# Checklist del Reglamento de IA para empresas que usan IA

Actualizada el 9 de noviembre de 2026. Libre para copiar y usar. Texto de los artículos de EUR-Lex y del AI Act Service Desk.

Una empresa que utiliza sistemas de IA bajo su propia autoridad es responsable del despliegue según el Reglamento de IA (artículo 3, punto 4). Esta checklist recoge lo que el reglamento exige al responsable del despliegue, el artículo del que procede cada obligación y la evidencia que demuestra que se ha cumplido: alfabetización en materia de IA desde el 2 de febrero de 2025, transparencia desde el 2 de agosto de 2026 y las obligaciones de los artículos 26 y 27 para los usos de alto riesgo desde el 2 de diciembre de 2027.

14 de octubre de 2026: la primera norma armonizada del Reglamento de IA, la EN 18286 (gestión de la calidad para los proveedores de sistemas de IA de alto riesgo), se publicó en el Diario Oficial. [Qué significa para el responsable del despliegue](https://standardcompute.com/en-18286-norma-armonizada-ley-ia).

## 1. Toda empresa que usa IA

_Se aplica sea cual sea la herramienta: asistentes conversacionales, funciones de IA en otro software, agentes de programación y modelos llamados por API._

| Hecho | N.º | Qué hacer | Artículo | Cómo acreditarlo |
| --- | --- | --- | --- | --- |
| [ ] | 1 | Alfabetización en materia de IA. Adoptar medidas para favorecer la alfabetización en materia de IA del personal y de otras personas que operan o usan sistemas de IA en su nombre, teniendo en cuenta sus conocimientos, experiencia y formación y el contexto de uso. | Art. 4 (desde el 2 feb. 2025, modificado por el Reglamento 2026/1744) | Registros de formación por puesto (fecha, asistentes, contenido), la política de uso de la IA aceptada por el personal y orientaciones sobre riesgos como las alucinaciones. No se exige ningún certificado. |
| [ ] | 2 | Inventario. Registrar cada sistema de IA y cada caso de uso: qué hace, quién es el responsable, quién lo usa, qué modelos y proveedores lo sirven y qué datos entran. | Base para los art. 4, 6, 26 y 50 | Un registro de IA con responsable, finalidad, usuarios, modelos, proveedores, categorías de datos, si se publican los resultados y fecha de la última revisión. Una exportación por aplicación o por clave de los modelos y proveedores en uso. |
| [ ] | 3 | Clasificación del riesgo. Contrastar cada caso de uso con los ocho ámbitos del anexo III: biometría, infraestructuras críticas, educación, empleo y gestión de trabajadores, servicios privados y públicos esenciales (incluidas la solvencia y la fijación de precios de seguros de vida y salud), garantía del cumplimiento del Derecho, migración y control fronterizo, y justicia y procesos democráticos. Redactar, traducir, resumir y asistir en la programación no son ámbitos del anexo III. Un uso así pasa a ser de alto riesgo cuando la IA sirve a una finalidad de la lista, por ejemplo filtrar candidaturas de empleo. | Art. 6, apartados 2 y 3, anexo III | Una nota de clasificación por caso de uso con el punto del anexo III comprobado y el razonamiento, cualquier excepción del artículo 6, apartado 3, en la que se base, la aprobación del área jurídica y una nueva comprobación cada vez que cambie la finalidad. La elaboración de perfiles de personas físicas en un ámbito del anexo III es siempre de alto riesgo. |
| [ ] | 4 | Comprobación del papel. Confirmar que sigue siendo responsable del despliegue. Asume las obligaciones del proveedor si pone su nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia la finalidad de un sistema de IA de modo que pase a ser de alto riesgo. | Art. 25, apartado 1 | Una nota en el registro por sistema: marca propia o no, modificaciones realizadas y finalidad prevista comparada con la del proveedor. |

## 2. Solo si usa un sistema de IA de alto riesgo

_Usos del anexo III, desde el 2 de diciembre de 2027 (artículo 113 modificado por el ómnibus digital sobre la IA)._

