Guía de cumplimiento del Reglamento de IA de la UE: 10 pasos para prepararse

El cumplimiento del Reglamento de IA de la UE (Reglamento 2024/1689) no es una acción única — es un programa estructurado que afecta a las funciones de tecnología, gobernanza, jurídica y operaciones de toda su organización. Esta guía recorre diez pasos esenciales para construir un programa de cumplimiento integral, desde el descubrimiento inicial hasta la supervisión continua.

Las obligaciones se están aplicando ahora. Las prácticas prohibidas y los requisitos de alfabetización en IA son exigibles desde el 2 de febrero de 2025. Las obligaciones para los modelos de IA de uso general entran en vigor en agosto de 2025. La plena aplicación de los requisitos para los sistemas de alto riesgo comienza el 2 de agosto de 2026. Independientemente de dónde se encuentre en el proceso, el momento de empezar es ahora.

Paso 1: Mapee sus sistemas de IA

No puede cumplir con un reglamento si no sabe a qué se aplica. El primer paso es crear un inventario integral de todos los sistemas de IA de su organización.

Qué cuenta como sistema de IA

La definición del Reglamento de IA (Artículo 3(1)) es amplia: un sistema basado en máquinas diseñado para operar con distintos niveles de autonomía que, para objetivos explícitos o implícitos, infiere de la entrada cómo generar resultados como predicciones, contenido, recomendaciones o decisiones. Esto abarca modelos de aprendizaje automático, sistemas de aprendizaje profundo, enfoques estadísticos y bayesianos, sistemas basados en lógica y conocimiento, y sistemas híbridos.

Cómo realizar un inventario de IA

Encueste todos los departamentos. Los sistemas de IA a menudo se adoptan departamentalmente. Cada departamento puede tener herramientas de IA que el departamento central de TI desconoce.

Incluya la IA de terceros. Los sistemas a los que accede mediante API, integra en sus productos o utiliza a través de plataformas SaaS están dentro del ámbito de aplicación.

Compruebe la IA integrada. Muchos productos de software contienen componentes de IA que no se destacan de forma prominente.

Documente cada sistema. Para cada sistema de IA identificado, registre: su nombre y proveedor, su propósito y función, qué datos procesa, qué resultados genera, a quién afectan esos resultados y qué departamento lo utiliza.

Paso 2: Clasifique los niveles de riesgo

Con su inventario completo, clasifique cada sistema de IA según las categorías de riesgo del Reglamento de IA: filtre las prácticas prohibidas (Artículo 5), evalúe la clasificación de alto riesgo (Artículos 6, Anexo I, Anexo III), identifique las obligaciones de transparencia (Artículo 50) y clasifique los sistemas restantes como riesgo mínimo.

Paso 3: Identifique su rol

Sus obligaciones dependen de si es proveedor, operador, importador o distribuidor para cada sistema de IA. Puede desempeñar múltiples roles simultáneamente.

Paso 4: Realice un análisis de brechas

Para cada sistema de IA de alto riesgo, compare sus prácticas actuales con los requisitos del Reglamento de IA (Artículos 8-15). Identifique dónde ya cumple y dónde existen brechas en gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividades, transparencia, supervisión humana y precisión y robustez.

Paso 5: Implemente los controles requeridos

Basándose en su análisis de brechas, implemente los controles técnicos y organizativos necesarios:

Sistema de gestión de riesgos (Artículo 9)

Establezca un sistema que identifique y analice riesgos conocidos y previsibles, estime y evalúe riesgos, adopte medidas de gestión apropiadas, pruebe el sistema y documente todo e itere a medida que surjan nuevos riesgos.

Gobernanza de datos (Artículo 10)

Implemente prácticas de gobernanza que cubran los datos de entrenamiento, validación y prueba, incluyendo documentación, examen de sesgos y cumplimiento del RGPD.

Documentación técnica (Artículo 11)

Prepare documentación que contenga todos los elementos especificados en el Anexo IV.

Capacidades de registro (Artículo 12)

Implemente el registro automático que capture el período y duración de cada uso, los datos de entrada, los resultados, la identificación del personal de supervisión y cualquier anomalía. Defina períodos de conservación adecuados — al menos seis meses.

Disposiciones de transparencia (Artículo 13)

Diseñe el sistema para que sea suficientemente transparente y proporcione instrucciones de uso integrales.

