Which AI regulations apply to my organisation?

The regulations that apply depend on where your organisation is based, where your customers or affected individuals are located, and what your AI systems do. The EU AI Act applies to any organisation that places an AI system on the EU market or whose AI systems affect individuals in the EU, regardless of where the organisation is incorporated. ISO 42001 is a voluntary standard but increasingly expected by enterprise customers and auditors. NIST AI RMF is voluntary and US-focused but widely adopted globally. US state laws (Colorado, Illinois, Texas, California) apply if you have customers or employees in those states. Organisations with operations in multiple jurisdictions typically face overlapping requirements.

What is the EU AI Act compliance deadline?

The EU AI Act entered into force on 1 August 2024 and applies in phases. Prohibited AI practices have applied since 2 February 2025, and GPAI model obligations since 2 August 2025. Transparency obligations under Article 50 (chatbot disclosure, deepfake labelling) apply from 2 August 2026; providers of generative AI systems placed on the market before that date have until 2 December 2026 to meet Article 50(2)'s machine-readable marking duty. The omnibus adopted in June 2026 also postponed the high-risk deadlines: stand-alone Annex III systems (employment, education, essential services, law enforcement, etc.) must comply by 2 December 2027, and AI embedded in Annex I regulated products by 2 August 2028. Organisations should keep preparing now, conformity assessments take time and the first Article 50 duties land in August 2026.

How does ISO 42001 relate to the EU AI Act?

ISO 42001 is an AI management system standard that provides a framework for managing AI responsibly. It is related to the EU AI Act in that implementing ISO 42001 will help organisations meet many EU AI Act requirements, particularly around governance structures, risk management, documentation, and accountability. However, ISO 42001 certification does not provide automatic EU AI Act compliance, and the EU AI Act has specific technical requirements (bias testing, explainability, accuracy benchmarks) that go beyond the ISO 42001 management system scope. The two frameworks are complementary, many organisations use ISO 42001 as the management backbone and map EU AI Act technical requirements on top.

What are the penalties for EU AI Act non-compliance?

EU AI Act penalties are tiered by violation type: deploying a prohibited AI system (Article 5 violations) carries fines of up to €35 million or 7% of global annual turnover, whichever is higher; non-compliance with other obligations for providers and deployers of high-risk AI systems carries fines of up to €15 million or 3% of global annual turnover; supplying incorrect or misleading information to national authorities carries fines of up to €7.5 million or 1.5% of global annual turnover. These penalties are comparable to GDPR enforcement levels and are applied per violation, not per organisation, multiple simultaneous violations could stack.

Prueba gratuita de 30 días para descubrir riesgos de IA generativa -30 días de prueba de riesgos de IA generativa -Empezar ahora

Solicitar una demo

Plantilla gratuita · Cumplimiento normativo

Rastreador de cumplimiento
normativo de IA

Realice el seguimiento del cumplimiento del EU AI Act, NIST AI RMF, ISO 42001 y las normativas de IA emergentes de EE. UU. y el Reino Unido. Incluye mapeo de requisitos, análisis de brechas y seguimiento de medidas correctoras para su programa de gobernanza de IA.

Descargar plantilla Reservar demo

Actualizado en julio de 2026

4 frameworks

EU AI Act, NIST, ISO 42001, leyes estatales de EE. UU.

Dic 2027

fecha límite de alto riesgo (Anexo III) del EU AI Act

35 M€

sanción máxima por IA prohibida

Gratis

para usar y personalizar

Por qué necesita un rastreador de cumplimiento normativo de IA

La regulación de la IA se ha acelerado drásticamente desde 2024. Las organizaciones se enfrentan ahora a obligaciones de cumplimiento que se solapan en múltiples jurisdicciones y marcos, y sin un rastreador estructurado, las brechas son inevitables.

Dic 2027

La fecha límite de alto riesgo del EU AI Act se aplaza a diciembre de 2027

El ómnibus digital adoptado en junio de 2026 aplazó las obligaciones de alto riesgo del anexo III al 2 de diciembre de 2027, y al 2 de agosto de 2028 para la IA integrada en productos del anexo I. Las obligaciones de transparencia del artículo 50 siguen aplicándose desde el 2 de agosto de 2026; solo la obligación de marcado legible por máquina del artículo 50, apartado 2, tiene una transición hasta el 2 de diciembre de 2026 para los sistemas de IA generativa ya comercializados antes de esa fecha. El trabajo continúa.

3 frameworks

Los requisitos que se solapan necesitan un seguimiento unificado

El EU AI Act, la ISO 42001 y el NIST AI RMF tienen requisitos que se solapan pero no son idénticos. Sin un rastreador unificado, aparecen brechas entre los marcos.

Ene 2026

Las leyes de IA de los estados de EE. UU. ya están en vigor

El TRAIGA de Texas y la HB 3773 de Illinois entraron en vigor el 1 de enero de 2026, la SB 53 de California ya se aplica y la ley reescrita de Colorado (SB 26-189) llega el 1 de enero de 2027. Las organizaciones con operaciones en EE. UU. deben determinar qué leyes cubren qué sistemas.

Auditoría

Las pruebas de cumplimiento deben mantenerse a lo largo del tiempo

Los reguladores esperan pruebas de cumplimiento continuo, no una instantánea puntual. Un rastreador proporciona el rastro de auditoría que demuestra una gestión sistemática del cumplimiento.

El rastreador de cumplimiento

Despliegue cada sección para ver los requisitos de cumplimiento y el marco de evaluación. Complete los campos de estado de cada requisito para construir su análisis de brechas.

Paso 1: Clasifique cada sistema de IA por nivel de riesgo

Riesgo inaceptable (prohibido)

Cumplimiento requerido: 2 feb 2025 (en vigor)

Vigilancia biométrica en tiempo real en espacios públicos; puntuación social por parte de las autoridades públicas; explotación de las vulnerabilidades de grupos específicos; manipulación subliminal. El ómnibus de junio de 2026 añadió las imágenes íntimas no consentidas generadas por IA y el material de abuso sexual infantil. Estos sistemas deben retirarse de inmediato.

Alto riesgo (Anexo III)

Cumplimiento requerido: 2 dic 2027 (aplazado por el ómnibus de junio de 2026)

Decisiones de empleo y RR. HH.; educación y formación profesional; acceso a servicios esenciales (crédito, seguros, prestaciones); aplicación de la ley; migración y asilo; administración de justicia. Se aplican todas las obligaciones.

Riesgo limitado

Cumplimiento requerido: 2 ago 2026 (marcado del art. 50(2) para sistemas ya comercializados: 2 dic 2026)

Sistemas de IA que interactúan con personas físicas (chatbots); IA que genera o manipula contenido (deepfakes, medios sintéticos). Solo obligaciones de transparencia, debe revelarse la naturaleza de IA.

Riesgo mínimo

Sin obligaciones adicionales

Todos los demás sistemas de IA, filtros antispam, juegos con IA, sistemas de recomendación fuera de los contextos del Anexo III. Ninguna obligación adicional bajo el EU AI Act más allá de la legislación vigente.

Obligaciones clave para IA de alto riesgo (sistemas del Anexo III)

Sistema de gestión de riesgos (Art. 9)