del caso de uso	Art. 6(2), anexo III	El caso de uso figura en el anexo III, salvo que se aplique y se documente la excepción del artículo 6, apartado 3.
Impone deberes de información	Art. 50	Interacción, contenido sintético, reconocimiento de emociones y categorización biométrica, ultrafalsificaciones. Se acumulan sobre cualquier otro nivel.
Vincula a un modelo de IA de uso general	Capítulo V	Obligaciones para quien proporciona el modelo, y más cuando el modelo tiene riesgo sistémico. No es una clasificación de riesgo de un sistema.
Todo lo demás	Art. 4	Ninguna obligación propia del nivel, pero proveedores y responsables del despliegue siguen debiendo medidas de alfabetización en materia de IA.

Conviene saber Régimen y riesgo son ejes distintos, y por eso este sitio los filtra por separado: el capítulo IV se nombra por un tipo de obligación y el capítulo V por un tipo de sujeto, ninguno por un nivel de riesgo.

UE Art. 5 UE Art. 6 UE Art. 50 UE Art. 51 UE Art. 4

El filtro del anexo III, y su trampilla

Un sistema cuyo caso de uso figura en el anexo III es de alto riesgo por defecto. El artículo 6, apartado 3, solo lo deja salir cuando no plantea un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales, también al no influir sustancialmente en el resultado de la toma de decisiones, y solo si se cumple una de cuatro condiciones. La excepción no es de autoservicio: el proveedor que se acoge a ella documenta la evaluación antes de introducir el sistema en el mercado y lo registra.

El sistema realiza una tarea de procedimiento limitada.
Mejora el resultado de una actividad humana previamente realizada.
Detecta patrones de toma de decisiones o desviaciones respecto de ellos, y no pretende sustituir ni influir en la valoración humana previa sin una revisión humana adecuada.
Realiza una tarea preparatoria para una evaluación pertinente a efectos de un caso de uso del anexo III.

Conviene saber Un sistema que elabora perfiles de personas físicas es siempre de alto riesgo. El filtro nunca se abre para él.

Aplicable desde Aplazado 2 dic 2027 UE Art. 6(2), (3), (4) UE Annex III UE Art. 49

La vía del producto, y qué aclaró la modificación

El artículo 6, apartado 1, hace que un sistema sea de alto riesgo cuando es un componente de seguridad de un producto, o es él mismo un producto, cubierto por la legislación de armonización del anexo I, y ese producto debe someterse a una evaluación de la conformidad por terceros. El texto modificado traza la línea con más nitidez que el original: los sistemas usados solo para aspectos no relacionados con la seguridad (asistencia al usuario, optimización del rendimiento, eficiencia del servicio, automatización, comodidad o control de calidad) no son componentes de seguridad, mientras que los sistemas cuyo fallo o defecto de funcionamiento pondría en peligro la salud y la seguridad sí lo son.

Aplicable desde Aplazado 2 ago 2028 UE Art. 6(1), (1a), (1b), (1c) UE Annex I

Los deberes de información se acumulan sobre lo demás

El artículo 50 no es un nivel por debajo del alto riesgo. Es un conjunto de obligaciones separado que recae sobre proveedores y responsables del despliegue de sistemas ordinarios, y también de los de alto riesgo. Cuál de ellas debes depende de tu rol, no de una puntuación de riesgo.

Obligación	Quién la debe	Dónde
Informar a las personas de que interactúan con un sistema de IA, salvo que resulte evidente	Proveedor	Art. 50(1)
Marcar el contenido sintético de audio, imagen, vídeo o texto en un formato legible por máquina y detectable como generado o manipulado artificialmente	Proveedor	Art. 50(2)
Informar a las personas expuestas a un sistema de reconocimiento de emociones o de categorización biométrica	Responsable del despliegue	Art. 50(3)
Hacer público que un contenido de imagen, audio o vídeo es una ultrafalsificación, y que un texto publicado sobre asuntos de interés público se ha generado artificialmente	Responsable del despliegue	Art. 50(4)

Aplicable desde En aplicación 2 ago 2026 UE Art. 50(1) to (4) UE Guidelines on the transparency obligations under Article 50 Interpretación de la Comisión

El nivel del que nadie habla: todo lo demás

La mayoría de los sistemas que ejecuta una empresa de producto no están en ninguno de los niveles anteriores. Aun así arrastran una obligación. El artículo 4 obliga a proveedores y responsables del despliegue a adoptar medidas para apoyar la alfabetización en materia de IA de su personal y de quienes operan o utilizan los sistemas en su nombre, en proporción a sus conocimientos técnicos y al contexto de uso. No exige garantizar un nivel concreto de alfabetización en ninguna persona, y es la primera obligación de este Reglamento que pasó a ser aplicable.

