El EU AI Act (Reglamento (UE) 2024/1689) es la primera ley europea horizontal, integral y basada en el riesgo que regula la inteligencia artificial, ampliamente citada como la primera regulación de este tipo a nivel mundial. Adoptado en 2024 y aplicable progresivamente entre 2025, 2026 y 2027, fija normas vinculantes para los sistemas de IA introducidos en el mercado de la UE o cuyo output se utiliza en la UE, independientemente de dónde esté establecido el proveedor. El hito del 2 de agosto de 2026 es operativamente significativo para la mayoría de las organizaciones: dispara el grueso de las obligaciones, incluidas las normas sobre sistemas de alto riesgo del Anexo III. El régimen de clasificación del artículo 6(1) para la IA de alto riesgo integrada en productos bajo la legislación de armonización de la UE se difiere al 2 de agosto de 2027.
Esta guía explica los cuatro niveles de riesgo, a quién afecta, el calendario de aplicación escalonado, las sanciones, la relación con ISO/IEC 42001 y cómo construir una hoja de ruta de conformidad que resista una auditoría. Está pensada para responsables de gobernanza de IA, CISOs, responsables de cumplimiento, jefes de producto y equipos jurídicos en la UE, el Reino Unido y Suiza.
En Abilene Academy formamos a profesionales de la gobernanza de IA en las certificaciones PECB ISO 42001 Lead Implementer, Lead Auditor y Lead AI Risk Manager. Las páginas que siguen reflejan lo que nuestros formadores observan en el terreno: qué cláusulas se interpretan mal, dónde ayuda ISO 42001 y dónde no, y qué distingue una conformidad sobre el papel de una conformidad lista para auditoría antes de agosto de 2026.
Fecha de aplicación clave del EU AI Act
El 2 de agosto de 2026 dispara el grueso de las obligaciones en los 27 Estados miembros de la UE, incluidas las normas sobre sistemas de alto riesgo del Anexo III. El régimen del artículo 6(1), que captura la IA de alto riesgo integrada en productos cubiertos por la legislación de armonización de la UE, se difiere al 2 de agosto de 2027. Fuente: Reglamento (UE) 2024/1689, artículo 113.
Sanción máxima bajo el EU AI Act
35 millones de euros o el 7 % del volumen de negocios anual mundial total, la cifra más alta de las dos. La multa administrativa máxima por infracciones de las prácticas de IA prohibidas en el artículo 5. Fuente: Reglamento (UE) 2024/1689, artículo 99.
¿Qué es el EU AI Act?
El EU AI Act en breve
Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, por el que se establecen normas armonizadas sobre inteligencia artificial. El Reglamento entró en vigor el 1 de agosto de 2024 y se aplica por fases entre el 2 de febrero de 2025 y el 2 de agosto de 2027. Como reglamento (no directiva), se aplica directamente en los 27 Estados miembros de la UE sin transposición nacional.
El EU AI Act es una regulación horizontal y basada en el riesgo de la inteligencia artificial. En lugar de dirigirse a sectores o casos de uso específicos, clasifica los sistemas de IA por el riesgo que plantean a los derechos fundamentales, la seguridad y la sociedad, e impone obligaciones proporcionales a ese riesgo. El Reglamento cubre toda la cadena de valor de la IA: proveedores (quienes desarrollan o introducen sistemas de IA en el mercado), responsables del despliegue (quienes los utilizan en un contexto profesional), importadores, distribuidores y representantes autorizados. Se aplica independientemente de dónde esté establecido el proveedor siempre que el sistema de IA se introduzca en el mercado de la UE o su output se utilice en la UE.
El Reglamento forma parte de la estrategia digital más amplia de la UE que incluye el RGPD, la Ley de Servicios Digitales, la Ley de Mercados Digitales, NIS 2 y DORA. Coexiste con regulaciones sectoriales (productos sanitarios, seguridad automotriz, servicios financieros) en lugar de reemplazarlas. Los sistemas de IA integrados en productos regulados heredan obligaciones de ambos regímenes.
