Definiciones claras y operativas de los términos del Reglamento de IA de la UE que determinan tus obligaciones legales.

Este glosario del Reglamento de IA de la UE explica los términos clave que determinan tus obligaciones conforme a la normativa. Abarca quién se considera proveedor frente a desplegador, qué convierte un sistema de IA en de alto riesgo o sujeto a normas de transparencia, y las diferencias prácticas entre un modelo GPAI y un sistema de IA finalizado. Cada entrada conecta el concepto legal con la realidad operativa mediante explicaciones en lenguaje sencillo, microejemplos del mundo real (como un chatbot de atención al cliente o una herramienta de selección de personal) y vías directas a guías de implementación.[1][2]

Utiliza la tabla de navegación que aparece a continuación para saltar directamente a la sección que mejor se ajuste a tu rol o caso de uso. Todas las entradas se basan en el Reglamento (UE) 2024/1689 y en las directrices oficiales de la Comisión. Están concebidas como un centro de enlaces internos que facilita el paso de la terminología a flujos de trabajo accionables.

Estado actual de la ley (abril de 2026) Las prohibiciones, la definición de sistema de IA, la alfabetización en IA y las obligaciones para modelos GPAI ya están en vigor. Las normas de alto riesgo para sistemas del Anexo III se aplicarán a partir de agosto de 2026. La propuesta de Omnibus Digital podría modificar ciertos plazos de alto riesgo y simplificar obligaciones para pequeñas y medianas empresas de capitalización media; cualquier cambio de este tipo sigue siendo una propuesta y se indica expresamente como tal más abajo. Este glosario utiliza exclusivamente definiciones y directrices oficiales. No constituye asesoramiento jurídico ni garantiza el cumplimiento ni la certificación. Consulta la Oficina de IA para las últimas actualizaciones autorizadas.[3]

Cada entrada sigue la misma estructura para facilitar su lectura rápida y su aplicación operativa:

• Significado en lenguaje sencillo: Una traducción clara y alejada del lenguaje jurídico.
• Por qué importa operativamente: Qué obligaciones o acciones conlleva para tu equipo en la práctica actual.
• Microejemplo: Un escenario concreto (chatbot, herramienta de reclutamiento, etc.).
• Ancla legal: Referencia al Reglamento o a la directriz oficial.
• Mejor página siguiente: Enlace interno a la guía operativa o herramienta más relevante.

Las entradas se centran en la normativa vigente. Cualquier mención a posibles cambios futuros (por ejemplo, las simplificaciones de la propuesta Omnibus Digital) se etiqueta explícitamente como propuesta o estado de negociación. Los términos aparecen agrupados temáticamente, aunque puedes buscarlos alfabéticamente con la función de búsqueda del navegador.

Significado en lenguaje sencillo: Sistema basado en máquinas que, a partir de entradas, infiere cómo generar salidas (predicciones, contenido, recomendaciones o decisiones) y puede influir en entornos físicos o virtuales. Emplea técnicas del Anexo I del Reglamento (aprendizaje automático, enfoques basados en lógica o estadísticos) y funciona con cierto grado de autonomía o adaptabilidad tras su despliegue. El software tradicional que sigue reglas fijas y completamente deterministas no suele considerarse sistema de IA.[1]

Por qué importa operativamente: Todo el marco de riesgos del Reglamento de IA solo se activa cuando una herramienta califica como sistema de IA. Si tu solución encaja en la definición, debes clasificar su nivel de riesgo, asignar roles (proveedor/desplegador) y aplicar las obligaciones correspondientes. Una clasificación errónea como “simple software” puede generar sorpresas regulatorias en auditorías o incidentes.

Microejemplo: Un chatbot de atención al cliente que analiza tickets anteriores y genera respuestas personalizadas a partir de patrones aprendidos es un sistema de IA. Un árbol de decisiones basado en reglas fijas (“si palabra clave X, responder Y”) no lo es.