Aplicable desde En aplicación 2 feb 2025 UE Art. 4 UE Art. 113(a)

Modelos, pesos abiertos y quién carga con qué

Modelos abiertos y modelos de uso general, según lo que realmente haces

El capítulo V vincula al proveedor de un modelo, y la palabra proveedor hace mucho trabajo. Busca la fila que describe lo que tu equipo hace con los pesos, no la que coincide con el logotipo de la ficha del modelo.

Qué haces	Qué te corresponde	Dónde
Entrenas y publicas un modelo de IA de uso general	Documentación técnica del modelo, información y documentación para los proveedores posteriores, una política de derechos de autor y un resumen público del contenido de entrenamiento	Art. 53(1), letras a) a d)
Sirves sin modificar el modelo de otro	Nada nuevo en el plano del modelo. Estás construyendo un sistema sobre él, así que el sistema se clasifica por su propio caso de uso	Art. 3(66), art. 6
Llamas a un modelo a través de una API	Lo mismo: las obligaciones del modelo se quedan con su proveedor, y tú respondes del sistema que has construido	Art. 3(3), art. 6
Ajustas (fine-tuning) un modelo	Posiblemente las obligaciones de proveedor del modelo, por la modificación. La Comisión toma como criterio indicativo una modificación que use más de un tercio del cómputo de entrenamiento original	Art. 53, y las directrices de la Comisión
Publicas el modelo con una licencia libre y de código abierto	Las obligaciones del artículo 53, apartado 1, letras a) y b), no se aplican si la licencia permite el acceso, uso, modificación y distribución y los parámetros, la arquitectura y la información de uso son públicos. La política de derechos de autor y el resumen del contenido de entrenamiento siguen aplicándose	Art. 53(2)
Tu modelo cruza el umbral de riesgo sistémico	Las obligaciones del artículo 55 además, y la excepción de código abierto deja de aplicarse	Art. 51, art. 55
Estás establecido fuera de la Unión	Un representante autorizado en la Unión	Art. 54

Conviene saber La cifra de un tercio del cómputo es un criterio indicativo de las directrices de la Comisión, no un umbral del Reglamento. Es interpretación, no es vinculante y puede cambiar.

UE Art. 53(1), (2) UE Art. 51(1), (2) UE Art. 54 UE Art. 55 UE Guidelines on GPAI provider obligations, para. 60 Interpretación de la Comisión

Cuándo te conviertes en proveedor

Dos puertas distintas llevan al mismo sitio, y un equipo que autoaloja pesos abiertos puede cruzar cualquiera de ellas sin darse cuenta. En el plano del modelo, modificar un modelo de IA de uso general puede convertirte en proveedor del modelo modificado, con las obligaciones del capítulo V. En el plano del sistema, el artículo 25 te convierte en proveedor de un sistema de alto riesgo si pones tu nombre en él, lo modificas sustancialmente o cambias su finalidad prevista de modo que pase a ser de alto riesgo. Ninguna de las dos puertas pregunta si pagaste por el modelo.

Plano del modelo: tu modificación arrastra las obligaciones del capítulo V por lo que has cambiado. El criterio indicativo de la Comisión es más de un tercio del cómputo de entrenamiento original.
Plano del sistema: el artículo 25, apartado 1, traslada a ti las obligaciones de proveedor del artículo 16.
La exención para modelos libres y de código abierto nunca cubre un modelo con riesgo sistémico, y el artículo 2, apartado 12, nunca cubre un sistema introducido en el mercado como de alto riesgo o al amparo de los artículos 5 o 50.

Conviene saber El criterio del cómputo procede de directrices de la Comisión y no es vinculante. Las reglas de los artículos 25 y 53, apartado 2, están en el propio Reglamento.

