Artículo 25 del Reglamento (UE) 2024/1689 — Responsabilidades a lo largo de la cadena de valor de la IA. Texto oficial, interpretación práctica, obligaciones clave e implicaciones de cumplimiento.
Resumen del texto oficial
El Artículo 25 del Reglamento (UE) 2024/1689 (el Reglamento de IA de la UE) establece las condiciones en las que partes distintas del proveedor original asumen responsabilidades de proveedor respecto de un sistema de IA de alto riesgo. El artículo se encuadra en el Título III, Capítulo 3, que regula las obligaciones de los proveedores y los responsables del despliegue a lo largo del ciclo de vida de los sistemas de IA de alto riesgo.
El artículo especifica tres escenarios desencadenantes. En primer lugar, un distribuidor, importador, responsable del despliegue u otro tercero pasa a ser proveedor —con todas las obligaciones asociadas del Capítulo 2 del Título III— cuando comercializa un sistema de IA de alto riesgo o lo pone en servicio bajo su propio nombre o marca comercial. En segundo lugar, se asume la condición de proveedor cuando un tercero realiza una modificación sustancial de un sistema de IA de alto riesgo. En tercer lugar, un cambio en la finalidad prevista de un sistema de IA de alto riesgo —incluso sin alteración física— puede desencadenar requisitos de reclasificación y nueva evaluación.
Cuando se produce dicha transferencia de responsabilidad, el proveedor original no queda automáticamente liberado de responsabilidad. El Reglamento exige que los acuerdos contractuales entre las partes de la cadena de suministro delimiten claramente quién asume qué obligaciones en cada etapa. Esto garantiza que la responsabilidad regulatoria recaiga en la entidad que ejerce un control efectivo sobre el despliegue o la modificación del sistema. El artículo refuerza el principio general de que el Reglamento de IA de la UE asigna obligaciones en función del papel e influencia real de cada actor en la cadena de valor, y no meramente sobre la base de etiquetas contractuales formales.
Qué significa esto en la práctica
El Artículo 25 tiene implicaciones directas de cumplimiento para cualquier organización que integre, cambie de marca, modifique sustancialmente o redespliegue un sistema de IA de alto riesgo de un tercero. Impide la práctica comercial habitual de asumir que la responsabilidad de cumplimiento recae exclusivamente en el proveedor aguas arriba.
Los integradores de sistemas y los revendedores que comercialicen un sistema de IA de alto riesgo en el mercado de la UE bajo su propia marca —por ejemplo, una empresa de software que integra un motor de puntuación crediticia basado en IA de un tercero en su propio producto y lo comercializa bajo su propio nombre— pasan a ser proveedores en virtud del Reglamento. Deben cumplir todas las obligaciones establecidas en el Artículo 16, incluidas las evaluaciones de conformidad, la documentación técnica, el registro en la base de datos de la UE y la colocación del marcado CE.
Las empresas que modifican sistemas de IA deben evaluar si sus cambios constituyen una modificación sustancial. El reentrenamiento de un modelo con un nuevo conjunto de datos, la alteración de los umbrales de decisión de manera que cambie los perfiles de riesgo, o la extensión de la funcionalidad del sistema a un nuevo ámbito son ejemplos que probablemente desencadenen una nueva evaluación. Incluso un cambio puramente a nivel de software que afecte a los resultados en un contexto regulado puede ser suficiente.
Los responsables del despliegue que reutilizan sistemas más allá de la finalidad prevista original —por ejemplo, utilizando una herramienta general de análisis del lugar de trabajo para tomar decisiones de empleo— deben evaluar si el nuevo caso de uso entra dentro de una categoría de alto riesgo y, en caso afirmativo, si se han convertido efectivamente en el proveedor del sistema.
En la práctica, las organizaciones deben auditar todos los sistemas de IA de su infraestructura, mapear la finalidad prevista documentada del proveedor original y establecer procesos de gobernanza interna para detectar cuándo los cambios propuestos o los nuevos casos de uso se aproximan a los umbrales del Artículo 25.
Obligaciones clave
- Asumir las obligaciones del proveedor al cambiar de marca: Cualquier distribuidor, importador o tercero que comercialice o despliegue un sistema de IA de alto riesgo bajo su propio nombre o marca comercial debe cumplir todas las obligaciones del proveedor establecidas en el Artículo 16, incluida la documentación técnica, la evaluación de conformidad y el registro en la base de datos de la UE.
- Realizar una nueva evaluación tras una modificación sustancial: Cualquier parte que realice una modificación sustancial de un sistema de IA de alto riesgo debe tratar el sistema modificado como un nuevo sistema de IA de alto riesgo, repetir el procedimiento pertinente de evaluación de conformidad y actualizar toda la documentación en consecuencia.
- Volver a registrar el sistema: Cuando se asume la condición de proveedor o se realiza una modificación sustancial, el nuevo proveedor debe registrar el sistema (o su versión modificada) en la base de datos de la UE para los sistemas de IA de alto riesgo establecida en virtud del Artículo 71.
- Revisar la finalidad prevista antes del despliegue: Los responsables del despliegue deben verificar que su uso de un sistema de IA de alto riesgo sigue siendo coherente con la finalidad prevista documentada por el proveedor original; cualquier desviación material debe evaluarse en cuanto a sus implicaciones de cumplimiento en virtud del Artículo 25.
- Mantener una asignación contractual clara de responsabilidades: Todas las partes de la cadena de valor de la IA —proveedores originales, importadores, distribuidores y responsables del despliegue— deben asegurarse de que sus acuerdos asignen claramente las responsabilidades de cumplimiento, especialmente cuando se prevean modificaciones o cambios de marca.
- Conservar la información del proveedor original: Cuando un tercero asume la condición de proveedor, debe tener acceso a toda la documentación técnica y la información de conformidad producida originalmente por el proveedor aguas arriba —y mantenerla—, ya que esta es la base de sus propias obligaciones de cumplimiento.
Relación con otros artículos
El Artículo 25 actúa como puente entre las obligaciones del proveedor definidas en el Artículo 16 (obligaciones de los proveedores de sistemas de IA de alto riesgo) y las obligaciones del responsable del despliegue del Artículo 26. Garantiza que las responsabilidades recogidas en el Artículo 16 —documentación técnica, evaluación de conformidad, gestión de la calidad, vigilancia poscomercialización— no puedan eludirse mediante acuerdos contractuales o estructuración corporativa.
Debe leerse junto con el Artículo 6 (normas de clasificación para los sistemas de IA de alto riesgo) y el Annex III, que definen cuándo un sistema es de alto riesgo y, por tanto, está sujeto al régimen completo de obligaciones del proveedor. El Artículo 47 (declaración UE de conformidad) y el Artículo 48 (marcado CE) están directamente implicados cuando un nuevo proveedor debe certificar de nuevo un sistema modificado.
El Artículo 71 (base de datos de la UE de sistemas de IA de alto riesgo) es relevante porque se requiere un nuevo registro cuando cambia la condición de proveedor. El considerando 79 proporciona orientación interpretativa sobre qué constituye una modificación sustancial. En el caso de cadenas de suministro que involucran modelos GPAI, los Artículos 51–56 rigen las obligaciones del proveedor del modelo aguas arriba, pero el Artículo 25 determina cuándo un integrador de sistemas que construye sobre ese modelo pasa a ser proveedor de un sistema de IA de alto riesgo por derecho propio.
Calendario de cumplimiento
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024 (veinte días después de su publicación en el Diario Oficial de la UE el 12 de julio de 2024). La aplicación es gradual:
- 2 de febrero de 2025 — Las prohibiciones sobre prácticas de IA de riesgo inaceptable (Título II) comenzaron a aplicarse. El Artículo 25 no se aplicaba todavía.
- 2 de agosto de 2025 — Las obligaciones relativas a los modelos de IA de uso general (Título VIII, Artículos 51–56) y las disposiciones de gobernanza (Título III, Capítulo 4; Título V) comenzaron a aplicarse. El Artículo 25 no se aplicaba todavía a los sistemas de IA de alto riesgo enumerados en el Annex III.
- 2 de agosto de 2026 — El Artículo 25 y el régimen completo de obligaciones de proveedores y responsables del despliegue del Capítulo 3 se aplican a los sistemas de IA de alto riesgo enumerados en el Annex III (incluidos los sistemas biométricos, las infraestructuras críticas, el empleo, la educación, el acceso a servicios esenciales y los casos de uso en el ámbito de la aplicación de la ley). Las organizaciones que operan en estos sectores deben tener instalados procesos de gobernanza, marcos contractuales y procedimientos de evaluación de modificaciones antes de esta fecha.
- 2 de agosto de 2027 — Las obligaciones del Artículo 25 se extienden a los sistemas de IA de alto riesgo cubiertos por el Annex I (legislación de seguridad de productos, como dispositivos médicos y maquinaria), cuando dichos sistemas ya estuvieran en el mercado antes de agosto de 2026 y estén sujetos a un período transitorio.
Las organizaciones deben comenzar el mapeo de cumplimiento del Artículo 25 —en particular, las auditorías de la cadena de suministro y los protocolos de gobernanza de modificaciones— con suficiente antelación a la fecha límite de agosto de 2026.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
El Artículo 25 se aplica a los distribuidores, importadores, responsables del despliegue y cualquier otro tercero que comercialice un sistema de IA de alto riesgo o lo ponga en servicio bajo su propio nombre o marca comercial, o que modifique un sistema de IA de alto riesgo de manera que altere su finalidad prevista o su estado de conformidad. En tales casos, dichas partes asumen las obligaciones de proveedor establecidas en el Reglamento.
Un responsable del despliegue se considera proveedor —y debe cumplir todas las obligaciones del proveedor— cuando comercializa un sistema de IA de alto riesgo o lo pone en servicio bajo su propio nombre o marca comercial, realiza una modificación sustancial de un sistema de IA de alto riesgo que cambia su finalidad prevista, o modifica un sistema de IA de alto riesgo de una manera que puede afectar a su conformidad con los requisitos del Título III, Capítulo 2.
Una modificación sustancial es un cambio en un sistema de IA de alto riesgo, ya sea físico o lógico, que afecta al cumplimiento por parte del sistema de los requisitos del Título III, Capítulo 2, o que da lugar a un cambio en la finalidad prevista para la que el sistema ha sido evaluado. Una modificación sustancial desencadena obligaciones de nueva evaluación y nuevo registro.
Cuando un tercero asume la condición de proveedor en virtud del Artículo 25, el proveedor original no queda automáticamente liberado de toda responsabilidad. Los acuerdos contractuales y la naturaleza de la modificación determinan las obligaciones vigentes. Se anima a las partes a documentar claramente las responsabilidades en los acuerdos técnicos y jurídicos a lo largo de la cadena de suministro.
El Artículo 25 se centra en las responsabilidades dentro de la cadena de valor del sistema de IA de alto riesgo. Para los modelos de inteligencia artificial de uso general (GPAI), se aplican obligaciones separadas en virtud del Título VIII (Artículos 51–56). Sin embargo, los integradores que crean sistemas de IA de alto riesgo sobre modelos GPAI deben evaluar si su integración activa las obligaciones de proveedor establecidas en el Artículo 25.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.