Ideas clave
- Empieza por un inventario de todos los sistemas de IA en uso, incluidas las funciones de IA dentro del software que ya compras, porque no puedes clasificar lo que no has listado.
- Cada sistema recibe un papel (proveedor, responsable del despliegue, importador, distribuidor) y una clase de riesgo, y los controles salen de esas dos respuestas.
- Las prácticas prohibidas, la alfabetización en IA y la transparencia del artículo 50 ya se aplican. El alto riesgo del anexo III, desde el 2 de diciembre de 2027 y el del anexo I desde el 2 de agosto de 2028 (Reglamento (UE) 2026/1744).
- Para quien despliega, la mayor parte del trabajo está en compras y operaciones: contratos, supervisión humana, conservación de registros y un modo de gestionar incidentes.
Qué cambió en 2026 y por qué no significa que puedas esperar
Asigna a cada sistema de IA un responsable, tu función jurídica, una clasificación de riesgo y un expediente de pruebas. Los 12 pasos siguientes coordinan las áreas jurídica, de seguridad, compras y operaciones. Los plazos modificados de alto riesgo son el 2 de diciembre de 2027 para el anexo III y el 2 de agosto de 2028 para productos del anexo I. Las prohibiciones, la alfabetización en IA y las obligaciones de transparencia aplicables ya requieren atención.
La lista de 12 pasos
- Nombra a un responsable y a un pequeño comité: jurídico, el delegado de protección de datos, seguridad, producto y compras. Una sola persona responde del programa.
- Construye el inventario de IA: cada sistema, quién es su responsable, qué hace, qué datos toca y si se desarrolla en casa o se compra. Incluye las funciones de IA dentro de herramientas que ya licencias y las que el personal usa sin autorización.
- Revisa primero las prácticas prohibidas del artículo 5, porque son exigibles ya y llevan las multas más altas.
- Asigna tu papel en cada sistema: proveedor, responsable del despliegue, importador o distribuidor. Encargar un sistema a medida y explotarlo con tu nombre puede convertirte en proveedor.
- Clasifica cada sistema: prohibido, alto riesgo (artículo 6 y anexo III), solo transparencia (artículo 50) o riesgo mínimo. Registra el razonamiento, no solo la respuesta.
- Organiza la alfabetización en IA del artículo 4: formación adecuada al puesto, al contexto y a las personas afectadas, con constancia de quién la ha completado.
- Rehaz los contratos con proveedores y las preguntas de compras (véase la tabla de abajo).
- En cada sistema de alto riesgo que despliegues, aplica los deberes del artículo 26: úsalo según las instrucciones, asigna una supervisión humana competente, comprueba los datos de entrada, vigila su funcionamiento, conserva los registros al menos seis meses e informa a los trabajadores y a los afectados.
- En cada sistema de alto riesgo que suministres, construye los controles del capítulo III: gestión de riesgos, gobernanza de datos, documentación técnica, registros, instrucciones de uso, supervisión humana, precisión y ciberseguridad, un sistema de gestión de la calidad, evaluación de conformidad y vigilancia poscomercialización.
- Implanta la transparencia del artículo 50: avisa a las personas cuando hablan con una IA, marca el contenido generado y etiqueta los deepfakes.
- Conecta con el RGPD: una evaluación de impacto de protección de datos cuando el tratamiento sea de alto riesgo y una evaluación de impacto sobre los derechos fundamentales del artículo 27 cuando proceda.
- Crea el expediente de pruebas y un ciclo de revisión: una carpeta por sistema, un proceso de incidentes y un calendario con las fechas anteriores.
Los pasos 1 a 6 se aplican a toda organización que use IA, sea cual sea su papel. Los pasos 7 y 8 son el trabajo central de quien despliega, el paso 9 es para los proveedores y los pasos 10 a 12 lo unen todo. Si solo compras y usas herramientas de IA, puedes saltarte el paso 9 y aun así tener un programa completo.
