Lista de verificación para el cumplimiento del Reglamento Europeo de IA: lo que las empresas deben hacer antes de 2026
El Reglamento Europeo de IA es el primer marco legal integral del mundo que regula la inteligencia artificial, y su fecha límite de aplicación completa es agosto de 2026. Para equipos legales empresariales, oficiales de cumplimiento y CTOs, esto no es un riesgo futuro: es un programa de cumplimiento activo que debe estar en marcha ahora. Con sanciones de hasta 35 millones de euros o el 7% de la facturación anual global, el coste del incumplimiento supera casi cualquier otra exposición regulatoria en la agenda corporativa.
Esta lista cubre los cuatro niveles de riesgo, los 12 pasos que toda empresa debe completar y lo que las empresas australianas que operan en la UE necesitan saber.
Cronología del Reglamento Europeo de IA: lo que ya ha cambiado
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024. Esto desencadenó un despliegue por fases:
- **Febrero de 2025**, Entraron en vigor las prohibiciones sobre sistemas de IA de riesgo inaceptable. Cualquier empresa que despliegue IA prohibida en la UE ya ha estado en incumplimiento durante más de un año.
- **Agosto 2025**, Las normas para modelos de IA de propósito general (GPAI), incluidas las obligaciones de transparencia y derechos de autor, se volvieron exigibles.
- **Agosto 2026**, Aplicación completa. Las obligaciones para sistemas de IA de alto riesgo, evaluaciones de conformidad y requisitos de registro se aplican a todos los sistemas dentro del alcance.
Si su organización aún no ha iniciado un programa de cumplimiento de IA, está retrasada. La ventana de 12 meses hasta agosto de 2026 es una fecha límite estricta, no un objetivo flexible.
Comprendiendo los Cuatro Niveles de Riesgo
La Ley de IA de la UE clasifica los sistemas de IA en cuatro niveles. Saber en cuál se encuentra cada sistema determina las obligaciones de cumplimiento aplicables.
Nivel 1: Riesgo Inaceptable (Prohibido)
Estos sistemas están prohibidos completamente. Desde febrero de 2025, desplegarlos en la UE constituye una violación regulatoria.
Ejemplos incluyen: sistemas de IA que manipulan a individuos mediante técnicas subliminales, sistemas de puntuación social operados por gobiernos, identificación biométrica remota en tiempo real en espacios públicos (con excepciones limitadas) y IA que explota vulnerabilidades relacionadas con edad, discapacidad o circunstancias socioeconómicas.
Relevancia para empresas: Si utiliza herramientas de IA para retención de clientes con optimización de patrones oscuros, o cualquier sistema que puntúe a individuos según características protegidas, realice una revisión inmediata.
Nivel 2: Alto Riesgo
Los sistemas de alto riesgo enfrentan la mayor carga de cumplimiento: evaluaciones de conformidad, documentación técnica, mecanismos de supervisión humana y registro en la base de datos de la UE. Este nivel cubre:
- Sistemas de IA usados en infraestructuras críticas (energía, agua, finanzas, transporte)
- IA en educación y formación profesional (sistemas que determinan acceso o evalúan estudiantes)
- Decisiones de empleo: selección de CV, puntuación en entrevistas, monitoreo de desempeño, asignación de tareas
- Servicios esenciales: puntuación crediticia, evaluación de riesgos de seguros, suscripción de seguros de vida y salud
- Aplicaciones en fuerzas del orden y control fronterizo
- Administración de justicia
Relevancia para empresas: Si su equipo de RRHH usa IA para filtrar candidatos o monitorear la productividad de empleados, está operando un sistema de alto riesgo. Si su función financiera usa IA para decisiones crediticias, también es de alto riesgo. Estos sistemas requieren atención inmediata para cumplir con la normativa.
Nivel 3: Riesgo Limitado
Los sistemas de riesgo limitado solo enfrentan obligaciones de transparencia. Los usuarios deben ser informados cuando interactúan con IA.
Ejemplos: chatbots y asistentes virtuales de IA, contenido generado por IA (imágenes, audio, vídeo), sistemas de reconocimiento emocional.
