Si tu empresa usa un sistema de inteligencia artificial de alto riesgo que no ha fabricado, el AI Act te llama responsable del despliegue y te asigna un catálogo propio: el artículo 26 del Reglamento (UE) 2024/1689. Son doce apartados que no se cumplen con una cláusula, sino con personas designadas, registros conservados e información entregada antes de encender el sistema.
Es el rol de la inmensa mayoría de las empresas españolas y el peor explicado. Si no sabes qué figura te corresponde, empieza por los cinco roles del AI Act y sus obligaciones; aquí bajamos al detalle de uno solo.
«Responsable del despliegue», «implementador» y «deployer» son la misma figura
La versión española del reglamento dice responsable del despliegue; la inglesa, deployer; y en el mercado se quedó implementador. Las tres designan lo mismo: la organización que usa el sistema, frente al proveedor, que lo desarrolla y lo pone en el mercado. Cambia lo que encuentras al buscar, no lo que te obliga: si un contrato te llama implementador, tu artículo es el 26.
Respuesta corta. Usar una IA de alto riesgo te obliga, entre otras cosas, a encomendar la supervisión humana a personas «que tengan la competencia, la formación y la autoridad necesarias» (artículo 26, apartado 2); a informar a los representantes de los trabajadores y a los trabajadores afectados antes de poner el sistema en servicio en el lugar de trabajo, si eres empleador (artículo 26, apartado 7); y a usar para tu evaluación de impacto de protección de datos la información que el proveedor facilita conforme al artículo 13 (artículo 26, apartado 9). Incumplirlo llega a 15 millones de euros o al 3 % del volumen de negocios mundial, y se aplica a los sistemas del anexo III desde el 2 de diciembre de 2027.
Las obligaciones del artículo 26, con lupa
Apartado 2: competencia, formación y autoridad
El texto es breve y muy exigente: «Los responsables del despliegue encomendarán la supervisión humana a personas físicas que tengan la competencia, la formación y la autoridad necesarias.» Tres requisitos acumulativos, y el tercero es el que casi nadie cumple.
- Competencia. Entender qué hace el sistema, con qué datos trabaja y cuándo su resultado es poco fiable: quien puede leer una salida y decir si tiene sentido.
- Formación. Sobre ese sistema, no un curso genérico, y documentada con fecha y contenido: es la evidencia que te van a pedir. No la confundas con la alfabetización en IA del artículo 4, que es otra obligación.
- Autoridad. Si quien supervisa no puede parar el sistema, revertir una decisión ni negarse a aplicar su resultado, la supervisión es decorativa. No se acredita con un organigrama, sino con el poder de decir no.
¿Quién debe ser? Quien mande sobre el proceso: en una pyme, el responsable del área, no el informático que instaló la herramienta. Y debe poder, sin pedir autorización, suspender el uso, corregir una salida concreta y escalar a la dirección. Si necesita tres visados para detener un sistema que decide sobre personas, el apartado 2 no está cumplido. Y esa figura no es el delegado de protección de datos.
Apartado 7: informar a los trabajadores antes, no después
Casi ninguna empresa española la conoce, y es literal: «Antes de poner en servicio o utilizar un sistema de IA de alto riesgo en el lugar de trabajo, los responsables del despliegue que sean empleadores informarán a los representantes de los trabajadores y a los trabajadores afectados de que estarán expuestos a la utilización del sistema de IA de alto riesgo. Esta información se facilitará, cuando proceda, con arreglo a las normas y procedimientos establecidos en el Derecho de la Unión y nacional y conforme a las prácticas en materia de información a los trabajadores y sus representantes.»
El deber es previo: no vale comunicarlo el primer día de uso. Hay dos destinatarios, y el segundo existe aunque en tu centro no haya comité. La última frase, que casi nadie lee, remite a las normas y prácticas de información a los trabajadores del Derecho de la Unión y nacional: el AI Act no abre un canal paralelo, se suma a los cauces laborales que ya tienes. Aplicado a personal y selección, en el AI Act en recursos humanos; la parte laboral, en los derechos digitales en el trabajo.