UE Art. 25(1) UE Art. 53(2) UE Art. 2(12) UE Guidelines on GPAI provider obligations, para. 60 Interpretación de la Comisión

Qué pasa si te equivocas

Cuáles son de verdad los límites

El artículo 99 fija máximos, no tarifas. Cada fila es un techo sobre lo que una autoridad de un Estado miembro puede imponer y, para una empresa, la regla es el mayor de los dos: el importe fijo o el porcentaje del volumen de negocios mundial total anual del ejercicio anterior. Las cifras que circulan suelen ser las de la propuesta de 2021, que eran distintas.

Infracción	Techo	Dónde
Una práctica prohibida del artículo 5	35 000 000 EUR, o el 7 % del volumen de negocios mundial total anual, lo que sea mayor	Art. 99(3)
Obligaciones de proveedores, representantes autorizados, importadores, distribuidores, responsables del despliegue, organismos notificados, y los deberes de información del artículo 50	15 000 000 EUR, o el 3 % del volumen de negocios mundial total anual, lo que sea mayor	Art. 99(4)
Facilitar información incorrecta, incompleta o engañosa a organismos notificados o autoridades nacionales competentes	7 500 000 EUR, o el 1 % del volumen de negocios mundial total anual, lo que sea mayor	Art. 99(5)
Un proveedor de un modelo de IA de uso general, multado por la Comisión y no por un Estado miembro	15 000 000 EUR, o el 3 % del volumen de negocios mundial total anual, lo que sea mayor	Art. 101(1)

UE Art. 99(3), (4), (5) UE Art. 101(1)

Si eres pyme o pequeña empresa de mediana capitalización, la regla se invierte

Este es el apartado que más importa a una empresa de cinco a cincuenta ingenieros, y el que más se cita mal. Para las pymes, incluidas las empresas emergentes, cada multa del artículo 99 podrá ser por el porcentaje o el importe de los apartados 3, 4 y 5, según cuál de ellos sea menor. Para las pequeñas empresas de mediana capitalización se aplica la misma regla del menor de los dos, pero solo a las multas de los apartados 4 y 5. El artículo 99, apartado 1, ordena además a los Estados miembros tener en cuenta los intereses de las pymes, las empresas emergentes y las pequeñas empresas de mediana capitalización, y su viabilidad económica, al imponer sanciones.

Conviene saber Las fuentes que enuncian "el mayor de los dos" como regla universal describen los apartados 3 a 5 sin su excepción.

UE Art. 99(1), (6), (6a) UE Art. 3(14a), (14b) UE Recommendation (EU) 2025/1099

Quién multa, y desde cuándo

El Reglamento no multa por sí solo. El artículo 99, apartado 1, obliga a los Estados miembros a establecer el régimen de sanciones y otras medidas de ejecución, efectivas, proporcionadas y disuasorias, y a notificarlo a la Comisión. Así que la autoridad que puede multar a tu empresa es nacional, y el detalle vive en el régimen nacional. El capítulo que contiene estas reglas es aplicable desde la fecha que fija el artículo 113, letra b), con el artículo 101 exceptuado de ese bloque.

Aplicable desde En aplicación 2 ago 2025 UE Art. 99(1), (2) UE Art. 113(b)

Escenarios

Sistemas típicos, leídos con las categorías del propio Reglamento. Cada uno nombra la disposición que decide la respuesta y lo que la cambiaría.

Un asistente de código para tus propios ingenieros

Ilustrativo Lectura aún en formación

Un asistente sugiere código en el editor y abre pull requests, apoyado en un modelo alojado por un tercero.

Tu rol: ProveedorResponsable del despliegue
Dónde encaja: Sin clasificar En aplicación 2 ago 2026
Lo decide: Ningún caso de uso del anexo III. La pregunta abierta es el artículo 50, apartado 2, porque el asistente genera texto.

Qué se aplica

Qué tienes que poder presentar

Marcado de contenido en el pipeline de generación
Notas de incorporación para roles que tocan IA
Plan de capacitación para quienes operan sistemas de IA
Prueba de conservación de procedencia en CI

Qué cambiaría la respuesta

El artículo 50, apartado 2, no se aplica en la medida en que el sistema cumpla una función de asistencia a la edición estándar o no altere sustancialmente los datos de entrada ni su semántica. Si un parche generado es asistencia a la edición es justo la línea que traza esa excepción, y no está resuelta.
El código generado que se incorpora a un producto cubierto por la legislación de armonización del anexo I es una pregunta sobre ese producto, no sobre el asistente.
Úsalo para evaluar a los ingenieros en lugar de para ayudarlos y se aplica el anexo III, punto 4, letra b).

