¿Qué exige la Ley de IA a una empresa que usa LLM internamente?

Como responsable del despliegue, adopta medidas para garantizar un nivel suficiente de alfabetización en materia de IA del personal que usa IA (artículo 4, desde el 2 de febrero de 2025). Desde el 2 de agosto de 2026 debe indicar cuándo publica ultrasuplantaciones o textos generados por IA sobre asuntos de interés público (artículo 50). Si usa IA para una finalidad de alto riesgo del anexo III, como la contratación de personal o la solvencia, se suman desde el 2 de diciembre de 2027 las obligaciones del artículo 26.

¿Quién asume las obligaciones de los modelos de IA de uso general?

Los proveedores de los modelos. Sus obligaciones del capítulo V se aplican desde el 2 de agosto de 2025. Una empresa que usa GPT, Claude o Gemini por API es responsable del despliegue del sistema de IA que pone en uso.

¿Hay que registrar el uso de los LLM?

El reglamento fija una obligación de registro para los usos de alto riesgo: según el artículo 26, apartado 6, los responsables del despliegue conservan los archivos de registro generados automáticamente por el sistema de IA de alto riesgo, en la medida en que estén bajo su control, durante al menos seis meses, salvo que el Derecho de la Unión o nacional, en particular en materia de protección de datos, disponga otra cosa. Aparte de eso, saber qué modelos y proveedores usa cada aplicación es el punto de partida de un inventario de IA, y eso es lo que registra un gateway.

Usamos API de LLM internamente. ¿Qué cambió en agosto de 2026?

Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50. La obligación de alfabetización en materia de IA rige desde el 2 de febrero de 2025, y las obligaciones para los usos de alto riesgo del anexo III empiezan el 2 de diciembre de 2027.

¿Standard Compute cumple por nosotros las obligaciones de la Ley de IA?

Las obligaciones corresponden a su empresa como responsable del despliegue. Standard Compute aporta las evidencias y las reglas en las que se apoya ese trabajo: un registro de solicitudes con modelo, proveedor y regla de región durante 12 meses, un registro de auditoría de administración, listas de modelos y proveedores autorizados y la regla Europa.

¿El registro de solicitudes guarda nuestros prompts?

No. Los registros de solicitudes contienen solo metadatos (modelo, proveedor, tokens, coste, estado), nunca sus prompts ni sus respuestas. Procesamos sus prompts en memoria para atender cada solicitud y nunca los escribimos en almacenamiento ni en registros.

¿Qué debe preguntar compras a un proveedor de API de LLM sobre la Ley de IA y el RGPD?

Dónde se procesan los prompts, si el contenido se conserva o se usa para entrenar, quiénes son los subencargados y qué evidencias recibe. Standard Compute responde con la regla Europa, la retención cero de datos, un DPA que se firma en el panel, una lista pública de subencargados con 14 días de preaviso y un registro de solicitudes de 12 meses.

¿Llamar a Claude, GPT o Gemini por API nos convierte en proveedor de un modelo?

No. El reglamento llama responsable del despliegue a la empresa que usa un sistema de IA bajo su propia autoridad. El proveedor de un modelo es la empresa que lo desarrolla y lo introduce en el mercado.

Ley de IA de la UE: ¿qué obligaciones tiene una empresa que usa LLM?

Última actualización: 9 de noviembre de 2026

Para una empresa que usa LLM por API o como asistentes, el Reglamento de IA supone sobre todo obligaciones como responsable del despliegue: alfabetización en materia de IA del personal (artículo 4, desde el 2 de febrero de 2025), transparencia para las ultrasuplantaciones y los textos generados por IA publicados sobre asuntos de interés público (artículo 50, desde el 2 de agosto de 2026) y, solo en usos de alto riesgo del anexo III, las obligaciones del artículo 26 desde el 2 de diciembre de 2027, entre ellas conservar al menos seis meses los archivos de registro generados automáticamente.