No lo confundas con informar a la persona sobre la que el sistema decide: el artículo 26 también obliga a informar a las personas afectadas, y ahí los destinatarios son otros. Un candidato externo no es trabajador tuyo.
Apartado 9: tu evaluación de impacto depende del proveedor
Literal: «Cuando proceda, los responsables del despliegue de sistemas de IA de alto riesgo utilizarán la información facilitada conforme al artículo 13 del presente Reglamento para cumplir la obligación de llevar a cabo una evaluación de impacto relativa a la protección de datos que les imponen el artículo 35 del Reglamento (UE) 2016/679 o el artículo 27 de la Directiva (UE) 2016/680.»
Dentro hay un problema contractual que casi nadie cuenta. La norma no te recuerda que hagas la evaluación: te dice que, para cumplirla, utilizarás la información que el proveedor facilita conforme al artículo 13. El insumo está en manos de un tercero: si no te lo entrega, te quedas sin el material que la norma señala como base. Y quien responde eres tú: el artículo 99, apartado 4, letra e), sanciona «las obligaciones de los responsables del despliegue con arreglo al artículo 26».
Traducción de consultor: esa entrega se pacta por contrato, con la documentación identificada, actualizada cuando el proveedor cambie el sistema y con fecha de recepción. Es la materia prima de un documento que te van a reclamar. La mecánica, en cómo se hace una evaluación de impacto y el caso de la IA en la EIPD cuando hay inteligencia artificial de por medio.
Qué más te obliga el artículo 26
El artículo 26 también obliga a usar el sistema conforme a las instrucciones de uso del proveedor; a velar por la pertinencia de los datos de entrada, cuando el responsable del despliegue ejerce control sobre esos datos; a vigilar el funcionamiento y notificar al proveedor sin demora indebida; a conservar los registros que el sistema genera automáticamente; a informar a las personas afectadas; y a cooperar con las autoridades competentes. No citamos el apartado de cada una a propósito: circulan citas equivocadas, y una cita mal copiada se vuelve contra ti.
EIPD y FRIA no son lo mismo
Son dos evaluaciones distintas, en normas distintas, y no obligan a los mismos sujetos. Se confunden a diario.
La EIPD es la del artículo 35 del Reglamento (UE) 2016/679 y mira el riesgo para los datos personales. El artículo 26, apartado 9, del AI Act la conecta con la información del artículo 13.
La FRIA es la del artículo 27 del AI Act, mira el impacto en los derechos fundamentales y su apartado 1 no obliga a cualquier responsable del despliegue: «Antes de desplegar uno de los sistemas de IA de alto riesgo a que se refiere el artículo 6, apartado 2, con excepción de los sistemas de IA de alto riesgo destinados a ser utilizados en el ámbito enumerado en el anexo III, punto 2, los responsables del despliegue que sean organismos de Derecho público, o entidades privadas que prestan servicios públicos», y también los responsables del despliegue de los sistemas del anexo III, punto 5, letras b) y c), «llevarán a cabo una evaluación del impacto que la utilización de dichos sistemas puede tener en los derechos fundamentales»
Dentro quedan los organismos de Derecho público, las entidades privadas que prestan servicios públicos y quien despliega los sistemas del anexo III, punto 5, letras b) y c): solvencia o calificación crediticia, y riesgos y precios en seguros de vida y salud. Y la exclusión que casi nadie cita: el anexo III, punto 2, infraestructuras críticas. Si no prestas servicios públicos y tu sistema no está en esas dos letras, no tienes que hacer FRIA; te siguen obligando el artículo 26 y el RGPD.
