Lo esencial
- El cumplimiento de la IA consiste en demostrar que sus sistemas de inteligencia artificial se mantienen dentro de la ley, de las normas aplicables y de sus propias políticas a lo largo de todo su ciclo de vida. Es un estado que se sostiene, no un documento que se archiva una sola vez.
- El Reglamento Europeo de IA marca el ritmo. Las obligaciones de los sistemas de alto riesgo se aplican desde el 2 de agosto de 2026 y las sanciones alcanzan hasta 35 millones de euros o el 7 por ciento de la facturación mundial.
- Proveedores y responsables del despliegue tienen deberes distintos. Saber qué papel desempeña determina la mayor parte de sus obligaciones.
- ISO/IEC 42001 y el marco NIST AI RMF aportan la estructura de controles. Si mapea sus obligaciones una sola vez, una única biblioteca de controles puede satisfacer varios regímenes.
- El paso cero es un inventario de IA. No se gobierna, no se clasifica ni se prueba un sistema que no se ve.
Qué significa realmente el cumplimiento de la IA en 2026
El cumplimiento de la IA es el trabajo continuo de mantener los sistemas de inteligencia artificial alineados con las leyes, los reglamentos, las normas y las políticas internas que les son aplicables, desde el primer dato de entrenamiento hasta la retirada del modelo. La definición parece sencilla. En la práctica es justo aquí donde fracasan la mayoría de los programas, porque los equipos tratan el cumplimiento como un formulario que entregar y no como una condición que preservar. Conviene separar dos términos que a menudo se usan como sinónimos. La gobernanza de la IA es el sistema operativo: los roles, las políticas, los controles y los derechos de decisión que determinan cómo se construye y se usa la IA. El cumplimiento de la IA es la capa de prueba que se superpone: la demostración tangible de que ese sistema funciona y de que se respetan obligaciones concretas. La gobernanza es lo que usted hace. El cumplimiento es lo que usted puede mostrar. El panorama completo está en nuestra guía de activación de un marco de gobernanza de la IA. La distinción importa, porque los auditores, los reguladores y los grandes compradores ya no aceptan intenciones. Piden la clasificación de riesgo de un sistema concreto, el control que responde a una obligación precisa y el registro que prueba que ese control se ejecutó. Quien no pueda presentar estos tres elementos cuando se le requieran no cumple, por muy bien redactadas que estén sus políticas.
Por qué el cumplimiento de la IA es ya un asunto del consejo de administración
Durante años la ética de la IA vivió en documentos de principios. Esa etapa ha terminado. El Reglamento de IA está en vigor con plazos vinculantes y la exposición financiera es lo bastante grande como para llegar al consejo. Vulnerar la prohibición de las prácticas prohibidas puede costar hasta 35 millones de euros o el 7 por ciento de la facturación anual mundial, la cifra que sea mayor. Incumplir las obligaciones asociadas a los sistemas de alto riesgo puede costar hasta 15 millones de euros o el 3 por ciento, conforme al artículo 99 del Reglamento (UE) 2024/1689. El coste no es solo regulatorio. El cumplimiento de la IA se ha convertido en una condición de acceso al mercado. Los departamentos de compras envían ya cuestionarios de diligencia debida específicos de IA antes de firmar, y una empresa que no sepa responderlos pierde el contrato. Las aseguradoras ponen precio al riesgo de IA. Y un solo fallo visible, una herramienta de selección sesgada o un modelo filtrado, causa un daño reputacional que sobrevive a cualquier multa. El cumplimiento ha pasado de ser un detalle jurídico a un requisito comercial.
El panorama normativo que debe cartografiar
No existe una única ley de IA que cumplir. Existe un panorama por capas, y la primera tarea real es saber cuáles le afectan.
