Revisión editorial, 30 de septiembre de 2026: conservamos la fecha original de publicación. Contrastamos roles, obligaciones y plazos con el Reglamento de IA consolidado y las directrices de la Comisión sobre GPAI. La aplicación a un modelo o sistema concreto requiere revisar los hechos y el texto vigente.
Un modelo de IA de propósito general (GPAI) puede integrarse en sistemas para tareas distintas. El Reglamento distingue al proveedor del modelo del proveedor o responsable del despliegue de un sistema que lo utiliza. Una empresa puede asumir más de un papel, pero usar una API de un tercero no le transfiere sin más toda la documentación técnica del modelo base.
Respuesta rápida: el proveedor del modelo GPAI documenta el modelo y facilita información a quienes lo integran; quien construye un sistema con ese modelo debe evaluar las obligaciones de su sistema y pedir la información necesaria al proveedor. Una modificación significativa del modelo puede cambiar quién se considera su proveedor. El contrato de API, por sí solo, no resuelve esa clasificación.
Obligaciones del proveedor del modelo
El artículo 53 exige a los proveedores de modelos GPAI documentación técnica para las autoridades, información para quienes integran el modelo en sistemas, una política de cumplimiento de derechos de autor y un resumen suficientemente detallado del contenido usado para entrenamiento. La información dirigida a integradores no equivale necesariamente a publicar toda la documentación técnica del modelo. Si el proveedor está fuera de la UE, también debe revisar la obligación de representante autorizado del artículo 54. El texto prevé condiciones específicas para determinados modelos publicados con licencias libres o abiertas; no es una exención general, especialmente si existe riesgo sistémico.
Las obligaciones del capítulo GPAI empezaron a aplicarse el 2 de agosto de 2025, con disposiciones transitorias para modelos ya comercializados antes de esa fecha. Consulta el artículo 111 y el calendario vigente antes de fijar un plazo para un modelo concreto.
Riesgo sistémico: una evaluación adicional
El artículo 51 presume capacidades de gran impacto cuando el cálculo acumulado usado para entrenar el modelo es superior a 10²⁵ FLOPs; también contempla otros mecanismos de designación. El umbral puede revisarse y no permite inferir públicamente la categoría jurídica de un modelo comercial sin conocer los hechos y el procedimiento. Para los proveedores de modelos clasificados con riesgo sistémico, el artículo 55 añade evaluación del modelo, análisis y mitigación de riesgos sistémicos, seguimiento de incidentes graves y protección de ciberseguridad. La lista exacta de compromisos debe leerse en el texto vigente y no atribuirse automáticamente a la empresa que solo usa el modelo.
Si integras un modelo en tu SaaS
Describe la finalidad del sistema final, qué cambia respecto al modelo base y bajo qué nombre se comercializa. Revisa el papel de cada parte y si el sistema cae en un uso prohibido, de alto riesgo o sujeto a transparencia. Si eres proveedor de un sistema de alto riesgo, tendrás obligaciones sobre ese sistema; no basta remitir al proveedor del modelo. Si solo lo despliegas, tus obligaciones pueden ser otras. Las reglas del artículo 50 para sistemas interactivos y contenido sintético dependen del caso y de si actúas como proveedor o responsable del despliegue.
Pide al proveedor la información disponible para integradores, capacidades y límites conocidos, cambios relevantes, restricciones de uso y condiciones sobre datos. Documenta qué decisiones sigue tomando tu equipo. Un contrato de API no prueba por sí solo que ambas partes cumplen todas las normas aplicables.
Cinco preguntas para una empresa que integra un modelo GPAI
- ¿Quién provee el modelo y quién provee el sistema final? Registra nombres, contratos, versiones y cambios propios. Revisa si modificaste significativamente el modelo.
- ¿Qué información recibió tu equipo? Conserva documentación de integración, capacidades, límites y condiciones de uso facilitadas por el proveedor.
- ¿Para qué se usa el sistema? Describe usuarios, personas afectadas, decisiones apoyadas y posibles usos prohibidos, de alto riesgo o sujetos a transparencia.
- ¿Qué evidencia falta? Vincula evaluaciones, pruebas, instrucciones y responsables a las preguntas del sistema; no trates el material del proveedor como prueba completa de tu propio cumplimiento.
- ¿Quién valida la decisión? Legal, privacidad y producto deben confirmar los roles y obligaciones que correspondan al caso antes de hacer una afirmación externa.
El Código de Buenas Prácticas para GPAI publicado por la Comisión en julio de 2025 es una vía voluntaria de apoyo para proveedores. No convierte al firmante en automáticamente conforme ni sustituye la evaluación de cada obligación.
Fencia puede ordenar documentación compatible y posibles hallazgos frente a parte de los requisitos que cubre. No audita integralmente el capítulo GPAI ni determina si un modelo tiene riesgo sistémico. Para empezar por el sistema final, revisa el alcance documental de Fencia para el EU AI Act y observa un informe ilustrativo antes de cargar información real.
Fuentes oficiales: Reglamento de IA consolidado en EUR-Lex, artículos 3, 25, 50, 51, 53, 54, 55 y 111; Comisión Europea, directrices sobre GPAI; Código GPAI.