Qué preguntar a un cliente sobre su IA antes del 2 de diciembre

La respuesta depende de cuatro cosas que el cliente casi nunca sabe responder de memoria: qué sistemas tiene, en qué papel actúa, cuándo los puso el proveedor en el mercado y cuándo empezó él a usarlos.

Por Guillermo Taboada Martínez

I. El encargo que va a llegar este otoño

A partir de septiembre, muchos despachos van a recibir la misma consulta con distintas palabras: «hemos metido inteligencia artificial en la empresa, ¿tenemos que hacer algo?».

La respuesta corta es que depende de cuatro cosas que el cliente casi nunca sabe responder de memoria: qué sistemas tiene, en qué papel actúa respecto a cada uno, cuándo el proveedor puso cada sistema en el mercado y cuándo empezó él a utilizarlo. Las dos últimas no son la misma fecha, y confundirlas lleva a una conclusión equivocada sobre los plazos. Este artículo propone un método de trabajo para ese encargo.

II. Primera pregunta: qué sistemas tiene, exactamente

Antes de cualquier calificación jurídica hay un problema de hecho. La mayoría de las organizaciones no sabe cuántos sistemas de IA tiene en funcionamiento.

No por negligencia, sino por acumulación: un asistente conversacional contratado por marketing, un generador de textos integrado en una herramienta de terceros, un módulo de puntuación que llegó dentro de un ERP. Cada uno entró por una puerta distinta y ninguno pasó por el mismo sitio.

Conviene ser preciso con el fundamento. El artículo 26 del Reglamento (UE) 2024/1689 —cuyo título es, literalmente, «Obligaciones de los responsables del despliegue de sistemas de IA de alto riesgo»— no formula una obligación de inventario general para toda organización que use IA. Lo que sí exige es que, cuando concurra un sistema de alto riesgo, el desplegador lo use conforme a las instrucciones, garantice la supervisión humana, controle los datos de entrada cuando le corresponda y conserve registros. Cumplir eso exige identificar previamente qué sistemas se están utilizando, en qué condiciones y bajo qué responsabilidades, que es de donde nace la necesidad práctica del inventario. La distinción importa: un cliente que solo usa un asistente conversacional de terceros no queda sujeto al artículo 26 por el mero hecho de usar IA.

Recomendación práctica: empezar todo encargo pidiendo la lista, y si no existe, construirla. Debe incluir, por sistema: denominación, proveedor del modelo, finalidad, quién lo supervisa, y fecha de puesta en servicio. Esta última no es un dato administrativo: es determinante, como se ve en el apartado IV.

III. Segunda pregunta: en qué papel actúa el cliente

El artículo 3 distingue al proveedor del responsable del despliegue, y las obligaciones no son las mismas.

La confusión habitual se produce cuando una empresa integra un sistema de terceros en un producto propio y lo comercializa bajo su nombre o marca. En ese supuesto puede quedar sujeta a las obligaciones de proveedor previstas en el artículo 25 respecto de un sistema de IA de alto riesgo, aunque subjetivamente se considere mero usuario. El precepto contempla también otros supuestos, como la modificación sustancial del sistema o el cambio de su finalidad prevista.

Recomendación práctica: revisar si el cliente distribuye a terceros cualquier salida de un sistema de IA bajo su propia marca. Si es así, la calificación cambia y con ella el alcance del encargo.

IV. El régimen transitorio, y por qué la fecha es lo primero

El Reglamento (UE) 2026/1744, de 8 de julio de 2026 —publicado en el DOUE el 24 de julio y en vigor desde el 27— establece que los proveedores de sistemas de IA que generen contenido sintético y hubieran puesto esos sistemas en el mercado antes del 2 de agosto de 2026 deberán adoptar las medidas necesarias para cumplir el artículo 50.2 a más tardar el 2 de diciembre de 2026.

La formulación importa, y aquí es donde conviene detenerse: el Reglamento habla de puesta en el mercado, no de puesta en servicio ni de uso. El artículo 3 define esos conceptos por separado y no son intercambiables. La introducción en el mercado es la primera comercialización por el proveedor; la puesta en servicio, el suministro para su primer uso; y el uso o despliegue, lo que hace después el cliente.

De ello se sigue una consecuencia que conviene advertir al cliente sin rodeos: los sistemas puestos en servicio con posterioridad al 2 de agosto de 2026 no gozan del régimen transitorio y están sujetos desde su puesta en servicio.

Un proveedor que puso el sistema en el mercado antes del 2 de agosto dispone hasta el 2 de diciembre para adaptar el marcado. Un sistema puesto en el mercado después de esa fecha no entra en la transición.

De ahí una advertencia que conviene trasladar al cliente sin rodeos: la fecha en que él incorporó la herramienta no determina por sí sola el régimen del artículo 50.2. Lo determinante, para esa obligación concreta, es cuándo el proveedor la puso en el mercado. Un despacho que pida la fecha equivocada obtendrá una conclusión equivocada sobre el plazo.

