Preparación para la Ley de IA de la UE

La Ley de IA de la UE ya no es un concepto regulatorio lejano. Entró en vigor el 1 de agosto de 2024 y sus obligaciones se aplican por etapas. Las prácticas de IA prohibidas y las obligaciones de alfabetización en IA comenzaron a aplicarse en febrero de 2025. Las obligaciones de IA de propósito general comenzaron a aplicarse en agosto de 2025. El 2 de agosto de 2026, la mayoría de las normas restantes comienzan a aplicarse, incluidas las normas para los sistemas de IA de alto riesgo enumerados en el Anexo III y las obligaciones de transparencia del artículo 50.

Ese calendario importa porque muchas empresas aún no tienen una visión clara de dónde se está utilizando la IA en toda la organización. Algunos sistemas son evidentes: chatbots orientados al cliente, herramientas de reclutamiento asistidas por IA, modelos de fraude, sistemas de apoyo a la decisión, herramientas de análisis y asistentes internos. Otros son más discretos: funciones de IA integradas en plataformas SaaS, herramientas de desarrollo, flujos de trabajo de revisión de documentos, plataformas de atención al cliente y automatización dentro de los sistemas de negocio existentes.

Una organización no puede gestionar la preparación para la Ley de IA de la UE si no sabe qué sistemas de IA utiliza, qué hacen esos sistemas, a qué datos acceden, quién depende de sus resultados y si influyen en personas en contextos de mayor riesgo.

Este artículo no es asesoramiento legal. Las organizaciones deben trabajar con abogados cualificados para interpretar las obligaciones regulatorias. Pero muchas brechas de preparación son operativas y técnicas, lo que significa que los equipos de producto, ingeniería, datos, seguridad, compras, cumplimiento y negocio tienen trabajo que hacer.

La fecha de agosto de 2026 es importante, pero no es todo el calendario

El 2 de agosto de 2026 es una fecha importante porque la mayoría de las normas restantes de la Ley de IA comienzan a aplicarse entonces. Eso incluye normas para sistemas de IA de alto riesgo en el Anexo III, normas de transparencia y medidas de apoyo a la innovación. Es justo tratar esto como una fecha límite importante de preparación para muchas organizaciones.

Pero no es preciso llamarlo la única fecha límite o un precipicio universal para cada sistema de IA. La Ley de IA se aplica progresivamente y algunas obligaciones tienen fechas de entrada en vigor diferentes. Algunos sistemas de alto riesgo cubiertos por la legislación de seguridad de productos tienen calendarios posteriores. La conclusión práctica es simple: las organizaciones no deben esperar a una fecha límite para comenzar. El trabajo requerido para inventariar, clasificar, documentar, monitorear y gobernar los sistemas de IA toma tiempo.

Las empresas que esperen hasta el último minuto probablemente descubrirán que el problema real no es una política faltante. Es la falta de visibilidad.

El enfoque basado en el riesgo

La Ley de IA de la UE utiliza un marco basado en el riesgo. Eso es útil porque reconoce que no cada sistema de IA merece el mismo nivel de escrutinio. Un filtro de spam y un sistema de IA utilizado en contratación, educación, aplicación de la ley, infraestructura crítica o acceso a servicios esenciales no crean el mismo nivel de riesgo.

Riesgo inaceptable: Ciertas prácticas de IA están prohibidas, incluidas algunas formas de puntuación social, manipulación dañina, explotación de grupos vulnerables y otros usos que la Ley trata como incompatibles con la seguridad o los derechos fundamentales.
Alto riesgo: Los sistemas utilizados en contextos sensibles pueden enfrentar obligaciones extensas en torno a la gestión de riesgos, gobernanza de datos, documentación técnica, registro, transparencia, supervisión humana, precisión, robustez y ciberseguridad.
Riesgo limitado: Sistemas como chatbots o ciertas herramientas de contenido sintético pueden activar obligaciones de transparencia, incluida la información a los usuarios cuando interactúan con IA o cuando el contenido ha sido generado o manipulado artificialmente.
Riesgo mínimo: Muchos sistemas de IA no enfrentan obligaciones específicas de la Ley de IA más allá de otras leyes aplicables y expectativas ordinarias de uso responsable.

La clasificación es la base. Antes de que una organización pueda decidir qué controles construir, debe entender en qué categoría cae cada sistema y qué papel juega la organización. Una empresa puede ser un proveedor, implementador, importador, distribuidor, fabricante de productos o integrador aguas abajo dependiendo del sistema y cómo se utiliza.

Las obligaciones de alto riesgo llegan al diseño del sistema

El cumplimiento de IA de alto riesgo no es solo un ejercicio legal. Las obligaciones llegan directamente al diseño del producto, arquitectura de datos, prácticas de ingeniería, monitoreo, seguridad, documentación y operaciones.

