Cumplimiento del EU AI Act para empresas

La prueba, no la estimación.

Las obligaciones de los sistemas de IA de alto riesgo se aplican desde el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I), tras el retraso aprobado en julio de 2026 por el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»). Las de transparencia ya rigen desde el 2 de agosto de 2026. Las multas llegan a 15 millones de euros o el 3 % de la facturación mundial por incumplir las obligaciones de alto riesgo, y a 35 millones o el 7 % por las prácticas prohibidas.

El Reglamento no te pide creer que cumples. Te pide demostrarlo. Nuestro diagnóstico te dice hoy qué puedes demostrar, qué no y en qué orden cerrarlo.

Lo que el AI Act te pide de verdad

Toda la norma converge en una palabra: evidencia.

• Artículo 43. Antes de comercializar, debes superar una evaluación de conformidad — por control interno o con organismo notificado.
• Artículo 11 y anexo IV. La documentación técnica es la prueba escrita de que el sistema cumple. Sin ella, no hay conformidad que acreditar.
• Artículos 9, 10, 12, 14 y 15. Gestión de riesgos continua, gobernanza de datos, trazabilidad, supervisión humana efectiva y solidez y ciberseguridad.
• Artículos 47 a 49. Declaración UE de conformidad, marcado CE y registro en la base de datos de la UE.

Y una exigencia que lo atraviesa todo: una modificación sustancial obliga a reevaluar. La conformidad no es un hito: es un estado que hay que mantener y volver a demostrar.

El hueco que dejan las alternativas

• Los checklists genéricos dicen qué exige la norma, pero no qué te exige a ti, sistema a sistema y según tu papel.
• Los paneles de gobernanza registran lo que tú declaras. Documentan la intención, no la realidad.
• Las evaluaciones y el red teaming entregan una estimación: «no conseguimos romperlo esta vez». Necesarios — pero no son una demostración.

Ante un inspector, la distancia entre «lo hemos probado mucho» y «es conforme, y aquí está la prueba» es la distancia entre un expediente sólido y uno frágil. Por eso, en nuestro diagnóstico, cada conclusión cita el artículo y la evidencia que la sostienen. Si no hay evidencia, te lo decimos.

Qué obtienes hoy: el diagnóstico

En 3 a 4 semanas, con tu documentación y 2–3 entrevistas:

• Inventario de tus sistemas de IA, incluidos los que llegan dentro de herramientas de terceros.
• Clasificación de cada sistema: prohibido, alto riesgo, transparencia o mínimo, y tu papel en cada uno —proveedor o responsable del despliegue—, que cambia lo que la norma te exige. Incluye la comprobación del artículo 6 cuando un sistema del anexo III podría no ser de alto riesgo.
• Matriz de brechas: cada sistema frente a cada obligación que le aplica, con la evidencia que existe hoy y la que falta.
• Plan de remediación priorizado, con fechas: qué cerrar antes y por qué.
• Resumen ejecutivo y presentación al órgano de dirección.

No es asesoramiento jurídico ni una evaluación de la conformidad del artículo 43: es el mapa para llegar a ella.

Ver un ejemplo del informe →

Si usas modelos de terceros o agentes, esto también va contigo

Modelos de uso general (GPAI). Si integras un modelo de un tercero, necesitas del proveedor la documentación del anexo XII para poder acreditar tu propia conformidad. Y si realizas ajustes sustanciales, podrías estar asumiendo obligaciones de proveedor del modelo sin saberlo.

Agentes de IA. El artículo 14 exige poder descartar, invalidar o revertir las salidas del sistema e interrumpirlo. En un agente que ya ha ejecutado una acción, eso es un requisito de diseño, no una opción de configuración. Los límites de un agente no pueden vivir en el prompt: deben ser externos al modelo y verificables.

Un solo marco para varias normas

Tus sistemas de IA rara vez están sujetos solo al AI Act:

• EU AI Act — alto riesgo, GPAI, transparencia.
• DORA — si eres entidad financiera, tus modelos son servicios de TIC y tu proveedor de IA, un proveedor tercero.
• NIS2 — ciberseguridad de entidades esenciales e importantes.

Abordarlas por separado multiplica el trabajo. El diagnóstico puede revisarlas juntas, en un mismo informe.

Lo que está en juego (artículo 99)

Infracción	Multa
Prácticas prohibidas	35 M€ o el 7 % de la facturación mundial
Incumplir otras obligaciones (incluido alto riesgo)	15 M€ o el 3 %
Información incorrecta a las autoridades	7,5 M€ o el 1 %

Hacia dónde vamos

Un diagnóstico es una foto con fecha: cuando cambia el modelo, el proveedor o el uso, envejece. Estamos construyendo una plataforma que convertirá ese cumplimiento en una prueba matemática, reproducible y verificable por un tercero, y que se mantiene cuando tus sistemas cambian. Está diseñada para poder instalarse en tu propio perímetro. Sin fecha comprometida.

Empieza por saber dónde estás

Valoración inicial gratuita. Una conversación sobre tu caso: qué sistemas te preocupan, en qué categoría caen a primera vista y qué conviene mirar primero. Sin compromiso.

---

Sigue leyendo: EU AI Act: obligaciones y cumplimiento (guía) · AESIA: quién supervisa en España · GPAI: modelos de uso general · evaluación de conformidad · NIS2 · DORA.

Fuente normativa: Reglamento (UE) 2024/1689, artículos 6, 9 a 15, 43, 47 a 49, 53 y 99, y anexos IV y XII.