Guía AI Act: ¿cómo cumplir con la normativa?

¿Qué es el AI Act?

El AI Act regula la comercialización y el uso de los sistemas de IA en la Unión Europea mediante un enfoque basado en riesgos. El principio es sencillo: cuanto mayor sea el potencial de un sistema para vulnerar derechos fundamentales, la seguridad o la salud de las personas, más estrictas serán las obligaciones.

El texto define ampliamente un «sistema de IA» como un sistema automatizado que, a partir de entradas, produce salidas (predicciones, recomendaciones, decisiones, contenidos) con cierto grado de autonomía. Esta definición engloba tanto los modelos generativos como algoritmos más clásicos de puntuación o clasificación.

Se estructura en torno a categorías de riesgo e introduce un régimen específico para los modelos de IA de uso general (GPAI), esos grandes modelos de base que pueden servir para innumerables usos posteriores.

Los cuatro niveles de riesgo

La clasificación por riesgo es la piedra angular de todo el reglamento: determina la intensidad de sus obligaciones para cada sistema.

• Riesgo inaceptable: prácticas prohibidas (puntuación social generalizada, manipulación que explota vulnerabilidades, ciertas identificaciones biométricas). Prohibición pura y simple.
• Alto riesgo: IA utilizadas en ámbitos críticos (contratación, educación, crédito, servicios esenciales, dispositivos de seguridad, justicia, migración). Las obligaciones más exigentes.
• Riesgo limitado: chatbots, sistemas que generan o manipulan contenidos (deepfakes). Obligación de transparencia: informar al usuario.
• Riesgo mínimo: la gran mayoría de las IA (filtros antispam, motores de recomendación básicos, juegos). Ninguna obligación específica.

¿Quién está afectado y en qué calidad?

El AI Act abarca toda la cadena de valor. Una misma empresa puede acumular varios roles: proveedor de una herramienta que ha desarrollado, desplegador de otra que utiliza. Identificar su rol para cada sistema es, por tanto, el primer paso hacia el cumplimiento.

• Proveedor: desarrolla o encarga el desarrollo de un sistema de IA y lo comercializa bajo su nombre. Obligaciones máximas para el alto riesgo.
• Desplegador: utiliza un sistema de IA con fines profesionales. Obligaciones de supervisión humana, uso conforme e información.
• Importador / distribuidor: pone a disposición en el mercado europeo un sistema de IA de terceros; debe verificar su conformidad.
• Cualquier organización: obligación transversal de «alfabetización en IA» — garantizar un nivel de competencia suficiente en las personas que diseñan o utilizan la IA.

El calendario de aplicación que debes conocer

El AI Act no se aplica de golpe: sus obligaciones entran en vigor por fases. Prepararse para el plazo correcto evita tanto el pánico como los retrasos.

Estos hitos pueden ser precisados mediante actos de ejecución; verifique el plazo aplicable a su situación antes de tomar cualquier decisión.

Las obligaciones de los sistemas de alto riesgo

Este es el núcleo más exigente del reglamento. Un proveedor de sistemas de alto riesgo debe implementar un conjunto de requisitos antes de la comercialización y mantenerlos a lo largo de todo el ciclo de vida.

• Sistema de gestión de riesgos continuo.
• Gobernanza de los datos de entrenamiento, validación y prueba (calidad, representatividad, sesgos).
• Documentación técnica detallada (anexo IV) y registro automático de eventos.
• Transparencia e información a los desplegadores (instrucciones de uso).
• Supervisión humana efectiva y medidas de robustez, exactitud y ciberseguridad.
• Evaluación de conformidad, declaración UE y, en su caso, marcado CE y registro.

¿Qué sanciones se aplican en caso de incumplimiento?

Las sanciones se gradúan según la naturaleza del incumplimiento. Las pymes y startups se benefician de límites máximos adaptados (se aplica el importe más bajo), pero siguen estando plenamente sujetas a las obligaciones correspondientes al nivel de riesgo de sus sistemas.

