Checklist del Reglamento de IA: cumplimiento paso a paso para empresas

Para cumplir el Reglamento de IA, una empresa debe inventariar su IA, determinar su rol en cada sistema, clasificar el riesgo, eliminar usos prohibidos, formar a su personal, aplicar la transparencia a chatbots y contenido sintético y, si usa o desarrolla IA de alto riesgo, prepararse para diciembre de 2027. Este checklist ordena las acciones por fecha.

Lo esencial en breve

• Las fechas vigentes tras el Ómnibus Digital (Reglamento (UE) 2026/1744): prohibiciones y alfabetización desde febrero de 2025, transparencia desde agosto de 2026, alto riesgo en diciembre de 2027 (anexo III) y agosto de 2028 (anexo I).
• Las tres primeras fases del checklist ya son exigibles a octubre de 2026 para casi cualquier empresa que use IA.
• Las obligaciones dependen del rol: el proveedor de un sistema de alto riesgo tiene mucho más trabajo que el responsable del despliegue.
• En España, la ley nacional caducó en octubre de 2026; eso no aplaza ninguna fecha europea.
• Cada acción debe dejar una evidencia: un documento, un registro o una decisión firmada.

Fase 0. Gobernanza mínima

• Designe a una persona responsable de la gobernanza de la IA, con acceso a la dirección.
• Forme un grupo de trabajo con protección de datos, sistemas, compras, RR. HH. y las áreas que usan IA.
• Apruebe un marco de gobernanza de la IA: quién decide sobre nuevos usos, cómo se evalúan y cómo se revisan.
• Defina el alcance: sociedades del grupo, países y unidades incluidas.

Si quiere partir de un borrador, el diagnóstico gratuito de gobernanza de la IA de Opsio redacta un marco de gobernanza a partir de sus respuestas, junto con otros tres documentos. Para el contexto general de la norma, vea nuestra guía del Reglamento de IA.

Fase 1. Ya exigible desde el 2 de febrero de 2025

• Inventario de IA. Registre todos los sistemas que desarrolla, compra o usa, incluida la IA no autorizada. Método en shadow AI e inventario de IA.
• Rol por sistema. Proveedor, responsable del despliegue, importador o distribuidor. Revise si ha puesto su marca o ha modificado sustancialmente algún sistema de terceros.
• Clasificación de riesgo. Prohibido, alto riesgo, transparencia o mínimo, con el razonamiento por escrito.
• Prácticas prohibidas. Compruebe que ningún sistema, propio o comprado, incurre en el artículo 5: emociones de empleados, puntuación social, categorización biométrica sensible, manipulación. Detalle en IA prohibida por riesgo inaceptable.
• Alfabetización en IA. Adopte medidas para fomentarla: política de uso, formación por perfiles y registro de asistentes. Cómo hacerlo en alfabetización en IA y formación obligatoria.
• Política de uso de la IA. Herramientas aprobadas, información que no se introduce, revisión de resultados, usos prohibidos e incidentes. Ejemplo con cláusulas en política de uso de IA en la empresa.

Fase 2. Ya exigible desde el 2 de agosto de 2026: transparencia

• Los chatbots y asistentes que hablan con clientes informan de que son una IA, salvo que resulte evidente.
• El contenido generado o manipulado que constituya una ultrasuplantación (deepfake) se etiqueta como artificial.
• Los textos generados con IA que se publiquen para informar sobre asuntos de interés público indican su origen, salvo revisión editorial humana con responsabilidad editorial.
• Si usa reconocimiento de emociones o categorización biométrica permitidos, informa a las personas expuestas.
• Si es proveedor de IA generativa, sus resultados llevan marcado legible por máquina. Para sistemas comercializados antes del 2 de agosto de 2026, el plazo vence el 2 de diciembre de 2026.

Fase 3. Antes del 2 de diciembre de 2026

• Confirme que ninguna herramienta interna ni de proveedores permite generar imágenes íntimas de personas reales sin consentimiento ni material de abuso sexual infantil.
• Revise contratos con proveedores de IA generativa para exigir salvaguardas frente a estos usos.
• Actualice la política de uso con las dos prohibiciones nuevas.

