Reglamento de la UE · Reglamento de inteligencia artificial
Sightadel le guía desde el inventario de sus sistemas de IA, pasando por el rol y el nivel de riesgo, hasta las obligaciones que se derivan de ellos, con plantillas de la práctica, ayuda de redacción y consultores reales para los puntos difíciles. Qué se le aplica lo decide usted, con una justificación documentada.
De qué se trata
El Reglamento de IA, Reglamento (UE) 2024/1689, regula el uso de la inteligencia artificial en la UE. Se aplica directamente, sin ley de transposición. Su enfoque se basa en el riesgo: cuanto mayores sean las posibles consecuencias para la salud, la seguridad y los derechos fundamentales, más estrictas son las obligaciones. Algunas prácticas están totalmente prohibidas, los sistemas de alto riesgo están sujetos a requisitos amplios, para determinados sistemas rigen obligaciones de transparencia y el resto queda en gran medida libre.
Lo decisivo es su rol. Los proveedores desarrollan un sistema de IA o lo introducen en el mercado con su propio nombre y asumen la mayoría de las obligaciones. Los responsables del despliegue utilizan un sistema bajo su propia responsabilidad, por ejemplo en recursos humanos o en atención al cliente. También ellos tienen obligaciones: deben utilizar el sistema conforme a su finalidad prevista, garantizar la supervisión humana y, en determinados casos, informar a las personas afectadas.
Las obligaciones entran en vigor por etapas. Las prohibiciones y la obligación de alfabetización en materia de IA se aplican desde febrero de 2025, las normas para los modelos de IA de uso general desde agosto de 2025 y las obligaciones de transparencia desde agosto de 2026. Un reglamento modificativo de 2026 aplazó las obligaciones de alto riesgo: a diciembre de 2027 para los sistemas de alto riesgo independientes y a agosto de 2028 para la IA en productos regulados. No existe un certificado para el Reglamento en su conjunto.
La IA está en el software estándar, los chatbots y los análisis. Como responsable del despliegue necesita un inventario, personal formado y claridad sobre si un sistema entra en un ámbito de alto riesgo, por ejemplo en la selección de candidatos o en la evaluación de la solvencia.
Como proveedor asume la carga principal: gestión de riesgos, documentación técnica, gestión de la calidad y, en los sistemas de alto riesgo, una evaluación de la conformidad antes de la introducción en el mercado.
Los clientes quieren saber cómo gestiona la IA antes de utilizar su producto. Un estado de evidencias bien mantenido y un Trust Center lo responden una vez, en lugar de en cada cuestionario.
Requisitos
Resumido con nuestras propias palabras. Prevalece siempre el texto original en su versión vigente.
Usted sabe qué sistemas de IA ofrece o utiliza, qué rol tiene en cada caso y en qué nivel de riesgo se encuadra cada sistema.
En SightadelEl inventario de IA registra cada sistema con su finalidad, responsable, rol y clasificación. Las preguntas guía conducen la clasificación; la decisión y su justificación las registra usted.
Determinados usos están prohibidos, como las técnicas manipuladoras, la puntuación del comportamiento social o el reconocimiento de emociones en el lugar de trabajo, salvo excepciones muy limitadas.
En SightadelUn control por cada práctica prohibida, respondido para cada sistema del inventario. El resultado se archiva con fecha y se vuelve a presentar cuando hay cambios.
Los proveedores y los responsables del despliegue adoptan medidas para que su personal adquiera los conocimientos necesarios para manejar los sistemas utilizados. La modificación de 2026 reformuló este requisito, no lo suprimió.
En SightadelFormaciones como ciclos recurrentes con evidencia de asistencia y fecha de caducidad. Las mismas pruebas cuentan para ISO 42001.
Para los sistemas de alto riesgo, una gestión de riesgos durante todo el ciclo de vida, así como requisitos sobre el origen, la calidad y la representatividad de los datos de entrenamiento, validación y prueba.
En SightadelRegistro de riesgos por sistema, vinculado a medidas y a revisiones periódicas. Los datos sobre fuentes y calidad de los datos se consultan de forma guiada y se archivan como evidencia.
Una documentación técnica que demuestre el cumplimiento de los requisitos y un registro automático de eventos durante el funcionamiento.
En SightadelLa estructura de la documentación como controles con plantilla. Las partes que faltan se convierten en tareas con plazo; las versiones siguen siendo trazables.
Instrucciones de uso comprensibles para los responsables del despliegue, supervisión humana eficaz y un nivel adecuado de precisión, solidez y ciberseguridad.