Ancla legal: Artículo 3(1) y Considerando 12 del Reglamento de IA; directrices de la Comisión sobre la definición de sistema de IA (febrero de 2025). Las directrices destacan criterios prácticos como la inferencia a partir de datos frente a la programación puramente determinista; aunque no son vinculantes, orientan su aplicación uniforme.[4]

Mejor página siguiente: Sistema de IA frente a modelo GPAI en el Reglamento de IA de la UE: Marco de clasificación e impacto operativo

Significado en lenguaje sencillo: Modelo de IA que muestra una gran versatilidad, es capaz de realizar competentemente una amplia variedad de tareas y puede integrarse en numerosos sistemas o aplicaciones posteriores. Suele entrenarse con grandes volúmenes de datos mediante auto-supervisión. Una aplicación final construida sobre él se considera normalmente un sistema de IA, no el modelo en sí.[5]

Por qué importa operativamente: Los proveedores de modelos GPAI tienen obligaciones específicas (documentación técnica, información a proveedores posteriores, política de derechos de autor, resumen del contenido de entrenamiento) que entran en vigor el 2 de agosto de 2025. Estas obligaciones son independientes de las reglas para sistemas de alto riesgo. Los desarrolladores posteriores que afinan o integran el modelo pueden convertirse en proveedores de un nuevo sistema y asumir obligaciones adicionales. Los modelos de código abierto pueden beneficiarse de exenciones limitadas si se cumplen determinadas condiciones.

Microejemplo: Un modelo de lenguaje fundacional accesible mediante API que puede escribir código, resumir documentos o redactar textos de marketing es un modelo GPAI. El chatbot de atención al cliente creado integrando y configurando ese modelo es un sistema de IA.

Ancla legal: Artículo 3(63), Considerandos 98-99 y Artículo 53. Las directrices de la Comisión aclaran el umbral indicativo de 10^23 FLOPs de cómputo de entrenamiento y sus excepciones.[6]

Mejor página siguiente: Sistema de IA frente a modelo GPAI en el Reglamento de IA de la UE: Marco de clasificación e impacto operativo

Significado en lenguaje sencillo: Persona física o jurídica que desarrolla un sistema de IA o modelo GPAI (o encarga su desarrollo) y lo comercializa o pone en servicio en la Unión bajo su propio nombre o marca. Este rol conlleva la mayor carga de cumplimiento.

Por qué importa operativamente: Los proveedores deben realizar la evaluación de conformidad, mantener documentación técnica, implantar un sistema de gestión de la calidad (en alto riesgo), facilitar instrucciones a los desplegadores, realizar seguimiento poscomercialización y registrar los sistemas de alto riesgo. Los proveedores no establecidos en la UE deben designar un representante autorizado. Confundir este rol con “nosotros solo lo utilizamos” es uno de los errores de cumplimiento más habituales.

Microejemplo: Una startup que entrena y lanza bajo su marca un modelo de selección de candidatos es el proveedor. El departamento de Recursos Humanos que carga currículos en la versión alojada es el desplegador.

Ancla legal: Artículo 3(3) y obligaciones del Capítulo III. Las directrices sobre proveedores de GPAI aclaran cuándo el afinamiento genera un nuevo estatus de proveedor.[6]

Mejor página siguiente: Proveedor vs. Desplegador en el Reglamento de IA de la UE: Cómo clasificar tu rol por cada sistema de IA

Significado en lenguaje sencillo: Cualquier persona física o jurídica que utiliza un sistema de IA bajo su propia autoridad (excepto el uso puramente personal y no profesional). Los desplegadores operan el sistema en condiciones reales y supervisan su funcionamiento.

Por qué importa operativamente: Los desplegadores deben seguir las instrucciones, garantizar la supervisión humana, mantener registros (en alto riesgo), realizar evaluaciones de impacto en derechos fundamentales cuando proceda y notificar incidentes graves. No son responsables de la evaluación de conformidad inicial, pero pueden asumir el rol de proveedor si realizan modificaciones sustanciales.