| Hecho | N.º | Qué hacer | Artículo | Cómo acreditarlo |
| --- | --- | --- | --- | --- |
| [ ] | 5 | Uso conforme a las instrucciones. Adoptar medidas técnicas y organizativas para usar el sistema con arreglo a las instrucciones de uso del proveedor. | Art. 26, apartado 1 | Las instrucciones de uso archivadas con su versión y un procedimiento interno que asocia un control a cada instrucción. |
| [ ] | 6 | Supervisión humana. Encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, y darles el apoyo necesario. | Art. 26, apartado 2 | Las personas designadas por sistema, sus registros de formación, la facultad de detener o anular el sistema y la vía de escalado. |
| [ ] | 7 | Datos de entrada. En la medida en que controle los datos de entrada, garantizar que sean pertinentes y suficientemente representativos para la finalidad prevista. | Art. 26, apartado 4 | Una descripción de las fuentes de datos y una comprobación fechada de su pertinencia y representatividad. |
| [ ] | 8 | Vigilancia. Vigilar el funcionamiento según las instrucciones de uso. Ante un posible riesgo, informar al proveedor o al distribuidor y a la autoridad de vigilancia del mercado y suspender el uso. Notificar los incidentes graves. | Art. 26, apartado 5 | Un registro de vigilancia, un procedimiento de incidentes con los contactos del proveedor y de la autoridad y la constancia de cada notificación o suspensión. |
| [ ] | 9 | Conservación de los archivos de registro. Conservar los archivos de registro generados automáticamente por el sistema de alto riesgo, en la medida en que estén bajo su control, durante un periodo adecuado a la finalidad prevista y de al menos seis meses, salvo que el Derecho de la Unión o nacional disponga otra cosa, en particular en materia de protección de datos personales. | Art. 26, apartado 6 | El ajuste de conservación y el lugar de almacenamiento de los registros del sistema, el plan de supresión y una exportación de muestra que cubra al menos seis meses. |
| [ ] | 10 | Informar a los trabajadores. Antes de poner en servicio o usar un sistema de alto riesgo en el lugar de trabajo, el empleador informa a los representantes de los trabajadores y a los trabajadores afectados. | Art. 26, apartado 7 | La comunicación fechada al personal y el acta o la carta al comité de empresa u otros representantes de los trabajadores. |
| [ ] | 11 | Informar a las personas afectadas. Cuando un sistema del anexo III tome decisiones relativas a personas físicas o ayude a tomarlas, informar a esas personas de que están expuestas a su uso. | Art. 26, apartado 11 | El texto del aviso y dónde y cuándo se muestra a las personas afectadas. |
| [ ] | 12 | Evaluación de impacto relativa a los derechos fundamentales, cuando se exija: los organismos de Derecho público, las entidades privadas que prestan servicios públicos y los responsables del despliegue de sistemas de solvencia o de evaluación de riesgos y precios de seguros de vida y salud (anexo III, punto 5, letras b y c) evalúan el impacto antes del primer uso y notifican los resultados a la autoridad de vigilancia del mercado. Las infraestructuras críticas (anexo III, punto 2) quedan excluidas. | Art. 27, art. 26, apartado 9 | La evaluación realizada (procesos, periodo y frecuencia de uso, colectivos afectados, riesgos, supervisión, medidas y mecanismos de reclamación), la notificación enviada y las remisiones a su evaluación de impacto relativa a la protección de datos del artículo 35 del RGPD. |

## 3. Transparencia

_El artículo 50 se aplica desde el 2 de agosto de 2026._

| Hecho | N.º | Qué hacer | Artículo | Cómo acreditarlo |
| --- | --- | --- | --- | --- |
| [ ] | 13 | Marcado por el proveedor. Los proveedores de sistemas de IA que generan contenido sintético de audio, imagen, vídeo o texto marcan los resultados en un formato legible por máquina como generados o manipulados artificialmente. Es una obligación del proveedor. Para los sistemas introducidos en el mercado antes del 2 de agosto de 2026 se aplica desde el 2 de diciembre de 2026. | Art. 50, apartado 2, art. 111, apartado 4 | Para cada herramienta generativa del registro, la declaración o la documentación del proveedor sobre el marcado, con la fecha de su comprobación. |
| [ ] | 14 | Ultrasuplantaciones y textos de interés público. Hacer público que una imagen, un audio o un vídeo que constituye una ultrasuplantación ha sido generado o manipulado artificialmente. Hacer público que un texto publicado para informar al público sobre asuntos de interés público ha sido generado o manipulado por IA, salvo que haya pasado por una revisión humana o un control editorial y una persona asuma la responsabilidad editorial. | Art. 50, apartado 4 | Una regla de etiquetado en el flujo de publicación, ejemplos de contenido etiquetado y el nombre de la persona con responsabilidad editorial sobre los textos revisados. |
| [ ] | 15 | Reconocimiento de emociones y categorización biométrica. Informar a las personas expuestas al funcionamiento de un sistema así. | Art. 50, apartado 3 | El texto del aviso y dónde se muestra, o una nota en el registro de que no se usa ningún sistema así. |

## 4. Documentos que pedir a los proveedores de modelos

_Las obligaciones sobre los modelos de IA de uso general corresponden a sus proveedores y se aplican desde el 2 de agosto de 2025._

| Hecho | N.º | Qué hacer | Artículo | Cómo acreditarlo |
| --- | --- | --- | --- | --- |
| [ ] | 16 | Documentación de los modelos de IA de uso general. Si integra un modelo así en su sistema de IA, pida la información y la documentación que el proveedor debe poner a disposición de los proveedores posteriores, además del resumen público del contenido de entrenamiento y la política sobre derechos de autor. Los modelos de código abierto están exentos de la obligación de documentación, salvo que presenten riesgo sistémico. | Art. 53, apartado 1, letras b, c y d, anexo XII | Una carpeta por modelo con la documentación del proveedor, el enlace al resumen del contenido de entrenamiento, la política sobre derechos de autor, las condiciones de tratamiento de datos y la fecha de obtención, enlazada desde el registro. |

---

## Fuentes

- [Reglamento (UE) 2024/1689 de Inteligencia Artificial, EUR-Lex](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32024R1689)
- [Reglamento (UE) 2026/1744, ómnibus digital sobre la IA, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2026/1744/oj)
- AI Act Service Desk, texto consolidado: [artículo 4](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4), [artículo 6](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-6), [artículo 25](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-25), [artículo 26](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26), [artículo 27](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-27), [artículo 50](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50), [artículo 53](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-53), [artículo 111](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-111), [artículo 113](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-113), [anexo III](https://ai-act-service-desk.ec.europa.eu/en/ai-act/annex-3)

_Checklist gratuita del Reglamento de IA para el responsable del despliegue, de https://standardcompute.com/checklist-ley-ia-responsable-del-despliegue (versión del 9 de noviembre de 2026). Libre para copiar y modificar. No constituye asesoramiento jurídico._