En SightadelPara la supervisión y la ciberseguridad vincula evidencias existentes de ISO 27001. Quién supervisa el sistema y cuándo se interviene lo determina usted.
Los proveedores de sistemas de alto riesgo mantienen un sistema de gestión de la calidad, se someten a una evaluación de la conformidad, colocan el marcado CE, registran el sistema en la base de datos de la UE y lo vigilan tras su introducción en el mercado.
En SightadelCada paso como control con evidencia. La declaración de conformidad y el registro se archivan con fecha; la vigilancia poscomercialización funciona como ciclo con fecha.
Los responsables del despliegue de sistemas de alto riesgo los utilizan conforme a las instrucciones de uso, garantizan la supervisión humana, conservan los registros y, en determinados casos, realizan una evaluación de impacto relativa a los derechos fundamentales.
En SightadelControles propios para los responsables del despliegue, separados de los de los proveedores. La evaluación de impacto se consulta de forma guiada y se archiva junto a la evaluación de impacto relativa a la protección de datos.
Las personas saben que interactúan con una IA. Los contenidos generados o manipulados artificialmente son reconocibles como tales.
En SightadelControles por cada sistema afectado; las pruebas, como textos informativos o procedimientos de marcado, se vinculan como evidencia.
Proceso
El inventario, la clasificación y las obligaciones básicas quedan documentados en dos a cuatro meses. Quien ofrece sistemas de alto riesgo debe contar más bien con un año, y eso debería estar terminado antes de diciembre de 2027.
Registrar todos los sistemas de IA, también los integrados en software estándar y servicios cloud. Sin inventario no se puede clasificar nada.
Determinar para cada sistema el rol como proveedor o responsable del despliegue, descartar prácticas prohibidas y registrar el nivel de riesgo. Hacer aclarar jurídicamente los casos dudosos.
Formar al personal, aplicar los avisos de transparencia, acordar responsabilidades y una política de IA. Estas obligaciones ya se aplican.
Solo si le afecta: aplicar y documentar la gestión de riesgos, los requisitos de datos, la documentación técnica, los registros y la supervisión humana.
Los proveedores de sistemas de alto riesgo se someten a la evaluación de la conformidad, elaboran la declaración de conformidad y registran el sistema.
Ampliar el inventario con cada nuevo uso, repetir las formaciones, registrar incidentes, vigilancia poscomercialización y revisión periódica de la clasificación.
Listo para empezar
Quien aclara pronto estas preguntas se ahorra semanas después. En Sightadel están creadas como primeras tareas.
Reparto del trabajo
Si un software lo rellenara todo, la norma no cumpliría su finalidad, y el auditor lo notaría. Por eso está claramente definido qué queda en sus manos.
De la práctica
De muchos años de experiencia en consultoría y certificación: estos son los puntos que más tiempo cuestan o que provocan no conformidades en la auditoría.
La IA también está en software estándar, servicios cloud y extensiones del navegador. Consulte de forma específica a las áreas de negocio y a compras y registre también las funciones integradas.
La misma empresa puede ser proveedor de un sistema y responsable del despliegue de otro. Determine el rol de cada sistema por separado y justifíquelo.
Quien alega que un sistema de un ámbito del anexo III no plantea un riesgo considerable debe demostrarlo. Deje constancia escrita de la evaluación antes de utilizar el sistema.
Un aviso a todos no sustituye a una formación adaptada a la tarea. Diferencie por funciones, repita la formación con cada nuevo sistema y documente la asistencia.
Los plazos de alto riesgo se aplazaron, pero las prohibiciones, la alfabetización en materia de IA y la transparencia ya se aplican. Cumpla ahora las obligaciones vigentes y planifique los trabajos de alto riesgo hacia atrás desde la fecha límite.
Quien modifica sustancialmente un sistema de alto riesgo o lo ofrece con su propio nombre puede convertirse en proveedor. Compruebe antes de cada adaptación si cambia su rol.
Una evidencia, varios frameworks
No damos a propósito un porcentaje: depende de su alcance. Donde los requisitos coinciden, una misma evidencia queda vinculada a todos.
El sistema de gestión de la IA aporta la estructura: inventario, responsabilidades, evaluación de riesgos, evaluación de impacto y ciclo de vida. Muchas obligaciones organizativas del Reglamento pueden cumplirse a través de él. No sustituye a la evaluación de la conformidad ni al registro.
RGPDSi un sistema de IA trata datos personales, el RGPD se aplica en paralelo. El registro de actividades de tratamiento, la evaluación de impacto relativa a la protección de datos y la evaluación de impacto relativa a los derechos fundamentales se complementan.
