Cumplimiento de la ley de IA: análisis de brechas paso a paso
Un análisis de brechas para el cumplimiento de la ley de IA compara lo que su organización hace hoy con lo que le exige el Reglamento (UE) 2024/1689 según sus sistemas y su rol. Se hace en siete pasos: inventario, rol, clasificación de riesgo, obligaciones, situación actual, priorización y plan con responsables y fechas.
Lo esencial en breve
- El cumplimiento de la ley de IA no se mide por empresa, sino por sistema y por uso. Una misma organización puede ser proveedora de un chatbot y responsable del despliegue de un software de selección.
- Sin inventario no hay análisis de brechas. Es el paso que más se subestima y el que más sorpresas da.
- A octubre de 2026 ya son exigibles las prohibiciones, la alfabetización en IA, la transparencia del artículo 50 y, para quien los ofrece, las obligaciones de los modelos de uso general. El alto riesgo llega en diciembre de 2027.
- Una herramienta tipo «compliance checker» orienta, pero no sustituye la revisión de cada caso de uso con las personas que lo conocen.
- El resultado debe ser un plan con responsables y fechas, no un informe que se archiva.
Qué es un análisis de brechas y qué no es
En inglés se habla de gap analysis; en España, de análisis de brechas o diagnóstico de cumplimiento. Es una foto: dónde está, dónde debería estar y qué le separa. No es una auditoría con opinión formal, ni una evaluación de la conformidad de un sistema de alto riesgo, ni una certificación. Tampoco es lo mismo que una evaluación de impacto de protección de datos, aunque se apoyan mutuamente.
Muchas empresas españolas empiezan buscando un «EU AI Act compliance checker» que les diga en cinco minutos si cumplen. Esas herramientas son útiles para hacerse una idea, pero el Reglamento no se aplica a «la empresa» en abstracto: se aplica a cada sistema según su finalidad, su nivel de riesgo y su papel en él. Para repasar esos conceptos antes de empezar, tiene nuestra guía del Reglamento de IA. Si quiere un punto de partida estructurado, el diagnóstico gratuito de gobernanza de la IA de Opsio hace exactamente esta foto en diez áreas y le entrega por escrito los documentos base.
¿Necesitan ayuda experta con cumplimiento de la ley de ia?
Nuestros arquitectos cloud les ayudan con cumplimiento de la ley de ia — desde la estrategia hasta la implementación. Reserven una consulta gratuita de 30 minutos sin compromiso.
Antes de empezar: equipo y alcance
Un análisis de brechas sale bien cuando participan quienes conocen los usos reales. Un equipo mínimo razonable:
- Un responsable del proyecto, con autoridad para pedir información a todas las áreas. Suele ser cumplimiento, riesgos o el responsable de seguridad.
- El delegado de protección de datos, porque casi todo uso de IA toca el RGPD.
- Sistemas y compras, que saben qué herramientas se han contratado y qué funciones de IA traen.
- Recursos Humanos, porque la selección y la gestión de personal son ámbitos de alto riesgo y en España exigen informar al comité de empresa (artículo 64.4 d) del Estatuto de los Trabajadores).
- Las áreas de negocio que usan IA con clientes: atención al cliente, marketing, riesgos, operaciones.
Defina también el alcance: toda la organización o una unidad piloto, qué sociedades del grupo, y si incluye a filiales fuera de España. Ponga una fecha de cierre; un diagnóstico que se alarga seis meses llega obsoleto.
Paso 1. Inventario de sistemas de IA
Liste todos los sistemas de IA que la organización desarrolla, compra o usa: aplicaciones propias, software de terceros con funciones de IA (CRM, ATS de selección, herramientas de ofimática), asistentes generativos y la IA que los empleados usan por su cuenta. Para cada uno, anote finalidad, área, proveedor, datos que trata y personas afectadas. La guía de shadow AI e inventario de IA explica cómo descubrir lo que nadie ha declarado.
Paso 2. Rol en cada sistema
Para cada sistema, determine si actúa como proveedor (lo desarrolla o lo comercializa con su nombre), responsable del despliegue (lo usa bajo su autoridad en una actividad profesional), importador o distribuidor. Atención a dos trampas: poner su marca a un sistema de un tercero o modificarlo sustancialmente puede convertirle en proveedor; y construir un chatbot propio sobre un modelo de terceros le hace proveedor del chatbot, aunque no del modelo.
