Cumplimiento de IA: qué evidencia debe poder mostrar la empresa

¿Qué le pediría una autoridad, un cliente o un auditor si le preguntara cómo gobierna la IA que usa? Esta guía parte de lo que documenta el Reglamento de IA europeo y lo traduce en qué evidencia conviene tener a mano.

Una aclaración: los artículos citados son los del texto consolidado al 27 de julio de 2026 que publica el AI Act Service Desk de la Comisión Europea, y lo de alfabetización viene de las preguntas y respuestas de la Comisión (ambos al final, consultados en noviembre de 2026). La columna de evidencia es criterio de Cyrrus; no es asesoría legal ni dice qué le aplica a su empresa, que depende de su rol y de sus sistemas.

Primero: ¿es proveedor o desplegador?

El artículo 3 define al proveedor como la persona natural o jurídica, autoridad pública u otro organismo que desarrolla un sistema de IA, o lo hace desarrollar, y lo comercializa. El desplegador es quien usa un sistema de IA bajo su autoridad, salvo que sea en una actividad personal no profesional. Una empresa puede ser ambas cosas según el sistema. El mismo artículo define el sistema de IA como un sistema basado en máquinas, diseñado para operar con distintos niveles de autonomía, que puede mostrar adaptabilidad tras su despliegue y que, a partir de los datos que recibe, infiere cómo generar resultados, como predicciones, capaces de influir en entornos físicos o virtuales.

Segundo: ¿algún sistema es de alto riesgo?

Según el artículo 6, un sistema de IA es de alto riesgo cuando es un componente de seguridad de un producto del Anexo I, o es él mismo ese producto, y el producto debe pasar una evaluación de conformidad de tercera parte; o cuando está en la lista del Anexo III. Un sistema del Anexo III no se considera de alto riesgo si no plantea un riesgo significativo de daño, por ejemplo si realiza una tarea procedimental limitada, pero esa excepción no aplica si el sistema elabora perfiles de personas naturales.

Según el artículo 113 en su versión vigente, las reglas de alto riesgo del Anexo III aplican desde el 2 de diciembre de 2027 y las del Anexo I desde el 2 de agosto de 2028. Las fechas completas están en nuestra guía sobre regulación de la IA.

¿Podría mostrar evidencia de cómo gobierna su IA?

Diseñamos el marco de Gobierno de IA de su organización: qué se puede automatizar, qué necesita supervisión humana y quién responde por cada decisión.

• Mapa de riesgo por caso de uso, no una política genérica
• Roles y responsables definidos entre negocio, TI y legal

Conocer Gobierno de IA

Qué documenta el reglamento y qué evidencia guardar

El artículo 26 añade que los desplegadores deben informar a los representantes de los trabajadores y a los trabajadores afectados antes de usar un sistema de alto riesgo en el lugar de trabajo, informar a las personas sujetas a decisiones apoyadas por sistemas del Anexo III, avisar sin demora al proveedor o distribuidor y a la autoridad de vigilancia del mercado si ven un riesgo, y suspender el uso del sistema, reportar de inmediato los incidentes graves y cooperar con las autoridades competentes.

Alfabetización en IA: lo que aclara la Comisión

Según las preguntas y respuestas de la Comisión Europea, el artículo 4 aplica desde el 2 de febrero de 2025 y no contiene requisitos estrictos ni formaciones obligatorias: no exige garantizar un nivel específico de alfabetización a ninguna persona ni un certificado, y la organización puede llevar un registro interno de las formaciones y otras iniciativas. La Comisión añade que apoyarse solo en las instrucciones de uso puede ser ineficaz. Las autoridades nacionales de vigilancia del mercado podrían imponer sanciones proporcionadas, con supervisión y aplicación desde el 2 de agosto de 2026, y el reglamento no crea delitos penales ni un derecho a indemnización.

Asigne responsables antes de que pidan evidencia

Ayudamos a su comité directivo a decidir qué delegar, qué supervisar y qué nunca automatizar — antes de que la adopción avance sin control.

• Comité de gobierno con negocio, TI, legal y seguridad
• Criterios claros para aprobar nuevos casos de uso de IA

Agendar conversación sobre Gobierno de IA

Sanciones y quién decide

Las multas máximas del reglamento están en el artículo 99 y las resumimos en la guía de regulación. Qué sistemas son de alto riesgo, qué rol tiene su empresa y qué le aplica son decisiones que requieren análisis legal; este artículo no las toma por usted.

Qué debe decidir la gerencia

Cuatro decisiones, de criterio de Cyrrus. Primero, quién hace y mantiene la lista de sistemas de IA, con el rol de la empresa en cada uno. Segundo, quién responde por la evidencia de cada fila de la tabla. Tercero, cada cuánto se revisa y quién la aprueba. Cuarto, cuándo se consulta a un asesor legal, antes de que alguien externo pida la evidencia.

Para elegir con qué apoyar todo esto, lea cómo evaluar herramientas de gobernanza; para ubicarse en una escala de preparación, el modelo de madurez.