Guía de cumplimiento del Reglamento de IA de la UE: 10 pasos para prepararse

El cumplimiento del Reglamento de IA de la UE (Reglamento 2024/1689) no es una acción única — es un programa estructurado que afecta a las funciones de tecnología, gobernanza, jurídica y operaciones de toda su organización. Esta guía recorre diez pasos esenciales para construir un programa de cumplimiento integral, desde el descubrimiento inicial hasta la supervisión continua.

Las obligaciones ya se aplican y ya se supervisan. Las prácticas prohibidas y la obligación de alfabetización en IA rigen desde el 2 de febrero de 2025. Las obligaciones para los modelos de IA de uso general se aplican desde el 2 de agosto de 2025. El 2 de agosto de 2026 el Reglamento pasó a ser de aplicación general y comenzó su aplicación efectiva por parte de la Oficina Europea de IA y las autoridades nacionales. Los requisitos sustantivos para los sistemas de alto riesgo, en cambio, se han desplazado a diciembre de 2027 y agosto de 2028.

Novedades de julio de 2026

El aplazamiento es incondicional. La propuesta original de la Comisión vinculaba las nuevas fechas a una decisión que confirmara la disponibilidad de normas armonizadas — un mecanismo de "parada del reloj" —, pero los colegisladores lo descartaron. El texto adoptado no contiene ningún condicionante de preparación normativa ni ningún nuevo aplazamiento automático.

Igual de importante es lo que no se movió. El 2 de agosto de 2026 siguió siendo la fecha de aplicación general del Reglamento: no se modificó el párrafo segundo del Artículo 113 y la aplicación efectiva comenzó ese mismo día. Las obligaciones de transparencia del Artículo 50 no se aplazaron y están en vigor ahora: divulgación de la interacción con un sistema de IA, etiquetado de las ultrasuplantaciones (deepfakes) y marcado legible por máquina del contenido sintético. Tampoco se aplazó el registro del Artículo 49, que se encuentra en la Sección 5 del Capítulo III, fuera del ámbito del aplazamiento. Las prohibiciones del Artículo 5 siguen rigiendo desde el 2 de febrero de 2025 y las cuantías de las multas del Artículo 99 no han cambiado.

El Omnibus también añade dos nuevas prohibiciones al Artículo 5, aplicables desde el 2 de diciembre de 2026: los sistemas de IA que generan o manipulan imágenes íntimas realistas de una persona identificable sin su consentimiento (Artículo 5(1)(ba)) y los que generan o manipulan material de abuso sexual infantil (Artículo 5(1)(bb)). Además, un nuevo Artículo 111(4) concede un período transitorio hasta esa misma fecha, el 2 de diciembre de 2026, a los sistemas de IA generativa introducidos en el mercado antes del 2 de agosto de 2026 para cumplir el deber de marcado legible por máquina del Artículo 50(2).

Paso 1: Mapee sus sistemas de IA

No puede cumplir con un reglamento si no sabe a qué se aplica. El primer paso es crear un inventario integral de todos los sistemas de IA de su organización.

Qué cuenta como sistema de IA

La definición del Reglamento de IA (Artículo 3(1)) es amplia: un sistema basado en máquinas diseñado para operar con distintos niveles de autonomía que, para objetivos explícitos o implícitos, infiere de la entrada cómo generar resultados como predicciones, contenido, recomendaciones o decisiones. Esto abarca modelos de aprendizaje automático, sistemas de aprendizaje profundo, enfoques estadísticos y bayesianos, sistemas basados en lógica y conocimiento, y sistemas híbridos.

Cómo realizar un inventario de IA

Encueste todos los departamentos. Los sistemas de IA a menudo se adoptan departamentalmente. Cada departamento puede tener herramientas de IA que el departamento central de TI desconoce.

Incluya la IA de terceros. Los sistemas a los que accede mediante API, integra en sus productos o utiliza a través de plataformas SaaS están dentro del ámbito de aplicación.

Compruebe la IA integrada. Muchos productos de software contienen componentes de IA que no se destacan de forma prominente.

Documente cada sistema. Para cada sistema de IA identificado, registre: su nombre y proveedor, su propósito y función, qué datos procesa, qué resultados genera, a quién afectan esos resultados y qué departamento lo utiliza.

