Checklist del Reglamento de IA para empresas que usan IA
Actualizada el 9 de noviembre de 2026. Libre para copiar y usar. Texto de los artículos de EUR-Lex y del AI Act Service Desk.
Una empresa que utiliza sistemas de IA bajo su propia autoridad es responsable del despliegue según el Reglamento de IA (artículo 3, punto 4). Esta checklist recoge lo que el reglamento exige al responsable del despliegue, el artículo del que procede cada obligación y la evidencia que demuestra que se ha cumplido: alfabetización en materia de IA desde el 2 de febrero de 2025, transparencia desde el 2 de agosto de 2026 y las obligaciones de los artículos 26 y 27 para los usos de alto riesgo desde el 2 de diciembre de 2027.
Descárguela en Markdown o en CSV con columnas vacías para responsable, estado y evidencia, y recórrala con sus equipos jurídico y de seguridad.
14 de octubre de 2026: la primera norma armonizada del Reglamento de IA, la EN 18286 (gestión de la calidad para los proveedores de sistemas de IA de alto riesgo), se publicó en el Diario Oficial. Qué significa para el responsable del despliegue.
Descargar la checklist (.md)Hoja de cálculo (.csv)
El CSV se abre en Excel, Google Sheets o Numbers, con columnas para responsable, estado y enlace a la evidencia.
La checklist
Empiece por la sección 1, que se aplica a todas las empresas. La sección 2 solo se aplica a los sistemas de IA de alto riesgo según el artículo 6 y el anexo III. La sección 3 depende de lo que publique, y la sección 4 de los modelos sobre los que construye.
1. Toda empresa que usa IA
Se aplica sea cual sea la herramienta: asistentes conversacionales, funciones de IA en otro software, agentes de programación y modelos llamados por API.
| N.º | Qué hacer | Artículo | Cómo acreditarlo |
|---|---|---|---|
| 1 | Alfabetización en materia de IA. Adoptar medidas para favorecer la alfabetización en materia de IA del personal y de otras personas que operan o usan sistemas de IA en su nombre, teniendo en cuenta sus conocimientos, experiencia y formación y el contexto de uso. | ArtículoArt. 4 (desde el 2 feb. 2025, modificado por el Reglamento 2026/1744) | Cómo acreditarloRegistros de formación por puesto (fecha, asistentes, contenido), la política de uso de la IA aceptada por el personal y orientaciones sobre riesgos como las alucinaciones. No se exige ningún certificado. |
| 2 | Inventario. Registrar cada sistema de IA y cada caso de uso: qué hace, quién es el responsable, quién lo usa, qué modelos y proveedores lo sirven y qué datos entran. | ArtículoBase para los art. 4, 6, 26 y 50 | Cómo acreditarloUn registro de IA con responsable, finalidad, usuarios, modelos, proveedores, categorías de datos, si se publican los resultados y fecha de la última revisión. Una exportación por aplicación o por clave de los modelos y proveedores en uso. |
| 3 | Clasificación del riesgo. Contrastar cada caso de uso con los ocho ámbitos del anexo III: biometría, infraestructuras críticas, educación, empleo y gestión de trabajadores, servicios privados y públicos esenciales (incluidas la solvencia y la fijación de precios de seguros de vida y salud), garantía del cumplimiento del Derecho, migración y control fronterizo, y justicia y procesos democráticos. Redactar, traducir, resumir y asistir en la programación no son ámbitos del anexo III. Un uso así pasa a ser de alto riesgo cuando la IA sirve a una finalidad de la lista, por ejemplo filtrar candidaturas de empleo. | ArtículoArt. 6, apartados 2 y 3, anexo III | Cómo acreditarloUna nota de clasificación por caso de uso con el punto del anexo III comprobado y el razonamiento, cualquier excepción del artículo 6, apartado 3, en la que se base, la aprobación del área jurídica y una nueva comprobación cada vez que cambie la finalidad. La elaboración de perfiles de personas físicas en un ámbito del anexo III es siempre de alto riesgo. |
| 4 | Comprobación del papel. Confirmar que sigue siendo responsable del despliegue. Asume las obligaciones del proveedor si pone su nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia la finalidad de un sistema de IA de modo que pase a ser de alto riesgo. | ArtículoArt. 25, apartado 1 | Cómo acreditarloUna nota en el registro por sistema: marca propia o no, modificaciones realizadas y finalidad prevista comparada con la del proveedor. |
2. Solo si usa un sistema de IA de alto riesgo
Usos del anexo III, desde el 2 de diciembre de 2027 (artículo 113 modificado por el ómnibus digital sobre la IA).