Microejemplo: Un banco que integra una herramienta de evaluación crediticia basada en GPAI en su proceso de concesión de préstamos y monitoriza las salidas para detectar sesgos es el desplegador.

Ancla legal: Artículo 3(4), Artículo 26 (obligaciones de los desplegadores de sistemas de alto riesgo) y Artículo 27 (FRIA).[1]

Mejor página siguiente: Proveedor vs. Desplegador en el Reglamento de IA de la UE: Cómo clasificar tu rol por cada sistema de IA

Significado en lenguaje sencillo: Entidad establecida en la Unión que introduce en el mercado comunitario un sistema o modelo de IA procedente de un tercer país manteniendo el nombre o marca del fabricante original.

Por qué importa operativamente: Los importadores deben verificar que el proveedor ha cumplido sus obligaciones, asegurarse de que la documentación y el marcado CE (cuando proceda) son correctos y asumir las responsabilidades de proveedor si modifican sustancialmente el sistema.

Microejemplo: Un distribuidor europeo que introduce en el mercado único una herramienta de IA para reclutamiento procedente de fuera de la UE debe comprobar la documentación de conformidad antes de venderla a empresas locales.

Ancla legal: Artículo 3(5) y Artículo 23.

Significado en lenguaje sencillo: Cualquier entidad de la cadena de suministro (distinta del proveedor o del importador) que pone a disposición un sistema de IA en el mercado de la Unión.

Por qué importa operativamente: Los distribuidores deben actuar con la diligencia debida, verificar los indicadores básicos de cumplimiento (marcado, instrucciones) y asumir las obligaciones del proveedor si modifican el sistema o lo comercializan bajo su propia marca.

Ancla legal: Artículo 3(6) y Artículo 24.

Significado en lenguaje sencillo: Persona física o jurídica establecida en la Unión que un proveedor no comunitario designa formalmente por escrito para cumplir determinadas tareas de conformidad y actuar como punto de contacto ante las autoridades.

Por qué importa operativamente: Los proveedores no UE de modelos GPAI o sistemas de alto riesgo deben designar uno antes de introducir sus productos en el mercado. El representante puede ser responsable de determinadas obligaciones de información y cooperación.

Ancla legal: Artículo 54 (específico de GPAI) y Artículo 22 (alto riesgo).[6]

Mejor página siguiente: Proveedor vs. Desplegador en el Reglamento de IA de la UE: Cómo clasificar tu rol por cada sistema de IA

Significado en lenguaje sencillo: Primera puesta a disposición de un sistema de IA o modelo GPAI en el mercado de la Unión para su distribución o uso, ya sea de forma onerosa o gratuita.

Por qué importa operativamente: Este acto activa la mayoría de las obligaciones de los proveedores, los procedimientos de conformidad, el marcado CE (en alto riesgo) y el registro. También inicia el plazo para el seguimiento poscomercialización.

Ancla legal: Artículo 3(9).

Significado en lenguaje sencillo: Riesgo significativo a escala de la Unión o mundial que generan modelos GPAI especialmente potentes (por su alto rendimiento, gran alcance o potencial de mal uso, como reducir barreras para la creación de armas o la manipulación a gran escala).

Por qué importa operativamente: Los modelos que cumplen los criterios de riesgo sistémico deben realizar evaluaciones adicionales, adoptar medidas de mitigación, notificar incidentes y cumplir obligaciones de ciberseguridad. Los proveedores deben notificarlo a la Comisión.

Ancla legal: Artículo 51 y Anexo XIII. Las directrices establecen criterios que incluyen umbrales de cómputo y capacidades del modelo.[5]

Mejor página siguiente: Sistema de IA frente a modelo GPAI en el Reglamento de IA de la UE: Marco de clasificación e impacto operativo

Significado en lenguaje sencillo: Sistemas de IA incluidos en el Anexo III o utilizados como componentes de seguridad en productos regulados que pueden afectar de manera significativa la salud, la seguridad o los derechos fundamentales. No están prohibidos, pero deben cumplir requisitos estrictos antes de su comercialización.