Standard Compute cubre la parte práctica: el modelo, el proveedor que atendió la solicitud y la regla de región vigente en cada solicitud, conservados 12 meses y exportables, con un registro de auditoría de administración, listas de modelos y proveedores autorizados y la regla Europa.

Esta página resume los textos oficiales, con artículo y fecha. Qué se aplica a su empresa lo decide su departamento jurídico.

Crear un espacio de empresao escriba a contact@standardcompute.com

English Deutsch Français Nederlands Italiano

Respuestas breves

¿Qué exige la Ley de IA a una empresa que usa LLM internamente?: Como responsable del despliegue, adopta medidas para garantizar un nivel suficiente de alfabetización en materia de IA del personal que usa IA (artículo 4, desde el 2 de febrero de 2025). Desde el 2 de agosto de 2026 debe indicar cuándo publica ultrasuplantaciones o textos generados por IA sobre asuntos de interés público (artículo 50). Si usa IA para una finalidad de alto riesgo del anexo III, como la contratación de personal o la solvencia, se suman desde el 2 de diciembre de 2027 las obligaciones del artículo 26.
¿Quién asume las obligaciones de los modelos de IA de uso general?: Los proveedores de los modelos. Sus obligaciones del capítulo V se aplican desde el 2 de agosto de 2025. Una empresa que usa GPT, Claude o Gemini por API es responsable del despliegue del sistema de IA que pone en uso.
¿Hay que registrar el uso de los LLM?: El reglamento fija una obligación de registro para los usos de alto riesgo: según el artículo 26, apartado 6, los responsables del despliegue conservan los archivos de registro generados automáticamente por el sistema de IA de alto riesgo, en la medida en que estén bajo su control, durante al menos seis meses, salvo que el Derecho de la Unión o nacional, en particular en materia de protección de datos, disponga otra cosa. Aparte de eso, saber qué modelos y proveedores usa cada aplicación es el punto de partida de un inventario de IA, y eso es lo que registra un gateway.

¿Qué plazos de la Ley de IA afectan a las empresas?

Las fechas proceden de los artículos 113 y 111 del Reglamento (UE) 2024/1689, modificado por el ómnibus digital sobre IA.

Plazos de la Ley de IA
Fecha	Qué se aplica	Fuente oficial
1 de agosto de 2024	Qué se aplica: Entra en vigor el Reglamento de IA, Reglamento (UE) 2024/1689.	Fuente oficial: EUR-Lex
2 de febrero de 2025	Qué se aplica: Se aplica el capítulo I, incluida la obligación de alfabetización en materia de IA del artículo 4.	Fuente oficial: Artículo 113, artículo 4
2 de agosto de 2025	Qué se aplica: Se aplican las obligaciones de los proveedores de modelos de IA de uso general (capítulo V).	Fuente oficial: Artículo 113
2 de agosto de 2026	Qué se aplica: El reglamento se aplica con carácter general, incluidas las obligaciones de transparencia del artículo 50.	Fuente oficial: Artículo 113, artículo 50
2 de diciembre de 2026	Qué se aplica: Fin del periodo transitorio del artículo 111, apartado 4: los proveedores de sistemas introducidos en el mercado antes del 2 de agosto de 2026 deben marcar los resultados sintéticos en un formato legible por máquina (artículo 50, apartado 2).	Fuente oficial: Artículo 111
2 de diciembre de 2027	Qué se aplica: Obligaciones para los sistemas de IA de alto riesgo del anexo III, como contratación, empleo, solvencia y educación, incluidas las del responsable del despliegue en el artículo 26.	Fuente oficial: Artículo 113, artículo 26
2 de agosto de 2028	Qué se aplica: Obligaciones para la IA en productos cubiertos por la legislación de armonización del anexo I.	Fuente oficial: Artículo 113

Resumen de los textos oficiales, comprobado el 9 de noviembre de 2026. No es asesoramiento jurídico.

¿Usar un LLM por API nos convierte en proveedor o en responsable del despliegue?

