Las obligaciones del Reglamento de IA de la UE dependen de dos variables: el rol de la empresa (proveedor, responsable del despliegue, importador o distribuidor) y la clasificación del sistema (el riesgo inaceptable está prohibido; después vienen el alto riesgo, el riesgo limitado y el riesgo mínimo). La mayoría de las empresas son responsables del despliegue, es decir, utilizan sistemas de IA suministrados por terceros.
El Reglamento de IA de la UE (Reglamento (UE) 2024/1689) define cuatro niveles de riesgo. Riesgo inaceptable (artículo 5): prácticas prohibidas. Alto riesgo (artículo 6 y anexo III): obligaciones reforzadas. Riesgo limitado: obligaciones de transparencia. Riesgo mínimo: sin obligaciones vinculantes.
Para el responsable del despliegue de un sistema de alto riesgo, las principales obligaciones se recogen en el artículo 26: utilizar el sistema conforme a las instrucciones del proveedor, garantizar la supervisión humana, vigilar su funcionamiento, notificar incidentes graves, conservar los registros automáticos, informar a las personas afectadas y, en ciertos casos, realizar una evaluación de impacto sobre los derechos fundamentales (EIDF, artículo 27).
Para el proveedor de un sistema de alto riesgo, las obligaciones son más exigentes (artículos 9 a 21): un sistema de gestión de riesgos, gobernanza de datos, documentación técnica, registro automático de eventos, transparencia hacia los responsables del despliegue, evaluación de la conformidad previa a la comercialización, marcado CE, registro en la base de datos de la UE, declaración de conformidad y vigilancia poscomercialización.
Para los sistemas de riesgo limitado (chatbots, ultrafalsificaciones, contenido generado por IA), rige una obligación de transparencia (artículo 50): los usuarios deben saber que interactúan con una IA o que el contenido ha sido generado por IA. La prioridad de preparación es clara: inventariar los sistemas de IA, clasificar cada uno frente al anexo III, determinar el rol de la empresa en cada caso y priorizar la puesta en conformidad de los sistemas de alto riesgo, cuyos plazos conviene verificar en el Diario Oficial de la UE.
Empiece por su rol, no por la tecnología: la mayoría de las organizaciones son responsables del despliegue, y el artículo 26 es una lista mucho más corta que las obligaciones del proveedor de los artículos 9 a 21. Saber qué sombrero se lleva puesto delimita todo el programa.
Una Declaración de Aplicabilidad documenta qué controles se seleccionan para el AIMS y por qué aplican, creando trazabilidad entre riesgos, requisitos y controles.
Un AIMS ayuda a una organización a gobernar cómo se planifica, implementa, opera y mejora la IA, de modo que las iniciativas de IA se mantengan controladas, consistentes y auditables.
Se prepara asegurando que el alcance, los controles, la información documentada y la evidencia operativa estén en su sitio, y validándolos después mediante auditoría interna y revisión por la dirección antes de la auditoría de certificación.
Se mantiene eficaz mediante monitorización y medición, auditorías internas, revisión por la dirección y mejora continua basada en no conformidades e indicadores de desempeño.
La ISO/IEC 27090:2026 ya está publicada. No es un certificado, pero ofrece a los equipos de seguridad la capa de amenazas y controles de IA que necesitan sus programas 27001 y 42001.
ISO/IEC 42006 cambió quién puede certificarte, ISO 19011:2026 cómo se audita y el ómnibus movió los plazos del Reglamento de IA. Qué exige una auditoría de AIMS, evidencia por evidencia.
Todas las preguntas frecuentes →
Base de conocimiento completa
Las cookies necesarias siempre están activas. Puede aceptar, rechazar cookies no esenciales o personalizar sus preferencias.