El enfoque basado en el riesgo: cuatro niveles
Diagrama en pirámide de la clasificación a cuatro niveles del EU AI Act: riesgo inaceptable (prohibido), alto riesgo (obligaciones extensas), riesgo limitado (obligaciones de transparencia), riesgo mínimo (ninguna obligación específica).
Plazos de conformidad del EU AI Act: el calendario escalonado
El EU AI Act se aplica por fases, no de golpe. El artículo 113 del Reglamento fija cuatro fechas de aplicación clave repartidas entre 2025, 2026 y 2027. Cada una marca un conjunto distinto de obligaciones que pasan a ser jurídicamente exigibles. Las organizaciones deben cartografiar su inventario de IA contra este calendario para entender qué obligaciones se aplican y cuándo.
Cronología vertical de las fechas de aplicación del EU AI Act, desde el 1 de agosto de 2024 (entrada en vigor) hasta el 2 de agosto de 2027 (IA de alto riesgo en productos regulados): 1 ago 2024 entrada en vigor, 2 feb 2025 prácticas prohibidas y alfabetización en IA, 2 ago 2025 obligaciones GPAI y gobernanza, 2 ago 2026 fecha principal de aplicación, 2 ago 2027 productos regulados.
Para la mayoría de las organizaciones, el 2 de agosto de 2026 es el hito mayor de aplicación. Las prácticas prohibidas son aplicables desde febrero de 2025; las normas para proveedores de IA de uso general desde agosto de 2025. Agosto de 2026 trae el régimen operativo para los sistemas de alto riesgo del Anexo III: gestión de riesgos, gobernanza de datos, documentación técnica, conservación de registros, transparencia, supervisión humana, precisión, robustez y ciberseguridad, junto con las obligaciones de evaluación de conformidad, declaración UE de conformidad, marcado CE y vigilancia poscomercialización. El régimen de clasificación del artículo 6(1), que captura la IA de alto riesgo integrada en productos cubiertos por la legislación de armonización de la UE, se difiere al 2 de agosto de 2027.
¿A quién se aplica el EU AI Act?
El Reglamento cubre seis categorías de actores a lo largo de la cadena de valor de la IA:
- Proveedores: entidades que desarrollan un sistema de IA o lo hacen desarrollar y lo introducen en el mercado de la UE o lo ponen en servicio bajo su propio nombre. Asumen las obligaciones más pesadas, especialmente para los sistemas de alto riesgo.
- Responsables del despliegue (usuarios): entidades que utilizan un sistema de IA en un contexto profesional dentro de la UE. Asumen obligaciones sobre la conformidad con el uso previsto, la supervisión humana, los datos de entrada, la retención de registros y la evaluación de impacto para ciertos usos de alto riesgo.
- Importadores: entidades establecidas en la UE que introducen en el mercado un sistema de IA con el nombre de un proveedor extracomunitario. Deben verificar la documentación de conformidad del proveedor antes de introducir el sistema en el mercado.
- Distribuidores: entidades de la cadena de suministro que ponen a disposición un sistema de IA en el mercado de la UE, distintas del proveedor o el importador. Deben verificar el marcado CE y la documentación adjunta.
- Fabricantes: entidades que introducen un sistema de IA en el mercado junto con un producto que fabrican, bajo su propio nombre.
- Representantes autorizados: representantes establecidos en la UE designados por los proveedores extracomunitarios. Conservan una copia de la documentación técnica y la declaración UE de conformidad, y cooperan con las autoridades en nombre del proveedor.