El Reglamento Europeo de IA, el que marca el paso
El Reglamento de IA clasifica los sistemas por riesgo. Una breve lista de prácticas está sencillamente prohibida. Un conjunto más amplio, recogido en el anexo III, es de alto riesgo: la IA empleada en la selección de personal, la calificación crediticia, los servicios esenciales, la identificación biométrica o la educación. Los sistemas de alto riesgo cargan con las obligaciones pesadas. Los sistemas de riesgo limitado, como los chatbots, cargan con deberes de transparencia, y todo lo demás queda en gran medida sin regular. Dos detalles deciden la mayor parte de su carga. Primero, su papel. Un proveedor que desarrolla o introduce en el mercado un sistema debe realizar una evaluación de la conformidad, mantener documentación técnica, registrar el sistema y operar un sistema de gestión de la calidad, conforme a los artículos 9 a 17. Un responsable del despliegue que usa el sistema debe garantizar la supervisión humana, conservar los registros generados automáticamente durante al menos seis meses, seguir las instrucciones de uso y, en casos definidos, realizar una evaluación de impacto sobre los derechos fundamentales conforme a los artículos 26 y 27. La misma organización suele ser ambas cosas a la vez. Segundo, el calendario. Las obligaciones de los sistemas de alto riesgo del anexo III se aplican desde el 2 de agosto de 2026. Una propuesta de la Comisión Europea planteó retrasar algunos plazos, pero no se ha aprobado, de modo que agosto de 2026 sigue siendo la fecha operativa, como recuerdan los profesionales de Holland & Knight. Una evaluación de la conformidad completa puede llevar de 8 a 14 meses, lo que significa que el trabajo ya va con retraso si no ha comenzado.
Estados Unidos, un mosaico
Estados Unidos no tiene una única ley federal de IA. La referencia nacional de facto es el NIST AI Risk Management Framework, voluntario, y son los estados los que llenan el vacío. La Ley de IA de Colorado apunta a la discriminación algorítmica, y la Local Law 144 de Nueva York exige auditorías de sesgo a las herramientas automatizadas de decisión en la contratación. Quien opera en varios estados hereda la unión de sus reglas.
El derecho de datos y sectorial que ya le obliga
El cumplimiento de la IA no sustituye a las reglas a las que ya está sujeto. El RGPD rige los datos personales y las decisiones automatizadas con efectos jurídicos, y la AEPD vela por la vertiente de datos. Los reguladores sectoriales de sanidad, finanzas y empleo imponen sus propios deberes. La mayoría de las obligaciones de IA se superponen a estas, de modo que un mismo sistema responde a la vez ante una autoridad de datos y ante una autoridad de IA.
Los tres marcos que estructuran el cumplimiento
Los reglamentos dicen qué resultado alcanzar. Los marcos dicen cómo organizar el trabajo. Tres importan por encima del resto, y encajan en lugar de competir. Nuestra correspondencia cruzada de NIST, ISO 42001 y el Reglamento de IA muestra los solapamientos en detalle.
El Reglamento Europeo de IA, la ley
El reglamento es el requisito vinculante en el mercado europeo. Define las obligaciones; los otros dos marcos ayudan a satisfacerlas de forma auditable.
ISO/IEC 42001, el sistema de gestión certificable
ISO/IEC 42001 es la primera norma certificable para un sistema de gestión de la IA, o AIMS. Traslada la conocida estructura ISO de política, objetivos, tratamiento del riesgo y mejora continua al campo de la IA, y su anexo A define 38 controles específicos de IA. Al ser certificable, ofrece una atestación de tercera parte que compradores y reguladores reconocen. La norma puede consultarse en ISO.
El NIST AI RMF, el método de riesgo
El NIST AI Risk Management Framework organiza el trabajo en cuatro funciones: Govern, Map, Measure y Manage. Govern fija la cultura y la responsabilidad, Map identifica el contexto y el riesgo, Measure lo analiza y lo sigue, Manage actúa sobre él. No es certificable, pero es el método más claro para estructurar el trabajo diario sobre el riesgo. La lección práctica es que no exigen tres programas separados. Una sola evaluación de riesgo puede servir al método NIST, alimentar una auditoría ISO 42001 y producir pruebas para el Reglamento de IA, al mismo tiempo. Construya la biblioteca de controles una sola vez y vincule cada control a cada régimen que satisface.
Las familias de controles sobre las que será auditado
Si se retiran las diferencias de vocabulario, el cumplimiento de la IA se reduce a un puñado de familias de controles que reaparecen en cada marco.
- Inventario de IA y clasificación del riesgo. Un registro vivo de cada sistema de IA, cada uno etiquetado con su nivel de riesgo. Sin él no funciona nada de lo que viene después.