Diseño de supervisión humana (Artículo 14)

Implemente mecanismos de supervisión humana apropiados al nivel de riesgo del sistema: humano en el bucle, humano sobre el bucle o humano al mando.

Paso 6: Prepárese para la evaluación de la conformidad

Los sistemas de IA de alto riesgo deben someterse a una evaluación de la conformidad antes de ser introducidos en el mercado o puestos en servicio, ya sea mediante control interno (Anexo VI) o evaluación por terceros (Anexo VII). Tras la evaluación exitosa, coloque el marcado CE, registre el sistema en la base de datos de la UE y prepare la declaración UE de conformidad.

Paso 7: Establezca la supervisión y vigilancia poscomercialización

Diseñe y documente un sistema para recopilar, analizar y evaluar activamente los datos sobre el rendimiento y el cumplimiento a lo largo del ciclo de vida del sistema. Establezca un proceso de notificación de incidentes graves (Artículo 73) con plazos específicos.

Paso 8: Forme a su equipo (Alfabetización en IA)

El Artículo 4 del Reglamento de IA exige que los proveedores y operadores garanticen un nivel suficiente de alfabetización en IA entre su personal. Esta obligación ya está en vigor desde el 2 de febrero de 2025.

Evalúe los niveles de alfabetización actuales, defina objetivos de aprendizaje específicos por roles, imparta formación a través de canales apropiados, evalúe la comprensión y documente los registros de formación, y actualice la formación a medida que evolucionen los sistemas y las regulaciones.

Paso 9: Documente todo

La documentación es la columna vertebral del cumplimiento del Reglamento de IA. Sin ella, no puede demostrar el cumplimiento independientemente de lo buenas que sean sus prácticas reales.

Los artefactos de documentación clave incluyen el inventario de sistemas de IA, las clasificaciones de riesgos, los registros del sistema de gestión de riesgos, los registros de gobernanza de datos, la documentación técnica, los registros de evaluación de la conformidad, los registros de actividades y supervisión, los registros de formación, la documentación del SGC y los registros de vigilancia poscomercialización.

Paso 10: Planifique el cumplimiento continuo

El cumplimiento del Reglamento de IA no es un proyecto con una fecha de finalización — es un programa continuo.

Supervise los desarrollos regulatorios. El marco del Reglamento de IA seguirá evolucionando mediante actos de ejecución, actos delegados, normas armonizadas y códigos de buenas prácticas.

Revise y actualice las evaluaciones de riesgos. A medida que sus sistemas de IA evolucionen y cambien los contextos de despliegue, sus evaluaciones de riesgos deben actualizarse.

Audite periódicamente. Realice auditorías internas periódicas de sus sistemas de IA frente a los requisitos del reglamento.

Gestione la cadena de suministro. Supervise el estado de cumplimiento de sus proveedores.

Planifique los cambios del sistema. Cualquier modificación sustancial de un sistema de IA de alto riesgo puede desencadenar la necesidad de una nueva evaluación de la conformidad (Artículo 43(4)).

Visión general del calendario de cumplimiento

Por dónde empezar si va con retraso

Si su organización aún no ha iniciado su programa de cumplimiento del Reglamento de IA, he aquí una priorización pragmática:

Inmediato (este mes):

• Realice un inventario rápido de sistemas de IA
• Filtre las prácticas prohibidas — descontinúe las que apliquen
• Lance un programa básico de concienciación sobre alfabetización en IA

A corto plazo (próximo trimestre):

• Complete la clasificación de riesgos de todos los sistemas inventariados
• Identifique su rol (proveedor/operador) para cada sistema
• Inicie el análisis de brechas para los sistemas de alto riesgo

A medio plazo (próximos seis meses):

• Implemente los controles requeridos para los sistemas de alto riesgo
• Establezca el sistema de gestión de la calidad
• Prepárese para la evaluación de la conformidad

Antes de agosto de 2026:

• Complete las evaluaciones de conformidad para todos los sistemas de alto riesgo
• Establezca los sistemas de vigilancia poscomercialización
• Garantice que toda la documentación esté completa y actualizada
• Pruebe su proceso de notificación de incidentes graves

Las organizaciones que comiencen ahora, aunque sea de forma imperfecta, estarán en una posición mucho más fuerte que las que esperen una claridad perfecta. El reglamento es ley. Los plazos son fijos. La única variable es lo bien preparada que estará su organización cuando comience la aplicación.