Alcance extraterritorial: Reino Unido, Estados Unidos y Suiza en el ámbito de aplicación
El artículo 2 fija un ámbito de aplicación territorial inusualmente amplio. El Reglamento se aplica a los proveedores y responsables del despliegue establecidos fuera de la UE cuando el output producido por el sistema de IA se utiliza en la UE. Un proveedor SaaS estadounidense cuya IA puntua CVs para un empleador de la UE entra en el ámbito de aplicación. Una FinTech británica que utiliza un motor de decisión de crédito IA sobre clientes de la UE entra en el ámbito de aplicación. Un fabricante suizo de productos sanitarios que introduce un dispositivo de diagnóstico con IA en el mercado de la UE entra en el ámbito de aplicación. No existe un mecanismo de «adecuación» comparable al del RGPD; el Reglamento simplemente se aplica.
El enfoque británico: basado en principios, no horizontal
El Reino Unido está desarrollando su propio marco de regulación de IA basado en una supervisión por principios a cargo de los reguladores existentes (ICO, CMA, FCA, MHRA, Ofcom). Se espera que el Cyber Security and Resilience Bill y el UK AI Bill más amplio (todavía en consulta en 2026) introduzcan obligaciones sectoriales en lugar de una ley horizontal. Las empresas británicas con clientes en la UE deben cumplir con el EU AI Act independientemente de la regulación doméstica británica; ambos regímenes coexistirán probablemente.
Sistemas de IA de alto riesgo: el corazón operativo del Reglamento
La mayor parte del trabajo operativo de conformidad se centra en los sistemas de IA de alto riesgo. El Reglamento define el alto riesgo de dos maneras. Primero, los sistemas de IA utilizados como componentes de seguridad en productos cubiertos por la legislación de armonización de la UE recogida en el Anexo I (productos sanitarios, automoción, maquinaria, juguetes, ascensores, etc.) heredan el estatus de alto riesgo de la regulación de producto subyacente. Segundo, los sistemas de IA utilizados en los ocho ámbitos listados en el Anexo III son de alto riesgo por defecto:
- Identificación y categorización biométrica (donde no esté ya prohibida por el artículo 5)
- Gestión de infraestructuras críticas (tráfico rodado, agua, gas, electricidad, infraestructuras digitales)
- Educación y formación profesional (admisión, evaluación, vigilancia de comportamientos)
- Empleo, gestión de trabajadores y acceso al autoempleo (contratación, selección de CV, asignación de tareas, evaluación del desempeño, despido)
- Acceso a servicios privados y públicos esenciales (solvencia, prestaciones públicas, despacho de llamadas de emergencia, tarificación de seguros de salud y vida)
- Aplicación de la ley (evaluación de riesgos, polígrafos, fiabilidad de las pruebas, perfilado, policía predictiva)
- Gestión de la migración, el asilo y el control fronterizo
- Administración de justicia y procesos democráticos
Trampa frecuente: infracategorizar el alto riesgo
El fallo de conformidad más frecuente es no clasificar los sistemas de alto riesgo como tales. Las organizaciones subestiman el ámbito de aplicación porque piensan que «alto riesgo» implica peligroso, cuando en realidad captura la IA empresarial cotidiana: herramientas de selección de CV, scoring crediticio de clientes, software de vigilancia de empleados, evaluaciones de contratación asistidas por IA. Un inventario de los sistemas de IA mapeado contra el Anexo III es el primer paso más importante.
Las siete obligaciones para los proveedores de IA de alto riesgo
- 1. Sistema de gestión de riesgos (artículo 9): proceso documentado e iterativo que identifica y mitiga los riesgos razonablemente previsibles para la salud, la seguridad y los derechos fundamentales a lo largo de todo el ciclo de vida del sistema de IA.
- 2. Gobernanza de datos (artículo 10): los datos de entrenamiento, validación y prueba deben ser pertinentes, suficientemente representativos, libres de errores y completos. Examinados frente a sesgos que puedan derivar en discriminación.
- 3. Documentación técnica (artículo 11): documentación exhaustiva que permita a las autoridades evaluar la conformidad. Incluye la arquitectura del sistema, los datos de entrenamiento, los métodos de validación y las métricas de desempeño.
- 4. Conservación de registros (artículo 12): registro automático de eventos durante el funcionamiento para asegurar la trazabilidad y la vigilancia poscomercialización.
