Compliance as Code para sistemas de IA

Cómo se aplica compliance as code a los artículos 9 a 15: qué puede comprobar una regla, qué sigue en manos de una persona y qué cubren y qué no cubren los análisis basados en reglas de Scanara.

Actualizado 22 de octubre de 2026

Compliance as code significa escribir partes de los requisitos legales como reglas que se ejecutan con su código. Para los proveedores de sistemas de IA de alto riesgo, algunos requisitos de los artículos 9 a 15 pueden comprobarse así. La mayoría exige juicio humano.

Los deberes se aplican desde el 2 de diciembre de 2027 (anexo III) y desde el 2 de agosto de 2028 (anexo I). El artículo 2 enumera exclusiones. Las multas pueden alcanzar 15 millones de EUR o el 3 % del volumen de negocios anual mundial, si esta cuantía es superior (artículo 99(4)). Siguiente paso: elija un artículo y anote qué requisitos suyos puede comprobar una regla.

Una regla puede comprobar si algo existe; una persona debe juzgar si es adecuado

Los requisitos del Reglamento hablan de lo que es adecuado a la finalidad prevista. Las reglas convierten la parte comprobable en pruebas y dejan el resto a las personas.

Qué puede comprobar una regla

Si existe código de registro alrededor de las llamadas al modelo (artículo 12).
Si los documentos exigidos existen y contienen las secciones esperadas (artículos 11, 13, 17 y 47).
Si hay una clase de riesgo registrada para cada sistema.
Quién cambió una regla o un documento y cuándo (historial de git).

Qué requiere una persona

Si el análisis de riesgos es adecuado y el riesgo residual aceptable (artículo 9(5)).
Si el sistema es de alto riesgo, lo que depende de su finalidad prevista (artículo 6).
Si la supervisión humana funciona en la práctica y tiene personal asignado (artículos 14 y 26(2)).
Si los documentos son veraces y completos. Un análisis comprueba que hay contenido.

Tres bloques: reglas de código, políticas de documentos, documentación versionada

Reglas de código

Reglas de análisis estático (Semgrep) detectan patrones estándar de marcos de ML en su código fuente.

Detección de patrones: Las reglas señalan operaciones de IA sin registro, validación o puntos de intervención humana reconocibles.
Asignación a artículos: Cada regla corresponde a un artículo del Reglamento.
Límites: La fiabilidad de la detección varía según el nivel del lenguaje de programación, y los niveles experimentales tienen más falsos positivos y falsos negativos. Las envolturas propias y el código ofuscado pueden pasar inadvertidos.

Políticas de documentos

Las políticas de Open Policy Agent (OPA) comprueban el contenido exigido en los documentos de cumplimiento en ocho idiomas: EN, DE, FR, IT, ES, NL, PL y PT.

Secciones de la documentación técnica: Las políticas comprueban que la documentación técnica contiene las ocho secciones que exigen las reglas de Scanara, basadas en el anexo IV. Comprueban que hay contenido, no que sea bueno.
Documentos de GPAI: Un análisis de documentos cubre la documentación de los proveedores de modelos de IA de uso general (artículo 53). La generación de dossiers redacta borradores de los documentos de los anexos XI y XII.

Documentación versionada

La documentación de su repositorio se versiona junto con su código.

Documentación como código: Las evaluaciones de riesgos y las descripciones del sistema se guardan como archivos estructurados. Su historial de git muestra quién cambió qué y cuándo. El artículo 11 exige mantener actualizada la documentación técnica.
Borradores generados: Scanara redacta documentos alineados con el anexo IV a partir de sus datos y respuestas de evaluación. El rellenado automático es parcial, y los datos erróneos producen documentos bien formateados pero erróneos.

Del artículo a la comprobación: qué cubre una regla y qué sigue en sus manos

Cinco artículos muestran cómo un requisito se divide en una comprobación basada en reglas y una tarea humana. La cobertura difiere por artículo: unos tienen reglas de código, otros análisis de documentos y otros una evaluación guiada.

Artículo 9: gestión de riesgos

Requisito: Establecer, implantar, documentar y mantener un sistema de gestión de riesgos durante el ciclo de vida (artículo 9(1) y (2)).
Comprobación en Scanara: Regla de código: señala puntos de decisión de IA sin código reconocible de evaluación de riesgos o de validación. Una evaluación guiada registra su análisis de riesgos como prueba.
Sigue en sus manos: Identificar y valorar los riesgos y decidir que el riesgo residual es aceptable (artículo 9(5)).