Relevancia para empresas: Su chatbot de servicio al cliente y herramientas de generación de contenido con IA entran aquí. El requisito de cumplimiento es la divulgación: asegúrese de que su interfaz deje claro que los usuarios interactúan con IA.
Nivel 4: Riesgo Mínimo
La gran mayoría de aplicaciones de IA están aquí: filtros de spam, búsqueda potenciada por IA, motores de recomendación, funciones de IA en herramientas de productividad. No se aplican obligaciones obligatorias, aunque la Ley fomenta códigos de conducta voluntarios.
Lista de Verificación de Cumplimiento de la Ley de IA de la UE en 12 Pasos
Paso 1: Realizar un Inventario de Sistemas de IA
No puede cumplir con lo que no puede ver. Mapee todos los sistemas de IA en uso en la empresa, incluyendo herramientas de proveedores, plataformas SaaS con funciones de IA integradas y modelos desarrollados internamente. Esto incluye IA sombra: herramientas de IA que los empleados usan sin aprobación de TI.
La [plataforma de Gobernanza de IA](/governance) de Aona ofrece descubrimiento continuo de IA en nube, red y endpoints, proporcionando a los equipos de cumplimiento un inventario en tiempo real.
Paso 2: Clasificar Cada Sistema por Nivel de Riesgo
Para cada sistema en su inventario, determine qué nivel aplica. Use el Anexo III de la Ley de IA de la UE como referencia para clasificaciones de alto riesgo. Considere si el uso que hace de un sistema (no solo el sistema en sí) cambia su clasificación: un modelo de IA de propósito general usado para selección de CV es alto riesgo en ese contexto.
Documente su justificación de clasificación. Los reguladores esperarán verla.
Paso 3: Asignar Responsables de Riesgo de IA
Cada sistema de IA dentro del alcance necesita un responsable nombrado, una persona específica responsable de las obligaciones de cumplimiento. Para sistemas de alto riesgo, esta persona debe tener autoridad suficiente para detener el despliegue si no se puede mantener el cumplimiento. Defina la responsabilidad en su política de gobernanza de IA y actualice las descripciones de roles.
Paso 4: Completar Evaluaciones de Conformidad para Sistemas de Alto Riesgo
Los sistemas de IA de alto riesgo requieren una evaluación de conformidad antes del despliegue. Esta evaluación debe verificar que el sistema cumple con los requisitos de la Ley de IA de la UE: calidad de datos, documentación técnica, precisión, robustez, ciberseguridad y supervisión humana. Para la mayoría de sistemas empresariales, es un proceso de autoevaluación, pero debe estar documentado y ser auditable.
La evaluación de conformidad por terceros es obligatoria para ciertas categorías (por ejemplo, identificación biométrica remota, IA en infraestructuras críticas). Consulte con su asesor legal para determinar qué camino aplicar.
Paso 5: Implementar Mecanismos de Supervisión Humana
Los sistemas de IA de alto riesgo deben diseñarse y desplegarse para permitir una supervisión humana efectiva. Esto significa que las personas deben poder entender qué hace el sistema, intervenir cuando sea necesario y anular sus resultados. Documente el proceso de supervisión: quién revisa las decisiones impulsadas por IA, con qué frecuencia y cómo se registran las anulaciones.
Para herramientas de IA en empleo, esto es especialmente importante: las rechazos asistidos por IA deben poder ser revisados por un humano antes de ejecutarse.
Paso 6: Establecer Documentación y Registro de IA
La Ley de IA de la UE exige documentación técnica para sistemas de alto riesgo que cubra diseño del sistema, datos de entrenamiento, métodos de prueba, métricas de precisión y limitaciones conocidas. Esta documentación debe mantenerse y actualizarse durante todo el ciclo de vida del sistema.
Para todos los sistemas dentro del alcance, mantenga registros de: entradas del inventario, clasificaciones de riesgo, resultados de evaluaciones de conformidad, procedimientos de supervisión y registros de incidentes. Los registros deben conservarse al menos 10 años para sistemas de alto riesgo.