ISO/IEC 27001La ciberseguridad, el control de accesos, los registros y la evaluación de proveedores ya están documentados allí. Estas evidencias sirven para los requisitos de solidez y seguridad.
ISO 9001Los proveedores de sistemas de alto riesgo necesitan un sistema de gestión de la calidad. Quien trabaja conforme a ISO 9001 sigue utilizando el control de documentos, las aprobaciones y las acciones correctivas.
Auditoría y acreditación
Nadie concede un certificado para el Reglamento en su conjunto. Los proveedores de sistemas de alto riesgo demuestran la conformidad antes de la introducción en el mercado, según el sistema mediante un control interno o a través de un organismo notificado, y después colocan el marcado CE. La vigilancia del mercado corresponde a las autoridades nacionales. Sightadel no certifica ni presta asesoramiento jurídico.
Quien audita recibe en Sightadel un rol propio: lee, comenta y, tras su aprobación, edita, pero nunca elimina nada. Una certificación conforme a ISO/IEC 42001 es una base estructurada, pero no obligatoria. Si desea una auditoría externa, elija un auditor de nuestra red de socios independiente o uno propio. Por las auditorías no se paga ninguna comisión, ni a nosotros ni a los socios.
Ir a la red de auditores independientesEl Reglamento de IA entró en vigor en agosto de 2024 y desde entonces se aplica por etapas. Desde febrero de 2025 rigen las prohibiciones de determinadas prácticas y los requisitos de alfabetización en materia de IA. Desde agosto de 2025 se aplican las normas para los modelos de IA de uso general, las estructuras de gobernanza y las disposiciones sancionadoras. Desde agosto de 2026 rigen las obligaciones de transparencia para determinados sistemas de IA, como los avisos en los chatbots y el marcado de los contenidos generados artificialmente.
En verano de 2026 entró en vigor un reglamento modificativo surgido como parte del llamado ómnibus digital de la UE. Sobre todo aplazó las obligaciones de alto riesgo: al 2 de diciembre de 2027 para los sistemas de alto riesgo independientes del anexo III y al 2 de agosto de 2028 para la IA en productos ya sujetos a una regulación de productos de la UE del anexo I. Para algunas obligaciones, como el marcado legible por máquina en los sistemas generativos ya ofrecidos, hay plazos transitorios cortos. Además, se ampliaron las facilidades para las pequeñas y medianas empresas y se reformuló el requisito de alfabetización en materia de IA.
El aplazamiento no es motivo para esperar. Quien ofrece un sistema de alto riesgo necesita, según la experiencia, bastante más de un año para la gestión de riesgos, los requisitos de datos, la documentación técnica y la gestión de la calidad. Y las obligaciones ya vigentes sobre prohibiciones, alfabetización en materia de IA y transparencia afectan a casi todas las empresas. En caso de duda, compruebe las fechas exactas y las normas transitorias en el texto vigente del Reglamento.
El Reglamento reparte las obligaciones por roles. Los proveedores desarrollan un sistema de IA o lo encargan y lo introducen en el mercado o lo ponen en servicio con su propio nombre o marca. Los responsables del despliegue utilizan un sistema de IA bajo su propia responsabilidad, salvo para fines puramente privados. Además existen los importadores, que traen sistemas de terceros países a la UE, los distribuidores, que los revenden, y los fabricantes de productos, que integran IA en sus productos.
Una empresa puede tener distintos roles para distintos sistemas. Quien desarrolla una herramienta de evaluación propia para sus clientes es proveedor de esa herramienta. Quien, en la misma casa, utiliza un software estándar con IA para la selección de personal es responsable del despliegue de ese software. Por eso el rol se determina por sistema, no por empresa.
Hay que tener cuidado con las adaptaciones. Quien modifica sustancialmente un sistema de alto riesgo, cambia su finalidad de forma que se convierta en sistema de alto riesgo o lo comercializa con su propio nombre puede pasar a ser proveedor y asumir sus obligaciones. Esto afecta, por ejemplo, a las empresas que siguen entrenando un modelo adquirido con datos propios y lo ofrecen como producto propio.
En Sightadel registra el rol de cada sistema en el inventario de IA, con su justificación. Según el rol, aparecen los controles correspondientes. Los casos dudosos los hace aclarar jurídicamente y archiva el resultado como evidencia.