| N.º | Qué hacer | Artículo | Cómo acreditarlo |
|---|---|---|---|
| 5 | Uso conforme a las instrucciones. Adoptar medidas técnicas y organizativas para usar el sistema con arreglo a las instrucciones de uso del proveedor. | ArtículoArt. 26, apartado 1 | Cómo acreditarloLas instrucciones de uso archivadas con su versión y un procedimiento interno que asocia un control a cada instrucción. |
| 6 | Supervisión humana. Encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, y darles el apoyo necesario. | ArtículoArt. 26, apartado 2 | Cómo acreditarloLas personas designadas por sistema, sus registros de formación, la facultad de detener o anular el sistema y la vía de escalado. |
| 7 | Datos de entrada. En la medida en que controle los datos de entrada, garantizar que sean pertinentes y suficientemente representativos para la finalidad prevista. | ArtículoArt. 26, apartado 4 | Cómo acreditarloUna descripción de las fuentes de datos y una comprobación fechada de su pertinencia y representatividad. |
| 8 | Vigilancia. Vigilar el funcionamiento según las instrucciones de uso. Ante un posible riesgo, informar al proveedor o al distribuidor y a la autoridad de vigilancia del mercado y suspender el uso. Notificar los incidentes graves. | ArtículoArt. 26, apartado 5 | Cómo acreditarloUn registro de vigilancia, un procedimiento de incidentes con los contactos del proveedor y de la autoridad y la constancia de cada notificación o suspensión. |
| 9 | Conservación de los archivos de registro. Conservar los archivos de registro generados automáticamente por el sistema de alto riesgo, en la medida en que estén bajo su control, durante un periodo adecuado a la finalidad prevista y de al menos seis meses, salvo que el Derecho de la Unión o nacional disponga otra cosa, en particular en materia de protección de datos personales. | ArtículoArt. 26, apartado 6 | Cómo acreditarloEl ajuste de conservación y el lugar de almacenamiento de los registros del sistema, el plan de supresión y una exportación de muestra que cubra al menos seis meses. |
| 10 | Informar a los trabajadores. Antes de poner en servicio o usar un sistema de alto riesgo en el lugar de trabajo, el empleador informa a los representantes de los trabajadores y a los trabajadores afectados. | ArtículoArt. 26, apartado 7 | Cómo acreditarloLa comunicación fechada al personal y el acta o la carta al comité de empresa u otros representantes de los trabajadores. |
| 11 | Informar a las personas afectadas. Cuando un sistema del anexo III tome decisiones relativas a personas físicas o ayude a tomarlas, informar a esas personas de que están expuestas a su uso. | ArtículoArt. 26, apartado 11 | Cómo acreditarloEl texto del aviso y dónde y cuándo se muestra a las personas afectadas. |
| 12 | Evaluación de impacto relativa a los derechos fundamentales, cuando se exija: los organismos de Derecho público, las entidades privadas que prestan servicios públicos y los responsables del despliegue de sistemas de solvencia o de evaluación de riesgos y precios de seguros de vida y salud (anexo III, punto 5, letras b y c) evalúan el impacto antes del primer uso y notifican los resultados a la autoridad de vigilancia del mercado. Las infraestructuras críticas (anexo III, punto 2) quedan excluidas. | ArtículoArt. 27, art. 26, apartado 9 | Cómo acreditarloLa evaluación realizada (procesos, periodo y frecuencia de uso, colectivos afectados, riesgos, supervisión, medidas y mecanismos de reclamación), la notificación enviada y las remisiones a su evaluación de impacto relativa a la protección de datos del artículo 35 del RGPD. |
3. Transparencia
El artículo 50 se aplica desde el 2 de agosto de 2026.