¿Y si te tocan las dos? Lo resuelve el artículo 27, apartado 4: «Si ya se cumple cualquiera de las obligaciones establecidas en el presente artículo mediante la evaluación de impacto relativa a la protección de datos realizada con arreglo al artículo 35 del Reglamento (UE) 2016/679 o del artículo 27 de la Directiva (UE) 2016/680, la evaluación de impacto relativa a los derechos fundamentales a que se refiere el apartado 1 del presente artículo complementará dicha evaluación de impacto relativa a la protección de datos.» Complementar no es sustituir: no repites lo hecho, pero tampoco te ahorras lo que la EIPD no mira. La comparación completa, en AI Act frente a RGPD y las diferencias en materia de EIPD.
| Aspecto | EIPD | FRIA |
|---|---|---|
| Qué mira | El riesgo para los datos personales | El impacto de su utilización en los derechos fundamentales |
| En qué norma vive | Artículo 35 del Reglamento (UE) 2016/679, o artículo 27 de la Directiva (UE) 2016/680 | Artículo 27 del Reglamento (UE) 2024/1689 |
| A quién obliga | A quien ya obliga el artículo 35 del RGPD; el artículo 26, apartado 9, la da por supuesta | Solo a organismos de Derecho público, entidades privadas que prestan servicios públicos y responsables del despliegue del anexo III, punto 5, letras b) y c) |
| Cómo se relacionan | Sigue siendo exigible por el RGPD: la FRIA no la sustituye | Complementa la EIPD ya realizada (artículo 27, apartado 4) |
Citas literales del Reglamento (UE) 2024/1689, artículos 26 y 27.
El riesgo más caro: dejar de ser «solo» el que usa el sistema
Una empresa que se creía únicamente responsable del despliegue puede acabar asumiendo obligaciones de proveedor, que son bastantes más. Ese debate era casi académico; desde el 27 de julio de 2026 no lo es: el Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA añade al artículo 99, apartado 4, una letra d bis) nueva que mete en el tramo del 3 % «las obligaciones de los proveedores y operadores en virtud del artículo 25, apartados 2 y 4».
Fíjate en la redacción: no dice solo «proveedores», dice «proveedores y operadores». Los supuestos del artículo 25 por los que alguien pasa a ser considerado proveedor tienen ahora sanción expresa. La conclusión es documental: deja por escrito qué haces con cada sistema y comprueba el artículo 25 antes de dar por hecho que eres «solo» el que lo usa.
El artículo 26 tiene su propia letra ahí: la letra e) sitúa «las obligaciones de los responsables del despliegue con arreglo al artículo 26» en el tramo de hasta 15 millones de euros o, si el infractor es una empresa, hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, el que sea superior. Los tramos, en el artículo 99 del AI Act y las sanciones en España. Y sobre quién sanciona aquí hay que ser exacto: el capítulo XII es aplicable desde el 2 de agosto de 2025 —salvo su artículo 101, sobre multas a proveedores de modelos de IA de uso general—, pero España todavía no ha aprobado la ley que designa a las autoridades nacionales y concreta el procedimiento; sigue en tramitación parlamentaria (expediente 121/000096).
Desde cuándo tienes que cumplirlo
El AI Act está en vigor desde el 1 de agosto de 2024, pero se aplica por tramos. El artículo 26 vive en el capítulo III, secciones 1, 2 y 3, y el artículo 113, párrafo tercero, letra c), tras el Ómnibus, las hace aplicables, con excepción del artículo 6, apartado 5, desde el 2 de diciembre de 2027 para el alto riesgo del artículo 6, apartado 2, y el anexo III, y desde el 2 de agosto de 2028 para el del artículo 6, apartado 1, y el anexo I.
Y hay una tercera fecha que casi nadie conoce. El artículo 111, apartado 2, tras su sustitución por el Ómnibus, dice: «En cualquier caso, los proveedores y los responsables del despliegue de los sistemas de IA de alto riesgo destinados a ser utilizados por las autoridades públicas adoptarán las medidas necesarias para cumplir los requisitos y obligaciones establecidas en el presente Reglamento a más tardar el 2 de agosto de 2030.» Ojo al alcance: el artículo 111 regula los sistemas ya introducidos en el mercado o puestos en servicio, así que esa fecha es el límite del régimen transitorio para el parque ya desplegado, no un plazo nuevo para los sistemas que se pongan en el mercado a partir de ahora. Si concurres a licitaciones con IA te toca por los dos lados; léela junto a las exigencias de la contratación pública. El calendario completo, en el calendario del AI Act según el artículo 113.
