AI Act · Deployer · Responsable del despliegue · Empresas
Deployer AI Act: si tu empresa utiliza un sistema de inteligencia artificial bajo su propia autoridad dentro de una actividad profesional, puede encajar en la figura que el Reglamento denomina responsable del despliegue.
¿Usas IA pero no sabes qué papel ocupa tu empresa?
Antes de estudiar obligaciones una por una, conviene saber qué IA utilizas, con qué datos, para qué procesos y bajo qué control. El Barómetro REGULA·IA lo convierte en 12 preguntas.
Medir la exposición de mi empresa →
12 preguntas · Aproximadamente 5 minutos · Sin registro · Resultado inmediato
Deployer AI Act: ¿qué significa exactamente?
El artículo 3 del Reglamento (UE) 2024/1689 define al responsable del despliegue como una persona física o jurídica, autoridad pública, órgano u organismo que utiliza un sistema de IA bajo su propia autoridad, salvo cuando el uso se realiza en una actividad personal de carácter no profesional.
En lenguaje sencillo: si una empresa decide utilizar una IA dentro de su actividad, establece para qué se usa y la integra en sus procesos, normalmente debe analizar si está actuando como responsable del despliegue.
La cuestión central del deployer AI Act es, por tanto, la utilización profesional bajo autoridad de la organización. El hecho de no haber desarrollado el modelo no elimina automáticamente las responsabilidades asociadas al uso.
¿Cómo saber si mi empresa es responsable del despliegue?
Una comprobación inicial puede hacerse con cinco preguntas:
- ¿Existe realmente un sistema de IA? No toda automatización, software estadístico o regla programada entra necesariamente en la definición del AI Act.
- ¿Se utiliza dentro de una actividad profesional? El uso puramente personal y no profesional queda fuera de las obligaciones de los deployers.
- ¿La organización lo utiliza bajo su autoridad? Es decir, decide introducirlo, autoriza su uso o lo incorpora a un proceso empresarial.
- ¿El sistema produce contenido, recomendaciones, predicciones o decisiones utilizadas por la empresa? Esto ayuda a comprender su función real.
- ¿La empresa sigue siendo usuaria o ha cambiado sustancialmente el sistema o su finalidad? Esa diferencia puede alterar el papel jurídico.
Si las respuestas apuntan a un uso profesional bajo control de la organización, el análisis de deployer AI Act cobra sentido. Después habrá que estudiar qué tipo de sistema se utiliza y qué obligaciones concretas corresponden.
Ejemplos prácticos de empresas que pueden actuar como deployer
Usar ChatGPT para crear borradores
La empresa utiliza una IA de terceros en su actividad. Esto puede situarla como responsable del despliegue, aunque el uso concreto no sea de alto riesgo.
Utilizar IA para apoyar la selección de candidatos
La organización puede actuar como deployer y, además, debe revisar si el caso de uso entra en las categorías de alto riesgo.
Integrar un chatbot de un proveedor externo
Aunque el proveedor haya desarrollado la tecnología, la empresa puede asumir obligaciones relacionadas con cómo despliega y utiliza el sistema.
Resumir contratos o expedientes con IA
Puede existir un rol de deployer y, si hay datos personales, también será necesario revisar el RGPD y otras obligaciones aplicables.
Usar IA como apoyo a decisiones internas
La importancia está en la finalidad, los datos, las consecuencias y el grado de dependencia del resultado generado.
Una persona usa IA fuera de su actividad profesional
El AI Act excluye las obligaciones de deployer cuando una persona física utiliza el sistema en una actividad puramente personal y no profesional.
Deployer vs proveedor: la diferencia que una empresa debe entender
El AI Act reparte obligaciones según el papel que ocupa cada actor. Confundir proveedor y responsable del despliegue puede llevar a asumir obligaciones que no corresponden o, al contrario, ignorar las que sí son aplicables.
Desarrolla o hace desarrollar un sistema y lo pone en el mercado o en servicio bajo su nombre o marca
Su papel está vinculado a poner el sistema a disposición bajo las condiciones definidas por el Reglamento.
Utiliza un sistema de IA bajo su autoridad
Su responsabilidad se centra en el uso real del sistema, el contexto, las personas afectadas y las obligaciones que correspondan a ese despliegue.
En la práctica, una revisión de deployer AI Act suele empezar aquí: una pyme que compra o contrata una herramienta de IA para usarla internamente parte normalmente del análisis como responsable del despliegue. No se convierte automáticamente en proveedor por pagar una suscripción o integrar una aplicación externa.
REGULA·IA ya desarrolla esta diferencia en su guía de AI Act para pymes, donde el papel de la organización es uno de los primeros elementos que conviene identificar antes de estudiar el riesgo.
