El Reglamento de IA de la UE es un marco regulatorio integral que clasifica los sistemas de IA según su nivel de riesgo e impone requisitos de cumplimiento en consecuencia. Las organizaciones que despliegan sistemas de IA en la UE deben completar una lista de verificación estructurada que cubre clasificación de riesgo, evaluaciones de conformidad, documentación técnica, mecanismos de supervisión humana y monitoreo continuo. Esta guía ofrece la lista definitiva de cumplimiento del Reglamento de IA de la UE para equipos empresariales.
El Reglamento de IA de la UE (Regulación 2024/1689) es el primer marco legal integral del mundo que regula la inteligencia artificial. Totalmente aplicable desde agosto de 2026, se dirige a proveedores y desplegadores de IA que operen en la UE, y a cualquier organización cuyos sistemas de IA afecten a residentes de la UE, independientemente de dónde esté ubicada la organización. Para la mayoría de las empresas, esto significa que el Reglamento de IA de la UE ya les aplica.
Esta lista de verificación ofrece una hoja de ruta práctica para el cumplimiento dirigida a equipos de seguridad, legales y GRC empresariales. Úsala para evaluar tu postura actual y priorizar acciones de remediación.
Cronología de aplicación: qué está activo y cuándo
- Febrero 2025: las prácticas de IA prohibidas (Artículo 5) se volvieron exigibles. Las organizaciones deben cesar inmediatamente el uso de cualquier sistema de IA en la lista prohibida.
- Agosto 2025: entraron en vigor las obligaciones para modelos de IA de propósito general (GPAI), incluyendo requisitos de transparencia y documentación técnica para proveedores de modelos base.
- Agosto 2026: plena aplicación de obligaciones para sistemas de IA de alto riesgo, incluyendo evaluaciones de conformidad, documentación técnica, supervisión humana y estándares de precisión y robustez.
- Agosto 2027: obligaciones para sistemas de IA de alto riesgo integrados en productos regulados (dispositivos médicos, maquinaria, vehículos).
El sistema de clasificación basado en riesgo
El Reglamento de IA de la UE utiliza un sistema por niveles basado en riesgo. Tus obligaciones dependen totalmente del nivel en que se clasifiquen tus sistemas de IA.
IA prohibida (riesgo inaceptable)
Los sistemas de IA prohibidos están totalmente vetados. Incluyen:
- Sistemas de puntuación social que evalúan a individuos según comportamiento o características personales
- Identificación biométrica en tiempo real en espacios públicos (con excepciones limitadas para fuerzas del orden)
- Sistemas de IA que explotan vulnerabilidades psicológicas o usan manipulación subliminal
- Reconocimiento emocional basado en IA en entornos laborales o educativos
- Categorización biométrica basada en características sensibles (raza, opinión política, orientación sexual)
- IA de policía predictiva que perfila individuos solo por comportamiento pasado
Sanción por IA prohibida: hasta 35 millones de euros o 7% de la facturación anual global, lo que sea mayor.
IA de alto riesgo
Los sistemas de IA de alto riesgo enfrentan las obligaciones más extensas. Incluyen IA usada en:
- Decisiones de contratación, promoción y gestión de empleados
- Puntuación crediticia y acceso a servicios financieros
- Decisiones de acceso a educación y formación profesional
- Gestión de infraestructuras críticas para la seguridad
- IA en dispositivos médicos y soporte a decisiones clínicas
- Fuerzas del orden, control fronterizo y gestión migratoria
- Administración de justicia y procesos democráticos
Para la mayoría de las empresas, la IA usada en RRHH, finanzas y evaluación crediticia es de alto riesgo según el Reglamento.
IA de riesgo limitado
Sistemas como chatbots y generadores de deepfakes tienen obligaciones de transparencia: los usuarios deben ser informados de que interactúan con IA y el contenido sintético debe estar etiquetado.
IA de riesgo mínimo
Filtros de spam, juegos con IA y la mayoría de sistemas de recomendación de contenido entran aquí. No aplican obligaciones específicas, aunque se fomentan códigos de práctica voluntarios.