Que sea 2027 no significa esperar: designar al supervisor, negociar la información del artículo 13 e informar a la representación son tareas previas a encender el sistema. Empieza por cuándo un sistema de IA es de alto riesgo y pasa tu herramienta por el clasificador de sistemas del AI Act.
Lista de comprobación: qué tienes que tener documentado
Lo que debería estar en la carpeta cuando alguien la pida:
- Inventario de los sistemas de IA que usas, con su clasificación y tu rol en cada uno.
- Las instrucciones de uso del proveedor, en su versión vigente.
- Designación nominal del supervisor humano, con su autoridad por escrito, y el registro de su formación.
- Prueba de la información a los representantes y a los trabajadores afectados, fechada antes de la puesta en servicio.
- El texto informativo para las personas sobre las que el sistema decide, y la constancia de su entrega.
- La documentación del artículo 13 recibida del proveedor y la cláusula que la garantiza.
- La evaluación de impacto de protección de datos y, si estás en el supuesto del artículo 27, apartado 1, la FRIA.
- Registros del sistema conservados, histórico de notificaciones al proveedor y quién responde ante una autoridad.
Obligación, base y evidencia
| Obligación | Base | Evidencia |
|---|---|---|
| Supervisión humana con competencia, formación y autoridad | Artículo 26, apartado 2 | Designación firmada, alcance de la autoridad y registro de formación |
| Informar a representantes y trabajadores antes de la puesta en servicio | Artículo 26, apartado 7 | Comunicación fechada y acuse, anteriores a esa fecha |
| Usar la información del artículo 13 para la evaluación de impacto | Artículo 26, apartado 9 | Documentación del proveedor y evaluación que la referencia |
| Usar el sistema conforme a las instrucciones de uso | Artículo 26 | Instrucciones vigentes y procedimiento del puesto |
| Pertinencia de los datos de entrada cuando controlas esos datos | Artículo 26 | Fuentes descritas y controles de calidad |
| Vigilar el funcionamiento y notificar al proveedor sin demora indebida | Artículo 26 | Registro de incidencias con fecha de detección y aviso |
| Conservar los registros generados automáticamente | Artículo 26 | Los registros y su política de conservación |
| Informar a las personas afectadas | Artículo 26 | Texto informativo y prueba de su entrega |
| Cooperar con las autoridades competentes | Artículo 26 | Procedimiento de respuesta y persona designada |
Las filas con base «Artículo 26» sin apartado corresponden a ese artículo; el apartado exacto, en el texto consolidado de EUR-Lex.
Lo que hay que hacer con esto
El artículo 26 no se cumple con una declaración de intenciones, sino con expediente: nombramiento, formación fechada, comunicación previa a la representación de los trabajadores y contrato que te garantice la información del artículo 13. Eso separa a la empresa que acredita su cumplimiento de la que solo lo afirma.
En Summum Consultoría lo montamos sistema por sistema, dentro del servicio de cumplimiento del AI Act: clasificación del sistema y del rol, supervisión humana, cláusulas con el proveedor, evaluación de impacto y, cuando procede, la del artículo 27. La gestión certificable la lleva ISO 42001 en Summum Calidad y la implantación, la capa técnica del cumplimiento en Summum IA.
Preguntas frecuentes
¿Qué es el responsable del despliegue en el AI Act?
Es la figura del AI Act que corresponde a la organización que usa un sistema de inteligencia artificial, frente al proveedor, que es quien lo desarrolla y lo pone en el mercado. En inglés el reglamento la llama deployer y en el mercado se ha extendido «implementador»: las tres expresiones designan lo mismo. Sus obligaciones están en el artículo 26 del Reglamento (UE) 2024/1689, que tiene doce apartados y afecta a la mayoría de las empresas españolas, porque casi ninguna construye la IA que utiliza.