Un asistente RAG sobre documentación interna, con un modelo de terceros

Ilustrativo

Has envuelto un modelo de terceros en una capa de recuperación sobre tu wiki y tus runbooks, y lo has puesto delante de tu propio personal. Nadie de fuera de la empresa puede acceder.

Tu rol: ProveedorResponsable del despliegue
Dónde encaja: Sin clasificar En aplicación 2 feb 2025
Lo decide: Ningún caso de uso del anexo III y no es un componente de seguridad del artículo 6, apartado 1. Poner un sistema en servicio para uso propio te convierte igualmente en su proveedor conforme al artículo 3, apartado 11.

Qué se aplica

Qué tienes que poder presentar

Componente de revelación reutilizable
Notas de incorporación para roles que tocan IA
Patrón de revelación en el sistema de diseño
Plan de capacitación para quienes operan sistemas de IA

Qué cambiaría la respuesta

Apúntalo a una decisión que el Reglamento enumere. En cuanto criba candidaturas o puntúa a personas, se aplica el anexo III y la respuesta cambia por completo.
El artículo 50, apartado 1, pide informar de que se interactúa con un sistema de IA salvo que resulte evidente. En un asistente interno tras un inicio de sesión suele serlo; deja por escrito por qué lo concluiste.
Ajusta el modelo de terceros y puedes convertirte en proveedor del modelo modificado, con las obligaciones del capítulo V por él.

Un chatbot de atención al cliente en tu web pública

Ilustrativo

La misma pila, mirando hacia fuera: un chatbot que responde preguntas de clientes, redacta respuestas y escala a una persona cuando no sabe.

Tu rol: ProveedorResponsable del despliegue
Dónde encaja: Cualquier nivel En aplicación 2 ago 2026
Lo decide: Artículo 50, apartado 1: un sistema destinado a interactuar directamente con personas físicas. Los deberes de información se activan sin que el sistema sea de alto riesgo.

Qué se aplica

Qué tienes que poder presentar

Componente de revelación reutilizable
Marcado de contenido en el pipeline de generación
Notas de incorporación para roles que tocan IA
Patrón de revelación en el sistema de diseño
Plan de capacitación para quienes operan sistemas de IA
Prueba de conservación de procedencia en CI

Qué cambiaría la respuesta

Si el bot decide el acceso a un servicio esencial en vez de describirlo, el anexo III, punto 5, lo sitúa en el nivel de alto riesgo.
El marcado del artículo 50, apartado 2, tiene una excepción cuando el sistema cumple una función de asistencia a la edición estándar o no altera sustancialmente la entrada del responsable del despliegue. Un bot que escribe la respuesta no está editando la tuya.
Publicar su texto como artículo sobre un asunto de interés público activa el artículo 50, apartado 4, y ese deber recae en el responsable del despliegue.

Un modelo abierto, ajustado y vendido dentro de tu producto

Ilustrativo Lectura aún en formación

Cogiste un modelo de pesos abiertos, lo ajustaste con tus propios datos y ahora impulsa una función de pago del producto que vendes.

Tu rol: Proveedor
Dónde encaja: Sin clasificar En aplicación 2 ago 2025
Lo decide: Capítulo V, como proveedor del modelo modificado, y por separado lo que el artículo 6 diga del sistema que construiste sobre él.

Qué se aplica

Qué tienes que poder presentar

Documentación del modelo
Evaluación de condición de proveedor para los ajustes
Mandato escrito del representante autorizado del modelo
Notas de incorporación para roles que tocan IA
Paquete de información para intermedios
Plan de capacitación para quienes operan sistemas de IA
Resumen público del contenido de entrenamiento

Qué cambiaría la respuesta

La excepción del artículo 53, apartado 2, cubre modelos divulgados con licencia libre y de código abierto con parámetros, arquitectura e información de uso públicos, y nunca cubre un modelo con riesgo sistémico.
El considerando 103 lee los componentes proporcionados a cambio de un precio o monetizados de otro modo como fuera de las excepciones de código abierto. Un considerando es contexto interpretativo, no Derecho operativo, y es el eslabón más débil de esta fila.
Cruzar el umbral de riesgo sistémico del artículo 51 añade las obligaciones del artículo 55 y elimina la excepción por completo.