Paso 3. Clasificación de riesgo
Asigne a cada sistema su nivel: prohibido, alto riesgo (anexo III o producto del anexo I), riesgo limitado con obligaciones de transparencia, o riesgo mínimo. Empiece por descartar las prácticas de IA prohibidas: si aparece alguna, es la prioridad absoluta. Documente el razonamiento de cada clasificación, sobre todo cuando concluya que un sistema del anexo III no es de alto riesgo por la excepción del artículo 6.3.
Paso 4. Obligaciones aplicables
Con rol y nivel de riesgo, cada sistema tiene una lista de obligaciones. Esta tabla resume las principales:
| Situación | Obligaciones principales | Desde |
|---|---|---|
| Cualquier uso de IA | Fomentar la alfabetización en IA (art. 4); no usar prácticas prohibidas (art. 5) | 2 de febrero de 2025 |
| Chatbots, IA generativa, reconocimiento de emociones, ultrasuplantaciones | Transparencia del artículo 50: informar de la interacción con IA, marcar y etiquetar contenido | 2 de agosto de 2026 |
| Proveedor de alto riesgo | Gestión de riesgos, datos, documentación técnica, registros, supervisión humana, sistema de calidad, evaluación de la conformidad, marcado CE, registro en la base de datos de la UE | 2 de diciembre de 2027 (anexo III) / 2 de agosto de 2028 (anexo I) |
| Responsable del despliegue de alto riesgo | Usar según instrucciones, supervisión humana competente, datos de entrada pertinentes, seguimiento, conservar registros al menos seis meses, informar a trabajadores y afectados | 2 de diciembre de 2027 |
| Entidades públicas, servicios públicos, crédito y seguros de vida y salud | Evaluación de impacto relativa a los derechos fundamentales (art. 27) | 2 de diciembre de 2027 |
| Proveedor de modelo de uso general | Documentación, información a terceros, derechos de autor, resumen de datos (art. 53) | 2 de agosto de 2025 |
Las fechas completas, con los cambios del Ómnibus Digital, están en el calendario de la ley de IA.
Paso 5. Situación actual de cada obligación
Para cada obligación, valore qué tiene ya. Una escala sencilla de cuatro niveles basta: no existe, existe de forma informal, existe y está documentado, existe, está documentado y se revisa. Pida evidencias: una política aprobada, un registro de formación, un contrato con cláusulas de IA, una evaluación de riesgos firmada. Lo que no está documentado no podrá demostrarlo ante un supervisor.
Aproveche lo que ya tiene. Las evaluaciones de impacto del RGPD, un sistema ISO 27001, el Esquema Nacional de Seguridad o los procesos de homologación de proveedores cubren parte del camino. Para la evaluación de riesgos de cada sistema le servirá la plantilla de evaluación de riesgos de IA.
Paso 6. Priorización
No todas las brechas pesan igual. Ordene por tres criterios: gravedad (una práctica prohibida va antes que una documentación incompleta), fecha de aplicación (lo ya exigible va antes que lo de 2027) y esfuerzo. Un ejemplo ficticio de cómo queda:
| Sistema | Rol y riesgo | Brecha detectada | Prioridad |
|---|---|---|---|
| Copilot para 300 empleados | Responsable del despliegue, riesgo mínimo | Sin política de uso ni formación registrada | Alta (ya exigible) |
| Chatbot de la web | Proveedor del sistema, transparencia | No avisa de que es una IA | Alta (ya exigible) |
| Módulo de análisis de voz de agentes en el centro de llamadas | Responsable del despliegue | Infiere emociones de empleados: posible práctica prohibida | Crítica: desactivar |
| Software de cribado de currículos | Responsable del despliegue, alto riesgo (anexo III.4) | Sin supervisión humana definida ni información al comité de empresa | Media (diciembre de 2027, pero el comité ya tiene derecho a información) |
| Optimización de rutas de reparto | Responsable del despliegue, riesgo mínimo | Fuera del inventario | Baja |
Paso 7. Plan y gobernanza de la IA
Convierta la priorización en un plan con acciones, responsables, fechas y presupuesto, aprobado por la dirección. Aquí entra la gobernanza de la IA: quién decide si se adopta un nuevo caso de uso, quién mantiene el inventario, cómo se revisan proveedores, cómo se forma a la plantilla y cada cuánto se repite el análisis. Sin esa estructura, la foto envejece en meses. Los documentos mínimos son un marco de gobernanza de la IA, una política de uso de la IA en la empresa, un procedimiento de evaluación de riesgos y un checklist de proveedores.
Ese es precisamente el paquete que genera el diagnóstico de cumplimiento de la ley de IA de Opsio: responde a las preguntas y recibe los cuatro documentos redactados a partir de sus respuestas, listos para adaptar y aprobar. Si después quiere ayuda para cerrar brechas concretas, el equipo de consultoría de gobernanza de la IA puede acompañarle.