| N.º | Qué hacer | Artículo | Cómo acreditarlo |
|---|---|---|---|
| 13 | Marcado por el proveedor. Los proveedores de sistemas de IA que generan contenido sintético de audio, imagen, vídeo o texto marcan los resultados en un formato legible por máquina como generados o manipulados artificialmente. Es una obligación del proveedor. Para los sistemas introducidos en el mercado antes del 2 de agosto de 2026 se aplica desde el 2 de diciembre de 2026. | ArtículoArt. 50, apartado 2, art. 111, apartado 4 | Cómo acreditarloPara cada herramienta generativa del registro, la declaración o la documentación del proveedor sobre el marcado, con la fecha de su comprobación. |
| 14 | Ultrasuplantaciones y textos de interés público. Hacer público que una imagen, un audio o un vídeo que constituye una ultrasuplantación ha sido generado o manipulado artificialmente. Hacer público que un texto publicado para informar al público sobre asuntos de interés público ha sido generado o manipulado por IA, salvo que haya pasado por una revisión humana o un control editorial y una persona asuma la responsabilidad editorial. | ArtículoArt. 50, apartado 4 | Cómo acreditarloUna regla de etiquetado en el flujo de publicación, ejemplos de contenido etiquetado y el nombre de la persona con responsabilidad editorial sobre los textos revisados. |
| 15 | Reconocimiento de emociones y categorización biométrica. Informar a las personas expuestas al funcionamiento de un sistema así. | ArtículoArt. 50, apartado 3 | Cómo acreditarloEl texto del aviso y dónde se muestra, o una nota en el registro de que no se usa ningún sistema así. |
4. Documentos que pedir a los proveedores de modelos
Las obligaciones sobre los modelos de IA de uso general corresponden a sus proveedores y se aplican desde el 2 de agosto de 2025.
| N.º | Qué hacer | Artículo | Cómo acreditarlo |
|---|---|---|---|
| 16 | Documentación de los modelos de IA de uso general. Si integra un modelo así en su sistema de IA, pida la información y la documentación que el proveedor debe poner a disposición de los proveedores posteriores, además del resumen público del contenido de entrenamiento y la política sobre derechos de autor. Los modelos de código abierto están exentos de la obligación de documentación, salvo que presenten riesgo sistémico. | ArtículoArt. 53, apartado 1, letras b, c y d, anexo XII | Cómo acreditarloUna carpeta por modelo con la documentación del proveedor, el enlace al resumen del contenido de entrenamiento, la política sobre derechos de autor, las condiciones de tratamiento de datos y la fecha de obtención, enlazada desde el registro. |
Cómo ayuda una pasarela con la evidencia
Varias filas de la checklist piden lo mismo: una imagen actualizada de qué modelos y proveedores usa cada aplicación, y el historial de quién cambió las reglas. Cuando todas las solicitudes de IA pasan por una única pasarela, esa imagen se construye sola.
Standard Compute reúne Claude, GPT, Gemini y modelos abiertos en una sola cuenta de empresa, con una clave para cada persona y cada aplicación. Cada cambio de un administrador queda registrado con el valor anterior y el nuevo. Para cada solicitud exporta un registro con el modelo, el proveedor que la atendió y la regla de región aplicada, conservado durante 12 meses. Los registros de solicitudes solo contienen metadatos (modelo, proveedor, tokens, coste y estado), nunca sus prompts ni sus respuestas.
