Una lista de verificación práctica paso a paso para el cumplimiento del Reglamento de IA de la UE. Evalúe sus sistemas de IA frente al ámbito de aplicación, la clasificación de riesgos, las prácticas prohibidas, las obligaciones GPAI y los requisitos de IA de alto riesgo. Actualizada para los plazos del ómnibus de 2026.
Cómo evaluar su cumplimiento del Reglamento de IA de la UE: 10 pasos
Esta lista de verificación está diseñada para los equipos jurídicos, de cumplimiento y tecnológicos que realizan una evaluación inicial del Reglamento de IA. Trabaje los pasos en secuencia: cada uno se basa en el anterior.
La lista de verificación se aplica a todas las organizaciones que desarrollan, despliegan, importan o distribuyen sistemas de IA en la UE. Cubre todos los niveles de riesgo, desde las verificaciones de prácticas prohibidas hasta la plena conformidad de alto riesgo.
Paso 1 — Construya su inventario de IA
Empiece aquí: sin un inventario completo de IA, nada más es posible. Cree un registro de todos los sistemas de IA que su organización gestiona:
- Sistemas de IA que desarrolla y vende o licencia (usted es el proveedor)
- Sistemas de IA que adquiere o licencia y usa internamente (usted es el operador)
- Sistemas de IA integrados en productos que fabrica o importa
- Sistemas de IA a los que se accede a través de API de terceros (IA en la nube, API de modelos de base)
Para cada uno: documente el nombre del sistema, la función, las entradas y salidas de datos, el contexto de uso, el impacto en las decisiones y la población afectada. Marque los sistemas en los que no está seguro de la clasificación — estos necesitan revisión jurídica.
Paso 2 — Verifique primero las prácticas prohibidas
Verificación de prioridad: ¿algún sistema ya es ilegal? Evalúe cada sistema frente al Art. 5 antes de cualquier clasificación de nivel de riesgo. Si algún sistema:
- Utiliza técnicas de manipulación subliminal o subconsciente
- Explota vulnerabilidades específicas de grupos (niños, personas mayores, desfavorecidos)
- Realiza puntuación social (solo organismos públicos)
- Lleva a cabo identificación biométrica en tiempo real en espacios públicos (aplicación de la ley)
- Realiza reconocimiento de emociones en el lugar de trabajo o en contextos educativos
- Categoriza a las personas por datos biométricos para inferir características sensibles
- Genera IISE o CSAM
→ Desmantelar o rediseñar fundamentalmente de inmediato. Estas prohibiciones se aplican desde el 2 de febrero de 2025.
Paso 3 — Verificación de modelos GPAI
Si su organización desarrolla y publica un modelo de base o un modelo de IA a gran escala, las obligaciones GPAI en virtud del Capítulo 5 se aplican. Compruebe:
- ¿Está el modelo entrenado con autosupervisión a escala significativa?
- ¿Es capaz de realizar una amplia variedad de tareas?
- ¿Se pone a disposición de otros desarrolladores o usuarios (no puramente interno)?
Si sí → obligaciones de proveedor de GPAI desde el 2 de agosto de 2025. Si el cómputo de entrenamiento supera los 10²⁵ FLOPs → obligaciones de riesgo sistémico.
Pasos 4–10 — Programa de cumplimiento de IA de alto riesgo
Para cada sistema no excluido por el Paso 2 y no cubierto por el Paso 3, clasifíquelo frente al Anexo III y el Anexo I. Luego siga los Pasos 4–10 como un ciclo de programa, con el objetivo del plazo del 2 de diciembre de 2027 para los sistemas del Anexo III y el 2 de agosto de 2028 para los sistemas integrados del Anexo I.
No espere hasta 2027. Un programa de cumplimiento realista para un sistema de IA de alto riesgo tarda de 12 a 24 meses. Comience la evaluación de brechas y el diseño del SGC en 2026 para evitar una crisis de última hora — y para evitar el cuello de botella de capacidad en los organismos notificados a medida que se acerca diciembre de 2027.
Mapeo entre reglamentos
Si su organización también está sujeta a DORA o NIS2, su programa de cumplimiento del Reglamento de IA puede integrarse con los marcos existentes de gestión de riesgos TIC, respuesta a incidentes y gobernanza de terceros. Consulte nuestra guía de convergencia del Reglamento de IA vs. DORA vs. NIS2 → para plantillas de doble mapeo.
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Su sistema de IA está en el ámbito si es un sistema de IA según el Art. 3(1) — un sistema basado en máquinas que infiere salidas como predicciones, recomendaciones, decisiones o contenido — y se comercializa en el mercado de la UE o se usa en la UE. Los modelos puramente de investigación no desplegados externamente están fuera del ámbito.
El primer paso es el inventario de sistemas de IA: catalogue todos los sistemas de IA que su organización desarrolla, despliega, importa o distribuye. Para cada sistema, documente qué hace, quién es el proveedor, cómo se utiliza y la población afectada. Sin un inventario completo, la clasificación de riesgos no puede comenzar.
Para un sistema de IA de alto riesgo independiente del Anexo III, un programa de cumplimiento realista tarda de 12 a 24 meses: de 3 a 6 meses para la evaluación de brechas y el diseño del SGC, de 6 a 12 meses para la documentación técnica, la gobernanza de datos y la evaluación de la conformidad, y de 3 a 6 meses para el registro en la base de datos de la UE y el marcado CE. Comience a más tardar a principios de 2026 para cumplir el plazo de diciembre de 2027.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.