Paso 2: Clasifique los niveles de riesgo

Con su inventario completo, clasifique cada sistema de IA según las categorías de riesgo del Reglamento de IA: filtre las prácticas prohibidas (Artículo 5), evalúe la clasificación de alto riesgo (Artículos 6, Anexo I, Anexo III), identifique las obligaciones de transparencia (Artículo 50) y clasifique los sistemas restantes como riesgo mínimo.

La clasificación determina no solo qué debe hacer, sino cuándo. Las prohibiciones del Artículo 5 y las obligaciones de transparencia del Artículo 50 son exigibles hoy. Los requisitos sustantivos de alto riesgo vencen el 2 de diciembre de 2027 para los sistemas del Anexo III y el 2 de agosto de 2028 para los del Anexo I. El Anexo III no fue modificado por el Reglamento (UE) 2026/1744: los ocho epígrafes de casos de uso se mantienen tal como se promulgaron. Tenga en cuenta que las orientaciones de la Comisión sobre la clasificación de alto riesgo con arreglo al Artículo 6(5), publicadas el 19 de mayo de 2026, son todavía un borrador; trate cualquier posición basada en ellas como una interpretación provisional.

Paso 3: Identifique su rol

Sus obligaciones dependen de si es proveedor, operador, importador o distribuidor para cada sistema de IA. Puede desempeñar múltiples roles simultáneamente.

Paso 4: Realice un análisis de brechas

Para cada sistema de IA de alto riesgo, compare sus prácticas actuales con los requisitos del Reglamento de IA (Artículos 8-15). Identifique dónde ya cumple y dónde existen brechas en gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividades, transparencia, supervisión humana y precisión y robustez.

Paso 5: Implemente los controles requeridos

Basándose en su análisis de brechas, implemente los controles técnicos y organizativos necesarios:

Sistema de gestión de riesgos (Artículo 9)

Establezca un sistema que identifique y analice riesgos conocidos y previsibles, estime y evalúe riesgos, adopte medidas de gestión apropiadas, pruebe el sistema y documente todo e itere a medida que surjan nuevos riesgos.

Gobernanza de datos (Artículo 10)

Implemente prácticas de gobernanza que cubran los datos de entrenamiento, validación y prueba, incluyendo documentación, examen de sesgos y cumplimiento del RGPD.

Documentación técnica (Artículo 11)

Prepare documentación que contenga todos los elementos especificados en el Anexo IV.

Capacidades de registro (Artículo 12)

Implemente el registro automático que capture el período y duración de cada uso, los datos de entrada, los resultados, la identificación del personal de supervisión y cualquier anomalía. Defina períodos de conservación adecuados — al menos seis meses.

Disposiciones de transparencia (Artículo 13)

Diseñe el sistema para que sea suficientemente transparente y proporcione instrucciones de uso integrales.

Diseño de supervisión humana (Artículo 14)

Implemente mecanismos de supervisión humana apropiados al nivel de riesgo del sistema: humano en el bucle, humano sobre el bucle o humano al mando.

Paso 6: Prepárese para la evaluación de la conformidad

Los sistemas de IA de alto riesgo deben someterse a una evaluación de la conformidad antes de ser introducidos en el mercado o puestos en servicio, ya sea mediante control interno (Anexo VI) o evaluación por terceros (Anexo VII). Tras la evaluación exitosa, coloque el marcado CE, registre el sistema en la base de datos de la UE y prepare la declaración UE de conformidad.

Esta obligación es exigible desde el 2 de diciembre de 2027 para los sistemas del Anexo III y desde el 2 de agosto de 2028 para los del Anexo I. Planifique con holgura: hasta la fecha no se ha citado en el Diario Oficial ninguna norma armonizada, de modo que aún no cabe apoyarse en la presunción de conformidad del Artículo 40 y la evaluación debe fundamentarse directamente en los Artículos 8 a 15. La solicitud de normalización M/613 se extiende hasta el 28 de febrero de 2027.

Paso 7: Establezca la supervisión y vigilancia poscomercialización

Diseñe y documente un sistema para recopilar, analizar y evaluar activamente los datos sobre el rendimiento y el cumplimiento a lo largo del ciclo de vida del sistema. Establezca un proceso de notificación de incidentes graves (Artículo 73) con plazos específicos.

Paso 8: Forme a su equipo (Alfabetización en IA)

El Artículo 4 del Reglamento de IA pide a los proveedores y operadores que adopten medidas para garantizar un nivel suficiente de alfabetización en IA entre su personal. Se aplica desde el 2 de febrero de 2025. El Reglamento (UE) 2026/1744 reformuló y suavizó esta disposición: se trata de una expectativa razonable de competencia del personal, no de un régimen formal de formación auditada.

Evalúe los niveles de alfabetización actuales, defina objetivos de aprendizaje específicos por roles, imparta formación a través de canales apropiados, evalúe la comprensión y documente los registros de formación, y actualice la formación a medida que evolucionen los sistemas y las regulaciones.

Paso 9: Documente todo

La documentación es la columna vertebral del cumplimiento del Reglamento de IA. Sin ella, no puede demostrar el cumplimiento independientemente de lo buenas que sean sus prácticas reales.

Los artefactos de documentación clave incluyen el inventario de sistemas de IA, las clasificaciones de riesgos, los registros del sistema de gestión de riesgos, los registros de gobernanza de datos, la documentación técnica, los registros de evaluación de la conformidad, los registros de actividades y supervisión, los registros de formación, la documentación del SGC y los registros de vigilancia poscomercialización.

Paso 10: Planifique el cumplimiento continuo

El cumplimiento del Reglamento de IA no es un proyecto con una fecha de finalización — es un programa continuo.

Supervise los desarrollos regulatorios. El marco del Reglamento de IA seguirá evolucionando mediante actos de ejecución, actos delegados, normas armonizadas y códigos de buenas prácticas.

Revise y actualice las evaluaciones de riesgos. A medida que sus sistemas de IA evolucionen y cambien los contextos de despliegue, sus evaluaciones de riesgos deben actualizarse.

Audite periódicamente. Realice auditorías internas periódicas de sus sistemas de IA frente a los requisitos del reglamento.

Gestione la cadena de suministro. Supervise el estado de cumplimiento de sus proveedores.

Planifique los cambios del sistema. Cualquier modificación sustancial de un sistema de IA de alto riesgo puede desencadenar la necesidad de una nueva evaluación de la conformidad (Artículo 43(4)).

Visión general del calendario de cumplimiento

Por dónde empezar si va con retraso

Si su organización aún no ha iniciado su programa de cumplimiento del Reglamento de IA, he aquí una priorización pragmática:

Inmediato (este mes):

• Realice un inventario rápido de sistemas de IA
• Filtre las prácticas prohibidas — descontinúe las que apliquen
• Cumpla el Artículo 50: es exigible desde el 2 de agosto de 2026. Revise las divulgaciones en chatbots, el etiquetado de las ultrasuplantaciones (deepfakes) y el marcado legible por máquina del contenido sintético
• Compruebe si le corresponde el registro del Artículo 49, que tampoco se ha aplazado
• Lance un programa básico de concienciación sobre alfabetización en IA

A corto plazo (próximo trimestre):

• Complete la clasificación de riesgos de todos los sistemas inventariados
• Identifique su rol (proveedor/operador) para cada sistema
• Inicie el análisis de brechas para los sistemas de alto riesgo

A medio plazo (próximos seis meses):

• Implemente los controles requeridos para los sistemas de alto riesgo
• Establezca el sistema de gestión de la calidad
• Prepárese para la evaluación de la conformidad

Antes de diciembre de 2027 (Anexo III) y de agosto de 2028 (Anexo I):

• Complete las evaluaciones de conformidad para todos los sistemas de alto riesgo
• Establezca los sistemas de vigilancia poscomercialización
• Garantice que toda la documentación esté completa y actualizada
• Pruebe su proceso de notificación de incidentes graves

El plazo del Anexo III se sitúa ahora a unos dieciséis meses vista, no a unas semanas. Eso es margen para hacer bien el trabajo, no una razón para detenerlo: el aplazamiento es incondicional y no hay ningún mecanismo previsto para una nueva prórroga automática. A ello se suma que aún no se ha citado en el Diario Oficial ninguna norma armonizada, por lo que todavía no existe presunción de conformidad en virtud del Artículo 40 y los programas deben construirse directamente sobre el texto del Reglamento.

Las organizaciones que comiencen ahora, aunque sea de forma imperfecta, estarán en una posición mucho más fuerte que las que esperen una claridad perfecta. El reglamento es ley, ya se aplica y ya se supervisa. La única variable es lo bien preparada que estará su organización cuando venzan los plazos de alto riesgo.