Varios artículos importan especialmente para la preparación de alto riesgo:

Artículo 9 — Gestión de riesgos: Los proveedores de sistemas de IA de alto riesgo deben establecer un sistema de gestión de riesgos que identifique, evalúe y mitigue los riesgos previsibles.
Artículo 10 — Datos y gobernanza de datos: Los sistemas de IA de alto riesgo que utilizan conjuntos de datos de entrenamiento, validación y prueba deben desarrollarse con prácticas de gobernanza de datos y criterios de calidad apropiados para el propósito previsto.
Artículo 11 — Documentación técnica: Los proveedores deben preparar documentación técnica antes de colocar un sistema de IA de alto riesgo en el mercado o ponerlo en servicio.
Artículo 12 — Registro de datos: Los sistemas de IA de alto riesgo deben permitir técnicamente el registro automático de eventos, o registros, durante la vida útil del sistema’.
Artículo 13 — Transparencia e información a los implementadores: Los sistemas de alto riesgo deben diseñarse para que los implementadores puedan interpretar los resultados y utilizar el sistema apropiadamente.
Artículo 14 — Supervisión humana: Los sistemas de alto riesgo deben diseñarse y desarrollarse para que puedan ser supervisados efectivamente por personas durante el uso.
Artículo 15 — Precisión, robustez y ciberseguridad: Los sistemas de alto riesgo deben cumplir niveles apropiados de precisión, robustez y ciberseguridad a lo largo de su ciclo de vida.
Artículo 18 — Conservación de documentación: Los proveedores deben conservar la documentación requerida durante el período de retención relevante, a menudo diez años después de que el sistema se coloque en el mercado o se ponga en servicio.

La implicación práctica es que el cumplimiento no puede añadirse después del lanzamiento. Si un sistema no fue diseñado para registrar eventos relevantes, apoyar la supervisión humana, documentar el origen de los datos, monitorear el rendimiento o explicar sus limitaciones, adaptar esas capacidades puede ser difícil.

Las siete brechas de cumplimiento para buscar primero

La mayoría de las organizaciones no necesitan comenzar con una gran transformación de cumplimiento. Necesitan comenzar encontrando las brechas que harían difícil la preparación.

1. Sin inventario de IA

La primera brecha es simple: la dirección no sabe dónde se está utilizando la IA. La IA puede existir en sistemas construidos internamente, herramientas SaaS, plataformas de proveedores, asistentes de desarrollo, productos de análisis, flujos de trabajo de servicio al cliente, herramientas de RRHH y pipelines de procesamiento de documentos.

Sin un inventario, la clasificación es una conjetura.

2. Sin proceso de clasificación de riesgos

Algunas organizaciones saben que usan IA pero no han clasificado cada sistema por riesgo. Esto es peligroso porque las obligaciones dependen en gran medida del caso de uso, contexto, rol e impacto. Una herramienta que parece inofensiva en un entorno puede volverse de alto riesgo en otro debido a cómo se utiliza.

3. Documentación débil

Muchos equipos no pueden explicar el uso previsto, el comportamiento del modelo, las limitaciones del sistema, las fuentes de datos, las prácticas de monitoreo, la supervisión humana o los procedimientos de gestión de cambios de manera consistente. Eso puede ser aceptable durante la experimentación. No es suficiente para sistemas de alto riesgo.

4. Gobernanza de datos inadecuada

La preparación de IA depende de la preparación de datos. Los equipos necesitan entender las fuentes de datos de entrenamiento, validación, prueba, entrada y operación. También necesitan documentar controles de calidad, origen, acceso, retención y prácticas de mitigación de sesgos donde corresponda.

5. Falta de supervisión humana

“Un humano en el bucle” no es suficiente por sí solo. Las organizaciones necesitan definir quién revisa los resultados, cuándo se requiere la revisión, qué autoridad tienen los revisores, cómo se capacitan y qué sucede cuando discrepan con el sistema.

6. Sin monitoreo o proceso de incidentes

Los sistemas de IA pueden cambiar en rendimiento a medida que cambian los datos, casos de uso, modelos, prompts, integraciones o usuarios. Las organizaciones necesitan monitoreo, escalación de problemas, revisión post-despliegue y procesos de respuesta a incidentes que coincidan con el riesgo del sistema.

7. Puntos ciegos de IA de proveedores

Muchas organizaciones dependen de funciones de IA dentro de plataformas de terceros. Puede que no sepan cómo esos proveedores procesan datos, si se comunican los cambios de modelo, qué registros están disponibles o qué documentación puede proporcionarse. La gestión de proveedores debe convertirse en parte de la gobernanza de IA.

Lo que las organizaciones deberían hacer ahora

El primer paso no es comprar una plataforma de gobernanza. El primer paso es obtener una imagen clara del entorno de IA.