Lista de verificación para cumplimiento del Reglamento de IA de la UE
Parte 1: Inventario y clasificación de IA
- [ ] Completar un inventario de todos los sistemas de IA en uso en la organización, incluyendo IA usada por empleados sin aprobación de TI (IA en la sombra)
- [ ] Clasificar cada sistema de IA según nivel de riesgo: prohibido, alto riesgo, riesgo limitado o riesgo mínimo
- [ ] Identificar si la organización actúa como proveedor (desarrolla/lanza IA al mercado) o desplegador (usa IA para sus propios fines) para cada sistema
- [ ] Documentar el propósito previsto, datos de entrada y resultados de decisión para cada sistema de IA de alto riesgo
- [ ] Revisar herramientas de IA de terceros y aplicaciones SaaS para características de IA que puedan ser de alto riesgo
Parte 2: IA prohibida, Acción inmediata
- [ ] Auditar el uso actual de IA para puntuación social, manipulación subliminal o identificación biométrica prohibida
- [ ] Confirmar que no se despliegan sistemas de identificación biométrica remota en tiempo real en espacios públicos sin autoridad legal
- [ ] Confirmar que no se usa IA de reconocimiento emocional en monitoreo laboral
- [ ] Desmantelar o modificar cualquier sistema de IA que entre en categorías prohibidas
- [ ] Documentar la revisión de prohibiciones y conservar para auditorías
Parte 3: IA de alto riesgo, Requisitos técnicos
- [ ] Establecer un sistema de gestión de calidad para desarrollo y despliegue de IA de alto riesgo
- [ ] Preparar documentación técnica que demuestre cumplimiento antes del despliegue
- [ ] Implementar registro automático de eventos del sistema de IA (datos usados, decisiones tomadas, resultados generados)
- [ ] Evaluar sistemas de IA contra estándares de precisión, robustez y ciberseguridad
- [ ] Realizar pruebas adversariales (red teaming) y documentar resultados
- [ ] Registrar sistemas de IA de alto riesgo en la base de datos pública del Reglamento de IA de la UE (solo proveedores)
- [ ] Colocar marcado CE en sistemas de IA integrados en productos regulados
Parte 4: Requisitos de supervisión humana
- [ ] Asegurar que la supervisión humana esté integrada en procesos de decisión de IA de alto riesgo: humanos deben poder entender, monitorear y anular resultados de IA
- [ ] Identificar y designar responsables humanos cualificados para supervisión de cada sistema de IA de alto riesgo
- [ ] Implementar mecanismos de parada/suspensión que permitan apagar inmediatamente sistemas de IA de alto riesgo
- [ ] Capacitar a empleados relevantes sobre limitaciones de IA, modos de fallo y cuándo escalar
Parte 5: Transparencia y notificación al usuario
- [ ] Informar a usuarios cuando interactúan con un chatbot o sistema automatizado de IA
- [ ] Etiquetar adecuadamente contenido generado por IA y deepfakes
- [ ] Proporcionar a las personas información significativa sobre decisiones de IA de alto riesgo que les afecten
- [ ] Actualizar avisos de privacidad y políticas de empleados para reflejar uso de IA
Parte 6: Obligaciones para modelos GPAI (si aplica)
- [ ] Si desarrollas o ajustas un modelo de IA de propósito general, prepara documentación técnica según Artículo 53
- [ ] Publicar un resumen de los datos de entrenamiento usados (respetando derechos de autor)
- [ ] Implementar políticas de cumplimiento de derechos de autor para datos de entrenamiento
- [ ] Si tu modelo GPAI representa un riesgo sistémico, realiza pruebas adversariales e informa incidentes a la Oficina de IA de la UE
Parte 7: Gobernanza y documentación
- [ ] Designar un responsable de cumplimiento del Reglamento de IA o ampliar responsabilidades del DPO/CISO para cubrirlo
- [ ] Desarrollar una política de uso de IA que los empleados deban reconocer
- [ ] Establecer un procedimiento de reporte y respuesta a incidentes de IA
- [ ] Mantener registros de cumplimiento de IA por al menos 10 años (sistemas de alto riesgo)
- [ ] Realizar revisiones anuales de cumplimiento conforme se actualicen los reglamentos de implementación
¿A quién se aplica el Reglamento de IA de la UE?
El Reglamento se aplica tanto a proveedores como a desplegadores, y la categoría de desplegador es más amplia de lo que muchas organizaciones creen.
Eres proveedor si desarrollas un sistema de IA o lo pones en el mercado de la UE, incluyendo construir modelos personalizados, ajustar modelos open source o desarrollar funciones de IA en tus productos.
Eres desplegador si usas un sistema de IA en el curso de tus actividades profesionales, lo que cubre a la mayoría de empresas que usan IA para RRHH, atención al cliente, evaluación crediticia u operaciones, incluso si compraron la IA a un proveedor externo.
Importante: como desplegador no puedes simplemente delegar el cumplimiento en tu proveedor de IA. Sigues siendo responsable de que el sistema de IA que despliegas se use conforme al Reglamento, que exista supervisión humana y que tu caso de uso coincida con el propósito previsto especificado por el proveedor.
