Operadores de Inteligencia Artificial

Los operadores de inteligencia artificial son personas físicas o jurídicas que participan en alguna de las fases del ciclo de vida de los sistemas de IA. Se involucran con distintos niveles de responsabilidad desde su desarrollo y comercialización, hasta su distribución, integración, uso o supervisión.

Cada uno de estos operadores desempeña un papel específico y asume obligaciones legales concretas, que varían según el momento y la naturaleza de su intervención en el sistema.

Esta acotación permite identificar con claridad a los diferentes actores que conforman el entramado técnico y normativo de la inteligencia artificial, lo que resulta esencial para atribuir responsabilidades de forma precisa y garantizar la trazabilidad de las decisiones automatizadas.

Una delimitación adecuada de estos operadores es fundamental para salvaguardar la seguridad, asegurar la transparencia de los procesos y proteger los derechos de las personas afectadas por la actuación de los sistemas de IA.

El concepto de operadores de inteligencia artificial ha sido introducido y sistematizado por el Reglamento (UE) 2024/1689 sobre Inteligencia Artificial (RIA), que lo emplea como estructura funcional para ordenar el reparto de obligaciones jurídicas entre los diversos agentes implicados en la vida operativa del sistema.

A continuación, se describen los principales operadores identificados en la práctica, así como, en el marco regulatorio europeo vigente:

1. Proveedor como operador de inteligencia artificial

Es una persona física o jurídica que desarrolla o pone en el mercado un sistema de inteligencia artificial bajo su nombre o marca, ya sea con carácter oneroso o gratuito. Su papel entre los operadores de inteligencia artificial, es clave en el ecosistema, ya que asume las funciones esenciales vinculadas al cumplimiento técnico y normativo.

El proveedor es responsable tanto en la fase previa a la puesta en el mercado, como tras el despliegue del sistema, debiendo supervisar su funcionamiento y colaborar con los demás operadores implicados. Según el tipo de sistema que ofrezca, deberá ajustarse a distintos niveles de exigencia regulatoria.

1.1 Obligaciones jurídicas del proveedor de inteligencia artificial

Con carácter general, el proveedor debe asegurarse de que el sistema de inteligencia artificial que desarrolla o comercializa cumple con los requisitos establecidos por el RIA en función del tipo de sistema.

Estas obligaciones pueden variar según el nivel de riesgo asignado al sistema de IA, pero existen ciertos principios comunes que todo proveedor debe respetar:

• Garantizar que el sistema no incurre en usos prohibidos.
• Cumplir con los requisitos de transparencia cuando el sistema interactúe con personas o genere contenidos.
• Informar de manera clara sobre la naturaleza artificial del sistema, con el fin de que el usuario sea consciente que está ante contenido generado y no auténtico.
• Poner a disposición la información necesaria para su correcto uso e integración.

De esta forma se establece un estándar mínimo de diligencia exigido a quienes intervienen en la puesta en el mercado de sistemas de IA dentro del Espacio Económico Europeo.

1.2 Obligaciones específicas en sistemas IA de alto riesgo

Cuando el sistema de IA es clasificado como de alto riesgo, el proveedor debe cumplir con una serie de obligaciones adicionales, más exigentes y estructuradas, que se recogen específicamente en el RIA.

Estas disposiciones tienen como objetivo reforzar la seguridad, trazabilidad y supervisión de los sistemas con mayor impacto potencial.

Entre las principales exigencias previstas por el RIA, destacan:

• Evaluación de conformidad (arts. 43–49): Verificar que el sistema cumple los requisitos antes de su comercialización.
• Documentación técnica (art. 11): Recoger información detallada sobre el diseño, los datos utilizados, la finalidad y la arquitectura del sistema.
• Sistema de gestión de calidad (art. 17): Establecer procedimientos internos que garanticen la revisión continua y la mejora del sistema.
• Registro en base de datos europea (art. 60): Inscribir los sistemas de alto riesgo en la base pública habilitada a tal efecto.
• Supervisión humana y mitigación de riesgos (arts. 9, 13 y 14): Incluir mecanismos que aseguren el control humano y la capacidad de intervención.
• Notificación de incidentes graves (art. 62): Comunicar a las autoridades cualquier fallo que genere un riesgo relevante o vulnere derechos fundamentales.

En caso de incumplimiento, el proveedor puede enfrentarse a sanciones administrativas severas, que alcanzan hasta 35 millones de euros o el 7% del volumen de negocio global, dependiendo de la gravedad de la infracción.