Un sistema de IA es de alto riesgo por dos vías. Primero, si es un componente de seguridad de un producto o es en sí mismo un producto sujeto a determinadas normas de productos de la UE que requiere una evaluación de la conformidad por terceros, como los productos sanitarios, las máquinas o los juguetes. Estas normas figuran en el anexo I. Segundo, si se utiliza en uno de los ámbitos del anexo III.
El anexo III menciona, entre otros, determinados usos biométricos, las infraestructuras críticas, la educación y la formación profesional, el empleo y la gestión de personal, el acceso a servicios privados y públicos esenciales, como la evaluación de la solvencia y determinados seguros, la garantía del cumplimiento del Derecho, la migración y el control fronterizo, así como la administración de justicia y los procesos democráticos. Para las empresas fuera del sector público, recursos humanos, crédito y seguros son los puntos de contacto más habituales.
No todo sistema de uno de estos ámbitos es automáticamente de alto riesgo. El Reglamento prevé excepciones cuando un sistema no plantea un riesgo considerable, por ejemplo porque solo realiza una tarea de procedimiento muy limitada o mejora una actividad humana ya terminada. Los sistemas que elaboran perfiles de personas físicas no entran en esta excepción. Quien invoca la excepción debe documentar su evaluación.
En Sightadel, las preguntas guía conducen la clasificación. La decisión y su justificación las registra usted, y cuando cambia el sistema la clasificación vuelve a presentarse.
Para el EU AI Act no hay precio de lista en Sightadel. Le preparamos una oferta según el número de sistemas, el rol y la edición. Si su licencia incluye ISO 27001 o ISO 9001, el descuento permanente también se aplica al EU AI Act. Puede probarlo 14 días sin datos de pago.
El esfuerzo depende casi exclusivamente de si ofrece sistemas de alto riesgo. Para los responsables del despliegue que utilizan IA en software estándar, el inventario, la clasificación, la formación y los avisos de transparencia se resuelven en unas semanas. Suelen participar TI, protección de datos, recursos humanos, compras y las áreas que realmente utilizan la IA.
Los proveedores de sistemas de alto riesgo se enfrentan a un proyecto que recuerda a una homologación de producto: gestión de riesgos durante el ciclo de vida, requisitos para los datos de entrenamiento y prueba, documentación técnica, registros, supervisión humana, sistema de gestión de la calidad, evaluación de la conformidad, registro y vigilancia poscomercialización. Si debe intervenir un organismo notificado, este factura su trabajo de forma independiente. Para cuestiones de clasificación y casos difíciles, contrata asesoramiento como paquete en la aplicación. Esto no sustituye el asesoramiento jurídico.
La mayoría de las empresas son responsables del despliegue. Para ellas rigen primero dos obligaciones, con independencia del nivel de riesgo. Primero, medidas de alfabetización en materia de IA: quien maneja sistemas de IA o utiliza sus resultados debe tener los conocimientos necesarios, adaptados a su tarea y contexto. Con la modificación de 2026, el requisito se formuló de modo que las empresas adopten medidas para fomentar esa alfabetización, en lugar de garantizar un nivel determinado. Aun así, conviene documentar esas medidas. Segundo, la transparencia: si un sistema genera o manipula contenidos de imagen, audio o vídeo que parecen auténticos, o textos para informar al público, en determinados casos debe hacerse público.
Si utiliza un sistema de alto riesgo, se añaden más obligaciones. Lo utiliza conforme a las instrucciones de uso, encomienda la supervisión humana a personas competentes, se asegura de que los datos de entrada se ajusten a la finalidad, vigila el funcionamiento, conserva los registros generados automáticamente al menos seis meses y notifica los incidentes graves. Antes de utilizarlo en el lugar de trabajo, informa al personal y a sus representantes. Los organismos públicos y determinados responsables del despliegue privados, por ejemplo en la evaluación de la solvencia o en los seguros de vida y de salud, realizan además una evaluación de impacto relativa a los derechos fundamentales.
En Sightadel, las obligaciones de los responsables del despliegue están configuradas como controles propios, separados de los de los proveedores. Las formaciones funcionan como ciclos con evidencia de asistencia, y la evaluación de impacto está junto a la evaluación de impacto relativa a la protección de datos.
Los proveedores de sistemas de alto riesgo elaboran una documentación técnica antes de introducir el sistema en el mercado. Describe, entre otras cosas, la finalidad, la estructura, el desarrollo, los datos, las pruebas, los límites de rendimiento, la gestión de riesgos, la supervisión humana y los cambios a lo largo del ciclo de vida. A ello se suman las instrucciones de uso, el sistema de gestión de la calidad, la declaración UE de conformidad, el marcado CE, el registro en la base de datos de la UE y un plan de vigilancia poscomercialización. Las pequeñas y medianas empresas pueden llevar la documentación de forma simplificada.
