Checklist de cumplimiento de la Ley de IA de la UE
Una lista de comprobación de las obligaciones del Reglamento (UE) 2024/1689 por función y clase de riesgo, con el artículo de cada punto.
Esta lista de comprobación recoge el Reglamento de IA (Reglamento (UE) 2024/1689). Afecta a proveedores, responsables del despliegue, importadores, distribuidores, fabricantes y representantes autorizados para el mercado de la UE (artículo 2). También cubre los resultados de IA usados en la UE. Las prácticas prohibidas están vetadas desde el 2 de febrero de 2025. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. Las obligaciones de alto riesgo se aplican desde el 2 de diciembre de 2027 (anexo III) o el 2 de agosto de 2028 (anexo I). Los artículos 2, apartado 2, y 111, apartado 2, fijan límites. Las prácticas prohibidas se multan hasta con 35 millones EUR. Para una empresa, el límite es el 7 % del volumen de negocios anual mundial si es superior (artículo 99, apartado 3). Elija su perfil abajo.
Configure su perfil
opcional
Seleccione su rol y tipo de sistema IA para filtrar la lista según las obligaciones que le aplican.
Se aplican las prohibiciones del artículo 5 y las disposiciones generales (artículo 113, letra a).
2 de agosto de 2025
Modelos de IA de uso general
El capítulo V (artículos 51 a 56) se aplica a los proveedores de modelos de IA de uso general. También se aplican las sanciones (capítulo XII), salvo el artículo 101 (artículo 113, letra b).
2 de agosto de 2026
Obligaciones de transparencia
Se aplican el artículo 50 y la fecha general de aplicación del Reglamento; la Comisión puede multar a los proveedores de modelos de IA de uso general (artículo 101). Los proveedores de sistemas generativos comercializados antes deben cumplir el artículo 50, apartado 2, antes del 2 de diciembre de 2026 (artículo 111, apartado 4).
2 de diciembre de 2026
Dos nuevas prohibiciones
El artículo 5, apartado 1, letras ba) y bb), prohíbe los sistemas de IA que generan imágenes íntimas o sexualmente explícitas de personas identificables sin su consentimiento y material de abuso sexual infantil. El artículo 5, apartados 1 bis y 1 ter, fija las condiciones (artículo 113, letra a, modificado).
2 de agosto de 2027
Modelos de IA de uso general existentes
Los proveedores de modelos introducidos en el mercado antes del 2 de agosto de 2025 deben haber adoptado las medidas necesarias para cumplir en esta fecha (artículo 111, apartado 3).
2 de diciembre de 2027
Obligaciones de alto riesgo: sistemas del anexo III
El capítulo III, secciones 1 a 3 (artículos 6 a 27, salvo el artículo 6, apartado 5) se aplica a los sistemas clasificados según el artículo 6, apartado 2, y el anexo III (artículo 113, letra c). Los sistemas ya introducidos en el mercado o puestos en servicio solo quedan cubiertos tras cambios significativos de diseño; en cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2). Los componentes de los sistemas informáticos de gran magnitud del anexo X introducidos en el mercado antes del 2 de agosto de 2027 deben cumplir antes del 31 de diciembre de 2030 (artículo 111, apartado 1).
2 de agosto de 2028
Obligaciones de alto riesgo: sistemas del anexo I
Los mismos artículos se aplican a los sistemas clasificados según el artículo 6, apartado 1, y el anexo I (artículo 113, letra c). Para los productos regulados por la legislación de la sección B del anexo I solo se aplican el artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112 (artículo 2, apartado 2).
Paso 1 — Determine su función
Sus obligaciones dependen de su función según el artículo 3. Una organización puede tener varias funciones.