2. Fabricante de producto con IA integrada

El fabricante de un producto que integra un sistema de IA es aquel que diseña, produce o comercializa un bien físico que incluye un componente de IA como parte de su funcionamiento, ya sea para la toma de decisiones automatizadas, la interacción con usuarios, o el análisis de datos. (IA embebida o “embedded IA”) 

Cuando un producto contiene un sistema de IA que cumple funciones propias de alto riesgo —por ejemplo, evaluación diagnóstica, análisis biométrico, predicción de comportamientos—, el RIA establece que el fabricante del producto asume también las obligaciones del proveedor del sistema de IA.

Esto ocurre si el sistema no se comercializa por separado, sino que está integrado permanentemente en el producto y el fabricante tiene control sobre su diseño y funcionamiento.

2.1 Obligaciones del fabricante en casos de alto riesgo

Si el fabricante asume el rol de proveedor, deberá cumplir con todas las obligaciones previstas para dicha figura, incluyendo:

• Evaluación de conformidad del sistema de IA.
• Elaboración de documentación técnica específica sobre la IA.
• Supervisión de riesgos vinculados al uso del sistema.
• Registro en la base de datos europea tratándose de un sistema de alto riesgo.
• Garantizar que la integración del sistema no modifica las condiciones previstas en las normativas sectoriales.

Si, en cambio, el sistema de IA se incorpora como módulo independiente y con proveedor externo, el fabricante deberá al menos:

• Asegurarse de que ese proveedor ha cumplido con el RIA.
• Verificar que la integración no altera su finalidad prevista.
• Coordinar con el proveedor en caso de actualizaciones, incidentes o solicitudes de las autoridades.

Expongamos un ejemplo práctico para comprenderlo mejor:

Podemos pensar en el caso de una empresa de domótica que desarrolla un robot doméstico. Este robot, además de limpiar, incluye un sistema de IA que reconoce comandos de voz, detecta presencia humana y envía alertas en caso de incidentes.

Como el sistema de IA está embebido y forma parte del producto, el fabricante del robot será considerado también proveedor del sistema de IA y deberá cumplir con las obligaciones legales previstas para dicha figura.

3. Representante autorizado

El artículo 54 del RIA establece que, cuando un proveedor de sistemas o modelos de inteligencia artificial de uso general, no está establecido en la Unión Europea, pero desea comercializar o poner en servicio su sistema en el mercado europeo, debe designar un representante autorizado con sede en la UE.

Esta figura puede ser una persona física o jurídica, y actúa como interlocutor legal entre el proveedor y las autoridades competentes europeas. La designación debe formalizarse mediante mandato escrito, y su función principal es velar por el cumplimiento del Reglamento en nombre del proveedor en todo aquello que se le haya delegado.

No sustituye al proveedor, pero sí asume obligaciones propias, que lo convierten en un operador jurídicamente relevante dentro del ecosistema normativo de la IA.

Entre las funciones principales del representante se encuentran:

• Tener acceso y conservar la documentación técnica del sistema, poniéndola a disposición de las autoridades competentes si se requiere.
• Cooperar activamente con las autoridades nacionales de supervisión, facilitando auditorías, inspecciones y verificaciones.
• Responder por el cumplimiento del Reglamento en nombre del proveedor, en caso de requerimientos legales o procedimientos sancionadores.
• Canalizar la comunicación oficial entre el proveedor y la Unión Europea, especialmente en lo relativo a incidentes, medidas correctoras o modificaciones del sistema.

Esta figura es especialmente relevante para startups tecnológicas, plataformas digitales o desarrolladores que operan desde fuera del Espacio Económico Europeo y desean introducir sus sistemas de IA en el mercado europeo. Sin un representante autorizado designado, no podrán comercializar legalmente sus productos en la UE.

Asimismo, en caso de incumplimiento o falta de cooperación por parte del proveedor, las autoridades europeas pueden dirigirse directamente contra él, quien deberá colaborar con la Oficina de Inteligencia Artificial y las autoridades competentes.

Por último, cabe señalar que la designación de un representante no será exigible cuando se trate de proveedores de modelos de IA de uso general que se hayan divulgado bajo licencia de código abierto. Salvo en aquellos casos en que dichos modelos presenten riesgos sistémicos conforme al RIA.

4. Importador como operador de inteligencia artificial

Es la persona física o jurídica establecida en la Unión Europea que introduce en el mercado de la UE un sistema de IA de alto riesgo que ha sido fabricado fuera de la UE.

Su rol es esencialmente logístico y de cumplimiento: el importador no diseña, ni fabrica, ni personaliza el sistema, pero asume responsabilidad legal por introducirlo en el mercado europeo.