Qué preguntar a los proveedores antes de firmar
| Pide al proveedor | Por qué importa |
|---|---|
| La finalidad prevista y las instrucciones de uso, por escrito | Debes usar un sistema de alto riesgo según las instrucciones (artículo 26), así que necesitas las instrucciones para seguirlas. |
| Acceso a los registros que genera el sistema | Debes conservar los registros bajo tu control al menos seis meses. |
| Dónde se almacenan y tratan los datos y si se usan para entrenar modelos | Condiciones de encargado del RGPD, residencia de los datos y confidencialidad. |
| Aviso de cambios sustanciales del modelo o del sistema | Una modificación sustancial puede cambiar la clase de riesgo o quién es el proveedor. |
| Condiciones de notificación de incidentes y vulnerabilidades | Los incidentes graves deben notificarse y necesitas los hechos con rapidez. |
| En sistemas de alto riesgo: la declaración de conformidad y los datos de registro | Prueba de que el proveedor ha hecho su parte. |
| Subencargados y ubicación del alojamiento | Necesario para tus registros y para cualquier análisis de transferencias. |
Quién se encarga de qué
| Tarea | Responsable habitual | Pruebas que conservar |
|---|---|---|
| Inventario de IA y clasificación | Responsable del programa con las áreas de negocio | Tabla de inventario con papel, clase y razonamiento |
| Revisión de prácticas prohibidas | Jurídico | Visto bueno fechado por sistema |
| Evaluación de proveedores y cláusulas contractuales | Compras y jurídico | Respuestas al cuestionario y condiciones firmadas |
| Diseño de la supervisión humana | Producto y operaciones | Funciones de supervisión con nombre, registros de formación, procedimiento de anulación |
| Registros y monitorización | Ingeniería y seguridad | Ajustes de conservación de registros, constancia de revisiones |
| Evaluaciones de impacto | Delegado de protección de datos | EIPD y, cuando proceda, evaluación sobre derechos fundamentales |
| Formación | RR. HH. o cumplimiento | Registros de asistencia, itinerarios por puesto |
Qué hacer en los primeros 90 días
- Semanas 1 a 3: responsable nombrado, reunión del comité, primer borrador del inventario con TI, compras y cada departamento.
- Semanas 4 a 6: revisión de prácticas prohibidas, papel y clase de riesgo de cada sistema, candidatos de alto riesgo señalados.
- Semanas 7 a 9: cuestionarios a proveedores enviados, plantilla de contrato actualizada, plan de alfabetización en IA aprobado.
- Semanas 10 a 13: avisos del artículo 50 activos donde haga falta, funciones de supervisión asignadas para los usos de alto riesgo, carpetas de pruebas creadas y fecha de revisión fijada.
Comparte tu inventario de IA y los requisitos de despliegue. Te ayudamos a definir la arquitectura, los accesos, los registros y las pruebas técnicas de cada sistema.
Consulta sobre tu arquitectura de IAFAQ
¿Qué es lo primero que debe hacer una gran empresa para la Ley de IA de la UE?
Construir un inventario de todos los sistemas de IA en uso, incluidas las funciones dentro del software que ya compra. Los papeles, las clases de riesgo y los controles dependen de saber qué tienes.
¿Canceló el ómnibus digital las normas de alto riesgo?
No. Las aplazó: los sistemas del anexo III hasta el 2 de diciembre de 2027 y los productos del anexo I hasta el 2 de agosto de 2028. Las prohibiciones, la alfabetización en IA y la transparencia no se aplazaron, salvo un periodo de gracia para el marcado del artículo 50.2 en los sistemas que ya estaban en el mercado.
¿Necesitamos una evaluación de impacto sobre los derechos fundamentales aparte?
Solo si te afecta el artículo 27, que abarca a los organismos públicos, a las entidades privadas que prestan servicios públicos y a quienes despliegan ciertos sistemas de crédito y seguros. Si además necesitas una evaluación de impacto del RGPD, pueden hacerse juntas.
Fuentes
- Reglamento (UE) 2024/1689 (Ley de IA), artículos 4, 5, 6, 26, 27, 50 y capítulo III, Diario Oficial de la UE
- Reglamento (UE) 2026/1744 (ómnibus digital sobre IA), Diario Oficial de la UE, 24 de julio de 2026
- Comisión Europea, preguntas frecuentes sobre las obligaciones de transparencia del artículo 50 de la Ley de IA
- Servicio de Asistencia de la Ley de IA, artículo 26: obligaciones de los responsables del despliegue de sistemas de IA de alto riesgo
Sobre el autor
Artem Synytskyi · Cofundador · IA
Artem dirige la IA en ESADEX y desarrolla sistemas LLM, RAG y de voz a texto para entornos regulados.