Artículo 3 — Definiciones (Reglamento IA de la UE)

Artículo 3 del Reglamento (UE) 2024/1689 — Definiciones. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El Artículo 3 del Reglamento (UE) 2024/1689 (el Reglamento IA de la UE) establece el marco definitorio que rige todo el Reglamento. Contiene 65 definiciones numeradas que otorgan significado jurídico preciso a la terminología fundamental utilizada en todo el Reglamento.

La definición más fundamental es la de «sistema de IA» (Artículo 3(1)): un sistema basado en máquinas diseñado para funcionar con distintos niveles de autonomía que puede mostrar capacidad de adaptación tras su despliegue y que, para objetivos explícitos o implícitos, infiere de los datos que recibe cómo generar resultados —tales como predicciones, contenidos, recomendaciones o decisiones— capaces de influir en entornos físicos o virtuales. Esta definición se alinea deliberadamente con la Recomendación de la OCDE sobre IA y es tecnológicamente neutra.

El Artículo 3 también define a los principales actores del mercado: proveedores (Artículo 3(3)), que desarrollan y comercializan sistemas de IA; responsables del despliegue (Artículo 3(4)), que utilizan sistemas de IA en un contexto profesional; importadores (Artículo 3(6)); distribuidores (Artículo 3(7)); y operadores, término colectivo que abarca a proveedores y responsables del despliegue. Las definiciones adicionales cubren los modelos de IA de uso general (Artículo 3(63)), los sistemas de IA de uso general (Artículo 3(66)), los sistemas de IA de alto riesgo, el uso previsto, el uso indebido razonablemente previsible, la modificación sustancial, la comercialización, la puesta en servicio, el componente de seguridad, los datos biométricos y muchos otros que son esenciales para determinar el ámbito de aplicación, las obligaciones y las categorías de riesgo aplicables en virtud del Reglamento.

Qué significa esto en la práctica

El Artículo 3 es la puerta de entrada al Reglamento IA de la UE. Antes de que una organización pueda determinar si está regulada, en qué medida y en qué función, debe analizar sistemáticamente las definiciones del Artículo 3.

Paso 1 — ¿Su producto cumple los requisitos para ser un sistema de IA? Aplique la prueba del Artículo 3(1): ¿Funciona el sistema con cierta autonomía? ¿Infiere de los datos de entrada para generar resultados? Un modelo de aprendizaje automático utilizado para la evaluación crediticia cumple los requisitos. Una calculadora de elegibilidad con código fijo y reglas fijas, no.

Paso 2 — ¿Cuál es su función? Una empresa que entrena y comercializa un modelo de detección de fraudes es un proveedor. Un banco que licencia ese mismo modelo y lo integra en su proceso de aprobación de préstamos es un responsable del despliegue. Una empresa con sede en EE. UU. que vende el modelo en el mercado de la UE es un importador. La misma entidad jurídica puede ostentar simultáneamente múltiples funciones para diferentes productos de IA o dentro de la misma cadena de valor.

Paso 3 — ¿Se aplica la definición de GPAI? Si su organización desarrolla un modelo fundacional de gran tamaño (como un gran modelo de lenguaje) entrenado con datos amplios y capaz de realizar múltiples tareas, es probable que se aplique el Artículo 3(63), lo que activa las obligaciones del Título VIII para los modelos GPAI independientemente de si el modelo se despliega en sí mismo como un sistema de IA autónomo.

Ejemplo concreto: Una empresa de SaaS en Berlín que ajusta un LLM de código abierto y lo vende como chatbot de atención al cliente a minoristas es proveedora tanto de un modelo GPAI (si publica el modelo subyacente) como de un sistema de IA. Un minorista que utiliza el chatbot para las interacciones con los clientes es un responsable del despliegue. Ambos se enfrentan a obligaciones de cumplimiento distintas en virtud del Reglamento, todas las cuales dependen de la correcta identificación de los roles a través del Artículo 3.