- 5. Transparencia e información a los responsables del despliegue (artículo 13): instrucciones de uso claras, que incluyan las capacidades del sistema, sus limitaciones, el nivel esperado de precisión y las medidas de supervisión humana.
- 6. Supervisión humana (artículo 14): diseño del sistema que permita una supervisión humana efectiva por personas físicas, incluida la capacidad de anular, detener o revertir las salidas del sistema.
- 7. Precisión, robustez y ciberseguridad (artículo 15): nivel de desempeño adecuado, resiliencia frente a errores, fallos o incoherencias, y protección contra los intentos de alterar el uso o el desempeño mediante acceso no autorizado.
Obligaciones de los responsables del despliegue: más ligeras pero reales
Los responsables del despliegue, es decir, las organizaciones que usan sistemas de IA con fines profesionales, asumen obligaciones más ligeras pero reales bajo el artículo 26. Deben usar los sistemas de IA de alto riesgo conforme a las instrucciones de uso del proveedor, asignar la supervisión humana a personas competentes, asegurar que los datos de entrada sean pertinentes para la finalidad prevista, vigilar el funcionamiento y notificar al proveedor cualquier incidente grave, conservar los registros durante al menos seis meses, e informar a los representantes de los trabajadores y a los trabajadores afectados antes de desplegar un sistema de alto riesgo en el lugar de trabajo. Los responsables del despliegue del sector público y los de los sectores bancario y asegurador están sujetos a la obligación adicional de evaluación de impacto en los derechos fundamentales bajo el artículo 27.
IA de uso general: un régimen propio
Los modelos de IA de uso general (GPAI), los modelos de fundación detrás de sistemas como ChatGPT, Claude, Gemini y sus alternativas de código abierto, están regulados bajo un régimen separado (Capítulo V, artículos 51 a 56) que pasó a ser aplicable el 2 de agosto de 2025. Todos los proveedores de GPAI deben mantener documentación técnica, proporcionar información a los proveedores aguas abajo que integren el modelo, establecer una política de cumplimiento del derecho de autor y publicar un resumen suficientemente detallado de los datos de entrenamiento. Los proveedores de modelos GPAI clasificados como con riesgo sistémico (actualmente desencadenado por una potencia de cómputo de entrenamiento superior a 10^25 FLOPs) asumen obligaciones adicionales: evaluación del modelo, evaluación de riesgos sistémicos, notificación de incidentes graves a la Oficina de IA y medidas de ciberseguridad adecuadas.
¿Eres responsable del despliegue o proveedor de GPAI?
Las organizaciones que usan GPAI a través de API comerciales (OpenAI, Anthropic, Google) son responsables del despliegue aguas abajo, no proveedores. Pero las organizaciones que afinan modelos GPAI de código abierto para sus propios productos pueden convertirse en proveedores ellas mismas bajo el Reglamento, con todas las obligaciones de proveedor asociadas. La clasificación jurídica depende de si el fine-tuning modifica sustancialmente el modelo.
Sanciones: entre las más altas de la regulación europea
El EU AI Act prevé algunas de las multas administrativas más altas de la regulación europea, superando incluso los techos del RGPD. El artículo 99 establece tres niveles de sanción en función del tipo de infracción:
Multas administrativas EU AI Act por categoría de infracción (artículo 99)
Categoría de infracción: Prácticas de IA prohibidas (artículo 5)
Categoría de infracción: Otras infracciones de obligaciones
Categoría de infracción: Información incorrecta/incompleta/engañosa a las autoridades
Categoría de infracción: Pymes y start-ups
La aplicación es nacional. Cada Estado miembro designa una o varias autoridades de vigilancia del mercado para aplicar el Reglamento en su territorio, y la Oficina de IA a nivel europeo se ocupa de la supervisión de los proveedores de GPAI y coordina los casos transfronterizos. La asignación de autoridades difiere según el Estado miembro y aún se está finalizando en varias jurisdicciones en 2026; las organizaciones deben verificar la autoridad competente para su establecimiento antes de apoyarse en un punto de contacto específico. El Comité Europeo de Inteligencia Artificial asegura una aplicación coherente en toda la Unión.