Se diferencia claramente del previamente expuesto, representante autorizado. Ya que si bien el importador introduce el producto en el mercado, el rol del representante autorizado es más administrativo y de representación jurídica, como su nombre bien indica.

4.1 Obligaciones del importador en casos de sistemas IA alto riesgo

Cuando el sistema de inteligencia artificial que se importa está clasificado como de alto riesgo, el Reglamento impone al importador, como uno de los operadores de IA, una serie de obligaciones específicas, destinadas a garantizar su plena conformidad antes de su introducción en el mercado de la Unión (art. 23 del RIA):

• Verificar la conformidad del sistema antes de su introducción: evaluación de conformidad, documentación técnica, marcado CE y declaración UE de conformidad, así como nombramiento de representante autorizado.
• No introducir ni comercializar el sistema en caso de falsificación o falta de conformidad, e informar sin demora al proveedor y a las autoridades competentes.
• Incorporar en el embalaje o en la documentación su nombre, marca comercial y dirección de contacto.
• Asegurar que las condiciones de almacenamiento y transporte no menoscaban los requisitos del Reglamento.
• Conservar durante diez años copia de los certificados (si procede), instrucciones de uso y declaración UE de conformidad.
• Proporcionar a las autoridades, a solicitud motivada, toda la información y documentación necesaria en una lengua comprensible para demostrar la conformidad.
• Colaborar activamente con las autoridades en cualquier acción para reducir o mitigar riesgos del sistema.

Estas responsabilidades refuerzan el control previo a la comercialización y consolidan el papel del importador como eslabón clave en la cadena de operadores. El importador contribuye a que ningún sistema de alto riesgo acceda al mercado europeo sin haber cumplido con los estándares exigidos por la normativa de la Unión.

5. Distribuidor como operador de inteligencia artificial

El distribuidor es la persona física o jurídica que forma parte de la cadena de suministro y comercializa un sistema de inteligencia artificial de alto riesgo ya introducido en el mercado europeo, sin ser su fabricante, importador ni representante autorizado.

Su función es la de poner el sistema a disposición del usuario final o de otros operadores.  No participa en su diseño ni en su fabricación, pero sí está obligado a actuar con la debida diligencia para no facilitar la distribución de productos que incumplan la normativa.

Cuando el sistema de inteligencia artificial es de alto riesgo, el artículo 24 del Reglamento de Inteligencia Artificial impone obligaciones concretas al distribuidor. Estas buscan asegurar que el sistema cumple los requisitos legales antes de su comercialización.

• Verificar el cumplimiento formal del sistema antes de su comercialización: marcado CE, declaración UE de conformidad, instrucciones y documentación en una lengua comprensible para el usuario.
• Abstenerse de distribuir el sistema en caso de detectar indicios de no conformidad y comunicarlo al fabricante, al importador o al representante autorizado, así como a las autoridades competentes si fuera necesario.
• Garantizar condiciones de almacenamiento o transporte adecuadas, que no comprometan la conformidad del sistema con los requisitos del Reglamento.
• Colaborar con las autoridades nacionales competentes, proporcionando información y documentación para demostrar la conformidad, cuando así se les requiera.

El distribuidor, aunque no asume la responsabilidad principal sobre el sistema, desempeña un papel importante en el cumplimiento normativo, en tanto que actúa como filtro final antes de la puesta efectiva en el mercado o la entrega al usuario final. Su actuación diligente contribuye a salvaguardar la trazabilidad del sistema y a preservar la integridad del marco regulatorio de la Unión.

6. Responsable del despliegue

El responsable del despliegue es una persona física o jurídica que utiliza un sistema de inteligencia artificial en el marco de una actividad profesional, empresarial o institucional.

No desarrolla, diseña ni comercializa el sistema. Lo aplica bajo su control directo, con impacto operativo, y en contextos que pueden afectar a personas, procesos o decisiones. Está definido en el artículo 3.4 del RIA y su función comienza una vez que el sistema ha sido introducido en el mercado.

No es un simple usuario final. Su papel implica responsabilidad en el uso del sistema dentro de una organización, sector o función específica. El Reglamento le impone deberes de diligencia activa, orientados a garantizar el uso conforme del sistema y la prevención de riesgos.

Entre sus obligaciones generales destacan:

• Usar el sistema según las instrucciones del proveedor o fabricante.
• Verificar que los datos introducidos sean pertinentes, completos y adecuados.
• Supervisar el rendimiento del sistema y detectar posibles desviaciones.
• Activar mecanismos de intervención humana, cuando sea necesario.
• Documentar el uso del sistema si así lo exige la normativa o su diseño.
• Cooperar con autoridades y otros operadores en caso de incidentes.