El Reglamento no se aplica a los sistemas utilizados exclusivamente con fines militares, de defensa o de seguridad nacional (artículo 2, apartado 3), a los sistemas desarrollados y puestos en servicio específicamente con el único fin de la investigación y el desarrollo científicos (artículo 2, apartado 6), a la investigación, las pruebas y el desarrollo previos a la introducción en el mercado o la puesta en servicio, aunque las pruebas en condiciones reales sí están cubiertas (artículo 2, apartado 8), ni a los responsables del despliegue que sean personas físicas con un uso puramente personal no profesional (artículo 2, apartado 10). Los sistemas de IA de código abierto y libres solo quedan cubiertos si son de alto riesgo o entran en el artículo 5 o 50 (artículo 2, apartado 12).
Proveedor
Art. 3(3)
Usted desarrolla un sistema de IA o un modelo de IA de uso general, o lo hace desarrollar, y lo introduce en el mercado o pone en servicio el sistema de IA con su propio nombre o marca, de pago o gratuitamente.
Sistemas de alto riesgo: se aplica el artículo 16
Responsable del despliegue
Art. 3(4)
Usted utiliza un sistema de IA bajo su autoridad, como persona física o jurídica, autoridad pública u otro organismo. Se excluye el uso puramente personal no profesional.
Sistemas de alto riesgo: se aplica el artículo 26; el artículo 50, apartados 3 y 4, afecta a algunos sistemas
Proveedor de un modelo de IA de uso general
Art. 3(63)
Usted introduce en el mercado de la UE un modelo con una generalidad significativa, capaz de realizar de manera competente una amplia gama de tareas distintas (artículo 3, punto 63).
Se aplican los artículos 53 y 54; el artículo 55 añade obligaciones para los modelos con riesgo sistémico
Importador / Distribuidor
Art. 3(6)/(7)
Un importador introduce en el mercado de la UE un sistema de IA que lleva el nombre o la marca de una persona establecida fuera de la UE. Un distribuidor comercializa un sistema en el mercado de la UE sin ser su proveedor ni importador.
Sistemas de alto riesgo: se aplican los artículos 23 y 24
Paso 2 — Compruebe las prácticas prohibidas (artículo 5)
Las prohibiciones se aplican desde el 2 de febrero de 2025; las multas correspondientes pueden imponerse desde el 2 de agosto de 2025: hasta 35 millones EUR o, para una empresa, el 7 % del volumen de negocios anual mundial, si esta cifra es superior (artículo 99, apartado 3). Para las pymes el límite es el importe inferior de los dos (artículo 99, apartado 6).
Compruebe que ninguna de estas prácticas forma parte de un sistema que usted introduce en el mercado, pone en servicio o utiliza. Varios puntos tienen excepciones o condiciones, indicadas en el propio punto. Las letras ba) y bb) y los apartados 1 bis y 1 ter se aplican desde el 2 de diciembre de 2026.
Paso 3 — Compruebe si su sistema de IA es de alto riesgo
Un sistema es de alto riesgo en dos casos: entra en un ámbito del anexo III (artículo 6, apartado 2) o es un componente de seguridad de un producto, o él mismo un producto, regulado por un acto del anexo I, sección A, que exige evaluación de la conformidad por un tercero (artículo 6, apartado 1). Son un ejemplo los productos sanitarios. Para los productos regulados por la legislación del anexo I, sección B, como los vehículos de motor, la aviación civil y las máquinas, solo se aplican el artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112 (artículo 2, apartado 2).