La supervisión se encomienda a autoridades nacionales y a una Oficina de IA a nivel europeo, con competencias de investigación y retirada del mercado.

Cómo lograr la conformidad: la hoja de ruta en 8 pasos

Paso 1 — Inventariar todos sus sistemas de IA

No se puede clasificar lo que no se conoce. Identifique todos los sistemas de IA desarrollados o utilizados: herramientas internas, componentes SaaS que incorporan IA, modelos generativos, algoritmos de scoring, asistentes. Un registro de sistemas de IA es el punto de partida indispensable, a imagen del registro RGPD.

Este inventario revela con frecuencia IA «ocultas» en el software de negocio, así como usos espontáneos de herramientas de consumo por parte de los equipos. Para cada sistema, anote el rol desempeñado (proveedor o desplegador) y la finalidad.

• Incluya las IA integradas en sus aplicaciones y herramientas SaaS.
• Identifique los usos de IA generativas por parte de los colaboradores.
• Anote, para cada uno, su rol y los datos personales tratados.

Paso 2 — Clasificar cada sistema por nivel de riesgo

Aplique la clasificación del AI Act a cada sistema: prohibido, alto riesgo, riesgo limitado o mínimo. Esta clasificación condiciona la totalidad de sus obligaciones: un sistema de riesgo mínimo no requiere nada específico, mientras que uno de alto riesgo requiere mucho.

En caso de duda, documente su razonamiento: es ese análisis motivado el que le protegerá en caso de inspección y guiará sus prioridades.

• Compare cada uso con las listas de sistemas de alto riesgo.
• Identifique las obligaciones de transparencia (chatbots, contenidos generados).
• Priorice los sistemas de alto riesgo en su plan de acción.

Paso 3 — Implantar la alfabetización en IA

La alfabetización en IA es una obligación transversal, exigible desde el principio y fácil de poner en marcha. Consiste en garantizar que las personas que diseñan o utilizan la IA dispongan de un nivel de competencia suficiente: comprender qué hace un sistema, sus limitaciones, sus sesgos y las precauciones de uso.

Es también una inversión rentable: los equipos formados cometen menos errores, aprovechan mejor las herramientas e identifican los usos de riesgo antes de que se conviertan en incidentes.

• Forme con prioridad a las funciones que diseñan o gestionan la IA.
• Sensibilice al conjunto de usuarios sobre las buenas prácticas.
• Registre las acciones de formación realizadas.

Paso 4 — Establecer la gobernanza y la gestión de riesgos

Para los sistemas de alto riesgo, implante un sistema de gestión de riesgos continuo: identificación, evaluación y tratamiento de los riesgos para la salud, la seguridad y los derechos fundamentales, reevaluados a lo largo de todo el ciclo de vida.

Estructure también la gobernanza de los datos: calidad, pertinencia y representatividad de los conjuntos de entrenamiento, validación y prueba, con especial atención a los sesgos.

• Documente el análisis de riesgos de cada sistema de alto riesgo.
• Controle la calidad y los sesgos de los datos de entrenamiento.
• Defina indicadores de exactitud y robustez.

Paso 5 — Redactar los documentos obligatorios

El AI Act es muy exigente en materia documental. Según sus sistemas y su rol, deberá producir: documentación técnica (anexo IV), instrucciones de uso, procedimiento de gestión de incidentes, cláusulas de proveedores y, cuando sea requerida, una evaluación de impacto sobre los derechos fundamentales (FRIA/AIDF).

Partir de plantillas adaptables —diseñadas para ser comprensibles por no especialistas— ahorra un tiempo considerable y evita la angustia de la página en blanco jurídica.

• Elabore la documentación técnica de los sistemas de alto riesgo.
• Realice la FRIA/AIDF cuando sea exigida.
• Prepare un procedimiento de gestión y notificación de incidentes.