EU AI Act e ISO 42001: el camino de operacionalización
ISO/IEC 42001:2023 es la norma internacional para sistemas de gestión de IA, y proporciona el camino más directo para operacionalizar la conformidad con el EU AI Act. La estructura de la norma se alinea estrechamente con las obligaciones de los proveedores de IA de alto riesgo del Capítulo III del Reglamento, a la vez que añade controles de sistema de gestión familiares para quien se haya formado en ISO 27001 o ISO 9001.
Mapeo entre obligaciones EU AI Act de alto riesgo y controles ISO 42001
Obligación EU AI Act: Gestión de riesgos (art. 9)
Obligación EU AI Act: Gobernanza de datos (art. 10)
Obligación EU AI Act: Documentación técnica (art. 11)
Obligación EU AI Act: Conservación de registros (art. 12)
Obligación EU AI Act: Transparencia (art. 13)
Obligación EU AI Act: Supervisión humana (art. 14)
Obligación EU AI Act: Precisión/robustez/ciberseguridad (art. 15)
ISO 42001 no es un atajo de conformidad; la certificación no sustituye las obligaciones específicas de evaluación de conformidad, marcado CE y vigilancia poscomercialización del AI Act. Pero proporciona evidencias auditables para la mayoría de las obligaciones aplicables a los sistemas de alto riesgo, estructura la documentación que las autoridades requerirán y demuestra un compromiso directivo que mitiga las sanciones en caso de infracción. Para las organizaciones que parten de cero, ISO 42001 es el marco más eficiente para estructurar un programa de gobernanza de IA. Las plataformas GRC unificadas como Acuna operacionalizan esta alineación consolidando los controles EU AI Act, ISO 42001 e ISO 27001 en un único marco de referencia auditable.
Construir la hoja de ruta de conformidad EU AI Act
Con agosto de 2026 a menos de tres meses, la ventana de conformidad es estrecha. Una hoja de ruta defendible tiene seis pasos, cada uno produciendo entregables concretos que resisten una auditoría.
- 1. Inventario de IA: identificar cada sistema de IA en desarrollo o producción, incluida la IA de terceros integrada en tus productos o flujos de trabajo. Sin inventario no hay conformidad.
- 2. Clasificación: mapear cada sistema contra los cuatro niveles de riesgo y las categorías del Anexo III. Documentar la justificación; será lo primero que pregunten las autoridades.
- 3. Gap analysis: para los sistemas de alto riesgo, evaluar el estado actual contra los artículos 9 a 15. Para los responsables del despliegue, contra el artículo 26. Para los usuarios de GPAI, contra las obligaciones aguas abajo.
- 4. Gobernanza: nombrar responsables imputables (responsable de gobernanza de IA, AI risk officer), definir las vías de escalado, integrar el riesgo de IA en los marcos de gestión de riesgos corporativos existentes.
- 5. Implantación: desplegar el sistema de gestión de riesgos, los controles de gobernanza de datos, la documentación técnica, el registro de eventos, los mecanismos de transparencia, los procedimientos de supervisión humana y las medidas de ciberseguridad.
- 6. Evaluación de conformidad y vigilancia: completar el procedimiento de evaluación de conformidad adecuado (autoevaluación u organismo notificado según el tipo de sistema), preparar la declaración UE de conformidad, fijar el marcado CE donde sea exigido, establecer la vigilancia poscomercialización.
Las organizaciones ya certificadas en ISO 27001 o que operan programas RGPD maduros parten con ventaja; los controles de gobernanza de datos, documentación, control de acceso y respuesta a incidentes se solapan sustancialmente. Las organizaciones que parten de cero necesitan de 12 a 18 meses para un programa de conformidad creíble; con tres meses hasta agosto de 2026, la estrategia práctica es triar por riesgo y criticidad de conformidad.