Cuando se trata de un sistema de IA de alto riesgo, el artículo 26 del RIA refuerza sus responsabilidades. En ese caso, debe:

• Confirmar que el sistema cuenta con marcado CE y declaración de conformidad.
• Garantizar que el personal implicado ha sido formado adecuadamente.
• Adoptar medidas técnicas y organizativas para permitir supervisión humana.
• Notificar a las autoridades cualquier incidente grave derivado del uso del sistema.

El responsable del despliegue representa, en muchos casos, la cara visible del sistema ante el usuario final. Su actuación determina el uso correcto de la tecnología y constituye la última barrera preventiva antes de que una decisión automatizada despliegue efectos en la realidad.

7. Persona afectada

El RIA reconoce como personas afectadas a todos aquellos individuos sobre los que un sistema de inteligencia artificial despliega efectos directos o indirectos, ya sea a través de decisiones automatizadas, recomendaciones, evaluaciones o generación de contenidos.

A pesar de que no desarrollan, comercializan ni utilizan los sistemas, estas personas forman parte del ecosistema regulado como sujetos jurídicos protegidos, y en ciertos casos, también como interlocutores activos frente a los operadores técnicos (proveedores, responsables del despliegue, etc.).

El RIA establece principios y mecanismos clave para proteger a las personas afectadas por sistemas de IA, especialmente cuando están en juego derechos fundamentales.

Entre las garantías más destacadas, se encuentran:

• Derecho a ser informado (arts. 13 y 52):

Las personas deben saber que están interactuando con un sistema de IA, conocer su finalidad prevista, y entender si el contenido ha sido generado o modificado automáticamente (por ejemplo, en deepfakes o contenido generado artificialmente).

• Derecho a intervención humana y supervisión:

De acuerdo con el Artículo 14 del Reglamento de Inteligencia Artificial, los sistemas IA de alto riesgo deben ser diseñados y desarrollados para permitir una supervisión efectiva por parte de personas físicas, con el fin de prevenir o minimizar riesgos para la salud, la seguridad o los derechos fundamentales.

Esta supervisión debe ser proporcional al nivel de riesgo y contexto de uso, e incluir la capacidad de comprender, monitorear, interpretar y, en su caso, intervenir o detener el funcionamiento del sistema.

• Derecho a presentar reclamaciones ante las autoridades competentes (art. 64):

El Reglamento establece canales de reclamación para cualquier persona que considere que un sistema de IA ha sido utilizado en su perjuicio o sin el cumplimiento de la normativa aplicable.

• Derecho a la transparencia y trazabilidad de decisiones:

Se exige en todo momento que los sistemas de IA tengan mecanismos de explicabilidad y trazabilidad, especialmente cuando afectan a personas físicas.

El reconocimiento de la persona afectada como uno de los operadores de Inteligencia Artificial relevante, es coherente con el enfoque del Reglamento, que tiene como finalidad esencial garantizar que la inteligencia artificial se despliegue respetando los derechos y libertades fundamentales recogidos en la Carta de Derechos Fundamentales de la Unión Europea.

Esto implica que definitivamente importa lo que hace un sistema, así como a quién afecta, cómo lo hace, con qué consecuencias y bajo qué garantías.

Los operadores de Inteligencia Artificial técnicos deben asumir que estas personas no son meros destinatarios pasivos, sino sujetos jurídicos protegidos por el marco regulador.

A través de este ejemplo práctico comprenderemos mejor la envergadura de lo expuesto:

Imaginemos la situación en la que un estudiante realiza una prueba de acceso automatizada para una beca universitaria. Si el sistema de evaluación está basado en IA, debe ser informado de ello, entender cómo funciona y tener la posibilidad de apelar el resultado si considera que ha sido discriminado o evaluado erróneamente. Actúa como persona afectada, y debe contar con garantías de transparencia, revisión y protección de sus derechos.

La identificación adecuada de los operadores de IA es esencial para comprender el ecosistema regulatorio de esta tecnología y la responsabilidad atribuida a cada uno ellos dentro del ciclo de vida de la IA.

Nos permite entender quién responde, en qué medida y bajo qué condiciones, ante el uso de sistemas que pueden influir en decisiones cotidianas, esenciales y sensibles como el acceso a servicios, el empleo, la salud o la libertad.

La complejidad regulatoria que existe actualmente alrededor de la tecnología IA, lo que incluye comprender los roles y las responsabilidades los operadores de la IA, merece respuestas expertas. Por ello, es imprescindible confiar tus consultas en abogados especialistas en inteligencia artificial.