Cumplimiento del Reglamento de IA de la UE para SaaS y proveedores de IA

El Reglamento de IA de la UE (Reglamento (UE) 2024/1689) entró en vigor el 1 de agosto de 2024 y se aplica por tramos. Las prácticas de IA prohibidas (artículo 5) pasaron a ser aplicables el 2 de febrero de 2025. Las obligaciones de los modelos de IA de uso general (capítulo V) se aplican desde el 2 de agosto de 2025, incluidas la transparencia, la documentación técnica y la política de derechos de autor. Las obligaciones de transparencia (artículo 50) se aplican desde el 2 de agosto de 2026. Con el Digital Omnibus sobre IA (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026), las obligaciones de los sistemas de IA de alto riesgo independientes enumerados en el anexo III (capítulo III) se aplican desde el 2 de diciembre de 2027. Las obligaciones de los sistemas de IA de alto riesgo integrados en productos regulados del anexo I (productos sanitarios, maquinaria, juguetes, productos sanitarios para diagnóstico in vitro, etc.) se aplican desde el 2 de agosto de 2028. Si vende en la UE o en el EEE, o si los resultados de salida de su sistema de IA se utilizan en la UE, está dentro del ámbito de aplicación aunque su empresa esté constituida en EE. UU. — el artículo 2 tiene alcance extraterritorial.

Clasificamos según el anexo III (ocho áreas de alto riesgo: biometría, infraestructuras críticas, educación, empleo, servicios esenciales, incluidos la calificación crediticia y la fijación de precios de seguros de vida y salud, garantía del cumplimiento del Derecho, migración/asilo/control fronterizo, administración de justicia y procesos democráticos) y el anexo I (IA como componente de seguridad en productos regulados). Los sistemas de riesgo limitado del artículo 50 (chatbots, reconocimiento de emociones, categorización biométrica, ultrasuplantaciones (deepfakes)) solo tienen deberes de transparencia. Los sistemas de riesgo mínimo tienen códigos de conducta voluntarios. Entregamos un memorando de clasificación escrito con citas de artículos y un registro de riesgos que el consejo puede leer. Aproximadamente el 60 % de los productos SaaS que clasificamos acaban siendo de riesgo limitado y solo necesitan avisos de transparencia y marcas de agua — esa decisión por sí sola ahorra un coste de cumplimiento de seis cifras.

No, usted sigue siendo proveedor o responsable del despliegue posterior, no proveedor de GPAI. Las obligaciones del proveedor de GPAI (artículo 53) se aplican al creador del modelo — OpenAI, Anthropic, Google DeepMind, Mistral. Pero asume deberes como proveedor posterior: mantener instrucciones de uso, vigilar los riesgos sistémicos y, si ajusta un modelo GPAI con sus datos, puede convertirse en el proveedor de un modelo GPAI derivado conforme al artículo 25, apartado 1, letra c). Mapeamos la frontera entre proveedor anterior y posterior, la documentamos en su contrato con el proveedor del modelo y redactamos la política de ajuste fino que le mantiene fuera de las obligaciones propias de un proveedor, salvo que realmente quiera serlo.

El anexo IV lo define para los sistemas de alto riesgo: una descripción general del sistema y de su finalidad prevista; una descripción detallada de los componentes y del proceso de desarrollo; supervisión, funcionamiento y control; el sistema de gestión de riesgos conforme al artículo 9; los datos de entrenamiento, validación y prueba conforme al artículo 10; los medios técnicos de supervisión humana conforme al artículo 14; las métricas de precisión, robustez y ciberseguridad conforme al artículo 15; el sistema de gestión de la calidad conforme al artículo 17; los registros de eventos y el plan de vigilancia poscomercialización conforme al artículo 72. Para los modelos GPAI se aplica el anexo XI — ficha del modelo, resumen de los datos de entrenamiento, consumo energético y política de cumplimiento de los derechos de autor. Entregamos el paquete completo como Markdown versionado en su repositorio, además de una ficha del modelo de cara al público y una hoja de instrucciones para el responsable del despliegue.

En gran medida, y la clave es un único mapa integrado de controles. El sistema de gestión de riesgos del artículo 9 puede reutilizar su registro de riesgos de ISO 27001. Los requisitos de gobernanza de datos del artículo 10 se alinean estrechamente con los artículos 5, 25 y 32 del RGPD — el mismo marco de DPIA con documentación adicional de equidad y sesgo. El sistema de gestión de IA de ISO/IEC 42001:2023 cubre aproximadamente el 70 % de los requisitos de gestión de la calidad del artículo 17; si persigue la certificación ISO 42001, la secuenciamos para cubrir a la vez los deberes del Reglamento de IA. El Reglamento de Datos, NIS2 y el Reglamento de Ciberresiliencia añaden obligaciones adyacentes que comparten evidencias — entregamos una biblioteca de evidencias unificada, no cinco duplicadas.

