Auditoría de cumplimiento del AI Act para empresas

Incluye el trabajo técnico y documental: inventario de los sistemas de IA que usa la empresa (propios y de terceros), clasificación de cada uno por nivel de riesgo según el reglamento, análisis de brecha entre la documentación que tenéis y la que os pediría una autoridad, registro interno de sistemas, política de uso de IA, plan de remediación priorizado y una sesión de alfabetización en IA para el equipo. NO incluye asesoramiento jurídico: no emitimos dictámenes legales ni certificamos cumplimiento. La validación jurídica de las conclusiones corresponde a un abogado o a vuestra asesoría legal, y trabajamos con ella de buen grado si la tenéis.

Parte de 3.500 € para una empresa con pocos sistemas de IA en uso (típicamente herramientas SaaS con IA embebida y algún asistente generativo) y sube hasta el rango de 8.000 € – 12.000 € cuando hay modelos propios en producción, casos de uso del Anexo III o varias unidades de negocio implicadas. Son rangos orientativos: la propuesta con precio cerrado se emite tras una sesión de diagnóstico gratuita de 20 minutos en la que acotamos el alcance real.

Entre 2 y 4 semanas de calendario según el número de sistemas. Por vuestra parte hacen falta entrevistas cortas con los responsables de las áreas que usan IA (normalmente marketing, RRHH, atención al cliente, operaciones e IT), acceso a la documentación de los proveedores de vuestras herramientas y una persona que centralice las respuestas. No hace falta que tengáis un equipo de datos ni un responsable de compliance dedicado.

Sí, y es el caso más frecuente. La mayoría de las empresas españolas no desarrollan IA: la usan a través de herramientas de terceros, muchas veces sin que exista una decisión formal al respecto. Esa "IA en la sombra" (asistentes generativos, funciones de IA embebidas en el CRM o el ERP, transcriptores de reuniones, filtros de currículums) es precisamente lo que hay que inventariar primero, porque determina qué obligaciones os aplican como usuarios de sistemas de IA y qué documentación deberíais estar exigiendo a vuestros proveedores.

La auditoría de gobierno del dato mira los datos: qué activos existen, quién los posee, qué calidad tienen y cómo se gobiernan. Esta mira los sistemas de IA: cuáles hay, qué riesgo tienen, qué documentación exige el reglamento para cada uno y qué falta. Se solapan en la parte de calidad y trazabilidad de los datos de entrenamiento, así que si vais a hacer las dos, lo lógico es empezar por la de IA cuando la urgencia es regulatoria, o por la de datos cuando el problema de fondo es que nadie se fía de las cifras.

A día de hoy el 2 de agosto de 2026 sigue siendo la fecha de aplicación general del reglamento, incluidas las obligaciones de los sistemas de alto riesgo del Anexo III y los deberes de transparencia del artículo 50. La Comisión Europea ha propuesto en el paquete "Digital Omnibus" aplazar parte de esas obligaciones, pero es una propuesta que a fecha de esta revisión no se ha adoptado formalmente, así que no se puede planificar sobre ella. Nuestra recomendación práctica es la misma en los dos escenarios: el inventario y la clasificación de riesgo son trabajo que hay que hacer igual y que no caduca si la fecha se mueve.

No, y desconfía de quien lo prometa. Lo que entregamos es el trabajo técnico y documental que reduce la exposición: saber qué sistemas tenéis, con qué clasificación, con qué documentación y con qué brechas pendientes, más un plan para cerrarlas. La valoración jurídica final y la representación ante una autoridad de supervisión son competencia de un profesional del derecho.