El AI Act de la UE traslada la responsabilidad por IA suministrada por proveedores de una "zona gris" compartida a un marco claro de responsabilidades: los proveedores siguen siendo responsables de los riesgos de diseño y entrenamiento, mientras que los compradores (su empresa) asumen deberes de cumplimiento normativo y monitorización. Bajo las nuevas normas, un fallo de IA de un proveedor puede convertirse legalmente en responsabilidad de su directorio si faltan controles de gobernanza.

¿Qué dice el AI Act de la UE sobre la responsabilidad de los proveedores?

• Proveedores: Deben registrar sistemas de IA de alto riesgo, realizar evaluaciones de conformidad y monitorizar el desempeño.
• Implementadores (compradores): Deben implementar marcos de gobernanza, asignar responsabilidades y garantizar el cumplimiento normativo de los proveedores.
• Riesgo compartido: Ambas partes pueden enfrentar sanciones de hasta 35 M€ o el 7 % de la facturación.

(Respuesta breve: el AI Act hace responsables tanto a proveedores como a compradores, pero por distintas partes del ciclo de vida de la IA.)

¿Cómo se vincula esto con la gestión de riesgos de terceros (TPRM)?

• Las evaluaciones de riesgos de proveedores ahora se extienden a evaluaciones de riesgos de sistemas de IA.
• Los compradores deben exigir evidencia: evaluaciones de conformidad, registros en la base de datos de la UE, planes de monitorización poscomercialización.
• La plataforma de Supplier Shield puede centralizar estos datos, señalar brechas y automatizar informes.

(Respuesta breve: la TPRM debe incluir ahora verificaciones de cumplimiento de IA, no solo ciberseguridad y privacidad.)

¿Qué ocurre si falla el sistema de IA de un proveedor?

• Riesgo administrativo → multas de reguladores bajo el AI Act.
• Riesgo de responsabilidad civil → reclamaciones bajo la Directiva de Responsabilidad por Productos Defectuosos de la UE (2024/2853).
• Riesgo del directorio → los directores pueden ser responsables si faltan controles de gobernanza.

(Respuesta breve: los fallos de IA de proveedores crean riesgos financieros, legales y a nivel de directorio para los compradores.)

Ejemplo del mundo real (escenario)

Imagine que la herramienta de IA de un proveedor clasifica incorrectamente productos químicos, causando una brecha de seguridad.

• El proveedor es multado por un diseño inadecuado.
• El comprador es multado por no evaluar y monitorizar el sistema de IA del proveedor.
• Los empleados demandan bajo responsabilidad por productos → tanto el proveedor como el comprador comparten los daños.

¿Qué deben hacer ahora los directorios y equipos de cumplimiento normativo?

• Mapear proveedores que utilizan o desarrollan sistemas de IA.
• Solicitar documentación de evaluación de conformidad.
• Rastrear obligaciones del AI Act de la UE con flujos de trabajo estructurados.
• Realizar mapeo interno de responsabilidad: ¿quién asume el riesgo si un proveedor falla?

(Respuesta breve: los directorios deben exigir evidencia de cumplimiento de IA a los proveedores e integrarla en la gobernanza.)

AI Act de la UE vs. responsabilidad por productos: ¿quién paga cuando algo sale mal?

<aside class="atomic">
  <strong>Respuesta breve:</strong>  
  Proveedores carry design risk; buyers carry deployment risk; liability is often shared when monitoring or harm is involved.
</aside>

<a href="https://www.suppliershield.com/post/what-is-the-eu-ai-act-complete-guide-2025" class="cta">
  Verifique su preparación para el AI Act de la UE →
</a>

Cómo ayuda Supplier Shield

• Automatiza evaluaciones de riesgos de proveedores, incluido el cumplimiento de IA.
• Monitoriza cambios regulatorios en marcos de la UE.
• Centraliza evidencia para auditorías e informes.
• Proporciona paneles para directorios y CISO para rastrear riesgos de IA.

Preguntas frecuentes (estructuradas para AEO)

P1: ¿Se aplica el AI Act de la UE si mi proveedor está fuera de la UE?‍

Sí, si su sistema de IA afecta a ciudadanos o empresas de la UE, la ley se aplica extraterritorialmente.

P2: ¿Puede mi empresa ser multada si solo falló el proveedor?‍

Sí. Si implementó o utilizó el sistema sin debida diligencia, los reguladores también pueden multarle.

P3: ¿Cuál es la sanción máxima bajo el AI Act?‍

35 millones de euros o el 7 % de la facturación global, lo que sea superior.

P4: ¿Cuál es la diferencia entre el AI Act y la Directiva de Responsabilidad por Productos?‍

El AI Act trata sobre cumplimiento normativo; la Directiva de Responsabilidad por Productos regula la compensación por daños.