Construir un inventario de IA: Identificar sistemas construidos internamente, funciones de IA de proveedores, APIs de modelos, chatbots, herramientas de desarrollo, flujos de trabajo de análisis y automatización que usen IA.
Clasificar sistemas por riesgo: Determinar si cada sistema parece ser de riesgo inaceptable, alto riesgo, riesgo limitado, riesgo mínimo o fuera del alcance de la Ley’, y luego documentar el razonamiento.
Mapear roles organizacionales: Identificar si la organización actúa como proveedor, implementador, importador, distribuidor, fabricante de productos o integrador aguas abajo para cada sistema.
Priorizar candidatos de alto riesgo: Centrarse en la revisión temprana de IA utilizada en empleo, educación, servicios esenciales, infraestructura crítica, productos sensibles a la seguridad, atención médica, finanzas, flujos de trabajo adyacentes a la aplicación de la ley u otros contextos sensibles.
Revisar la gobernanza de datos: Entender el origen de los datos, calidad, representatividad, acceso, retención y controles de sesgo.
Diseñar supervisión y monitoreo: Definir revisión humana, escalación, registro, monitoreo de rendimiento, manejo de incidentes y procedimientos de gestión de cambios.
Evaluar proveedores: Pedir a los proveedores documentación, prácticas de manejo de datos, políticas de cambios de modelo, capacidades de auditoría, soporte de registro y evidencia de cumplimiento.

Estos pasos crean la base para un trabajo de cumplimiento más detallado. También ayudan a la dirección a entender dónde está la exposición real.

El cumplimiento no debería convertirse en teatro de casillas

La Ley de IA creará obligaciones de documentación, pero la documentación no es lo mismo que la gobernanza.

Una política pulida no prueba que un sistema esté monitoreado. Un registro de riesgos no ayuda si nadie lo revisa. Un proceso de supervisión humana es débil si el revisor carece de autoridad o contexto. Una declaración de proveedor no es suficiente si la organización no sabe cómo se utiliza la herramienta internamente.

Una buena gobernanza de IA conecta la política con las operaciones. Da a los equipos una manera repetible de clasificar riesgos, revisar datos, definir el uso previsto, documentar controles, monitorear el comportamiento, responder a incidentes y actualizar sistemas cuando las condiciones cambian.

Ese tipo de gobernanza es útil incluso más allá del cumplimiento de la Ley de IA de la UE. Ayuda a las organizaciones a tomar mejores decisiones de IA en general.

Cómo Ridiculous Engineering piensa sobre la preparación para la Ley de IA

En Ridiculous Engineering, abordamos la preparación para la Ley de IA como un problema tanto de gobernanza como de implementación. La interpretación legal importa y las organizaciones deben trabajar con abogados en las obligaciones. Pero muchas brechas de preparación viven dentro de sistemas y flujos de trabajo: inventario, flujo de datos, control de acceso, documentación, integración de proveedores, registro, monitoreo y supervisión humana.

Ayudamos a las organizaciones a conectar esas piezas. Eso puede significar mapear sistemas de IA, clasificar candidatos de riesgo, revisar pipelines de datos, evaluar funciones de IA de proveedores, diseñar flujos de trabajo de gobernanza, mejorar prácticas de documentación o construir los controles técnicos necesarios para apoyar la auditabilidad y el monitoreo.

El objetivo no es crear papeleo por su propio bien. El objetivo es construir un modelo operativo de IA que la dirección pueda entender, los equipos puedan seguir y los clientes, auditores o reguladores puedan confiar.

La preparación es una capacidad, no un forcejeo

La Ley de IA de la UE es una de las señales más claras de que los sistemas de IA están entrando en una fase regulatoria más madura. La pregunta temprana fue, “¿Podemos usar IA?” La siguiente pregunta es, “¿Podemos usarla responsablemente, documentarla, monitorearla y explicar los controles alrededor de ella?”

Las organizaciones que tratan el cumplimiento como una lista de verificación de último minuto pueden ser capaces de producir algunos documentos, pero tendrán dificultades si esos documentos no están conectados con cómo operan realmente los sistemas.

Si su organización se está preparando para las obligaciones de la Ley de IA de la UE, intentando entender su huella de IA o buscando conectar los requisitos de gobernanza con la implementación técnica real, Ridiculous Engineering puede ayudar. Trabajamos con clientes para convertir la gobernanza de IA de un documento de política en un modelo operativo práctico.

La confianza se está convirtiendo en parte del producto. Las organizaciones que entiendan eso temprano estarán mejor preparadas que aquellas que intenten adaptarlo después de que el sistema ya esté en el campo.

Fuentes y lecturas adicionales: Comisión Europea: Marco regulatorio de la Ley de IA, Mesa de servicio de la Ley de IA de la Comisión Europea: calendario de implementación, Ley de IA de la UE: Artículo 10 datos y gobernanza de datos, Ley de IA de la UE: Artículo 12 registro de datos, Ley de IA de la UE: Artículo 13 transparencia e información a los implementadores, Alianza de Seguridad en la Nube: Preparación de alto riesgo de la Ley de IA de la UE

Preparación para la Ley de IA de la UE: Las brechas de cumplimiento que las empresas deben cerrar antes de agosto de 2026