El rol jurídico importa, pero primero necesitas visibilidad sobre los usos reales
El Barómetro REGULA·IA te ayuda a detectar si tienes puntos ciegos en herramientas, datos, responsables, supervisión y evidencia antes de profundizar en cada obligación.
¿Qué obligaciones puede tener un deployer bajo el AI Act?
Ser deployer no activa automáticamente una lista idéntica de obligaciones para todas las empresas. Las obligaciones dependen del sistema, su finalidad, el riesgo y el contexto de uso.
En un análisis de deployer AI Act pueden aparecer, entre otras, estas capas:
- Alfabetización en IA: adoptar medidas adecuadas para apoyar las capacidades y comprensión del personal y otras personas que utilizan IA en nombre de la organización.
- Prácticas prohibidas: evitar usos incluidos en el artículo 5 cuando resulten aplicables.
- Transparencia: determinadas utilizaciones de reconocimiento de emociones, categorización biométrica, deepfakes o ciertos textos generados por IA pueden exigir información o divulgación.
- Sistemas de alto riesgo: cuando el uso entra en esa categoría aparecen obligaciones específicas para responsables del despliegue.
- Otras normas: RGPD, legislación laboral, consumo, confidencialidad o normativa sectorial pueden coexistir con el AI Act.
Por eso no es correcto afirmar que «todos los deployers tienen que hacer lo mismo». La figura identifica el papel de la organización; después hay que determinar las obligaciones aplicables al caso concreto.
¿El deployer tiene que formar a sus empleados?
El artículo 4 incluye expresamente a los responsables del despliegue. Tras la reforma de 2026, la organización debe adoptar medidas para apoyar la alfabetización en IA teniendo en cuenta el conocimiento, experiencia, formación, contexto de uso y personas potencialmente afectadas.
¿El deployer tiene obligaciones de transparencia?
En determinados escenarios sí. El artículo 50 contempla obligaciones para responsables del despliegue, por ejemplo en ciertos usos de reconocimiento de emociones o categorización biométrica y en la divulgación de determinados deepfakes o textos generados o manipulados por IA.
REGULA·IA desarrolla estos casos en su guía sobre transparencia en el uso de IA.
¿Qué cambia si el deployer utiliza un sistema de IA de alto riesgo?
Las obligaciones específicas del artículo 26 son mucho más exigentes que las de un uso empresarial ordinario. Para sistemas de alto riesgo, el responsable del despliegue puede tener que adoptar medidas técnicas y organizativas, seguir instrucciones de uso, asignar supervisión humana competente, controlar determinados datos de entrada, vigilar el funcionamiento y conservar registros cuando estén bajo su control.
El artículo 26 también contempla, según el caso, información a trabajadores y representantes cuando el sistema se utiliza en el lugar de trabajo, información a personas afectadas por determinadas decisiones asistidas por sistemas de alto riesgo y cooperación con autoridades competentes.
Por tanto, en cualquier análisis de deployer AI Act, identificar a la empresa como responsable del despliegue es solo el primer paso. El segundo es determinar si el uso concreto es de riesgo mínimo, transparencia específica, prohibido o alto riesgo.
¿Puede un deployer convertirse en proveedor?
Sí, en determinadas circunstancias. El artículo 25 establece supuestos en los que un responsable del despliegue, distribuidor, importador o tercero pasa a ser considerado proveedor de un sistema de IA de alto riesgo.
Esto puede ocurrir cuando:
- Pone su nombre o marca en un sistema de IA de alto riesgo ya comercializado o puesto en servicio, en las condiciones previstas por el Reglamento.
- Realiza una modificación sustancial de un sistema de alto riesgo y el sistema sigue siendo de alto riesgo.
- Cambia la finalidad prevista de un sistema que no era de alto riesgo de forma que el nuevo uso lo convierte en un sistema de alto riesgo.
Este punto es especialmente relevante para empresas que no se limitan a utilizar una herramienta tal como la entrega el proveedor, sino que la integran, modifican, reetiquetan o la convierten en parte de una solución propia.
¿Ser deployer sustituye las obligaciones del RGPD?
No. AI Act y RGPD analizan cuestiones diferentes y pueden aplicarse simultáneamente. Una empresa puede ser responsable del despliegue de un sistema que no sea de alto riesgo y, aun así, estar realizando un tratamiento relevante de datos personales.
Cuando la IA procesa información de clientes, trabajadores, pacientes, candidatos u otras personas identificadas o identificables, conviene revisar además finalidad, base jurídica, minimización, seguridad, proveedores y derechos de las personas.
Puedes ampliar esta capa en la guía de REGULA·IA sobre IA y RGPD para empresas.
Qué debería hacer una empresa que sospecha que es deployer
Un análisis práctico de deployer AI Act puede comenzar sin convertir el cumplimiento en una montaña de documentos:
- Inventaría las herramientas: identifica sistemas, integraciones, cuentas y proveedores.