El reglamento llama responsable del despliegue a toda persona o entidad que usa un sistema de IA bajo su propia autoridad (artículo 3, punto 4), salvo el uso personal no profesional. Una empresa que llama a GPT, Claude o Gemini por API, o que da un asistente de IA a su plantilla, es responsable del despliegue de ese sistema.

Las obligaciones de los modelos de IA de uso general del capítulo V, como la documentación técnica y la información para los proveedores posteriores, corresponden a las empresas que desarrollan los modelos y los introducen en el mercado.

¿Qué exige el artículo 50 desde el 2 de agosto de 2026?

Los proveedores de sistemas de IA que generan contenido sintético de audio, imagen, vídeo o texto marcan los resultados en un formato legible por máquina como generados o manipulados de manera artificial (artículo 50, apartado 2). Para los sistemas introducidos en el mercado antes del 2 de agosto de 2026, el artículo 111, apartado 4, da de plazo hasta el 2 de diciembre de 2026.

Los responsables del despliegue hacen público que el contenido de imagen, audio o vídeo que constituye una ultrasuplantación ha sido generado o manipulado de manera artificial (artículo 50, apartado 4). Lo mismo vale para el texto generado o manipulado por IA que se publica para informar al público sobre asuntos de interés público, salvo que el texto haya pasado por revisión humana o control editorial y una persona asuma la responsabilidad editorial. Los responsables del despliegue de sistemas de reconocimiento de emociones o de categorización biométrica informan a las personas expuestas (artículo 50, apartado 3).

¿Cuánto tiempo conserva los registros un responsable del despliegue?

Solo en usos de alto riesgo. Usar IA para una finalidad del anexo III, como la selección de candidatos, la gestión de trabajadores, la evaluación de la solvencia o la educación, la convierte en un sistema de IA de alto riesgo. Desde el 2 de diciembre de 2027, el artículo 26 exige entonces, entre otras cosas, usar el sistema según las instrucciones del proveedor, encomendar la supervisión humana a personas competentes y vigilar su funcionamiento.

Artículo 26, apartado 6: los responsables del despliegue conservan los archivos de registro que el sistema de IA de alto riesgo genera automáticamente, en la medida en que estén bajo su control, durante un periodo adecuado a la finalidad prevista y de al menos seis meses, salvo que el Derecho de la Unión o nacional aplicable, en particular en materia de protección de datos personales, disponga otra cosa.

¿Qué evidencias aporta un gateway de IA?

Standard Compute pone Claude, GPT, Gemini y los modelos abiertos bajo una sola cuenta de empresa, con una clave para cada persona y cada aplicación. El inventario de IA, la política de uso y las evidencias quedan en un solo lugar.

Cada cambio de administración se registra con los valores anteriores y posteriores, y puede exportar un registro de cada solicitud con el modelo, el proveedor que la atendió y la regla de región vigente, conservado 12 meses. Los registros de solicitudes contienen solo metadatos (modelo, proveedor, tokens, coste, estado), nunca sus prompts ni sus respuestas.

Decida qué modelos puede usar cada clave y qué proveedores de inferencia pueden tratar sus datos, para toda la empresa, un equipo o una sola clave. Los niveles inferiores solo pueden restringir las reglas, y las alternativas de respaldo nunca pueden saltarse su lista. Con una regla Europa, cada solicitud, incluidos reintentos y alternativas de respaldo, la atienden solo endpoints de inferencia europeos aprobados.