Anexo III, punto 1 — Biometría
Identificación biométrica remota (no la mera verificación), categorización biométrica por atributos sensibles, reconocimiento de emociones
Anexo III, punto 2 — Infraestructuras críticas
Componentes de seguridad en infraestructuras digitales críticas, tráfico rodado y suministro de agua, gas, calefacción o electricidad
Anexo III, punto 3 — Educación y formación profesional
Acceso y admisión, evaluación de resultados de aprendizaje, valoración del nivel educativo, detección de comportamientos prohibidos en exámenes
Anexo III, punto 4 — Empleo y gestión de trabajadores
Contratación y selección, decisiones sobre condiciones laborales, ascensos y despidos, asignación de tareas, supervisión y evaluación del rendimiento
Anexo III, punto 5 — Servicios privados y públicos esenciales
Derecho a prestaciones públicas, puntuación crediticia (no detección de fraude), evaluación de riesgos y fijación de precios en seguros de vida y salud, llamadas de emergencia y su despacho
Anexo III, punto 6 — Garantía del cumplimiento del Derecho
Riesgo de ser víctima de delitos, polígrafos, fiabilidad de las pruebas, riesgo de delinquir o reincidir, elaboración de perfiles en investigaciones penales
Anexo III, punto 7 — Migración, asilo y gestión de fronteras
Polígrafos, evaluación de riesgos de personas que entran, examen de solicitudes de asilo, visado y residencia, detección o identificación de personas (no la verificación de documentos de viaje)
Anexo III, punto 8 — Administración de justicia y procesos democráticos
Sistemas que ayudan a las autoridades judiciales a investigar y aplicar hechos y Derecho, y sistemas que influyen en el resultado de una elección o referéndum o en el comportamiento de voto
Excepción a la clasificación de alto riesgo (artículo 6, apartado 3)
Un sistema de un ámbito del anexo III no es de alto riesgo si no plantea un riesgo significativo para la salud, la seguridad o los derechos fundamentales y cumple una de cuatro condiciones: tarea procedimental limitada, mejora del resultado de una actividad humana ya realizada, detección de patrones de decisión sin sustituir la evaluación humana, o tarea preparatoria. Un sistema que elabora perfiles de personas físicas es siempre de alto riesgo. El proveedor debe documentar la evaluación antes de introducir el sistema en el mercado (artículo 6, apartado 4) y registrarlo (artículo 49, apartado 2).
Paso 4 — Requisitos y obligaciones del proveedor de sistemas de alto riesgo (artículos 9 a 17)
Se aplica desde el 2 de diciembre de 2027 (sistemas del anexo III) o desde el 2 de agosto de 2028 (sistemas del anexo I). Multas por incumplir las obligaciones del proveedor: hasta 15 millones EUR o, para una empresa, el 3 % del volumen de negocios anual mundial, si esta cifra es superior; para las pymes el límite es el importe inferior (artículo 99, apartados 4 y 6). En algunos productos del anexo I, los actos delegados previstos antes del 2 de agosto de 2027 pueden limitar partes de estas obligaciones (artículo 2, apartado 13).
Artículo 9 — Sistema de gestión de riesgos
Un proceso continuo e iterativo durante todo el ciclo de vida, con revisión periódica (artículo 9, apartado 2).
Artículo 10 — Gobernanza y gestión de datos
Se aplica a los conjuntos de datos de entrenamiento, validación y prueba; en sistemas sin entrenamiento de modelos, solo a los de prueba (artículo 10, apartado 6).
Artículo 11 — Documentación técnica (anexo IV)
Se elabora antes de introducir el sistema en el mercado o ponerlo en servicio y se mantiene actualizada; se conserva a disposición de las autoridades durante 10 años (artículo 18).
Artículo 12 — Mantenimiento de registros y registro de eventos
El sistema debe permitir técnicamente el registro automático de eventos durante su vida útil (artículo 12, apartado 1); los proveedores conservan los registros bajo su control durante un período adecuado a la finalidad prevista, de al menos seis meses (artículo 19, apartado 1).
Artículo 13 — Transparencia y suministro de información
Cada sistema de IA de alto riesgo se acompaña de instrucciones de uso para los responsables del despliegue (artículo 13, apartado 2).
Artículo 14 — Supervisión humana
Las personas físicas deben poder supervisar eficazmente el sistema mientras se utiliza. El Reglamento no exige la aprobación humana de cada decisión; las medidas deben ser acordes con los riesgos, la autonomía y el contexto (artículo 14, apartado 3). Las capacidades del artículo 14, apartado 4, se aplican según proceda y de forma proporcionada. La identificación biométrica remota (anexo III, punto 1, letra a) exige verificación separada por dos personas, con excepciones (artículo 14, apartado 5).