- Evaluación de riesgo e impacto. Evaluaciones estructuradas, incluida la evaluación de impacto sobre los derechos fundamentales donde el Reglamento de IA la exige, repetidas cada vez que el sistema cambia.
- Controles técnicos. Gobernanza y trazabilidad de los datos, pruebas de robustez y exactitud, transparencia y explicabilidad, supervisión humana, detección y mitigación de sesgos.
- Documentación y pruebas. Fichas de modelo, registros de decisiones, registros de entrenamiento y actas de revisión por la dirección, mantenidos al día y recuperables.
- Controles de terceros y proveedores. Diligencia debida sobre los proveedores de modelos y de datos, porque las obligaciones acompañan al sistema aunque usted no lo haya construido.
Un modelo operativo: de la obligación al control a la prueba
Aquí está el cambio que separa a un programa capaz de superar una auditoría de uno destinado a fracasar. Deje de pensar en checklists y piense en una cadena, de la obligación al control a la prueba. La cadena tiene cinco eslabones. Inventaríe cada sistema de IA, incluidos los adquiridos como funciones dentro de otro software y los que el personal adoptó en silencio, esa shadow AI que nunca llegó a un registro. Clasifique cada sistema por nivel de riesgo, porque es el nivel el que determina las obligaciones. Vincule cada obligación a un control preciso, para que cada requisito legal o normativo tenga un responsable y un mecanismo asignados. Adjunte una prueba verificable a cada control, el artefacto que acredita su ejecución. Revise con una cadencia fija, porque un control válido el trimestre pasado puede desviarse, y un sistema reclasificado tras un cambio hereda nuevas obligaciones. Haga girar este ciclo de forma continua y el cumplimiento deja de ser una carrera anual. Cada obligación apunta a un control, cada control a una prueba reciente, y la pregunta de un auditor tiene su respuesta antes de formularse. Esto es lo que significa el cumplimiento continuo en la práctica, y es la razón por la que una checklist por sí sola siempre acaba rezagada.
Cuánto cuesta el incumplimiento: cuatro casos de referencia
El riesgo abstracto se vuelve concreto en los casos que reguladores y tribunales ya han resuelto. Clearview AI construyó una base de datos de reconocimiento facial recopilando miles de millones de imágenes sin consentimiento y atrajo una serie de multas millonarias de autoridades de protección de datos por toda Europa. La lección: la procedencia de los datos de entrenamiento es una obligación de cumplimiento, no un detalle de ingeniería. La Apple Card, emitida con Goldman Sachs, afrontó en 2019 acusaciones públicas de que su algoritmo de límite de crédito perjudicaba a las mujeres. Siguió una investigación de un regulador. Incluso donde no se prueba una discriminación ilícita, la incapacidad de explicar una decisión automatizada es en sí misma un fallo de gobernanza que atrae el escrutinio. COMPAS, una herramienta de puntuación de riesgo usada en la justicia penal estadounidense, fue criticada por su opacidad y su exactitud discutida en decisiones de alto impacto. Muestra por qué la transparencia y el derecho a impugnar una decisión se tratan como controles esenciales, no como extras. El escándalo de las ayudas a la infancia en los Países Bajos vio cómo un modelo de riesgo de la administración tributaria tachó erróneamente de defraudadoras a miles de familias, y el sistema asociado SyRI fue anulado por un tribunal por vulnerar los derechos humanos. La falta de una evaluación del impacto sobre los derechos fundamentales antes del despliegue alimentó una crisis que hizo caer a un gobierno. Es el argumento más claro a favor de las evaluaciones de impacto que el Reglamento de IA impone ahora.
Una hoja de ruta de cumplimiento de IA en 90 días
No se puede cerrar cada brecha de una vez, pero sí se puede generar impulso en un trimestre.
- Días 1 a 30, ver el parque. Construya el inventario de IA registrando, para cada sistema, responsable, finalidad, datos y proveedor, y clasifique cada uno según el nivel de riesgo del Reglamento de IA. Priorice todo lo que afecte a las personas, al crédito, a la contratación o a la salud.
