El AI Act pide a una empresa que usa inteligencia artificial que pueda demostrar cuatro cosas: qué sistemas utiliza, que formó a quien los maneja, qué reglas internas dio y que avisa cuando hay una máquina detrás. Eso cabe en una carpeta.
La documentación larga, la que ocupa un anexo entero del Reglamento y asusta a cualquiera que la abra, corresponde a quien fabrica el sistema. Confundir las dos listas convierte un trabajo de días en la sensación de tener por delante un proyecto de meses.
Todo depende de una sola pregunta. ¿Tu empresa fabrica el sistema o solo lo utiliza. De ahí salen dos listas de papeles muy distintas, y este artículo recorre las dos.
Claves en 30 segundos
- Lo que el Reglamento exige a una empresa usuaria es prueba de lo que hizo. La memoria técnica del sistema corresponde a quien lo fabrica.
- Dos obligaciones ya están vivas desde febrero de 2025, la formación del personal (artículo 4) y mantenerse fuera de las prácticas prohibidas (artículo 5).
- El 2 de agosto de 2026 se suman los avisos de transparencia del artículo 50.
- La documentación técnica del Anexo IV, la declaración de conformidad y el marcado CE son del proveedor.
- El Reglamento (UE) 2026/1744 retrasó el alto riesgo del Anexo III a diciembre de 2027 y dejó intactas las obligaciones de agosto de 2026.
- Los registros automáticos de un sistema de alto riesgo se conservan un mínimo de seis meses (artículo 26.6).
Qué documentación exige el AI Act y a quién se la exige
El Reglamento (UE) 2024/1689 reparte las obligaciones según el papel que cada empresa juega frente al sistema de IA. El proveedor es quien lo desarrolla o lo comercializa con su nombre. El responsable del despliegue es quien lo utiliza bajo su propia autoridad. Una asesoría que usa un programa de selección para filtrar currículums es responsable del despliegue; la empresa que le vende ese programa es la proveedora.
Ese reparto decide el volumen de papel. El proveedor elabora documentación técnica, declara la conformidad y responde de cómo está construido el sistema. El responsable del despliegue acredita cómo lo usa: con qué personal formado, con qué reglas, con qué supervisión y con qué avisos. Ordenar ese expediente es el trabajo de compliance de IA.
Una empresa que compra herramientas de IA y no construye ninguna está siempre en el segundo grupo, y con frecuencia sin ningún sistema de alto riesgo. Antes de montar ninguna carpeta hay que confirmar en cuál de los dos lados estás, porque de ahí cuelga todo lo demás. Ese punto lo desarrollamos en la guía sobre cómo saber si un sistema entra en alto riesgo.
El expediente mínimo de una empresa que usa IA
Esta es la carpeta de una empresa que utiliza herramientas de inteligencia artificial de terceros y no fabrica ninguna.
| Documento | Qué acredita | Desde cuándo |
|---|---|---|
| Inventario de sistemas | Qué herramientas de IA se usan, quién las usa y para qué. Determina qué régimen aplica a cada una | Recomendable desde el primer uso |
| Registro de formación | El nivel suficiente de conocimientos que exige el artículo 4: quién se formó, sobre qué y en qué fecha | 2 de febrero de 2025 |
| Revisión de prácticas prohibidas | Que ningún uso de la empresa cae dentro del artículo 5 | 2 de febrero de 2025 |
| Política de uso de IA | Las reglas que la empresa dio a su plantilla y la aceptación de cada persona | Recomendable desde el primer uso |
| Avisos de transparencia | Que se informa de que hay una IA detrás y que el contenido sintético va marcado (artículo 50) | 2 de agosto de 2026 |
| Contratos con proveedores | Qué garantías ofrece el proveedor y qué hace con la información que recibe | Desde la contratación |
Hay que distinguir aquí lo que exige el articulado de lo que añade la práctica. El artículo 4 obliga a adoptar medidas que apoyen la alfabetización del personal, y su texto no menciona ningún registro. El artículo 5 prohíbe determinados usos sin pedir que documentes la comprobación. El inventario tampoco aparece como tal en el Reglamento.
Que la norma calle sobre el formato no te libra del contenido. El AI Act funciona sobre responsabilidad proactiva, la misma lógica que rige el RGPD, y la obligación incluye poder probar que la cumpliste. Sin fechas ni firmas, una empresa que cumplió y otra que no presentan exactamente el mismo aspecto.
Lo que ya tienes que poder enseñar
Dos artículos son aplicables desde el 2 de febrero de 2025 y afectan a cualquier empresa que use IA, sea cual sea su tamaño y su nivel de riesgo.
El artículo 4 exige adoptar medidas que apoyen el desarrollo de los conocimientos de inteligencia artificial del personal que maneja los sistemas, teniendo en cuenta su formación previa y el contexto de uso. La evidencia habitual es un registro con las personas formadas, la fecha, el contenido y su duración, más los materiales entregados. Qué acredita cada perfil está desarrollado en el artículo sobre la obligación de alfabetización del artículo 4.
El artículo 5 prohíbe usos concretos, entre ellos la puntuación social y el reconocimiento de emociones en el trabajo salvo excepciones tasadas. La evidencia aquí es una revisión fechada del inventario donde conste que se comprobó cada sistema contra esa lista. Ocupa una página y evita la peor conversación posible con un inspector.
A esos dos se suma la política interna. Una política de uso de IA firmada convierte una intención en una instrucción, y su aceptación por escrito permite acreditar que la empresa dio reglas antes de que ocurriera el problema.
La transparencia del artículo 50 y la evidencia que deja
El artículo 50 introduce obligaciones de transparencia que generan pruebas visibles y fáciles de reunir.
Un sistema que interactúa directamente con personas debe informar de que quien responde es una IA, salvo que resulte evidente. Quien despliega un sistema de reconocimiento de emociones o de categorización biométrica informa a las personas expuestas. Los contenidos de imagen, audio o vídeo manipulados que simulan la realidad se identifican como artificiales, igual que el texto generado por IA que se publica para informar al público sobre asuntos de interés general.
La prueba de todo esto son capturas del aviso en el chatbot, el registro de la configuración de marcado y las instrucciones internas sobre qué se publica con etiqueta. Es documentación ligera y se prepara en una tarde.
El Ómnibus digital sobre IA concedió un margen adicional para los sistemas de IA generativa comercializados antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para incorporar el marcado del contenido sintético. El resto de la transparencia vence en agosto. Las fechas completas están en el calendario del AI Act en España.
Qué se añade si despliegas un sistema de alto riesgo
Cuando la empresa utiliza bajo su propia autoridad un sistema de los ocho ámbitos del Anexo III, el artículo 26 suma obligaciones que dejan rastro documental.
El sistema se usa conforme a las instrucciones del proveedor, así que esas instrucciones se archivan y se entregan a quien lo maneja. La supervisión humana se encomienda a personas con la competencia, la formación y la autoridad necesarias, y esa designación se pone por escrito con nombre y apellidos.
Los registros automáticos generados por el sistema se conservan, en la medida en que estén bajo control de la empresa, durante un período adecuado a su finalidad y como mínimo seis meses (artículo 26.6). Antes de poner un sistema de alto riesgo a funcionar en el lugar de trabajo hay que informar a los representantes de los trabajadores y a los empleados afectados, y las personas sobre las que el sistema ayuda a decidir también deben saberlo (artículo 26.11). Las dos comunicaciones se guardan con su fecha.
El artículo 27 añade una evaluación de impacto sobre los derechos fundamentales para los organismos de Derecho público, las entidades privadas que prestan servicios públicos y quien despliega sistemas de evaluación de solvencia o de precios de seguros de vida y salud. El Ómnibus permite apoyarla en la evaluación de impacto de protección de datos ya realizada, en vez de duplicar el trabajo.
Estas obligaciones serán exigibles el 2 de diciembre de 2027 para los sistemas del Anexo III y el 2 de agosto de 2028 para los del Anexo I, tras el aplazamiento aprobado por el Reglamento (UE) 2026/1744. El aplazamiento mueve la fecha de exigibilidad y deja el trabajo previo donde estaba, porque clasificar cada sistema sigue siendo lo que te dice qué régimen te aplica.
La documentación que corresponde a tu proveedor
Aquí está la lista que hace pensar a una pyme que el AI Act es inabordable. Casi nada de esto es suyo.
| Documento | Quién lo elabora | Qué haces tú |
|---|---|---|
| Documentación técnica (Anexo IV) | El proveedor del sistema de alto riesgo | Pedirla y archivar la que te entregue |
| Declaración UE de conformidad y marcado CE | El proveedor | Comprobar que el sistema los tiene antes de contratarlo |
| Sistema de gestión de la calidad | El proveedor | Nada |
| Alta en la base de datos de la UE | El proveedor, y el responsable del despliegue cuando es una autoridad pública | Registrarte solo si eres organismo público |
| Registros automáticos del sistema | Los genera el propio sistema | Conservarlos seis meses si despliegas alto riesgo |
El Ómnibus digital avanzó en esa misma dirección. Su reforma del artículo 11 amplía la posibilidad de presentar la documentación técnica de forma simplificada a las pequeñas empresas de mediana capitalización, además de a las pymes que ya la tenían, y retira la exigencia de un plan armonizado de vigilancia poscomercialización que la Comisión sustituirá por orientaciones.
Para una empresa usuaria, la consecuencia práctica es concreta: la conversación relevante con el proveedor deja de ser «envíame tu Anexo IV» y pasa a ser qué garantías firma, dónde acaban los datos que le mandas y qué entregará el día que una autoridad pregunte. Esos puntos contractuales están detallados en la guía de compliance de IA.
Cuánto tiempo hay que conservar cada documento
El Reglamento fija plazos distintos según el documento. Los registros automáticos bajo control del responsable del despliegue tienen un mínimo de seis meses (artículo 26.6). El proveedor conserva su documentación técnica y su declaración de conformidad durante diez años desde la comercialización del sistema (artículo 18).
Para el resto del expediente no hay plazo en el articulado, y el criterio prudente es el de la vida del sistema más el tiempo en que aún puedan exigirse responsabilidades. Una regla operativa sencilla: mientras la herramienta esté en uso se conserva todo; cuando se retira, el expediente se archiva y se mantiene unos años más.
Sobre el soporte, el Reglamento no impone ninguno. Una carpeta compartida con estructura estable y control de versiones cumple perfectamente. Lo que sí importa es que los documentos tengan fecha y autor identificables, porque un inventario sin fecha no demuestra cuándo se hizo la comprobación.
Dos cautelas de protección de datos. Los registros de formación contienen datos personales de la plantilla, así que necesitan su base jurídica y su plazo de supresión. Y los seis meses de logs conviven con lo que permita la normativa de protección de datos, y el propio artículo 26.6 se remite a ella de forma expresa.
Qué pasa cuando una autoridad te pide la documentación
En España, la Agencia Española de Supervisión de la Inteligencia Artificial actúa como autoridad de vigilancia del mercado y publica orientaciones para empresas. El proyecto de ley orgánica que completa la aplicación del Reglamento sigue su tramitación parlamentaria y define el régimen sancionador nacional junto con el reparto de competencias entre AESIA, la Agencia Española de Protección de Datos, el Banco de España, la CNMV y los supervisores sectoriales. Hasta que se apruebe, el marco aplicable es el del propio Reglamento europeo.