Obligaciones clave

• Identificar correctamente la función jurídica aplicable: toda organización debe determinar si actúa como proveedor, responsable del despliegue, importador, distribuidor o una combinación de estos, ya que cada función conlleva un conjunto de obligaciones distinto e intransferible en virtud de los Títulos III a VIII.
• Aplicar la prueba del sistema de IA del Artículo 3(1) antes de asumir que el Reglamento es aplicable: confirmar la presencia de inferencia basada en máquinas a partir de datos de entrada para generar resultados antes de poner en marcha el marco completo de cumplimiento.
• Distinguir los sistemas de IA de los modelos GPAI: los Artículos 3(63) y 3(66) crean una vía regulatoria separada para los modelos de IA de uso general; las organizaciones que desarrollan modelos fundacionales o de base deben evaluar la aplicabilidad de las obligaciones del Título VIII de forma independiente de las clasificaciones de sistemas de IA.
• Evaluar si se ha producido una «modificación sustancial»: el Artículo 3(23) define la modificación sustancial como un cambio en un sistema de IA después de su comercialización que afecte al cumplimiento del Reglamento por parte del sistema o que altere su uso previsto; tales modificaciones restablecen las obligaciones del proveedor y pueden activar la recertificación.
• Establecer el «uso previsto»: el Artículo 3(12) define el uso previsto como el uso para el que un sistema de IA está específicamente diseñado y documentado por el proveedor; la clasificación de riesgo y los requisitos aplicables están anclados a esta definición, lo que hace que la documentación precisa del uso previsto sea un control de cumplimiento fundamental.
• Tener en cuenta el «uso indebido razonablemente previsible»: el Artículo 3(13) exige que los proveedores consideren los usos de su sistema que no están previstos pero que pueden derivarse del comportamiento humano razonablemente previsible, ampliando el alcance efectivo de la evaluación de riesgos más allá de los casos de uso declarados.

Relación con otros artículos

El Artículo 3 sustenta todas las disposiciones posteriores del Reglamento. Se conecta directamente con el Artículo 2 (ámbito de aplicación), que utiliza las definiciones de «proveedor», «responsable del despliegue», «importador» y «distribuidor» para determinar quién está sujeto al Reglamento y en qué condiciones territoriales. La definición de sistema de IA del Artículo 3(1) delimita la frontera entre el Reglamento y la regulación del software no relacionado con la IA, incidiendo directamente en las prácticas prohibidas enumeradas en el Artículo 5 y en los criterios de clasificación de alto riesgo del Artículo 6 y del Annex III.

La definición de uso previsto se vincula a los procedimientos de evaluación de la conformidad de los Artículos 43–48 y a los requisitos de documentación técnica del Artículo 11 y del Annex IV. Las definiciones de modelos GPAI de los Artículos 3(63–66) son fundamentales para todo el marco del Título VIII (Artículos 51–56). El concepto de modificación sustancial (Artículo 3(23)) activa el reingreso en las obligaciones del proveedor y se conecta con la supervisión poscomercialización del Artículo 72.

Calendario de cumplimiento

El Artículo 3, como parte del Título I (Disposiciones generales), entró en aplicación el 2 de agosto de 2026, 24 meses después de que el Reglamento entrara en vigor el 1 de agosto de 2024. Todas las definiciones del Artículo 3 tienen por tanto pleno efecto jurídico a partir de esa fecha.

No obstante, las organizaciones deben tener en cuenta que la identificación precisa de los roles y las clasificaciones de los sistemas en virtud del Artículo 3 es un requisito previo para el cumplimiento de las fases anteriores de la aplicación del Reglamento. Las prácticas prohibidas del Artículo 5 se aplicaron desde el 2 de febrero de 2025 (6 meses después de la entrada en vigor), lo que significa que las organizaciones debían aplicar las definiciones del Artículo 3 para evaluar la exposición a dichas prohibiciones desde esa fecha. Las obligaciones relativas a los modelos GPAI en virtud del Título VIII se aplicaron desde el 2 de agosto de 2025 (12 meses después de la entrada en vigor). Los requisitos para los sistemas de IA de alto riesgo en virtud del Annex I se aplican desde el 2 de agosto de 2027 (36 meses); los del Annex III se aplican desde el 2 de agosto de 2026, con una derogación hasta el 2 de agosto de 2027 para determinados sistemas ya en servicio. Las organizaciones que no hayan completado todavía el ejercicio de clasificación de roles y sistemas del Artículo 3 incumplen el requisito previo fundamental de cumplimiento en múltiples fases de aplicación.