Metodología de la Autoevaluación IA

Qué mide y qué no

Esta autoevaluación mide las obligaciones del Reglamento (UE) 2024/1689 (Reglamento de IA) y del RGPD que se aplican a quien usa sistemas de inteligencia artificial en su actividad como responsable del despliegue: las prácticas prohibidas del art. 5, el deber de formación del art. 4, la transparencia del art. 50, la preparación para el régimen de alto riesgo (anexo III y, en industria, anexo I) y el tratamiento de datos de terceros y la confidencialidad. El bloque final cambia según el sector: industria, despachos de abogados, centros educativos o pyme en general. No mide la conformidad de un producto de IA propio como proveedor, no sustituye a un inventario de sistemas ni a una revisión humana, y su resultado es una orientación preliminar. No es dictamen, ni auditoría, ni certificación de cumplimiento.

Versión y revisiones

Cómo puntúa

Cada opción de respuesta vale 2, 1 o 0 puntos. «No lo sé» puntúa siempre 0, porque no saber cómo se usa la IA en la organización es el hueco más frecuente y el cuestionario lo hace visible en vez de premiarlo. Las opciones de «no aplica» salen del cálculo, porque no aplicar no es incumplir. La puntuación de cada bloque es la suma de puntos dividida entre el máximo posible de las preguntas mostradas y respondidas: verde a partir del 75 %, ámbar entre el 40 % y el 74 %, rojo por debajo del 40 %. Si en un bloque no queda ninguna pregunta aplicable se muestra «No procede con lo que has respondido», sin color y fuera del cálculo. Si queda una sola, se dice qué falta en lugar de pintar un semáforo sobre un único dato. El bloque de prácticas prohibidas no puntúa: una sola respuesta afirmativa convierte el resultado en crítico, sin semáforos que lo maticen, y un «no lo sé» añade un aviso. El titular del resultado no es una nota media. Cuenta las obligaciones ya exigibles hoy que se han respondido con la opción de 0 puntos, excluidas las preguntas de buena práctica. No hay nota global numérica, porque una nota invita a compararse y a hacerse trampas.

Qué se cuenta como obligación ya exigible y qué no

Solo suman al titular las preguntas cuya base normativa está vigente hoy: las obligaciones del Reglamento de IA ya aplicables (art. 4, art. 5 y art. 50) y las del RGPD, exigibles desde 2018. Las obligaciones del régimen de alto riesgo (anexo III desde el 2 de diciembre de 2027, anexo I desde el 2 de agosto de 2028) puntúan en su bloque, pero se etiquetan como preparación y nunca como incumplimiento. Seis preguntas del banco son buenas prácticas y no obligaciones exigibles, así que puntúan en el semáforo de su bloque pero no suman al contador. Son la cláusula de IA en los acuerdos de confidencialidad con clientes (la Ley 1/2019 condiciona la protección del secreto empresarial, no impone un deber), tres recomendaciones de la Circular 3/2026 del CGAE que la propia circular no tipifica como infracción, la incorporación del uso de IA a las normas de convivencia del centro educativo y la designación de un responsable interno de IA. Presentar una recomendación como incumplimiento es justo lo que este instrumento existe para no hacer.

De qué artículo sale cada pregunta

Qué cambió el Ómnibus digital

El Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio, cambió cuatro cosas que afectan a esta autoevaluación. Primera, el art. 4 deja de ser una obligación de resultado y pasa a ser un deber de adoptar medidas de apoyo a la alfabetización en IA. Lo exigible es acreditar qué medidas se han adoptado. Segunda, las fechas del alto riesgo: los sistemas del anexo III (empleo, educación, biometría, justicia) se exigen desde el 2 de diciembre de 2027 y los del anexo I (IA integrada en productos con legislación sectorial, como las máquinas) desde el 2 de agosto de 2028. Tercera, la transparencia del art. 50 no se aplaza: chatbots, contenido sintético y textos de interés público son exigibles desde el 2 de agosto de 2026, con un periodo de gracia hasta diciembre de 2026 para el marcado técnico (art. 50.2) de los sistemas ya existentes. Cuarta, el art. 5 suma dos prohibiciones (generación de imágenes íntimas no consentidas y de material de abuso infantil) que para quien usa IA solo aplican con uso deliberado, y por eso no son pregunta de la autoevaluación. Todo verificado contra el BOE (DOUE-L-2026-81147).

Por qué el resultado no es un dictamen

Esta autoevaluación es una orientación preliminar basada en las respuestas facilitadas. No constituye dictamen jurídico, auditoría legal ni certificación de cumplimiento. La clasificación refleja una probabilidad razonada sobre la información aportada, no una determinación de una autoridad competente. Revisión normativa: agosto de 2026 (incluye el Reglamento (UE) 2026/1744, Ómnibus digital).

Quién firma

Claudia Taracena Calonge. Graduada en Derecho, máster en Compliance y RGPD, curso de prevención de blanqueo de capitales, programa de IA en el Centro de Estudios Garrigues y certificación CAIP.