Errores frecuentes
- Esperar a la ley española. El proyecto de ley caducó en octubre de 2026 con la disolución de las Cortes, pero el Reglamento se aplica directamente. Lo explicamos en AESIA y ley de IA en España.
- Analizar solo la IA propia. La mayor parte del riesgo de una empresa usuaria está en el software comprado.
- Confundir el RGPD con el Reglamento de IA. Se complementan, pero tienen objetos y obligaciones distintos.
- Clasificar sin dejar rastro. Si decide que un sistema no es de alto riesgo, escriba por qué.
- Hacerlo una vez. Revíselo al menos una vez al año y cada vez que entre una herramienta nueva.
Las guías y listas de comprobación de la AESIA, actualizadas en agosto de 2026, son un buen complemento para los sistemas de alto riesgo. Y si prefiere una lista de acciones ya ordenada, use nuestro checklist de cumplimiento de la ley de IA.
Preguntas frecuentes sobre el cumplimiento de la ley de IA
¿Cuánto se tarda en hacer un análisis de brechas de la ley de IA?
Depende del número de sistemas y de lo ordenada que esté la información. En una empresa mediana con una docena de usos de IA, inventario y clasificación pueden hacerse en unas semanas si hay un responsable con apoyo de la dirección. Lo que más alarga el proceso es descubrir herramientas no declaradas.
¿Sirve un «EU AI Act compliance checker» en línea?
Sirve para orientarse y para saber qué preguntas hacerse. No basta como análisis de brechas porque no conoce sus sistemas, sus contratos ni sus procesos. Úselo como punto de partida y complételo con la revisión caso por caso y con evidencias documentales.
¿Qué obligaciones de la ley de IA ya se aplican en octubre de 2026?
Las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4, desde febrero de 2025; las obligaciones de los modelos de uso general, desde agosto de 2025; y la transparencia del artículo 50 para chatbots y contenido sintético, desde agosto de 2026. El alto riesgo se aplicará en diciembre de 2027 y agosto de 2028.
¿Qué diferencia hay entre gobernanza de la IA y cumplimiento?
El cumplimiento es satisfacer las obligaciones legales concretas. La gobernanza de la IA es la estructura que lo hace sostenible: roles, políticas, procesos de aprobación, inventario, gestión de riesgos y revisión. Sin gobernanza, el cumplimiento es una foto que caduca; con ella, se mantiene al día cuando cambian los sistemas o la ley.
¿Necesito un consultor externo?
No necesariamente. Una organización con un equipo de cumplimiento y un DPO puede hacerlo con las guías oficiales y un método. La ayuda externa compensa cuando hay sistemas de alto riesgo, cuando se es proveedor o cuando faltan recursos internos para el inventario.
Haga su diagnóstico en 40 minutos
El primer análisis de brechas no tiene por qué empezar con una hoja en blanco. Con el diagnóstico gratuito de gobernanza y madurez en IA responde en catorce pasos, unos 40 minutos y en español, a preguntas sobre cómo usa la IA su organización. Al enviarlo recibe una valoración de madurez en diez áreas, en una escala de cinco niveles, y cuatro documentos redactados a partir de sus respuestas: marco de gobernanza de la IA, política de uso aceptable de la IA, checklist de diligencia debida para proveedores de IA y plantilla de evaluación de riesgos. Los documentos se entregan en inglés como archivos Word editables y son suyos. Sin coste, sin tarjeta y sin compromiso. No es asesoramiento jurídico ni una certificación.
Este artículo es información general y no constituye asesoramiento jurídico. Consulte el texto consolidado del Reglamento (UE) 2024/1689 en su versión modificada por el Reglamento (UE) 2026/1744. Fechas y autoridades, a octubre de 2026.
Sobre el autor
Group COO & CISO
Fredrik es el COO y CISO del grupo en Opsio. Se centra en la excelencia operativa, la gobernanza y la seguridad de la información, trabajando estrechamente con los equipos de entrega y liderazgo para alinear tecnología, riesgo y resultados de negocio en entornos de TI complejos. Lidera la práctica de seguridad de Opsio, incluyendo servicios SOC, pruebas de penetración y marcos de cumplimiento.
Normas editoriales: Este artículo lo ha escrito un profesional certificado y lo ha revisado nuestro equipo de ingeniería. Lo actualizamos cuando cambia la tecnología o la normativa que trata; las fechas de arriba indican la última actualización. Opsio mantiene su independencia editorial: recomendamos soluciones por su mérito técnico, no por relaciones comerciales.