Cumplimiento EU AI Act

El Reglamento (UE) 2024/1689 sobre inteligencia artificial es la primera regulación horizontal del mundo para sistemas de IA. Aplica a cualquier organización que ponga en el mercado europeo o use sistemas de IA: proveedores (quien desarrolla y comercializa), responsables del despliegue (quien lo usa en su organización), importadores y distribuidores. Aplica también a proveedores de fuera de la UE si su sistema o sus salidas se usan en la UE. La clasificación por nivel de riesgo es la pieza central: prohibidos, alto riesgo, GPAI, riesgo limitado y mínimo. Cada nivel tiene obligaciones distintas y fechas de aplicación distintas.

Calendario escalonado: 2 de febrero de 2025 prácticas prohibidas y obligación de alfabetización en IA (art. 4) ya aplican. 2 de agosto de 2025 obligaciones de modelos de uso general (GPAI), gobernanza y régimen sancionador. 2 de agosto de 2026 alto riesgo entra en aplicación general, junto con la mayoría de obligaciones de proveedores y responsables del despliegue. 2 de agosto de 2027 alto riesgo de sistemas de seguridad de productos (Anexo I) y otros casos residuales. El año 2026 es el de mayor exigencia de cumplimiento; preparar el programa en H1 2026 da margen razonable. Después se pasa a régimen reactivo bajo presión de la AESIA o autoridad sectorial.

Hay dos vías al alto riesgo. Anexo I (sistemas de seguridad de productos regulados por legislación específica: maquinaria, juguetes, dispositivos médicos, vehículos, ascensores, equipos de protección, etc.). Anexo III (ocho áreas de uso): biometría, infraestructura crítica, educación y formación profesional, empleo (selección, evaluación, asignación de tareas), acceso a servicios esenciales públicos y privados, fuerzas de seguridad, migración y control fronterizo, justicia y procesos democráticos. La clasificación correcta es la decisión fundacional del programa: equivocarse hacia abajo expone a multas; equivocarse hacia arriba aplica obligaciones innecesariamente costosas. Lo hacemos como primera fase del proyecto.

Cinco bloques. Diagnóstico y clasificación: inventario de sistemas IA en la organización, clasificación de cada uno (prohibido / alto riesgo / GPAI / limitado / mínimo) y mapa de obligaciones aplicables. Gobierno: políticas, asignación de roles, comité IA, registro interno de sistemas IA. Riesgos (art. 9): sistema de gestión de riesgos documentado, evaluación continua, mitigaciones. Cumplimiento técnico: data governance (art. 10), documentación técnica (art. 11), logs (art. 12), transparencia (art. 13), supervisión humana (art. 14), precisión, robustez y ciberseguridad (art. 15). Operación continua: monitorización post-mercado, gestión de incidentes graves (art. 73 GPAI / proveedor), reporting a AESIA, evidencia para auditor.

Hacemos: clasificación técnica de sistemas, sistema de gestión de riesgos art. 9, data governance art. 10, documentación técnica art. 11, sistema de logs art. 12, mecanismos de transparencia y human-oversight (arts. 13 y 14), testing técnico art. 15 (precisión, robustez y ciberseguridad — incluye red teaming adversarial), monitorización post-mercado, procedimientos de notificación de incidentes graves, formación AI literacy (art. 4), políticas internas y gobierno. No hacemos: representación legal ante AESIA, defensa jurídica en sanciones, conformidad notarial de declaraciones, asesoramiento jurídico puro. Para eso coordinamos con el departamento legal del cliente o con el bufete que designe. Sí redactamos la documentación técnica que ese bufete necesitará firmar.

Depende del número y criticidad de sistemas IA. Diagnóstico inicial (inventario + clasificación + mapa de obligaciones + roadmap) con 2-5 sistemas: 3-5 semanas, 8-18 mil euros. Programa completo de implantación para alto riesgo con 1-3 sistemas: 12-24 semanas, 1-2 consultores GRC + 1 técnico, 35-90 mil euros. Programa GPAI o multi-sistema enterprise: 24-40 semanas, 50-160 mil euros. La operación continua (revisión periódica, nuevos sistemas, reporting) se gestiona como suscripción mensual o se transfiere al equipo interno con formación. Antes de presupuestar hacemos diagnóstico inicial para dimensionar.

ISO/IEC 42001 (Artificial Intelligence Management System, AIMS) es el marco operativo natural para sostener cumplimiento EU AI Act: el sistema de gestión cubre la mayoría de obligaciones organizativas (gobierno, riesgos, mejora continua) y los anexos cubren controles técnicos. Implantar 42001 no certifica EU AI Act pero genera la base de la evidencia. Con RGPD hay solapamiento parcial: el art. 22 RGPD (decisiones automatizadas) sigue aplicando cuando el sistema IA decide sobre personas; la DPIA del RGPD se complementa con la evaluación de impacto sobre derechos fundamentales (FRIA) del art. 27 EU AI Act para sistemas de alto riesgo en sector público o servicios esenciales. Las dos coexisten, no se sustituyen.

Sí. El reglamento aplica extraterritorialmente cuando: el sistema de IA se pone en el mercado de la UE (independientemente de dónde se desarrolle), el responsable del despliegue está establecido en la UE, o las salidas del sistema se usan en la UE. La organización debe designar un representante autorizado en la UE (art. 22) para los sistemas de alto riesgo de su catálogo. Coordinamos con vuestro legal counsel internacional para la designación; la parte técnica y de gestión del programa la cubrimos directamente.

Tres tramos. Hasta 35 millones de euros o 7% de la facturación mundial total del ejercicio anterior por usar prácticas prohibidas (art. 5). Hasta 15 millones o 3% por incumplir obligaciones de alto riesgo, GPAI o de transparencia. Hasta 7,5 millones o 1% por información incorrecta a autoridades. La autoridad nacional (en España, AESIA) y autoridades sectoriales (CNMV, AEPD, etc.) pueden imponer estas sanciones. Más allá de la multa, el riesgo reputacional y comercial es alto: clientes enterprise empezarán a exigir evidencia de cumplimiento como condición de procurement durante 2026-2027.

Llamada de 30 minutos para entender el contexto (qué sistemas IA tenéis o estáis desplegando, posición en la cadena: proveedor, responsable del despliegue o ambos, sector, recursos GRC actuales). Si tiene sentido, walkthrough técnico-organizativo de 2 horas con product/ingeniería + Compliance/DPO. Con eso proponemos diagnóstico inicial (3-5 semanas) con propuesta firme tras el diagnóstico. Sin compromisos hasta firma. Si vemos que la organización aún no tiene sistemas IA en producción o está en fase muy temprana, recomendamos consultoría puntual de orientación en lugar de programa completo.