| Fila de la checklist | Qué registra o aplica Standard Compute |
|---|---|
| 2. Inventario | Una clave por persona y por aplicación, los modelos que puede usar cada clave, y el modelo y el proveedor de cada solicitud. |
| 3 y 4. Clasificación y papel | Listas de modelos permitidos por clave, para que un caso de uso solo funcione con los modelos aprobados para él. |
| 9. Archivos de registro | Un registro de solicitudes con modelo, proveedor y regla de región para cada llamada, conservado durante 12 meses y exportable. |
| 1 y 16. Política y elección de proveedores | Listas de proveedores permitidos para la empresa, un equipo o una clave. Ningún proveedor nuevo se añade sin la aprobación de un administrador, y las conmutaciones por error nunca se saltan su lista. |
| Historial de la política | Un registro de auditoría de administración con el valor anterior y el nuevo de cada cambio en personas, claves y reglas. |
| Protección de datos | Una regla Europa: cada solicitud, incluidos los reintentos y las conmutaciones por error, la atienden solo endpoints de inferencia europeos aprobados. Retención cero de datos: las solicitudes solo van a endpoints que se comprometen a no guardar ninguna copia de sus datos. |
Son registros de la pasarela sobre el uso de modelos y proveedores. Los archivos de registro del artículo 26, apartado 6, son los que genera el propio sistema de alto riesgo. Qué exige el reglamento a su empresa lo decide su área jurídica. Esta checklist no constituye asesoramiento jurídico.
Preguntas
- ¿Usar ChatGPT, Claude o un agente de programación para el trabajo de oficina es de alto riesgo según el Reglamento de IA?
- Son de alto riesgo los sistemas del artículo 6, apartado 1, y los casos de uso del anexo III, como la contratación de personal, la gestión de trabajadores, la solvencia, la educación y el acceso a servicios esenciales. Redactar, traducir, resumir y asistir en la programación no figuran en esa lista. La misma herramienta pasa a ser de alto riesgo si se usa para una finalidad de la lista, por ejemplo filtrar candidaturas o evaluar a empleados.
- ¿Cuánto tiempo debe conservar los archivos de registro de la IA un responsable del despliegue?
- Para los sistemas de alto riesgo, el artículo 26, apartado 6, exige conservar los archivos de registro generados automáticamente por el sistema, en la medida en que estén bajo el control del responsable del despliegue, durante un periodo adecuado a la finalidad prevista y de al menos seis meses, salvo que el Derecho de la Unión o nacional disponga otra cosa, en particular en materia de protección de datos personales.
- ¿Quién debe hacer una evaluación de impacto relativa a los derechos fundamentales?
- Según el artículo 27, los organismos de Derecho público, las entidades privadas que prestan servicios públicos y los responsables del despliegue de sistemas del anexo III de solvencia o de evaluación de riesgos y precios de seguros de vida y salud. La evaluación se hace antes del primer uso y los resultados se notifican a la autoridad de vigilancia del mercado. Puede remitirse a la evaluación de impacto relativa a la protección de datos hecha con arreglo al RGPD.
- ¿Desde cuándo se aplican las obligaciones de transparencia del artículo 50?
- Desde el 2 de agosto de 2026. Los responsables del despliegue hacen públicas las ultrasuplantaciones y los textos generados por IA publicados sobre asuntos de interés público (artículo 50, apartado 4). Los proveedores marcan los resultados sintéticos en un formato legible por máquina (artículo 50, apartado 2). Para los sistemas introducidos en el mercado antes del 2 de agosto de 2026, el artículo 111, apartado 4, da de plazo hasta el 2 de diciembre de 2026.
- ¿Qué aporta un gateway de IA a esta checklist?
- Una sola imagen de qué modelos y proveedores usa cada aplicación, y un único lugar donde aplicar la lista aprobada. Standard Compute exporta un registro de solicitudes con modelo, proveedor y regla de región, conservado durante 12 meses, registra cada cambio de los administradores con el valor anterior y el nuevo, y aplica listas de modelos y proveedores permitidos.
Fuentes
- Reglamento (UE) 2024/1689 de Inteligencia Artificial, EUR-Lex
- Reglamento (UE) 2026/1744, ómnibus digital sobre la IA, EUR-Lex
- AI Act Service Desk, texto consolidado: artículo 4, artículo 6, artículo 25, artículo 26, artículo 27, artículo 50, artículo 53, artículo 111, artículo 113, anexo III
Páginas relacionadas
Haga pasar cada solicitud de IA por una sola cuenta de empresa, y tenga el inventario y los registros en un solo lugar.