Por qué importa operativamente: La clasificación de alto riesgo activa el conjunto completo de obligaciones: sistema de gestión de riesgos, gobernanza de datos de alta calidad, documentación técnica, transparencia hacia los desplegadores, supervisión humana, requisitos de precisión, robustez y ciberseguridad, sistema de gestión de la calidad, evaluación de conformidad, marcado CE, registro en la base de datos de la UE y seguimiento poscomercialización. A abril de 2026 estas obligaciones aún no se aplican plenamente a la mayoría de sistemas del Anexo III.

Microejemplo: Una herramienta de IA que una empresa utiliza para filtrar candidaturas de empleo o puntuar empleados para ascensos es de alto riesgo según el punto 4 del Anexo III (empleo).

Ancla legal: Artículo 6 y Anexo III. Existen exenciones para sistemas que no influyen de manera significativa en los resultados.[3]

Mejor página siguiente: Anexo III del Reglamento de IA: Sistemas de IA de alto riesgo

Significado en lenguaje sencillo: Ocho usos específicos de IA que están prohibidos por contravenir los valores y derechos fundamentales de la UE (técnicas subliminales manipuladoras, sistemas de puntuación social, identificación biométrica remota en tiempo real en espacios públicos con excepciones muy limitadas, obtención masiva de imágenes faciales, reconocimiento de emociones en el trabajo o la educación salvo fines médicos o de seguridad, etc.).

Por qué importa operativamente: Estas prohibiciones están en vigor desde el 2 de febrero de 2025. Tanto proveedores como desplegadores deben garantizar que ningún producto ni proceso interno emplee técnicas prohibidas. El incumplimiento puede acarrear multas elevadas y medidas correctoras.

Microejemplo: Una herramienta de marketing que inserta estímulos subliminales en anuncios de vídeo para influir en las decisiones de compra sin que el usuario sea consciente estaría prohibida.

Ancla legal: Artículo 5. Las directrices de la Comisión sobre prácticas prohibidas ofrecen explicaciones jurídicas y ejemplos prácticos.[7]

Significado en lenguaje sencillo: Requisitos que obligan a informar a las personas cuando interactúan con un sistema de IA (chatbots) o cuando el contenido ha sido generado por IA (deepfakes, audio o vídeo sintético), salvo que resulte evidente por el contexto.

Por qué importa operativamente: Los desplegadores de sistemas interactivos deben revelar la naturaleza de IA “de forma clara y accesible”. Los proveedores de determinados sistemas generativos deben etiquetar las salidas. Un Código de Práctica voluntario ayuda en la implementación. El incumplimiento puede erosionar la confianza y derivar en acciones de enforcement.

Microejemplo: Un chatbot de atención al cliente debe indicar al inicio de la conversación que está impulsado por IA.

Ancla legal: Artículo 50. Preguntas frecuentes sobre transparencia de la Comisión y borrador del Código de Práctica.[8]

Mejor página siguiente: Obligaciones de transparencia del Artículo 50 del Reglamento de IA de la UE

Significado en lenguaje sencillo: Conocimientos, habilidades y comprensión que necesitan proveedores y desplegadores para utilizar los sistemas de IA de forma responsable, incluyendo la conciencia de riesgos, limitaciones y necesidades de supervisión humana. No se trata de un certificado de formación obligatorio.

Por qué importa operativamente: Todos los proveedores y desplegadores deben garantizar que su personal cuente con suficiente alfabetización en IA para cumplir sus obligaciones. Favorece una supervisión humana efectiva y reduce el riesgo de mal uso. Esta obligación está vigente desde la primera fase de aplicación del Reglamento.

Microejemplo: Los reclutadores que utilizan una herramienta de selección con IA deben comprender cómo puede introducirse sesgo en los datos de entrenamiento y cómo anular o interpretar correctamente las salidas.