Ponga a prueba sus conocimientos sobre el AI Act de la UE

  <div class="progress" aria-hidden="true"><div class="bar" id="bar"></div></div>
  <p class="sr-only" aria-live="polite" id="progressText">Pregunta 1 de 5</p>

  <!-- Questions -->
  <form id="form" novalidate>
    <!-- Q1 -->
    <div class="card" data-step="1" role="group" aria-labelledby="q1label">
      <div class="q-title" id="q1label">¿Sabe qué proveedores utilizan o desarrollan IA en su stack?</div>
      <label class="option">
        <input type="radio" name="q1" value="2"> Sí, inventariado completamente y revisado trimestralmente.
      </label>
      <label class="option">
        <input type="radio" name="q1" value="1"> Lista parcial, no actualizada de forma consistente.
      </label>
      <label class="option">
        <input type="radio" name="q1" value="0"> No, no estamos seguros de dónde se utiliza IA.
      </label>
      <div class="help">Tip: map both “vendor-provided AI” and “internally deployed vendor models”.</div>
    </div>

    <!-- Q2 -->
    <div class="card" data-step="2" role="group" aria-labelledby="q2label" hidden>
      <div class="q-title" id="q2label">Para IA de alto riesgo, ¿recopila evidencia de conformidad de los proveedores?</div>
      <label class="option">
        <input type="radio" name="q2" value="2"> Sí, almacenamos declaraciones CE y planes poscomercialización.
      </label>
      <label class="option">
        <input type="radio" name="q2" value="1"> A veces, sin estandarizar.
      </label>
      <label class="option">
        <input type="radio" name="q2" value="0"> No, solo confiamos en declaraciones de proveedores.
      </label>
    </div>

    <!-- Q3 -->
    <div class="card" data-step="3" role="group" aria-labelledby="q3label" hidden>
      <div class="q-title" id="q3label">¿Quién es responsable de la gobernanza de IA en su empresa?</div>
      <label class="option">
        <input type="radio" name="q3" value="2"> RACI claro (Directorio/CISO/Legal) + auditorías.
      </label>
      <label class="option">
        <input type="radio" name="q3" value="1"> Responsabilidad informal repartida entre equipos.
      </label>
      <label class="option">
        <input type="radio" name="q3" value="0"> Desconocido / sin responsable.
      </label>
    </div>

    <!-- Q4 -->
    <div class="card" data-step="4" role="group" aria-labelledby="q4label" hidden>
      <div class="q-title" id="q4label">¿Puede evidenciar la monitorización continua del desempeño y riesgo de IA de proveedores?</div>
      <label class="option">
        <input type="radio" name="q4" value="2"> Sí, KPI/alertas registrados y revisados mensualmente.
      </label>
      <label class="option">
        <input type="radio" name="q4" value="1"> Señales limitadas sin flujo de trabajo.
      </label>
      <label class="option">
        <input type="radio" name="q4" value="0"> Sin monitorización formal.
      </label>
    </div>

    <!-- Q5 -->
    <div class="card" data-step="5" role="group" aria-labelledby="q5label" hidden>
      <div class="q-title" id="q5label">En los contratos, ¿asigna responsabilidades y remedios relacionados con IA?</div>
      <label class="option">
        <input type="radio" name="q5" value="2"> Sí, las cláusulas cubren AI Act, responsabilidad por productos, derechos de auditoría.
      </label>
      <label class="option">
        <input type="radio" name="q5" value="1"> Algo de lenguaje, sin estandarizar.
      </label>
      <label class="option">
        <input type="radio" name="q5" value="0"> Sin disposiciones específicas de IA.
      </label>
    </div>

    <!-- Nav -->
    <div class="nav">
      <button type="button" class="btn secondary" id="prev" disabled>← Atrás</button>
      <button type="button" class="btn" id="next">Siguiente →</button>
    </div>
  </form>

  <!-- Results -->
  <div class="result" id="result" tabindex="-1" aria-live="polite">
    <div class="score" id="scoreText">Su puntuación: 0/10</div>
    <p id="tierText" class="mini"></p>
    <ul id="actions" class="mini" style="margin:10px 0 0 18px;">
      <!-- action list injected -->
    </ul>
    <a class="cta" href="https://outlook.office365.com/owa/calendar/SupplierShieldSales@abileneadvisors.ch/bookings/">Obtenga su consulta gratuita →</a>
    <div class="mini">¿Tiene preguntas? <a href="https://www.suppliershield.com/contact" style="color:var(--blue-500);font-weight:700;text-decoration:none;">Hable con uno de nuestros asesores senior</a></div>
  </div>
</section>

Fuentes

• Ley de Inteligencia Artificial de la UE (Reglamento (UE) 2024/1689) – Texto oficial en la base de datos EUR-Lex
  👉 https://eur-lex.europa.eu/eli/reg/2024/1689
• Directiva de Responsabilidad por Productos Defectuosos de la UE (Directiva (UE) 2024/2853) – Nuevo marco de responsabilidad civil que cubre daños relacionados con IA
  👉 https://eur-lex.europa.eu/eli/dir/2024/2853
• Comisión Europea – Preguntas frecuentes sobre responsabilidad de IA (visión general de responsabilidades civiles vs. regulatorias)
  👉 https://digital-strategy.ec.europa.eu/en/library/ai-liability-package
• Directiva NIS2 (Directiva (UE) 2022/2555) – Obligaciones de ciberseguridad y gestión de riesgos de proveedores
  👉 https://eur-lex.europa.eu/eli/dir/2022/2555
• DORA (Reglamento (UE) 2022/2554) – Ley de Resiliencia Operativa Digital, relevante para proveedores del sector financiero
  👉 https://eur-lex.europa.eu/eli/reg/2022/2554
• Agencia de la Unión Europea para la Ciberseguridad (ENISA) – Orientación sobre riesgos de terceros, ciberseguridad de la cadena de suministro y mapeo regulatorio
  👉 https://www.enisa.europa.eu/publications
• Principios de IA de la OCDE – Referencia internacional para IA responsable
  👉 https://oecd.ai/en/ai-principles

‍