Paso 6 — Gestionar los proveedores y los derechos de autor

Si utiliza modelos o sistemas de terceros, depende de su cumplimiento normativo. Verifique las garantías de sus proveedores (documentación, instrucciones de uso, conformidad GPAI) e integre cláusulas contractuales adaptadas.

Documente también el respeto de los derechos de autor y la procedencia de los datos, un punto sensible para las IA generativas y una obligación explícita para los proveedores de GPAI.

• Exija a sus proveedores la documentación y las garantías requeridas.
• Añada cláusulas de IA a sus contratos.
• Registre la procedencia de los datos y el respeto de los derechos de autor.

Paso 7 — Garantizar la supervisión humana y la transparencia

Un sistema de alto riesgo debe permanecer bajo control humano: las personas deben poder comprender los resultados, impugnarlos y, si es necesario, interrumpir el sistema. Diseñe esta supervisión desde el principio, no la añada a posteriori.

Para los sistemas de riesgo limitado, respete la obligación de transparencia: indicar claramente que el usuario interactúa con una IA, o que un contenido ha sido generado o modificado por IA.

• Defina puntos de control humano efectivos.
• Informe a los usuarios de las interacciones con una IA.
• Marque los contenidos generados o alterados por IA.

Paso 8 — Establecer la vigilancia continua

El cumplimiento en materia de IA es dinámico, al igual que los propios modelos. Registre los usos, supervise el rendimiento y las derivas, prevea un mecanismo de notificación y una revisión periódica, y corrija cuando el comportamiento del sistema evolucione.

Este ciclo de mejora continua es también lo que acerca el AI Act a la norma ISO 42001: construir uno facilita enormemente el otro.

• Registre y supervise el funcionamiento de los sistemas.
• Notifique los incidentes graves a las autoridades competentes.
• Reevalúe la clasificación y las medidas ante cada evolución.

Los errores frecuentes que hay que evitar

• Creer que el AI Act solo concierne a los editores de IA: las empresas usuarias también son «desplegadores» con obligaciones propias.
• Ignorar las IA integradas en los software de negocio y los usos espontáneos de IA generativa por parte de los equipos.
• Posponer la alfabetización en IA, cuando es exigible pronto y sencilla de implementar.
• Subestimar el vínculo con el RGPD: la mayoría de los sistemas de IA también tratan datos personales.
• Tratar el AI Act y la ISO 42001 por separado, y repetir dos veces el mismo trabajo de gobernanza.
• Descuidar la documentación técnica, que es precisamente el núcleo de las obligaciones de «alto riesgo».
• Esperar a 2026-2027 para actuar, cuando la preparación de los sistemas de alto riesgo es un proceso largo.

Cómo Data Comply One le acompaña

Data Comply One ofrece un módulo dedicado al AI Act: registro de sistemas de IA, clasificación por nivel de riesgo, biblioteca de plantillas documentales (política de uso, aviso de utilización, documentación técnica anexo IV, contrato con proveedores, gestión de incidentes, FRIA/AIDF, supervisión humana, pruebas de robustez) y seguimiento de las obligaciones a lo largo del tiempo.

Estas plantillas están diseñadas para no especialistas: explicadas paso a paso y adaptables a todos sus escenarios. Ahorra semanas de trabajo y evita errores de interpretación.

Dispone de dos modalidades: gestionar su cumplimiento en IA usted mismo con el software, o externalizarlo a nuestros expertos, que lo pilotan directamente en la plataforma. Nuestra oferta de formación en IA incorpora a sus equipos en la alfabetización exigida por el reglamento, y nuestros expertos articulan su cumplimiento en IA con el RGPD para evitar duplicidades. El enfoque está alineado de forma natural con la norma ISO 42001 para quienes aspiren, a largo plazo, a una certificación.

¿En qué punto se encuentra? ·