¿Tengo que hacer una FRIA si mi empresa solo usa una IA de alto riesgo?
No necesariamente. El artículo 27, apartado 1, del AI Act obliga a hacer la evaluación de impacto en los derechos fundamentales a los organismos de Derecho público, a las entidades privadas que prestan servicios públicos y a los responsables del despliegue de los sistemas del anexo III, punto 5, letras b) y c), que son la solvencia o calificación crediticia y la evaluación de riesgos y fijación de precios en seguros de vida y salud. Además excluye expresamente los sistemas del anexo III, punto 2, el de infraestructuras críticas. Si no estás en ninguno de esos supuestos, ese apartado no te obliga, pero sí te siguen obligando el artículo 26 y el RGPD.
¿Hay que informar a los trabajadores antes de usar una IA de alto riesgo en el trabajo?
Sí, y es un deber previo. El artículo 26, apartado 7, del AI Act obliga al responsable del despliegue que sea empleador a informar, antes de poner en servicio o utilizar el sistema en el lugar de trabajo, a los representantes de los trabajadores y a los trabajadores afectados de que estarán expuestos a su utilización. La información se facilita, cuando proceda, con arreglo a las normas y procedimientos del Derecho de la Unión y nacional y a las prácticas de información a los trabajadores y sus representantes. No sustituye a la información que debes dar a la persona sobre la que el sistema decide: esa es otra obligación distinta del mismo artículo.
¿La EIPD del RGPD y la FRIA del AI Act son lo mismo?
No. La evaluación de impacto relativa a la protección de datos del artículo 35 del Reglamento (UE) 2016/679 mira el riesgo para los datos personales. La evaluación de impacto en los derechos fundamentales del artículo 27 del AI Act mira el impacto que la utilización del sistema puede tener en los derechos fundamentales, y solo obliga a los sujetos que enumera su apartado 1. Cuando coinciden, el artículo 27, apartado 4, aclara que la segunda «complementará» la primera: la complementa, no la sustituye. Y el artículo 26, apartado 9, conecta la evaluación de protección de datos con la información que el proveedor facilita conforme al artículo 13.
¿Desde cuándo se aplican las obligaciones del artículo 26 del AI Act?
El AI Act está en vigor desde el 1 de agosto de 2024, pero se aplica por tramos. El artículo 26 vive en el capítulo III, secciones 1, 2 y 3, cuya aplicación fija el artículo 113, párrafo tercero, letra c): el 2 de diciembre de 2027 para los sistemas de alto riesgo del artículo 6, apartado 2, y del anexo III, y el 2 de agosto de 2028 para los del artículo 6, apartado 1, y del anexo I. Además, el artículo 111, apartado 2, da a proveedores y responsables del despliegue de sistemas de alto riesgo destinados a ser utilizados por las autoridades públicas que ya estuvieran introducidos en el mercado o puestos en servicio antes de esa fecha de aplicación hasta el 2 de agosto de 2030; no es un plazo nuevo para los sistemas que entren después.
¿Qué multa puede tener una empresa por incumplir el artículo 26 del AI Act?
El artículo 99, apartado 4, letra e), del Reglamento (UE) 2024/1689 sitúa las obligaciones de los responsables del despliegue del artículo 26 en el tramo de hasta 15 millones de euros o, si el infractor es una empresa, hasta el 3 % de su volumen de negocios mundial total del ejercicio anterior, el que sea superior. Para pymes y empresas emergentes se aplica el menor de los dos, según el apartado 6 del mismo artículo. El régimen sancionador es aplicable desde el 2 de agosto de 2025, pero España todavía no ha aprobado la ley que designa a las autoridades nacionales y concreta el procedimiento: está en tramitación parlamentaria.