Gobernanza de la IA
EU AI Act
La EU AI Act
La EU AI Act es el reglamento de la Unión Europea sobre inteligencia artificial, que aplica obligaciones en función del riesgo que presenta un sistema de IA. Le ayudamos a clasificar sus sistemas, cumplir las obligaciones que correspondan y demostrar su conformidad.
Qué es EU AI Act
La EU AI Act es una ley de la Unión Europea que regula la inteligencia artificial con un enfoque basado en el riesgo. Prohíbe por completo determinados usos, impone obligaciones sustanciales a los sistemas de IA de alto riesgo, establece obligaciones de transparencia para otros e incluye normas específicas para los modelos de IA de uso general. Las obligaciones recaen de forma distinta sobre los proveedores y sobre los responsables del despliegue de los sistemas de IA.
La AI Act es un reglamento cuya conformidad usted demuestra, no una norma frente a la cual un organismo acreditado le certifica, aunque algunos sistemas de alto riesgo requieren una evaluación de la conformidad antes de poder introducirse en el mercado. Sus obligaciones se aplican por fases a lo largo del tiempo y pueden alcanzar a organizaciones fuera de la UE cuando sus sistemas de IA se utilizan o su resultado se utiliza dentro de la UE.
Los cuatro niveles de riesgo y lo que exige cada uno
Nivel 1 · Riesgo inaceptable
Una lista breve de prácticas de IA, como la puntuación social por parte de las autoridades públicas y determinados usos biométricos manipuladores o no dirigidos, está prohibida por completo y no puede introducirse en el mercado ni utilizarse en absoluto.
Nivel 2 · Alto riesgo
Los sistemas usados en ámbitos como las infraestructuras críticas, el empleo, los servicios esenciales, la aplicación de la ley y los productos sanitarios acarrean las obligaciones más exigentes, entre ellas gestión de riesgos, gobernanza de datos, registro, supervisión humana, exactitud y una evaluación de la conformidad antes de la entrada en el mercado.
Nivel 3 · Riesgo limitado
Los sistemas que interactúan con personas o generan contenido, como los chatbots y los medios sintéticos, acarrean principalmente obligaciones de transparencia, para que los usuarios sepan que están tratando con IA o con un resultado generado o manipulado artificialmente.
Nivel 4 · Riesgo mínimo
La gran mayoría de los sistemas de IA, como los filtros de spam y las funciones de recomendación, quedan fuera de obligaciones específicas, aunque se fomentan los códigos de conducta voluntarios.
Transversal · Modelos de IA de uso general
Los proveedores de modelos de IA de uso general afrontan sus propios deberes de documentación, derechos de autor y transparencia, con obligaciones más estrictas cuando se considera que un modelo conlleva un riesgo sistémico.
Transversal · Roles y gobernanza
Las obligaciones se reparten entre proveedores y responsables del despliegue, con una supervisión compartida entre las autoridades nacionales, la Comisión Europea y la Oficina de IA que supervisa los modelos de uso general.
Quién lo necesita
- Proveedores que desarrollan o introducen sistemas de IA en el mercado de la UE, dondequiera que estén establecidos
- Responsables del despliegue que usan sistemas de IA en la UE, especialmente en contextos de mayor riesgo
- Empresas con modelos de IA de uso general, o productos que dependen de ellos, que prestan servicio a usuarios de la UE
Qué obtiene
- Un inventario de sistemas de IA con los roles de proveedor o responsable del despliegue y la clasificación de riesgo
- Gestión de riesgos, gobernanza de datos y documentación técnica alineadas con el nivel aplicable
- Medidas de transparencia y supervisión humana con las pruebas que las respaldan
- Preparación para la evaluación de la conformidad y un paquete de documentación de conformidad
Los plazos dependen de cuántos sistemas de IA opere, de su clasificación de riesgo y de las fechas de aplicación progresiva que les correspondan. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
La EU AI Act entró en vigor el 1 de agosto de 2024 y se aplica por fases en lugar de todo de una vez. Las prohibiciones de las prácticas de riesgo inaceptable y el deber de alfabetización en IA se aplican desde febrero de 2025, las obligaciones para los modelos de IA de uso general desde agosto de 2025, y el grueso de las obligaciones de alto riesgo y de gobernanza vencen a lo largo de 2026, mientras que determinados sistemas de alto riesgo integrados en productos regulados disponen de plazo hasta 2027. La Comisión sigue emitiendo orientaciones, actos delegados y normas armonizadas que completan el detalle, y el Código de buenas prácticas voluntario para la IA de uso general acompaña al texto jurídico, de modo que el panorama práctico de la conformidad aún se está asentando. El enfoque de transición sensato consiste en clasificar sus sistemas ahora, hacer seguimiento de qué fecha de aplicación progresiva corresponde a cada uno y construir pruebas frente a las obligaciones que ya están vigentes mientras vigila las que aún están por llegar.