Paso 7: Realizar Pruebas de Sesgo y Precisión
Los sistemas de alto riesgo deben probarse para sesgos y precisión antes del despliegue y de forma continua. Las pruebas deben cubrir toda la gama de individuos y grupos afectados, incluyendo impacto dispar según género, etnia, edad y discapacidad.
Documente su metodología de prueba, conjuntos de datos usados, resultados y medidas de mitigación aplicadas. Si no puede probar adecuadamente su sistema, no debe desplegarlo.
Paso 8: Establecer Procesos de Reporte de Incidentes
Los operadores de sistemas de IA de alto riesgo deben reportar incidentes graves a la autoridad nacional competente correspondiente. Un incidente grave es aquel que causa muerte, daño grave a la salud, daños significativos a la propiedad o efectos adversos sociales graves.
Establezca un proceso interno para: detectar fallos en sistemas de IA, escalar posibles incidentes al equipo de cumplimiento, evaluar si se ha alcanzado un umbral notificable y presentar informes dentro del plazo requerido. La obligación de reporte está activa desde agosto de 2026.
Paso 9: Capacitar al Personal en Políticas de IA
Toda persona que use, gestione o supervise un sistema de IA dentro del alcance de la Ley de IA de la UE debe tener alfabetización suficiente en IA, una obligación específica introducida por el Artículo 4. Esto implica formación formal sobre: qué sistemas de IA se usan, cómo funcionan, sus limitaciones y riesgos, políticas aplicables y cómo escalar preocupaciones.
Los registros de formación deben documentarse y actualizarse cuando los sistemas cambien. Una inducción única no es suficiente.
Paso 10: Implementar Medidas de Robustez Técnica
Los sistemas de IA de alto riesgo deben ser resistentes a errores, fallos y ciberataques. Los requisitos técnicos incluyen: mecanismos de detección de errores, procesos de conmutación por error, protección contra entradas adversarias y controles de integridad de datos. Trabaje con sus equipos de seguridad e ingeniería para evaluar cada sistema de alto riesgo frente a estos requisitos y documentar planes de remediación donde existan brechas.
Paso 11: Registrar Sistemas de Alto Riesgo en la Base de Datos de la UE
Los proveedores de sistemas de IA de alto riesgo, y los desplegadores en ciertas categorías, deben registrar sus sistemas en la base de datos de IA a nivel UE mantenida por la Oficina Europea de IA. El registro incluye nombre del sistema, detalles del proveedor, propósito previsto, categoría de riesgo e información de evaluación de conformidad.
Consulte la guía actual de la Oficina Europea de IA sobre qué categorías de despliegue requieren registro del desplegador (además del proveedor); esta guía se actualiza conforme madura la implementación.
Paso 12: Consultar Asesoría Legal para Implicaciones Transfronterizas
El Reglamento de IA de la UE se aplica según dónde se desplieguen y usen los sistemas de IA, no según dónde esté la sede de la empresa. Si su sistema de IA afecta a personas en la UE, el Reglamento se aplica, independientemente de si su organización está en Bruselas, Sídney o San Francisco. Contrate asesoría legal cualificada en la UE para evaluar sus obligaciones específicas, especialmente en:
- Si se le clasifica como "proveedor", "desplegador" o ambos
- Autoridad nacional competente aplicable en cada estado miembro de la UE
- Transferencias transfronterizas de datos e interacción con obligaciones GDPR
- Obligaciones contractuales para trasladar requisitos de cumplimiento a proveedores de IA
Sanciones: Las apuestas son altas
El incumplimiento de la Ley de IA de la UE conlleva algunas de las multas regulatorias más altas de la historia:
- **Sistemas de IA prohibidos:** Hasta **35 millones de €** o **7% de la facturación anual global** (lo que sea mayor)
- **Violaciones en sistemas de alto riesgo:** Hasta **15 millones de €** o **3% de la facturación anual global**
- **Proporcionar información incorrecta a reguladores:** Hasta **7,5 millones de €** o **1,5% de la facturación anual global**
Estas no son máximas teóricas, son topes de aplicación impuestos por autoridades nacionales con mandatos de investigación activa. El historial de la UE en la aplicación del GDPR (4.500 millones de € en multas desde 2018) indica que la aplicación de la Ley de IA será tomada en serio.
Empresas australianas: están dentro del alcance
Si su empresa australiana despliega sistemas de IA que afectan a personas en la UE, o si opera un negocio en la UE, atiende a clientes de la UE o tiene empleados europeos, la Ley de IA de la UE se aplica a usted. La jurisdicción regulatoria se determina por dónde ocurre el efecto, no por dónde está constituida la empresa.
Esto es importante porque muchas empresas australianas asumen que están exentas de la regulación de la UE. No es así. Las firmas australianas de servicios financieros que atienden a inversores europeos, las empresas australianas de SaaS con clientes empresariales en la UE y los minoristas australianos con operaciones de comercio electrónico dirigidas a la UE están potencialmente dentro del alcance.
La interacción entre la Ley de IA de la UE y el propio panorama emergente de gobernanza de IA en Australia, incluyendo el [Estándar Voluntario de Seguridad de IA](/compliance) y las enmiendas propuestas a la Ley de Privacidad que cubren la toma de decisiones automatizada, significa que los programas de cumplimiento deben abordar ambos marcos. Una estrategia unificada de gobernanza de IA reduce la duplicación y asegura que ninguno de los marcos sea pasado por alto.
Cómo Ayuda Aona
La [plataforma de Gobernanza de IA](/governance) de Aona está diseñada específicamente para empresas que navegan por complejos requisitos de cumplimiento de IA. Proporciona:
- **Descubrimiento continuo de sistemas de IA**, inventario en vivo de todas las herramientas de IA en uso, incluyendo IA sombra
- **Flujos de trabajo de clasificación de riesgos**, clasificación estructurada según los niveles de la Ley de IA de la UE
- **Aplicación de políticas**, controles que previenen el uso no conforme de IA en tiempo real
- **Documentación lista para auditoría**, registros mantenidos automáticamente para evaluaciones de conformidad e informes de incidentes
- **Informes a nivel de junta**, paneles que muestran la postura de cumplimiento de IA para ejecutivos y reguladores
Comience con una prueba gratuita de Aona Governance y vea su inventario completo de IA en 24 horas.
También puede descargar nuestra [plantilla de lista de verificación de cumplimiento de la Ley de IA de la UE](/resources/templates/eu-ai-act-checklist), una hoja de trabajo estructurada para rastrear su programa de cumplimiento frente a cada obligación.
Preguntas frecuentes
¿Qué es el Reglamento de IA de la UE? El Reglamento de IA de la UE (Reglamento 2024/1689) es el primer marco legal integral del mundo para la inteligencia artificial. Clasifica los sistemas de IA por nivel de riesgo e impone requisitos que van desde divulgaciones de transparencia hasta evaluaciones completas de conformidad. Entró en vigor el 1 de agosto de 2024 y su aplicación completa será en agosto de 2026.
¿Cuándo se aplican las obligaciones del Reglamento de IA de la UE? Hitos clave: prohibiciones sobre IA de riesgo inaceptable vigentes desde febrero de 2025; reglas modelo GPAI vigentes desde agosto de 2025; aplicación completa (obligaciones para sistemas de alto riesgo) desde agosto de 2026.
¿Cuáles son las sanciones máximas bajo el Reglamento de IA de la UE? Hasta 35 millones de euros o el 7 % de la facturación anual global por desplegar sistemas de IA prohibidos. Las infracciones de alto riesgo conllevan sanciones de hasta 15 millones de euros o el 3 % de la facturación global.
¿Deben las empresas australianas cumplir con la Ley de IA de la UE? Sí, si despliegan sistemas de IA que afectan a personas en la UE. El alcance de la Ley se basa en dónde se usa el sistema y sus efectos, no en dónde tiene su sede la empresa. Las empresas australianas que atienden a clientes o empleados en la UE deben evaluar sus obligaciones bajo la Ley.