Qué registra el gateway y qué trabajo apoya
Función	Qué hace	Apoya
Exportación del registro de solicitudes	Qué hace: Modelo, proveedor y regla de región de cada solicitud, conservados 12 meses y exportables	Apoya: Evidencias de uso, inventario de IA
Registro de auditoría de administración	Qué hace: Cada cambio de administración con los valores anteriores y posteriores	Apoya: Historial de la política de uso
Lista de modelos autorizados	Qué hace: Solo los modelos que aprueba para cada aplicación o persona	Apoya: Política de uso
Lista de proveedores autorizados	Qué hace: Solo proveedores de inferencia aprobados; uno nuevo requiere un administrador	Apoya: Elección de proveedores
Una clave por persona y aplicación	Qué hace: Uso vinculado a una persona o aplicación desde la primera solicitud	Apoya: Inventario de IA
Regla Europa	Qué hace: Solicitudes, reintentos y respaldos atendidos solo por endpoints europeos aprobados	Apoya: Trabajo de RGPD
Inicio de sesión único (SSO)	Qué hace: Microsoft Entra ID o cualquier proveedor de identidad SAML	Apoya: Evidencias de acceso

Panel de Standard Compute, registro de auditoría: cambios en la regla de región, la retención cero, un límite de gasto, los modelos de una clave de aplicación y un dominio SSO, cada uno con su valor anterior y posterior. — El registro de auditoría de administración: cada cambio en reglas, presupuestos y claves con su valor anterior y posterior. La empresa mostrada es un ejemplo; el panel está en inglés.

Estos registros son evidencias del gateway sobre el uso de modelos y proveedores. Los archivos de registro del artículo 26, apartado 6, son los que genera el propio sistema de IA de alto riesgo. Qué exige el reglamento a su empresa lo decide su departamento jurídico, y las evidencias quedan reunidas en un solo lugar en Standard Compute.

Preguntas de TI, seguridad y compras

Usamos API de LLM internamente. ¿Qué cambió en agosto de 2026?: Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50. La obligación de alfabetización en materia de IA rige desde el 2 de febrero de 2025, y las obligaciones para los usos de alto riesgo del anexo III empiezan el 2 de diciembre de 2027.
¿Standard Compute cumple por nosotros las obligaciones de la Ley de IA?: Las obligaciones corresponden a su empresa como responsable del despliegue. Standard Compute aporta las evidencias y las reglas en las que se apoya ese trabajo: un registro de solicitudes con modelo, proveedor y regla de región durante 12 meses, un registro de auditoría de administración, listas de modelos y proveedores autorizados y la regla Europa.
¿El registro de solicitudes guarda nuestros prompts?: No. Los registros de solicitudes contienen solo metadatos (modelo, proveedor, tokens, coste, estado), nunca sus prompts ni sus respuestas. Procesamos sus prompts en memoria para atender cada solicitud y nunca los escribimos en almacenamiento ni en registros.
¿Qué debe preguntar compras a un proveedor de API de LLM sobre la Ley de IA y el RGPD?: Dónde se procesan los prompts, si el contenido se conserva o se usa para entrenar, quiénes son los subencargados y qué evidencias recibe. Standard Compute responde con la regla Europa, la retención cero de datos, un DPA que se firma en el panel, una lista pública de subencargados con 14 días de preaviso y un registro de solicitudes de 12 meses.
¿Llamar a Claude, GPT o Gemini por API nos convierte en proveedor de un modelo?: No. El reglamento llama responsable del despliegue a la empresa que usa un sistema de IA bajo su propia autoridad. El proveedor de un modelo es la empresa que lo desarrolla y lo introduce en el mercado.

Fuentes

Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial), EUR-Lex, versión española, comprobado el 9 de noviembre de 2026
Reglamento (UE) 2026/1744 (ómnibus digital sobre IA), EUR-Lex, comprobado el 9 de noviembre de 2026
Artículo 4, AI Act Service Desk de la Comisión Europea, comprobado el 9 de noviembre de 2026
Artículo 26, AI Act Service Desk, comprobado el 9 de noviembre de 2026
Artículo 50, AI Act Service Desk, comprobado el 9 de noviembre de 2026
Artículo 111, AI Act Service Desk, comprobado el 9 de noviembre de 2026
Artículo 113, AI Act Service Desk, comprobado el 9 de noviembre de 2026

Cree su empresa, defina sus reglas de modelos y proveedores e inicie el registro de solicitudes en el que se apoya su trabajo con la Ley de IA.

Crear un espacio de empresa