Formación y certificación: las rutas de practicante EU AI Act
Tres rutas de certificación PECB cubren las competencias operativas que el EU AI Act exige. Responden a roles diferentes y convergen en un objetivo común: construir organizaciones capaces de demostrar, no solo afirmar, su gobernanza de IA.
ISO 42001 Lead Implementer (5 días)
La certificación ISO 42001 Lead Implementer es la referencia para los profesionales responsables del diseño, despliegue y gestión de un sistema de gestión de IA alineado con ISO 42001:2023. Es la ruta que se convierte directamente en preparación operativa para el EU AI Act: las cláusulas de sistema de gestión estructuran las obligaciones de alto riesgo, y los controles del Anexo A producen la documentación que las autoridades inspeccionarán. Para responsables de gobernanza de IA, CISOs que asumen alcance de IA y responsables de cumplimiento en sectores regulados.
ISO 42001 Lead Auditor (5 días)
La certificación ISO 42001 Lead Auditor forma a los profesionales para planificar, conducir y reportar auditorías de primera, segunda y tercera parte de sistemas de gestión de IA. Con el EU AI Act introduciendo evaluaciones de conformidad por organismo notificado para ciertos sistemas de alto riesgo, los Lead Auditors ISO 42001 cualificados escasean en la UE y el Reino Unido. Adecuada para auditores internos, consultores y profesionales que construyen credibilidad de auditoría independiente.
Lead AI Risk Manager (5 días)
La certificación Lead AI Risk Manager se centra en la metodología de riesgo específica para IA que el EU AI Act exige bajo el artículo 9. Cubre la identificación, clasificación, evaluación, mitigación y vigilancia de los riesgos de IA a lo largo de todo el ciclo de vida de la IA. La metodología se integra con los marcos de gestión de riesgos corporativos ISO 31000 a la vez que aborda dimensiones específicas de la IA: deriva del modelo, sesgo en los datos de entrenamiento, robustez adversarial, explicabilidad y comportamientos emergentes. Apropiada para risk officers, responsables de ética de IA y profesionales que construyen una práctica de gobernanza de IA centrada en el riesgo.
Abilene Academy es el único Partner PECB Titanium en Suiza, con una tasa de aprobación de exámenes PECB del 99 % y más de 2.500 profesionales formados en 120 países. Las tres certificaciones están disponibles en presencial, aula virtual, e-learning y autoaprendizaje, en español, inglés y francés. Para situar la gobernanza de IA en el panorama regulatorio más amplio, consulta también nuestra guía completa de la Directiva NIS 2 y nuestra guía completa de conformidad DORA.
Vista desde el terreno por Alexis Hirschhorn, Formador principal, Abilene Academy
«El plazo de agosto de 2026 no se mueve. Lo que vemos en nuestros clientes es un patrón consistente: el trabajo técnico de conformidad es alcanzable en tres a seis meses una vez que el inventario es honesto. Lo que mata los calendarios es el inventario mismo; la mayoría de las organizaciones no saben cuántos sistemas de IA operan realmente, quién los posee ni qué datos de entrenamiento circulan por ellos. Construye primero el inventario; el resto es ejecución.»
Fuentes y referencias
- Reglamento (UE) 2024/1689: EU AI Act (EUR-Lex, Parlamento Europeo y Consejo, 13 de junio de 2024).
- Página del AI Act de la Comisión Europea (DG CONNECT, seguimiento oficial de la implementación y orientaciones).
- Oficina Europea de IA (supervisión UE de los proveedores GPAI, coordinación de autoridades nacionales).
- ISO/IEC 42001:2023 (Organización Internacional de Normalización, norma de sistemas de gestión de IA).
- Suite de certificación PECB ISO 42001 (PECB, referencia oficial para ISO 42001 Lead Implementer y Lead Auditor).