Artículo 11: documentación técnica

Requisito: Elaborar la documentación técnica antes de la comercialización o puesta en servicio y mantenerla actualizada, con al menos los elementos del anexo IV.
Comprobación en Scanara: Análisis de documentos: comprueba que están las ocho secciones obligatorias que las reglas de Scanara definen para la documentación técnica, basadas en el anexo IV. La generación de dossiers redacta la documentación del anexo IV a partir de sus datos.
Sigue en sus manos: Escribir contenido exacto y mantenerlo actualizado. Un análisis comprueba la presencia, no la veracidad.

Artículo 12: registro

Requisito: Permitir el registro automático de acontecimientos (archivos de registro) durante el ciclo de vida del sistema.
Comprobación en Scanara: Regla de código: señala operaciones de IA sin registro reconocible.
Sigue en sus manos: Elegir los acontecimientos que registrar para los tres fines del artículo 12(2) y conservar los archivos.

Artículo 13: transparencia

Requisito: Diseñar el sistema para que los responsables del despliegue interpreten su salida y la usen adecuadamente, y facilitar instrucciones de uso.
Comprobación en Scanara: Análisis de documentos: comprueba que existen instrucciones de uso y que contienen las secciones exigidas.
Sigue en sus manos: Hacer las instrucciones exactas y comprensibles para los responsables del despliegue.

Artículo 14: supervisión humana

Requisito: Diseñar el sistema para que personas físicas puedan supervisarlo eficazmente. Según proceda y de forma proporcionada, deben poder intervenir en el sistema o interrumpirlo, por ejemplo mediante un botón de parada o un procedimiento similar (artículo 14(1) y (4), letra e)).
Comprobación en Scanara: Regla de código: señala rutas de decisión sin un punto de intervención humana reconocible.
Sigue en sus manos: Diseñar una supervisión que funcione en la práctica y asignar personas formadas (artículo 26(2)).

Lo que Scanara no hace

Scanara no observa sistemas en funcionamiento, no juzga la finalidad prevista ni el contexto empresarial, no da asesoramiento jurídico y no sustituye una evaluación de la conformidad por un organismo notificado cuando se exige. El mismo código puede ser de riesgo mínimo o alto, según su finalidad prevista. Un análisis superado no demuestra el cumplimiento.

Primeros pasos en cinco etapas

1
Clasifique su sistema de IA
Decida si su sistema es de alto riesgo (artículo 6, anexo III). El resultado depende de la finalidad prevista y es decisión suya.
2
Haga un primer análisis
Analice su código y sus documentos para obtener una base de hallazgos. Léalos como indicaciones, no como veredicto.
3
Incorpore el análisis a su pipeline
Empiece en modo solo informe y luego considere el modo bloqueante. La guía de CI/CD describe las fases.
4
Trate los hallazgos por prioridad
Haga que una persona revise primero los hallazgos que apunten al artículo 5 o al artículo 14.
5
Redacte la documentación
Genere borradores de los documentos de los anexos IV y V a partir de sus datos y después complételos y verifíquelos.

Exclusiones, sistemas anteriores y límites de las multas

El Reglamento no se aplica a los sistemas de IA usados exclusivamente con fines militares, de defensa o de seguridad nacional (artículo 2(3)). No se aplica a los sistemas de IA desarrollados y puestos en servicio específicamente y con el único fin de la investigación y el desarrollo científicos (artículo 2(6)), ni a la investigación, las pruebas o el desarrollo previos a la comercialización o puesta en servicio, salvo las pruebas en condiciones reales (artículo 2(8)). Quedan excluidos los sistemas con licencias libres y de código abierto, salvo que se comercialicen o pongan en servicio como sistemas de alto riesgo o entren en el artículo 5 o 50 (artículo 2(12)). Las personas físicas que usan un sistema en una actividad personal de carácter no profesional no están obligadas como responsables del despliegue (artículo 2(10)). Para los sistemas de alto riesgo ligados a productos de la legislación del anexo I, sección B, como vehículos de motor, aviación, ferrocarril, equipos marinos, vehículos agrícolas y maquinaria, solo se aplican el artículo 6(1), el artículo 60a y los artículos 102 a 112. Los artículos 57 a 59 se aplican solo en la medida en que esa legislación integre los requisitos (artículo 2(2)).

Los sistemas de alto riesgo comercializados o puestos en servicio antes de la fecha de aplicación solo quedan cubiertos tras cambios significativos de diseño. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111(2)).

Para las pymes, cada multa llega como máximo al porcentaje o la cuantía que sea inferior (artículo 99(6)). Para las pequeñas empresas de mediana capitalización (artículo 3, punto 14b), el mismo límite se aplica a las multas de los apartados 4 y 5 del artículo 99 (artículo 99(6a)). El nivel de 15 millones de EUR abarca también las obligaciones de proveedores y operadores del artículo 25, apartados 2 y 4 (artículo 99(4), letra da).

Siguiente lectura: fases del pipeline, pistas de auditoría y documentación técnica

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.

Ver cómo Scanara analiza sus repositorios