Un modelo de pesos abiertos en tu propio clúster, sirviendo a un copiloto interno

Ilustrativo

Te has descargado pesos abiertos, los sirves en tu propio clúster de Kubernetes y un copiloto interno los llama. Nada sale de tu red y controlas todos los registros.

Tu rol: Responsable del despliegueProveedor
Dónde encaja: Sin clasificar En aplicación 2 feb 2025
Lo decide: El modelo es un modelo de IA de uso general, al que la taxonomía de riesgo no clasifica. El copiloto es el sistema, y no encaja en ningún caso de uso del anexo III.

Qué se aplica

Qué tienes que poder presentar

Componente de revelación reutilizable
Notas de incorporación para roles que tocan IA
Patrón de revelación en el sistema de diseño
Plan de capacitación para quienes operan sistemas de IA

Qué cambiaría la respuesta

Ajusta los pesos y puedes convertirte en proveedor del modelo modificado. El criterio indicativo de la Comisión es una modificación que use más de un tercio del cómputo de entrenamiento original, que es orientación, no un umbral del Reglamento.
El artículo 2, apartado 12, deja fuera del Reglamento a los sistemas divulgados con licencias libres y de código abierto, pero nunca cuando se introducen en el mercado como de alto riesgo o al amparo de los artículos 5 o 50.
Como el modelo lo ejecutas tú, los registros están bajo tu control, y ese hecho decide quién responde al artículo 19 o al artículo 26, apartado 6, si el sistema llega a ser de alto riesgo.

Un recomendador de productos en tu tienda

Ilustrativo

Un modelo ordena lo que ve cada visitante, entrenado con el historial de navegación y de compra.

Tu rol: ProveedorResponsable del despliegue
Dónde encaja: Sin clasificar En aplicación 2 feb 2025
Lo decide: Ordenar productos no es un caso de uso del anexo III ni un componente de seguridad. Lo que hay que vigilar es qué infiere el sistema sobre las personas.

Qué se aplica

Medidas de alfabetización en IA

Qué tienes que poder presentar

Notas de incorporación para roles que tocan IA
Plan de capacitación para quienes operan sistemas de IA

Qué cambiaría la respuesta

Úsalo para fijar precios o evaluar riesgos en seguros de vida y salud y se aplica el anexo III, punto 5, letra c); úsalo para evaluar la solvencia y se aplica el punto 5, letra b).
El artículo 5 prohíbe de plano determinadas prácticas manipuladoras y de explotación. Un recomendador ajustado para explotar las vulnerabilidades de un grupo concreto es otra cosa que uno ajustado a la relevancia.
La elaboración de perfiles apaga la salida del artículo 6, apartado 3, para cualquier sistema del anexo III, así que importa qué infiere el modelo, no solo qué muestra.

Una función de cribado de currículums en tu producto

Ilustrativo

Estás a punto de lanzar una función que ordena y filtra candidaturas para las empresas que usan tu producto de contratación.

Tu rol: ProveedorResponsable del despliegue
Dónde encaja: Alto riesgo Aplazado 2 dic 2027
Lo decide: Anexo III, punto 4, letra a): sistemas destinados a la contratación o selección de personas físicas, en particular para analizar y filtrar solicitudes de empleo y evaluar candidatos.