Eso no resta valor a documentar las fechas: al contrario, obliga a documentar las dos, porque sirven para cosas distintas. La de puesta en el mercado, cuando pueda acreditarse con documentación del proveedor, es la que decide el régimen transitorio del artículo 50.2. La de puesta en servicio por el cliente es la que sostiene su expediente de cumplimiento y alimenta otras obligaciones. Reconstruir cualquiera de los dos meses después es difícil, y por eso conviene anotarlas cuando ocurren.

Un inventario que solo diga «asistente de IA — alta: julio de 2026» no sirve para este trabajo. Uno útil recoge, por sistema: proveedor, modelo y versión, finalidad, papel jurídico del cliente, fecha de contratación, fecha de puesta en el mercado si puede acreditarse, fecha de puesta en servicio, modificaciones sustanciales posteriores, tipo de contenido que genera, apartados del artículo 50 aplicables y la evidencia que respalda cada dato: contrato, documentación del proveedor, registros.

V. Qué se puede verificar de un tercero, y qué no

El método de trabajo, en cuatro preguntas y sus artículos.

En operaciones de contratación o due diligence, conviene tener claro el alcance real de la comprobación externa.

Verificable desde fuera: la advertencia sobre interacción con IA del artículo 50.1 en un canal conversacional público, el marcado del contenido sintético servido —obligación que el artículo 50.2 impone al proveedor del sistema, no a quien lo despliega— y la existencia de una política de uso publicada, esta última no exigida por norma alguna pero indicativa.

Conviene retener ese reparto, porque ordena todo el encargo: los apartados 1 y 2 del artículo 50 se dirigen a los proveedores; los apartados 3 y 4, a los responsables del despliegue. Un cliente que solo utiliza sistemas de terceros no queda sujeto al marcado del 50.2, pero sí puede estarlo a la revelación del 50.4.

No verificable desde fuera: el registro de sistemas, la supervisión humana, el plan de alfabetización del artículo 4 y la documentación técnica.

De ahí una regla que conviene incorporar a cualquier informe:

Sostener lo contrario invertiría indebidamente la carga de la prueba. Una organización puede tener política interna, registro completo y supervisión documentada sin publicar nada: ninguna norma le obliga.

Recomendación práctica: en due diligence, la observación externa sirve para formular requerimientos, no para concluir. Detectar que un proveedor no advierte en su chat justifica pedirle explicación; no acredita infracción, pues cabe que lo atiendan personas.

Conviene añadir un matiz del propio artículo 50.4 que interesa a cualquier cliente que publique contenido: su párrafo segundo impone revelar el origen artificial del texto que se publique para informar al público sobre asuntos de interés público, pero esa obligación no se aplica cuando este ha sido sometido a revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial del resultado. Las Directrices de la Comisión aprobadas el 20 de julio de 2026 precisan que la revisión debe ser sustantiva —no una corrección somera— y que la responsabilidad editorial ha de ser visible e identificable. No son vinculantes: la interpretación autorizada del Reglamento corresponde en última instancia al Tribunal de Justicia.

VI. Qué llevar al contrato

Tres cláusulas que hoy faltan en la mayoría de los contratos de prestación de servicios digitales:

‹    Declaración de sistemas de IA empleados. Que el proveedor identifique qué sistemas usa para prestar el servicio, con qué modelo de base y con qué finalidad. Sin esa declaración, el cliente asume obligaciones cuyo alcance desconoce.

‹    Reparto expreso de papeles. Determinar contractualmente quién actúa como proveedor y quién como responsable del despliegue respecto de cada sistema, y las consecuencias de que esa calificación cambie durante la vigencia.

‹    Obligación de comunicar altas. Que el proveedor notifique la incorporación de cualquier sistema nuevo, con su fecha de puesta en servicio. Es la única forma de que el inventario del cliente no quede obsoleto a los tres meses.

VII. Sobre la propia responsabilidad del despacho

Una advertencia final que interesa al lector directamente.

Los despachos también usan sistemas de IA: para resumir documentación, redactar borradores o buscar jurisprudencia. Y deben analizar qué obligaciones les corresponden según actúen como proveedores o como responsables del despliegue, exactamente igual que a cualquier otro cliente. En todo caso les alcanza el artículo 4, aplicable desde el 2 de febrero de 2025 y reformulado por el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026: la obligación ya no consiste en garantizar un nivel suficiente de alfabetización, sino en adoptar medidas que apoyen su promoción, atendiendo a los conocimientos, la experiencia y el contexto de uso. Sigue siendo una obligación de medios exigible, y conviene no leer la simplificación como una supresión. Y cuando concurra alguno de los supuestos del artículo 50 —interacción directa con personas, generación de contenido sintético, ultrasuplantación (deepfake) o texto de interés público—, resultarán aplicables las obligaciones de transparencia que correspondan en cada caso.

Comprobarlo no exige más que noventa segundos. El CriterIA© 7 —el mismo autodiagnóstico gratuito, sin registro y sin correo, que este informe recomendaría a cualquier cliente— permite al despacho verificar primero su propia exposición a los artículos 4 y 50, antes de plantearla a terceros. La respuesta, anónima y agregada, alimenta además el Observatorio CriterIA©, la medición independiente y mensual del cumplimiento real del Reglamento en las pymes españolas. Empezar por el propio despacho es, también, la forma más honesta de acreditar el criterio que se aconseja: estrategicamente.info/diagnostico-ai-act.