- Días 31 a 60, encontrar las brechas. Para cada sistema de alto riesgo, enumere las obligaciones aplicables, mapee cada una sobre los controles existentes y anote dónde falta un control. Asigne un responsable a cada brecha.
- Días 61 a 90, hacerlo demostrable. Ponga en marcha la documentación y la recogida de pruebas, confirme que la supervisión humana es real y no nominal, y fije una cadencia de revisión para que el inventario y las evaluaciones sigan al día. Ahora el cumplimiento tiene pulso.
Preguntas frecuentes
¿Qué significa el cumplimiento de la IA? El cumplimiento de la IA es la práctica de asegurar que los sistemas de IA se desarrollan, despliegan y operan conforme a las leyes, los reglamentos, las normas del sector y las políticas internas que les son aplicables, a lo largo de todo su ciclo de vida. En concreto, significa poder demostrar, para un sistema dado, que sus riesgos están evaluados, que los controles requeridos están implantados y que existen pruebas de su funcionamiento. ¿Qué diferencia hay entre gobernanza de la IA y cumplimiento de la IA? La gobernanza de la IA es el sistema operativo: los roles, las políticas, los controles y los derechos de decisión que determinan cómo se construye y se usa la IA. El cumplimiento de la IA es la capa de prueba que se superpone: la demostración tangible de que esos mecanismos funcionan y de que se respetan obligaciones legales o normativas concretas. La gobernanza es lo que usted hace; el cumplimiento es lo que puede mostrar a un auditor o a un regulador. ¿Cómo afecta el Reglamento Europeo de IA a las empresas estadounidenses? El Reglamento de IA se aplica en función de dónde se usa un sistema, no solo de dónde tiene su sede la empresa. Una empresa estadounidense entra en el ámbito si introduce un sistema de IA en el mercado de la Unión o si la salida del sistema se usa en la Unión. Así, muchas organizaciones estadounidenses heredan obligaciones de proveedor o de responsable del despliegue para los sistemas de alto riesgo, con la fecha principal del 2 de agosto de 2026, incluso sin oficina en Europa. ¿Qué marcos y normas definen el cumplimiento de la IA? El requisito vinculante en Europa es el Reglamento de IA. Los dos marcos más usados para satisfacerlo de forma auditable son ISO/IEC 42001, norma certificable para un sistema de gestión de la IA, y el NIST AI Risk Management Framework, que estructura el trabajo sobre el riesgo en Govern, Map, Measure y Manage. El RGPD y las reglas sectoriales suelen aplicarse en paralelo. ¿Qué debe contener una checklist de cumplimiento de IA? Como mínimo: un inventario completo de IA con clasificación del riesgo, una evaluación de riesgo e impacto para cada sistema de alto riesgo, controles técnicos de gobernanza de datos, robustez, transparencia, supervisión humana y sesgo, una documentación como fichas de modelo y registros de decisiones, diligencia debida sobre terceros y proveedores, y una cadencia de revisión definida. La checklist es útil como mapa de cobertura, pero debe apoyarse en un modelo operativo continuo en lugar de sustituirlo. ¿Se puede automatizar el cumplimiento de la IA? En gran parte, sí. El inventario, la correspondencia de obligaciones con controles, la recogida de pruebas y los recordatorios de revisión pueden automatizarse en una plataforma de gobernanza, lo que convierte el cumplimiento de un proyecto puntual en un estado continuo. Los juicios de valor, como clasificar un sistema límite o interpretar una obligación nueva, siguen necesitando a una persona, pero el registro repetitivo que consume la mayor parte del esfuerzo, no.
Conclusión
El cumplimiento de la IA no es un certificado que se obtiene una vez ni una checklist que se marca a fin de año. Es un modelo operativo que funciona de forma continua: inventariar cada sistema, clasificarlo por riesgo, vincular cada obligación a un control, adjuntar la prueba que acredita el control y revisar todo el ciclo con una cadencia fija. Los equipos que construyen este ciclo responden al auditor antes de que llegue la pregunta y siguen vendiendo en mercados regulados. Los equipos que se apoyan en una checklist estática pasan cada auditoría reconstruyéndola de memoria. AI Sigil ofrece a los equipos de gobernanza y cumplimiento el modelo operativo para gestionarlo en un solo lugar, del inventario a la prueba.