Gobernanza de la IA
El EU AI Act ya es ley y sus obligaciones llegan por etapas hasta 2030. Complyanz mantiene el inventario de sus sistemas de IA, coteja cada uno con las prácticas prohibidas, propone qué obligaciones se aplican según su nivel de riesgo y su rol, y gestiona NIST AI RMF e ISO 42001 con las mismas evidencias.
Sus sistemas de IA, qué se aplica a cada uno y desde cuándo
Qué exige el Reglamento de IA y desde cuándo
Estas son las fechas modificadas por el Ómnibus Digital sobre la IA, el Reglamento (UE) 2026/1744, que aplazó las obligaciones de alto riesgo. Complyanz sigue cada una frente a los sistemas de IA a los que afecta.
| Se aplica desde | Qué se aplica | A quién afecta |
|---|---|---|
| 2 feb. 2025 | Prácticas de IA prohibidas (artículo 5) y alfabetización en materia de IA (artículo 4) | Todos los proveedores y responsables del despliegue |
| 2 ago. 2026 | Obligaciones de transparencia (artículo 50): informar a las personas de que interactúan con un sistema de IA, marcar el contenido sintético y etiquetar las ultrasuplantaciones | Proveedores y responsables del despliegue de sistemas que interactúan con personas o generan contenido |
| 2 dic. 2026 | Marcado del contenido sintético de los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026, y dos nuevas prohibiciones: las imágenes íntimas no consentidas y el material de abuso sexual infantil | Proveedores de sistemas de IA generativa y, para las nuevas prohibiciones, todos |
| 2 dic. 2027 | Obligaciones de alto riesgo para los casos de uso del anexo III, como la selección de personal, la evaluación de solvencia, la educación y el acceso a servicios esenciales | Proveedores, responsables del despliegue, importadores y distribuidores de esos sistemas |
| 2 ago. 2028 | Obligaciones de alto riesgo para la IA integrada en productos regulados por la legislación de producto de la UE (anexo I), como los juguetes y los productos sanitarios | Fabricantes de productos y proveedores de esos sistemas |
| 2 ago. 2030 | Sistemas de alto riesgo ya comercializados y destinados a ser utilizados por autoridades públicas (plazo para sistemas existentes) | Proveedores y autoridades públicas responsables del despliegue |
Un sistema de alto riesgo que ya estaba en el mercado antes de su fecha entra en el ámbito cuando se modifica de forma significativa. Los sistemas existentes destinados a autoridades públicas tienen hasta el 2 de agosto de 2030.
Todo lo que el Reglamento de IA le pide demostrar
Un marco de riesgos que viaja con usted
El NIST AI Risk Management Framework es voluntario, se usa ampliamente en Estados Unidos y cada vez más clientes de otros países lo piden. Sus 72 subcategorías de Govern, Map, Measure y Manage están en Complyanz palabra por palabra. El Perfil de IA Generativa, NIST AI 600-1, añade acciones sugeridas para los riesgos propios de la IA generativa, como la confabulación, la privacidad de los datos y la integridad de la información, y se activa cuando trabaja con modelos generativos.
Empiece con cualquier marco y añada los demás más adelante
Las obligaciones del Reglamento de IA, las subcategorías del NIST AI RMF y los controles de ISO 42001 se solapan en gran medida. Complyanz mantiene una tabla de correspondencias entre ellos, de modo que al añadir un marco ve qué requisitos ya están cubiertos en otro y puede reutilizar las evidencias que ya tiene. Reutilizar es siempre decisión suya: nada cambia de estado por sí solo.
Incluido en Completo o como complemento
El módulo de Gobernanza de la IA cubre el EU AI Act, el NIST AI RMF y el Perfil de IA Generativa. Está incluido en el plan Completo y puede añadirse a cualquier otro plan, con un precio según el número de personas en el alcance, igual que los planes.
Preguntas frecuentes sobre gobernanza de la IA
¿Necesitamos ISO 42001?
No. ISO 42001 es una norma voluntaria y certificable, y el Reglamento de IA no la exige. Puede gestionar el Reglamento de IA o el NIST AI RMF en Complyanz sin ella. Muchas empresas la añaden más adelante porque sus clientes piden un certificado, y la tabla de correspondencias traslada buena parte del trabajo.
¿Cuándo se aplican las obligaciones de alto riesgo?
Tras el Ómnibus Digital sobre la IA: desde el 2 de diciembre de 2027 para los casos de uso del anexo III, como la selección de personal, la evaluación de solvencia y la educación; desde el 2 de agosto de 2028 para la IA integrada en productos regulados por la legislación de producto de la UE (anexo I); y, para los sistemas de alto riesgo ya comercializados y destinados a autoridades públicas, a más tardar el 2 de agosto de 2030. Las prohibiciones originales y la alfabetización en materia de IA se aplican desde el 2 de febrero de 2025, y las obligaciones de transparencia desde el 2 de agosto de 2026.
¿Es obligatorio el NIST AI RMF?
No. Es un marco voluntario publicado por el National Institute of Standards and Technology de Estados Unidos. Las organizaciones lo usan para estructurar la gestión de riesgos de la IA, y los clientes estadounidenses y los compradores del sector público lo piden cada vez más. Complyanz incluye sus 72 subcategorías literalmente, con el Perfil de IA Generativa como opción.
¿Se nos aplica el Reglamento de IA si solo usamos herramientas de IA?
A menudo, sí. El responsable del despliegue, es decir, cualquier organización que utiliza un sistema de IA bajo su propia autoridad, tiene obligaciones propias: alfabetización en materia de IA, las prácticas prohibidas, transparencia frente a las personas afectadas y, en los sistemas de alto riesgo, supervisión humana, seguimiento y conservación de registros. Cuáles se aplican depende del nivel de riesgo de cada sistema y de su rol, que es justo lo que propone el inventario.
¿Cómo funciona la notificación de incidentes graves?
Cuando un sistema de IA de alto riesgo interviene en un incidente grave, el proveedor lo notifica a la autoridad de vigilancia del mercado en un plazo máximo de 15 días desde que tiene conocimiento de él, 10 días si ha fallecido una persona y dos días en caso de infracción generalizada o de perturbación grave de una infraestructura crítica. Complyanz pone en marcha el reloj cuando usted declara el incidente y sigue la notificación hasta que se presenta.
¿Cubren las obligaciones de los modelos de IA de uso general?
No. Los artículos 53 a 55 se aplican a las empresas que entrenan y publican modelos de IA de uso general. Complyanz está pensado para las organizaciones que crean productos sobre esos modelos o los utilizan, y registra cuándo un sistema se basa en uno de ellos.
Construya su programa de gobernanza de la IA
Cree una organización, añada su primer sistema de IA y vea qué obligaciones se le aplican y desde cuándo.