- Describe la finalidad real: qué tarea realiza cada IA y qué resultado produce.
- Identifica personas afectadas: trabajadores, candidatos, clientes, usuarios u otros grupos.
- Revisa los datos: qué información entra y sale del sistema.
- Determina el papel: deployer, proveedor u otro operador según el caso.
- Clasifica el riesgo: comprueba si existen prácticas prohibidas, obligaciones de transparencia o escenarios de alto riesgo.
- Asigna responsables: quién autoriza, supervisa, revisa y responde ante una incidencia.
- Deja evidencia: conserva criterios, políticas, proveedores, formación y decisiones relevantes.
- Revisa los cambios: una nueva integración, finalidad o modificación puede cambiar el análisis.
El objetivo es poder responder de forma sencilla a seis preguntas: qué IA usamos, para qué, con qué datos, sobre quién, bajo qué responsabilidad y qué podemos demostrar.
Preguntas frecuentes sobre deployer y AI Act
¿Qué es un deployer en el AI Act?
Es la persona física o jurídica, autoridad u organismo que utiliza un sistema de IA bajo su propia autoridad, salvo cuando una persona física lo utiliza en una actividad puramente personal y no profesional.
¿Una pyme que utiliza ChatGPT puede ser deployer?
Sí. Utilizar profesionalmente un sistema de IA de terceros puede situar a la organización como responsable del despliegue. Eso no significa que el uso sea automáticamente de alto riesgo.
¿Comprar una herramienta de IA convierte a mi empresa en proveedor?
No automáticamente. El proveedor y el responsable del despliegue son figuras diferentes. Una empresa puede convertirse en proveedor en determinados supuestos de reetiquetado, modificación sustancial o cambio de finalidad previstos en el artículo 25.
¿Un autónomo puede ser responsable del despliegue?
Sí, si utiliza un sistema de IA dentro de su actividad profesional. La excepción se refiere al uso puramente personal y no profesional de una persona física.
¿Todos los deployers tienen las mismas obligaciones?
No. Las obligaciones dependen del sistema, la finalidad, el riesgo y el contexto. Un uso ordinario de IA generativa no activa automáticamente las obligaciones específicas de los sistemas de alto riesgo.
¿Un deployer tiene que formar a sus empleados?
El artículo 4 incluye a responsables del despliegue y exige adoptar medidas para apoyar la alfabetización en IA de las personas que operan o utilizan los sistemas en nombre de la organización.
¿El deployer tiene que guardar registros?
En sistemas de alto riesgo, el artículo 26 establece obligaciones específicas sobre conservación de logs cuando estén bajo control del deployer y durante el periodo aplicable. No debe trasladarse esa obligación concreta automáticamente a todos los usos de IA.
¿Puede una empresa ser deployer de una herramienta y proveedor de otra?
Sí. El papel se analiza respecto de cada sistema y situación. Una empresa puede utilizar una herramienta externa como deployer y, al mismo tiempo, desarrollar o comercializar otra solución bajo su nombre como proveedor.
¿Ser responsable del despliegue significa que la IA es de alto riesgo?
No. “Responsable del despliegue” describe el papel de la organización. “Alto riesgo” describe una categoría regulatoria del sistema o su finalidad. Son conceptos distintos.
¿Cómo puedo saber qué exposición tiene mi empresa antes de hacer una auditoría?
Empieza por mapear herramientas, usos, datos, responsables y controles. El Barómetro REGULA·IA ofrece una primera lectura orientativa mediante 12 preguntas y ayuda a detectar qué áreas conviene revisar con mayor profundidad.
No necesitas empezar memorizando artículos: empieza sabiendo qué IA utiliza realmente tu empresa
Completa el Barómetro REGULA·IA y detecta si tus principales puntos ciegos están en usos, datos, responsables, supervisión o evidencia.
Obtener mi diagnóstico orientativo →
Participación gratuita · Sin registro · Resultado inmediato
En resumen: entender el deployer AI Act evita uno de los errores más frecuentes: pensar que solo las empresas que desarrollan inteligencia artificial tienen un papel regulatorio. Para muchas pymes, la primera cuestión es precisamente cómo utilizan sistemas creados por terceros y bajo qué control.
Fuentes oficiales y actualización
Contenido actualizado a agosto de 2026. Es información divulgativa y no sustituye una evaluación jurídica, técnica o sectorial del caso concreto.
- AI Act Service Desk: artículo 3 — definición de responsable del despliegue.
- EUR-Lex: Reglamento (UE) 2024/1689 — texto oficial del AI Act.
- AI Act Service Desk: artículo 25 — responsabilidades a lo largo de la cadena de valor.
- AI Act Service Desk: artículo 26 — obligaciones de deployers de sistemas de alto riesgo.
- AI Act Service Desk: artículo 50 — obligaciones de transparencia.
Deja un comentario