Artículo 15 — Exactitud, robustez y ciberseguridad
Los sistemas de alto riesgo deben alcanzar un nivel adecuado de precisión, solidez y ciberseguridad y mantenerlo durante todo su ciclo de vida (artículo 15, apartado 1).
Artículo 17 — Sistema de gestión de la calidad
El sistema de gestión de la calidad se documenta en políticas, procedimientos e instrucciones y abarca al menos 13 aspectos (artículo 17, apartado 1). Su aplicación es proporcionada al tamaño del proveedor (artículo 17, apartado 2).
Artículos 16, 20 y 21 — Otras obligaciones del proveedor
Paso 5 — Evaluación de la conformidad y registro (artículos 43 y 49)
Ambos son necesarios antes de introducir el sistema en el mercado o ponerlo en servicio.
Artículo 43 — Evaluación de la conformidad
Artículo 49 — Registro en la base de datos de la UE
Paso 6 — Obligaciones del responsable del despliegue de sistemas de IA de alto riesgo (artículos 26 y 27)
Se aplica a los responsables del despliegue de sistemas de IA de alto riesgo: empresas, personas físicas, autoridades públicas y otros organismos que los utilizan bajo su autoridad. Se aplica desde el 2 de diciembre de 2027 (sistemas del anexo III) o desde el 2 de agosto de 2028 (sistemas del anexo I). Multas por incumplir el artículo 26: hasta 15 millones EUR o, para una empresa, el 3 % del volumen de negocios anual mundial, si esta cifra es superior; para las pymes el límite es el importe inferior (artículo 99, apartados 4 y 6). El artículo 27 no figura en el artículo 99, apartado 4.
Paso 7 — Obligaciones de los modelos de IA de uso general (artículos 53 a 55)
Se aplica a los proveedores de modelos de IA de uso general. Las obligaciones se aplican desde el 2 de agosto de 2025; para los modelos introducidos en el mercado antes de esa fecha, antes del 2 de agosto de 2027 (artículo 111, apartado 3). La Comisión puede multar a los proveedores desde el 2 de agosto de 2026: hasta el 3 % del volumen de negocios anual mundial o 15 millones EUR, si esta cifra es superior (artículo 101). Los modelos publicados con una licencia libre y de código abierto que permita el acceso, el uso, la modificación y la distribución, con parámetros, información sobre la arquitectura e información sobre el uso accesibles al público, están exentos del artículo 53, apartado 1, letras a) y b), salvo que presenten riesgo sistémico (artículo 53, apartado 2).
Todos los proveedores de modelos de IA de uso general (artículos 53 y 54)
Modelos con riesgo sistémico (artículos 51, 52 y 55)
Un modelo se clasifica como de riesgo sistémico si tiene capacidades de alto impacto, evaluadas con herramientas técnicas y parámetros de referencia, o si la Comisión así lo decide (artículo 51, apartado 1). Se presumen capacidades de alto impacto cuando el entrenamiento usó más de 1025 operaciones de coma flotante (artículo 51, apartado 2). Los proveedores lo notifican a la Comisión sin demora y en el plazo de dos semanas desde que se cumple la condición, y pueden presentar argumentos de que el modelo no presenta riesgos sistémicos (artículo 52, apartados 1 y 2).
Paso 8 — Obligaciones de transparencia (artículo 50)
Se aplica desde el 2 de agosto de 2026 a los proveedores y responsables del despliegue de los sistemas indicados abajo, también si son de alto riesgo (artículo 50, apartado 6). Los proveedores de sistemas generativos comercializados antes de esa fecha deben cumplir el artículo 50, apartado 2, antes del 2 de diciembre de 2026 (artículo 111, apartado 4). Los sistemas autorizados por ley para detectar, prevenir, investigar o enjuiciar delitos están exentos de varias obligaciones, según se indica. Multas: hasta 15 millones EUR o, para una empresa, el 3 % del volumen de negocios anual mundial, si esta cifra es superior (artículo 99, apartado 4).