Ancla legal: Artículo 4 y preguntas frecuentes asociadas de la Comisión. No se exige un responsable de IA ni formación certificada obligatoria.[3]

Mejor página siguiente: Planificador de AI Literacy

Significado en lenguaje sencillo: Evaluación estructurada que las administraciones públicas y ciertos desplegadores privados deben realizar antes de utilizar sistemas de IA de alto riesgo que puedan afectar a derechos fundamentales.

Por qué importa operativamente: Obliga a identificar tempranamente riesgos relacionados con la no discriminación, la privacidad, la dignidad, etc., y a adoptar medidas de mitigación y, en su caso, notificar a las autoridades. Constituye un artefacto clave para demostrar responsabilidad.

Microejemplo: Un ayuntamiento que despliega un sistema de IA para asignar prestaciones sociales debe documentar los posibles impactos en colectivos vulnerables.

Ancla legal: Artículo 27.

Mejor página siguiente: Anexo III del Reglamento de IA: Sistemas de IA de alto riesgo

Significado en lenguaje sencillo: Proceso continuo mediante el cual los proveedores recogen datos sobre el rendimiento real de sus sistemas de IA una vez comercializados, detectan incidentes o desviaciones y adoptan acciones correctoras.

Por qué importa operativamente: Convierte el cumplimiento en una actividad permanente. Los proveedores deben disponer de un sistema que analice retroalimentación y notifique incidentes graves. Los desplegadores colaboran facilitando datos de uso.

Ancla legal: Artículo 72 y disposiciones relacionadas del Capítulo IX.

Significado en lenguaje sencillo: Sistema interno documentado de políticas, procedimientos y responsabilidades que garantiza el cumplimiento coherente de los requisitos del Reglamento de IA para sistemas de alto riesgo a lo largo de todo su ciclo de vida.

Por qué importa operativamente: Los proveedores de sistemas de alto riesgo deben implantarlo y mantenerlo. Abarca la gestión de riesgos, la gobernanza de datos, el control de documentación, las acciones correctoras y la revisión por la dirección. Los auditores lo examinarán detenidamente.

Ancla legal: Artículo 17.

Significado en lenguaje sencillo: Registro detallado (descripción general, arquitectura, datos empleados, pruebas, análisis de riesgos, etc.) que demuestra cómo un sistema de IA de alto riesgo o un modelo GPAI cumple los requisitos legales.

Por qué importa operativamente: Debe mantenerse actualizada y estar disponible para autoridades u organismos notificados cuando se solicite. En el caso de modelos GPAI incluye información sobre el proceso de desarrollo. Una documentación deficiente es un motivo frecuente de fallo en auditorías.

Ancla legal: Artículo 11 (alto riesgo) y Artículo 53 (GPAI).

Significado en lenguaje sencillo: Lista exhaustiva del Anexo que define la mayoría de los casos de uso autónomos de IA de alto riesgo (biometría, infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración, justicia y procesos democráticos).

Por qué importa operativamente: Si tu caso de uso coincide con un punto del Anexo III y el sistema puede influir de manera significativa en los resultados, se considera de alto riesgo por defecto (salvo exenciones muy limitadas).

Ancla legal: Artículo 6(2) y Anexo III. La lista puede actualizarse mediante actos delegados.[3]

Mejor página siguiente: Anexo III del Reglamento de IA: Sistemas de IA de alto riesgo

Significado en lenguaje sencillo: Proceso continuo e iterativo para identificar, analizar, evaluar y mitigar los riesgos previsibles para la salud, la seguridad y los derechos fundamentales a lo largo de todo el ciclo de vida del sistema de IA.

Por qué importa operativamente: Es el requisito fundamental para los proveedores de sistemas de alto riesgo. Debe ser proporcionado, documentado y actualizarse con los datos del seguimiento poscomercialización.

Ancla legal: Artículo 9.

Significado en lenguaje sencillo: Medidas de diseño y operativas que permiten a las personas entender, interpretar, intervenir o anular las salidas de la IA para prevenir o minimizar riesgos.