Tres paquetes, cada uno definido y presupuestado antes de empezar ningún trabajo, sin recargo empresarial. La evaluación de preparación es un proyecto de alcance cerrado de dos semanas: memorando de clasificación, análisis de brechas frente a los artículos pertinentes, hoja de ruta de remediación y una sesión informativa ejecutiva. El paquete de documentación es un proyecto de alcance cerrado de seis a ocho semanas: documentación completa del anexo IV o del anexo XI, sistema de gestión de riesgos, política de gobernanza de datos, plan de vigilancia poscomercialización, instrucciones de uso y la ficha pública del modelo. Las operaciones de cumplimiento continuas son una iguala mensual con alcance transparente: renovación trimestral de las evidencias, vigilancia regulatoria (Oficina de IA de la UE, autoridades nacionales competentes, normas armonizadas de CEN-CENELEC JTC 21), apoyo a la notificación de incidentes conforme al artículo 73 y un simulacro anual de auditoría con criterios de auditor externo. Las fases más grandes pueden ejecutarse con alcance cerrado por fase o en tiempo y materiales transparente. La evaluación de la conformidad con un organismo notificado se presupuesta aparte cuando es necesaria.

Las multas son escalonadas según el artículo 99. Las prácticas de IA prohibidas (artículo 5) conllevan la sanción máxima: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial total, si esta cifra es superior. La mayoría de las infracciones de obligaciones de alto riesgo y de GPAI llegan hasta 15 millones de euros o el 3 % del volumen de negocios. Facilitar información incorrecta, incompleta o engañosa a las autoridades llega hasta 7,5 millones de euros o el 1 %. La aplicación está repartida: la Oficina de IA de la UE supervisa directamente los modelos de IA de uso general, mientras que las autoridades nacionales de vigilancia del mercado de cada Estado miembro hacen cumplir las normas de alto riesgo y de prácticas prohibidas para los productos vendidos en su territorio. Las pymes y las startups se enfrentan a multas con un tope proporcional, pero las consecuencias reputacionales y de compras suelen pesar más que la propia multa — los compradores empresariales ya piden evidencias del Reglamento de IA en sus RFP.

Depende del sistema. Para la mayoría de los sistemas de IA de alto riesgo independientes del anexo III, la evaluación de la conformidad se basa en el control interno (anexo VI): usted se autoevalúa, firma la declaración UE de conformidad y coloca el marcado CE, siempre que disponga de la documentación completa del anexo IV y del sistema de gestión de la calidad. Un organismo notificado (evaluación por un tercero mediante el anexo VII) se exige sobre todo para ciertos sistemas biométricos y para la IA que es un componente de seguridad de un producto ya sujeto a evaluación por un tercero según la legislación sectorial del anexo I (por ejemplo, muchos productos sanitarios). Le decimos de antemano qué vía se aplica, preparamos la documentación técnica con el estándar que espera el evaluador y nos coordinamos con el organismo notificado solo cuando realmente se requiere — para que no se salte una evaluación obligatoria ni pague por una que no necesita.

Si usted es proveedor de un sistema de IA de alto riesgo o de un modelo GPAI y lo introduce en el mercado de la UE sin estar establecido en la Unión, el artículo 22 exige que designe, mediante mandato escrito, a un representante autorizado establecido en la UE antes de comercializar el sistema. Ese representante conserva la documentación técnica, coopera con las autoridades y es el punto de contacto local. Los sistemas de riesgo limitado y de riesgo mínimo no activan esta obligación. Le ayudamos a determinar si supera el umbral y, en tal caso, estructuramos el mandato y el traspaso de documentación para que el representante pueda desempeñar realmente su función y no ser una simple placa en la puerta.

Las obligaciones siguen al papel que se desempeña, definido en el artículo 3. Un proveedor desarrolla un sistema de IA o un modelo GPAI y lo introduce en el mercado con su propio nombre o marca — asume los deberes más pesados (clasificación, documentación, SGC, evaluación de la conformidad). Un responsable del despliegue utiliza un sistema de IA bajo su propia autoridad en un contexto profesional — debe transparencia a las personas afectadas, supervisión humana y, para los organismos públicos y algunos otros, una FRIA del artículo 27. Un importador introduce en el mercado de la UE el sistema de un proveedor de un tercer país y debe verificar que el proveedor ha cumplido su parte. Un distribuidor lo comercializa a lo largo de la cadena y comprueba que están presentes el marcado CE y la documentación. Una misma empresa suele desempeñar varios papeles a la vez. Mapeamos exactamente en qué papel le sitúa cada uno de sus productos, porque identificarlo mal es el error más común y más caro que vemos.

Para un único sistema de alto riesgo con acceso cooperativo a ingeniería, calcule de seis a ocho semanas para el paquete completo de documentación una vez confirmada la clasificación — incluye la documentación del anexo IV, el sistema de gestión de riesgos del artículo 9, la gobernanza de datos del artículo 10, el diseño de supervisión humana del artículo 14 y el plan de vigilancia poscomercialización del artículo 72. La clasificación y el análisis de brechas ocupan las dos primeras semanas. Si se requiere la evaluación de un organismo notificado, añada el plazo de su cola, que es la razón por la que iniciamos esa conversación pronto. Varios sistemas o un modelo GPAI ajustado alargan el calendario. La conclusión práctica: para estar cómodamente listo para el 2 de diciembre de 2027, conviene empezar la clasificación a más tardar en el primer trimestre de 2027, porque la remediación — no el papeleo — suele ser el factor limitante.