Qué se aplica

Qué tienes que poder presentar

Almacenamiento de registros a prueba de manipulación
Análisis de uso indebido previsible por versión
Batería de pruebas adversarias y de inyección
Cadencia de revisión de datos de campo
Canal de señales de riesgo desde producción
Clasificación de incidentes con rama regulatoria
Datos de recursos, vida útil y mantenimiento para las instrucciones
Decisión de vía de conformidad por sistema
Decisión documentada sobre el formato aplicable
Declaración UE de conformidad por sistema
Entradas de registro por sistema
Esquema de eventos de inferencia
Expediente técnico del anexo IV
Experiencia de supervisión con vía de anulación
Fichas de datos con procedencia
Generación de documentación integrada en CI
IDs de correlación de decisiones entre servicios
Informe de examen de sesgos
Instrucciones de uso por sistema
Interruptor de parada y anulación, con pruebas
Mapa de riesgos a controles en los documentos de diseño
Metadatos de salida legibles para quien despliega
Niveles de precisión y métricas declarados
Nota de representatividad de la población
Plan de vigilancia poscomercialización
Política de retención que cumple el mínimo de seis meses
Presupuesto de retención y visto bueno del DPD
Prueba de restauración sobre registros antiguos
Registro de riesgos vivo con cadencia de revisión
Registros de linaje por ejecución
Roles de notificación designados
Runbook de notificación a la autoridad
Runbook de reconstrucción
Runbook de supervisión
SLOs de rendimiento del modelo con alertas
Supuestos declarados por conjunto de datos
Telemetría de campo versionada
Vía de escalado para riesgo emergente

Qué cambiaría la respuesta

La excepción del artículo 6, apartado 3, es la única salida, y un sistema que elabora perfiles de personas físicas nunca la cumple. Ordenar candidaturas es difícil de defender como tarea de procedimiento limitada.
Tus clientes son responsables del despliegue de este sistema y cargan con las obligaciones del artículo 26, incluidas conservar los registros bajo su control e informar a las personas candidatas.
Un cliente que ponga su propia marca en tu función se convierte en su proveedor conforme al artículo 25, apartado 1, letra a), y tú dejas de serlo.

Una función de decisión crediticia

Ilustrativo

Un modelo puntúa a los solicitantes de un producto de préstamo y la puntuación guía la decisión, con una persona que puede anularla.

Tu rol: ProveedorResponsable del despliegue
Dónde encaja: Alto riesgo Aplazado 2 dic 2027
Lo decide: Anexo III, punto 5, letra b): sistemas destinados a evaluar la solvencia de personas físicas o establecer su calificación crediticia, salvo los usados para detectar fraude financiero.

Qué se aplica

Qué tienes que poder presentar

Almacenamiento de registros a prueba de manipulación
Análisis de uso indebido previsible por versión
Batería de pruebas adversarias y de inyección
Canal de señales de riesgo desde producción
Comunicación a las personas trabajadoras
Decisión de vía de conformidad por sistema
Decisión documentada sobre el formato aplicable
Determinación de ámbito documentada
Entradas de registro por sistema
Esquema de eventos de inferencia
Evaluación de impacto en derechos fundamentales
Expediente técnico del anexo IV
Experiencia de supervisión con vía de anulación
Factores de decisión capturados por salida
Fichas de datos con procedencia
Generación de documentación integrada en CI
IDs de correlación de decisiones entre servicios
Informe de examen de sesgos
Interruptor de parada y anulación, con pruebas
Mapa de riesgos a controles en los documentos de diseño
Niveles de precisión y métricas declarados
Nota de representatividad de la población
Proceso de solicitud de explicaciones
Registro de instrucciones de despliegue por sistema
Registro de riesgos vivo con cadencia de revisión
Registros de linaje por ejecución
Retención de registros del lado del despliegue
Roles de supervisión designados
Runbook de reconstrucción
Runbook de supervisión
SLOs de rendimiento del modelo con alertas
Supuestos declarados por conjunto de datos
Vía de escalado para riesgo emergente

Qué cambiaría la respuesta

A diferencia del caso de contratación, este arrastra una evaluación de impacto relativa a los derechos fundamentales: el artículo 27, apartado 1, nombra expresamente el punto 5, letra b), del anexo III.
Limitar el sistema a la detección de fraude lo saca del punto 5, letra b). Puntuar a las mismas personas para decidir un préstamo lo devuelve.
Una persona afectada puede pedir una explicación de la decisión individual conforme al artículo 86, y esa explicación sale de los mismos registros que pidió el artículo 12.

Lo que esta página no hace

No clasifica tu sistema, y no puede hacerlo. La clasificación depende de hechos sobre tu producto, tus usuarios y cómo llega el sistema al mercado. Lo que sí puede es enseñarte qué pregunta decide la respuesta, y dónde la responde el texto.

Después, una capa más abajo

El explorador tiene todas las obligaciones filtradas por rol y fecha. La vista de ingeniería las agrupa por la capacidad de plataforma que exigen. La ley es el texto primario, con la modificación marcada en línea.

Explorador → Ingeniería → La ley → Calendario →