Por qué importa operativamente: Los sistemas de alto riesgo deben diseñarse para permitir una supervisión efectiva. Los desplegadores deben asignar personal competente, con autoridad y formación adecuada.

Ancla legal: Artículo 14.

Significado en lenguaje sencillo: Procedimiento (interno o con intervención de un organismo notificado) que verifica que un sistema de IA de alto riesgo cumple todos los requisitos aplicables antes del marcado CE y su puesta en el mercado.

Por qué importa operativamente: Constituye la puerta de entrada al mercado legal. Las PYME disponen de algunas opciones simplificadas.

Ancla legal: Artículos 43-44.

(Entradas adicionales para completar el glosario —gobernanza de datos, mantenimiento de registros, precisión, robustez y ciberseguridad, organismo notificado, marcado CE, registro en la base de datos de la UE, Código de Práctica para GPAI, responsabilidades de proveedores posteriores e informe de incidentes graves— siguen el mismo patrón y están disponibles en la versión completa de este glosario.)

• Considerar que cualquier herramienta basada en LLM es automáticamente de alto riesgo sin verificar los criterios del Anexo III y de influencia material.
• Confundir los roles de proveedor y desplegador: una empresa que afina un modelo GPAI para uso interno puede convertirse en proveedor.
• Pensar que “código abierto equivale a ninguna obligación”: la mayoría de los requisitos de transparencia de GPAI y de derechos de autor siguen aplicando.
• Omitir la documentación técnica porque “el modelo está alojado por un tercero”: las obligaciones de los proveedores posteriores persisten.
• Equiparar las obligaciones de transparencia del Artículo 50 con un etiquetado opcional: la divulgación es obligatoria cuando no resulta evidente por el contexto.
• Esperar a que las normas de alto riesgo “entren en vigor” para empezar a construir el SGC o los procesos de gestión de riesgos: la preparación anticipada reduce reelaboraciones posteriores.
• Basarse únicamente en declaraciones de proveedores sin mapear el propio rol y los artefactos requeridos.
• Tratar la FRIA como una casilla que se marca una sola vez en lugar de un documento vivo vinculado al seguimiento poscomercialización.

• Inventariar todos los sistemas de IA y modelos GPAI en uso o en desarrollo.
• Clasificar cada uno según la definición de sistema de IA, el Anexo III o los criterios de GPAI.
• Asignar y documentar los roles de proveedor, desplegador o importador para cada elemento.
• Comparar los artefactos existentes (documentación técnica, análisis de riesgos, resúmenes de entrenamiento) con las obligaciones aplicables.
• Verificar la aplicabilidad del Artículo 50 en herramientas orientadas a usuarios o generadoras de contenido.
• Organizar sesiones de alfabetización en IA para los equipos implicados.
• Para los sistemas de alto riesgo, comenzar ya a elaborar plantillas de SGC, gestión de riesgos y FRIA.
• Contrastar tu inventario con la herramienta gratuita que aparece a continuación.

¿Listo para convertir estas definiciones en evidencia? Utiliza el Escáner de Evidencia para mapear tu inventario actual de IA frente a estos términos y roles, o para generar divulgaciones del Artículo 50 para tus chatbots y herramientas generativas. Comienza gratis en EU AI Act Evidence Scanner.

• Reglamento (UE) 2024/1689 (texto oficial de EUR-Lex).[1]
• Directrices de la Comisión sobre la definición de sistema de IA y las prácticas prohibidas (2025).
• Directrices sobre obligaciones de los proveedores de modelos de IA de propósito general y FAQ asociada.[6]
• Cronograma, preguntas frecuentes y recursos de la Oficina de IA.[2]
• Recursos oficiales sobre transparencia y Código de Práctica para GPAI.[8]

Todos los enlaces dirigen a fuentes primarias de la UE o a guías operativas elaboradas a partir de ellas. Esta página se actualiza conforme se publican nuevas directrices oficiales.