Fase 4. Alto riesgo como responsable del despliegue, antes del 2 de diciembre de 2027

Si usa IA en selección o gestión de personal, evaluación de solvencia, seguros de vida y salud, educación, biometría u otros ámbitos del anexo III:

• Use el sistema conforme a las instrucciones del proveedor y guarde esas instrucciones.
• Asigne la supervisión humana a personas con competencia, formación y autoridad, y documente cómo intervienen.
• Asegure que los datos de entrada que controla son pertinentes y representativos.
• Vigile el funcionamiento y comunique riesgos e incidentes graves al proveedor y a la autoridad.
• Conserve los registros generados automáticamente al menos seis meses.
• Informe a los trabajadores y a sus representantes antes de usar el sistema en el trabajo; en España, además, el artículo 64.4 d) del Estatuto de los Trabajadores ya obliga a informar al comité de empresa sobre los algoritmos que afectan a decisiones laborales.
• Informe a las personas sobre las que se toman decisiones asistidas por el sistema.
• Si es organismo público, presta servicios públicos o usa IA para crédito o seguros de vida y salud, haga la evaluación de impacto relativa a los derechos fundamentales; puede apoyarse en la EIPD del RGPD. Una base para ambas está en la plantilla de evaluación de riesgos de IA.

Fase 5. Alto riesgo como proveedor

Antes del 2 de diciembre de 2027 (anexo III) o del 2 de agosto de 2028 (anexo I):

• Sistema de gestión de riesgos durante todo el ciclo de vida.
• Gobernanza de los datos de entrenamiento, validación y prueba.
• Documentación técnica y registros automáticos.
• Instrucciones de uso claras para el responsable del despliegue.
• Diseño que permita la supervisión humana; precisión, solidez y ciberseguridad.
• Sistema de gestión de la calidad, proporcionado si es pyme o pequeña mid-cap.
• Evaluación de la conformidad, declaración UE de conformidad y marcado CE.
• Registro en la base de datos de la UE y plan de vigilancia poscomercialización.

Las 16 guías prácticas de la AESIA, actualizadas en agosto de 2026, desarrollan cada uno de estos requisitos con listas de comprobación.

Fase 6. Si ofrece modelos de IA de uso general

• Documentación técnica e información para quienes integran el modelo.
• Política de cumplimiento de los derechos de autor.
• Resumen público de los datos de entrenamiento con la plantilla de la Comisión.
• Si supera el umbral de riesgo sistémico: evaluaciones, pruebas adversarias, gestión de incidentes y ciberseguridad.

Resumen por rol y fecha

Lo específico de España

• Siga la tramitación de la nueva ley nacional: el proyecto de Ley Orgánica caducó el 6 de octubre de 2026 y deberá presentarse de nuevo tras las elecciones del 29 de noviembre.
• Use las guías de la AESIA como referencia de interpretación.
• Coordine las evaluaciones con la AEPD en mente: la EIPD sigue siendo obligatoria cuando el tratamiento entraña alto riesgo.
• Implique a la representación legal de los trabajadores cuando la IA afecte a decisiones laborales.

Preguntas frecuentes sobre el checklist del Reglamento de IA

¿Por dónde empiezo a cumplir el Reglamento de IA?

Por el inventario. Sin saber qué IA usa la organización, en qué rol y para qué, no puede clasificar el riesgo ni decidir qué obligaciones aplican. En paralelo, compruebe que no hay prácticas prohibidas y apruebe una política de uso con formación básica, porque ambas cosas ya son exigibles.

¿Qué tiene que hacer una pyme que solo usa herramientas comerciales?

Inventariar las herramientas, comprobar que ningún uso está prohibido, aprobar una política de uso, formar a la plantilla y registrar esa formación. Si atiende a clientes con un chatbot, avisar de que es una IA. Si no usa IA en ámbitos de alto riesgo, ahí termina su lista principal.

¿Hace falta marcado CE para usar un sistema de alto riesgo?

El marcado CE lo pone el proveedor, no quien lo usa. Como responsable del despliegue, debe comprobar que el sistema que compra lo lleva cuando sea exigible, usarlo según las instrucciones y cumplir sus propias obligaciones de supervisión, registros e información a partir del 2 de diciembre de 2027.

¿Cada cuánto hay que repasar el checklist?

Al menos una vez al año y cada vez que se incorpore un sistema nuevo, cambie un proveedor o cambie la normativa. En los próximos meses conviene revisarlo cuando se presente la nueva ley española y cuando la Comisión publique normas técnicas o guías de alto riesgo.

Convierta el checklist en documentos

Un checklist dice qué hacer; los documentos demuestran que lo ha hecho. Con el diagnóstico de Opsio para el Reglamento de IA responde en catorce pasos, unos 40 minutos y en español, a preguntas sobre su uso de la IA. Al enviarlo recibe cuatro documentos redactados a partir de sus respuestas: marco de gobernanza de la IA, política de uso aceptable, checklist de diligencia debida para proveedores de IA y plantilla de evaluación de riesgos, más una valoración de madurez en diez áreas. Se entregan en inglés como Word editable y son suyos, gratis y sin compromiso.

Este artículo es información general y no constituye asesoramiento jurídico. Consulte el texto consolidado del Reglamento (UE) 2024/1689 en su versión modificada por el Reglamento (UE) 2026/1744. Fechas y autoridades, a octubre de 2026.