Para la mayoría de los sistemas del anexo III, el proveedor realiza él mismo la evaluación de la conformidad mediante control interno. En determinados sistemas biométricos y en los productos del anexo I interviene un organismo notificado. Las normas armonizadas, cuyo cumplimiento otorga una presunción de conformidad, se elaboran a nivel europeo. Donde todavía faltan, la demostración es más laboriosa.
La vigilancia del mercado corresponde a las autoridades nacionales. En Alemania, según la ley de aplicación aprobada en 2026, la Agencia Federal de Redes (Bundesnetzagentur) es la autoridad central de vigilancia del mercado; las autoridades sectoriales conservan competencias en sus ámbitos. Para los modelos de IA de uso general es competente la Oficina de IA de la Comisión Europea. Quien audita recibe en Sightadel un rol propio: lee, comenta y, tras su aprobación, edita, pero nunca elimina nada al inventario, las clasificaciones y las evidencias.
Cuánto cuesta
Solo paga por los frameworks que realmente necesita. Las ediciones se diferencian en capacidad y tiempo de respuesta, no en el alcance técnico. Quien gestiona varios frameworks ahorra de forma permanente. Todos los precios, descuentos y una calculadora están en la página de precios.
Los honorarios del organismo de certificación o de auditoría se los factura este directamente a usted. Si lo necesita, puede contratar consultoría como paquete en la aplicación.
Material de trabajo
Encontrará listas de comprobación y plantillas para otros frameworks en Recursos.
Ayudas de trabajo, no asesoramiento jurídico.
Términos
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
Muy probablemente, en cuanto ofrezca sistemas de IA o los utilice en el ámbito profesional. La obligación de alfabetización en materia de IA se aplica a todos los proveedores y responsables del despliegue. Cuánto más se añade depende de su rol y del nivel de riesgo de los sistemas. El uso puramente privado no está incluido.
Prohibiciones y alfabetización en materia de IA desde febrero de 2025, normas para los modelos de IA de uso general desde agosto de 2025, obligaciones de transparencia desde agosto de 2026, con plazos transitorios para algunos sistemas ya ofrecidos. Las obligaciones de alto riesgo se aplazaron en 2026: a diciembre de 2027 para los sistemas independientes y a agosto de 2028 para la IA en productos regulados.
Por prácticas prohibidas, hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial; por infracciones de otras obligaciones, hasta 15 millones de euros o el 3 %; por información incorrecta a las autoridades, hasta 7,5 millones de euros o el 1 %. Para las grandes empresas se aplica el importe más alto; para las pequeñas y medianas, el más bajo.
No para el Reglamento en su conjunto. Los sistemas de alto riesgo se someten a una evaluación de la conformidad y llevan el marcado CE. Para el sistema de gestión que hay detrás puede certificarse conforme a ISO/IEC 42001. Un «certificado del AI Act» que se le ofrezca no tiene efecto jurídico.
Por regla general es usted responsable del despliegue. Registre los sistemas, forme al personal y compruebe si algún uso entra en un ámbito de alto riesgo, por ejemplo en decisiones de personal. Para la mayoría de los usos se queda en alfabetización en materia de IA y transparencia.
Sí. La norma aporta inventario, responsabilidades, evaluación de riesgos y evaluación de impacto, es decir, la base organizativa. Los pasos legales, como la evaluación de la conformidad, el registro o determinadas obligaciones de transparencia, los revisa por separado.
En la lista de precios actual, el Reglamento de IA no figura como marco propio. Póngase en contacto con nosotros y le diremos cómo puede utilizarlo en Sightadel.
No, a propósito. Aporta borradores a partir de plantillas y ayuda a redactar. El rol, el nivel de riesgo y los riesgos residuales los decide usted. Sightadel no presta asesoramiento jurídico al respecto.
En principio, sí. En ese caso suele ser responsable del despliegue. Registre el servicio en el inventario, forme a quienes lo usan, establezca reglas para los datos confidenciales y personales y compruebe si algún uso entra en un ámbito de alto riesgo o activa obligaciones de transparencia. El RGPD se aplica en paralelo.
Según la ley de aplicación aprobada en 2026, la Agencia Federal de Redes alemana (Bundesnetzagentur) es la autoridad central de vigilancia del mercado. Las autoridades sectoriales conservan competencias en sus ámbitos. Para los modelos de IA de uso general es competente la Oficina de IA de la Comisión Europea.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