Proveedores (artículo 50, apartados 1 y 2)
Responsables del despliegue (artículo 50, apartados 3 y 4)
Paso 9 — Seguimiento poscomercialización e informe de incidentes graves (artículos 72 y 73)
Los proveedores notifican un incidente grave inmediatamente tras establecer un nexo causal entre el sistema y el incidente, o su probabilidad razonable, y a más tardar 15 días después de que el proveedor o el responsable del despliegue tenga conocimiento; en 2 días si hay una infracción generalizada o una perturbación de infraestructuras críticas, y en 10 días tras una muerte (artículo 73, apartados 2 a 4).
Paso 10 — Obligaciones del representante autorizado de sistemas de alto riesgo (artículo 22)
Los proveedores establecidos en terceros países designan, mediante mandato escrito, a un representante autorizado en la Unión antes de comercializar un sistema de alto riesgo en el mercado de la Unión (artículo 22, apartado 1). El mandato abarca estas tareas (artículo 22, apartado 3).
Paso 11 — Obligaciones de importadores y distribuidores de sistemas de alto riesgo (artículos 23 y 24)
Los importadores comprueban el sistema antes de introducirlo en el mercado; los distribuidores, antes de comercializarlo.
Importadores (artículo 23)
Distribuidores (artículo 24)
Paso 12 — Alfabetización en IA de proveedores y responsables del despliegue (artículo 4)
Se aplica a todo proveedor y responsable del despliegue de sistemas de IA, sea cual sea la clase de riesgo, desde el 2 de febrero de 2025. El Reglamento no exige un nivel concreto de alfabetización en IA a ninguna persona (artículo 4, apartado 1).
Multas: tres niveles en el artículo 99 y uno para los modelos de IA de uso general en el artículo 101
Categoría de infracción
Multa máxima (la cifra superior)
Prácticas prohibidas (artículo 5)
Hasta 35 millones EUR o, para una empresa, el 7 % del volumen de negocios anual mundial, si esta cifra es superior (artículo 99, apartado 3)
Obligaciones de proveedores (artículo 16), representantes autorizados (22), importadores (23), distribuidores (24), proveedores y operadores conforme al artículo 25, apartados 2 y 4, responsables del despliegue (26), organismos notificados y obligaciones de transparencia (50)
Hasta 15 millones EUR o, para una empresa, el 3 % del volumen de negocios anual mundial, si esta cifra es superior (artículo 99, apartado 4)
Información incorrecta, incompleta o engañosa a organismos notificados o autoridades nacionales en respuesta a una solicitud (artículo 99, apartado 5)
Hasta 7,5 millones EUR o, para una empresa, el 1 % del volumen de negocios anual mundial, si esta cifra es superior (artículo 99, apartado 5)
Proveedores de modelos de IA de uso general, multados por la Comisión (artículo 101)
Hasta 15 millones EUR o el 3 % del volumen de negocios anual total mundial, si esta cifra es superior (artículo 101)
Para las pymes, incluidas las empresas emergentes, cada multa del artículo 99 tiene como límite el importe inferior de los dos (artículo 99, apartado 6); para las pequeñas empresas de capitalización media lo mismo vale para las multas del artículo 99, apartados 4 y 5 (artículo 99, apartado 6 bis). Los Estados miembros fijan las normas sobre sanciones y las autoridades que las imponen (artículo 99, apartado 1); la Oficina de IA puede multar infracciones de su competencia (artículo 75 quater).
Imprimir o guardar como PDF
Usa el cuadro de diálogo de impresión de tu navegador para guardar la lista completa como PDF.
Tip: choose "Save as PDF" as the destination in the print dialog.
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.