Pones tu marca sobre OpenAI o Gemini: ¿eres provider? (Art. 25)
Integrar un modelo de propósito general bajo tu marca puede convertirte en provider, con las obligaciones más pesadas. "Solo llamamos a la API" no te exime por sí solo.
Una de las confusiones más frecuentes en las HR-techs es asumir que, por usar un modelo ajeno, la responsabilidad regulatoria es del proveedor del modelo. El artículo 25 del Reglamento (UE) 2024/1689 dice algo bastante distinto, y conviene leerlo con cuidado antes de construir sobre esa suposición.
Cuándo un deployer se convierte en provider
El artículo 25 establece que un deployer, distribuidor o importador pasa a ser considerado provider, con las obligaciones más pesadas del reglamento, en varios supuestos:
- Cuando pone su nombre o marca sobre un sistema de alto riesgo.
- Cuando realiza una modificación sustancial del sistema.
- Cuando cambia la finalidad prevista del sistema.
El artículo 3, por su parte, define la diferencia entre provider y deployer. La distinción no es cosmética: el provider soporta el grueso de las obligaciones de documentación, gestión de riesgos y conformidad.
La situación típica de la HR-tech
Ahora traslada esto al caso habitual. Integras un modelo de propósito general (OpenAI, Gemini) dentro de tu producto de selección, lo ofreces bajo tu marca y lo presentas al mercado como tu funcionalidad de matching o screening. El argumento de "nosotros solo llamamos a la API de OpenAI" no te exime por sí solo: al poner tu marca sobre un sistema de alto riesgo, o al adaptarlo a una finalidad de selección, puedes cruzar la línea que te convierte en provider.
La consecuencia práctica es que necesitas documentar tu posición con evidencias, no con intuiciones. Qué modelo usas y en qué versión, qué has cambiado respecto al comportamiento por defecto, para qué finalidad lo presentas y bajo qué marca. Ese registro es lo que te permite defender tu clasificación si un cliente, o una autoridad, te pregunta por ella.