Multas y aplicación
- Violaciones de IA prohibida: hasta 35 millones de euros o 7% de la facturación anual global (lo que sea mayor)
- Incumplimientos en IA de alto riesgo: hasta 15 millones de euros o 3% de la facturación anual global
- Provisión de información incorrecta o engañosa a reguladores: hasta 7,5 millones de euros o 1,5% de la facturación anual global
- PYMES y startups: penalizaciones proporcionalmente reducidas (con un límite en umbrales absolutos más bajos)
Las autoridades competentes nacionales de cada estado miembro de la UE serán las encargadas de la aplicación. La Oficina Europea de IA supervisa a los proveedores de GPAI y los casos transfronterizos. La aplicación comenzó en serio a mediados de 2025 con prohibiciones, y la aplicación completa para sistemas de alto riesgo está activa desde agosto de 2026.
Cómo Aona AI ayuda con el cumplimiento del Acta de IA de la UE
El primer y más fundamental requisito del Reglamento de IA de la UE, y el que la mayoría de las empresas incumplen, es mantener un inventario completo y preciso de todos los sistemas de IA en uso. No se puede clasificar, gobernar ni documentar lo que no se sabe que existe.
La plataforma de gobernanza de IA de Aona AI: → Plataforma de gobernanza de IA
- Descubre automáticamente todas las herramientas de IA en uso en toda su organización, incluidas las herramientas de IA en la sombra que los empleados usan sin aprobación de TI
- Clasifica las herramientas de IA descubiertas según los niveles de riesgo del Reglamento de IA de la UE, señalando sistemas de alto riesgo y potencialmente prohibidos
- Mantiene un inventario vivo de IA que cumple con los requisitos de documentación del Artículo 17 (sistemas de gestión de calidad)
- Monitorea las salidas y patrones de uso de los modelos de IA para detectar comportamientos anómalos, apoyando los requisitos continuos de supervisión
- Genera informes de cumplimiento y registros de auditoría que demuestran la debida diligencia ante los reguladores
- Hace cumplir las políticas de uso de IA, bloqueando o alertando sobre el uso de herramientas de IA prohibidas o no aprobadas
Para organizaciones que enfrentan la fecha límite de cumplimiento de IA de alto riesgo en agosto de 2026, Aona AI ofrece el camino más rápido desde la exposición hasta el cumplimiento.
Preguntas frecuentes
¿Se aplica el Reglamento de IA de la UE a empresas no europeas?
Sí. El Reglamento de IA de la UE se aplica extraterritorialmente. Si las salidas de su sistema de IA se usan en la UE, o si despliega IA que afecta a residentes de la UE, el Reglamento se aplica, independientemente de dónde esté ubicada su empresa. Esto es similar al alcance territorial del RGPD.
¿Cuándo se aplica completamente el Reglamento de IA de la UE a los sistemas de IA de alto riesgo?
Las obligaciones para sistemas de IA de alto riesgo (evaluación de conformidad, documentación técnica, supervisión humana, registro, transparencia) se volvieron plenamente exigibles en agosto de 2026. Las disposiciones sobre IA prohibida son exigibles desde febrero de 2025.
¿Cuál es la diferencia entre un proveedor y un desplegador según el Reglamento de IA de la UE?
Un proveedor desarrolla un sistema de IA y lo pone en el mercado. Un desplegador usa un sistema de IA para sus propios fines profesionales. La mayoría de las empresas son desplegadores, incluso si usan herramientas de IA de proveedores externos. Los desplegadores tienen su propio conjunto de obligaciones, separadas (y además) de las de los proveedores.
¿Necesito registrar nuestros sistemas de IA en alguna base de datos de la UE?
Los proveedores de sistemas de IA de alto riesgo deben registrarlos en la base de datos pública del Reglamento de IA de la UE antes de ponerlos en el mercado. Los desplegadores de ciertos sistemas de IA de alto riesgo (los usados en la administración pública) también deben registrar su uso. La base de datos está gestionada por la Oficina Europea de IA.
¿Cómo descubro la IA en la sombra para construir nuestro inventario de IA?
La IA en la sombra , herramientas de IA usadas por empleados sin conocimiento de TI , es la mayor barrera práctica para el cumplimiento del Acta de IA de la UE. La autoevaluación manual falla porque los empleados no revelan el uso de IA. Aona AI automatiza el descubrimiento de IA en la sombra mediante análisis del tráfico de red e integración con proveedores de identidad, mostrando todas las herramientas de IA en uso en minutos tras su despliegue.
Recursos relacionados
Explorar nuestra soluciónSoftware de Gobernanza de IA, compárela con competidores en nuestras guías comparativas de gobernanza de IA, descargue nuestras Plantilla de política de uso aceptable de IA o consulte el glosario de seguridad de IA.