El artículo 99 gradúa las multas. Las prácticas prohibidas del artículo 5 llegan hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial. El incumplimiento del resto de obligaciones de operadores, incluidas las de transparencia del artículo 50 y las del responsable del despliegue, alcanza 15 millones o el 3 %. Y facilitar información incorrecta, incompleta o engañosa a las autoridades se sanciona con hasta 7,5 millones o el 1 %.
Ese último tramo merece atención, porque es el que castiga la reacción improvisada. Una empresa que responde a un requerimiento con documentación reconstruida a posteriori se expone a un reproche añadido al del incumplimiento original. Para pymes y start-ups, el artículo 99.6 aplica el importe menor entre la cifra fija y el porcentaje, que rebaja la cuantía y mantiene intacta la infracción.
Preguntas frecuentes
¿Qué documentación exige el AI Act a una empresa que solo usa herramientas de IA?
Cuatro elementos: un inventario de los sistemas que utiliza, el registro de la formación del personal que exige el artículo 4, la política interna de uso con su aceptación y, desde agosto de 2026, la prueba de los avisos de transparencia del artículo 50. Si además despliega un sistema de alto riesgo, se suman las instrucciones del proveedor, la designación de la supervisión humana y la conservación de los registros automáticos.
¿Tengo que elaborar la documentación técnica del Anexo IV?
Solo si eres proveedor del sistema, es decir, si lo desarrollas o lo comercializas con tu nombre. Una empresa que contrata una herramienta de un tercero pide esa documentación al proveedor y archiva la que reciba. También pasa a ser proveedora quien modifica sustancialmente un sistema de alto riesgo o le pone su marca.
¿Qué documentación tengo que guardar si despliego un sistema de alto riesgo?
Las instrucciones de uso que entrega el proveedor, la designación por escrito de quién ejerce la supervisión humana, los registros automáticos del sistema durante un mínimo de seis meses y las comunicaciones a los trabajadores y a las personas afectadas por las decisiones. Algunas entidades añaden la evaluación de impacto sobre derechos fundamentales del artículo 27.
¿Cuánto tiempo hay que conservar los registros del AI Act?
Los registros automáticos que están bajo control del responsable del despliegue se conservan un período adecuado a la finalidad del sistema y nunca menos de seis meses (artículo 26.6). El proveedor mantiene su documentación técnica diez años (artículo 18). Para el resto del expediente el Reglamento no fija plazo, y el criterio prudente es conservarlo mientras el sistema esté en uso y varios años después.
¿El registro de actividades de tratamiento del RGPD vale como inventario de IA?
Sirve de punto de partida y se queda corto. Ese registro recoge los tratamientos de datos personales, mientras que el inventario de IA tiene que incluir también las herramientas que no tratan datos personales y añadir por cada una su nivel de riesgo y quién la usa. Lo práctico es partir del registro que ya existe y ampliarlo con esas columnas.
¿Hace falta un programa específico para llevar esta documentación?
No hace falta ninguno. El Reglamento no impone soporte ni formato, así que una hoja de cálculo y una carpeta compartida con control de versiones cumplen. Las herramientas de gobernanza tienen sentido cuando la empresa maneja muchos sistemas o varios de alto riesgo, y su momento llega cuando el expediente ya existe.
Una reflexión antes de cerrar
El AI Act llega a las empresas formulado como un problema de volumen, cuántos documentos y cuánto va a costar reunirlos. Para una organización que usa herramientas de terceros, la respuesta desinfla la pregunta. El expediente completo cabe en seis archivos y la mayor parte del trabajo consiste en poner por escrito lo que ya se está haciendo.
La dificultad está en otro sitio. Las herramientas de IA entran en una empresa por departamentos distintos y en momentos distintos, casi nunca por una decisión central, y esa dispersión es lo que convierte el inventario en el documento más incómodo de los seis. También en el que más devuelve, porque ordena una realidad que hasta ese momento nadie había mirado entera.
Este artículo tiene finalidad divulgativa y no constituye asesoramiento legal individualizado. Para evaluar las obligaciones concretas de tu empresa, contacta con nosotros.