Qué cuesta
La EU AI Act es una ley, no un esquema frente al que uno se certifica, de modo que no hay certificado que comprar ni distintivo acreditado al final. Los costes que la acompañan son nuestros honorarios de asesoramiento e implementación con alcance definido, presupuestados de antemano una vez que entendemos cuántos sistemas de IA opera y desde dónde parte, y cualquier aportación independiente que decida añadir, como un organismo de evaluación de la conformidad para determinados sistemas de alto riesgo, pruebas externas, o asesoramiento jurídico y de protección de datos sobre cómo se le aplica la ley. tr3labs nunca es el certificador, auditor ni regulador; esas son partes distintas con sus propios calendarios. Preferimos definir el alcance con usted antes que presupuestar a ciegas.
Cómo tr3labs le lleva hasta allí
Alcance y clasificación
Inventariamos sus sistemas de IA, establecemos si usted es proveedor o responsable del despliegue de cada uno y los clasificamos según las categorías de riesgo de la ley, de modo que sepa qué obligaciones corresponden.
Construir los controles y la documentación
Le ayudamos a implementar las medidas de gestión de riesgos, gobernanza de datos, documentación técnica, transparencia y supervisión humana que exige el nivel de riesgo aplicable.
Probar y demostrar
Aportamos pruebas de seguridad y revisiones a los sistemas que dan servicio a su IA y ayudamos a evidenciar la robustez, la exactitud y la supervisión que la ley espera.
Apoyo en conformidad y preparación
Le preparamos para cualquier evaluación de la conformidad que corresponda a los sistemas de alto riesgo y reunimos la documentación que demuestra la conformidad ante clientes y reguladores.
La EU AI Act e ISO 42001 en paralelo
Ambas se confunden porque las dos gobiernan la IA, pero una es una ley europea vinculante que debe cumplir y la otra una norma de sistema de gestión voluntaria frente a la que puede certificarse.
| EU AI Act | ISO 42001 | |
|---|---|---|
| Cubre | Sistemas de IA y modelos de IA de uso general en el mercado de la UE | Un sistema de gestión de la IA de toda la organización |
| Quién lo pide | Los reguladores de la UE, por fuerza de ley | Clientes, consejos de administración y socios, de forma voluntaria |
| Idea central | Obligaciones proporcionadas al riesgo que plantea un sistema | Un programa gestionado que mantiene la IA gobernada a lo largo del tiempo |
| Modelo de auditoría | Sin certificado; evaluación de la conformidad solo para algunos sistemas de alto riesgo | Certificado por un organismo acreditado frente a la norma |
| Alcance | Vinculante en toda la UE, incluidas algunas organizaciones fuera de ella | Internacional, adoptable en cualquier lugar por elección |
| A menudo se tiene con | ISO 42001, GDPR, ISO 27001 | EU AI Act, ISO 27001, SOC 2 |
Preguntas frecuentes sobre EU AI Act
- ¿Se nos aplica la EU AI Act si estamos fuera de la UE?
- Puede aplicarse. La ley alcanza a organizaciones fuera de la UE cuando sus sistemas de IA se introducen en el mercado de la UE, se utilizan dentro de la UE, o cuando el resultado producido se utiliza en la UE. Le ayudamos a determinar si se aplica y cómo durante la definición del alcance.
- ¿Cuáles son las categorías de riesgo de la EU AI Act?
- La ley adopta un enfoque basado en el riesgo: algunos usos están prohibidos, los sistemas de alto riesgo acarrean obligaciones sustanciales, determinados sistemas tienen obligaciones de transparencia, y existen normas específicas para los modelos de IA de uso general. Clasificar correctamente sus sistemas es la base de la conformidad.
- ¿Es la EU AI Act una certificación?
- No. Es un reglamento cuya conformidad usted demuestra, no una norma certificable, aunque determinados sistemas de alto riesgo deben someterse a una evaluación de la conformidad antes de introducirse en el mercado. Le preparamos para ese proceso y construimos las pruebas que respaldan la conformidad.
Los servicios que te llevan hasta allí
Normas relacionadas
Lectura relacionada
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura
Cómo leer un informe de test de intrusión (VAPT): una guía en lenguaje sencillo para equipos
Un recorrido práctico, sección por sección, por lo que contiene un informe de test de intrusión, para que fundadores y equipos de ingeniería puedan leerlo con confianza y actuar según lo que dice.
8 min de lectura
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura