Checklist AI Act: cumplimiento para empresas

Cumplir el AI Act no es tener un expediente legal de 200 páginas. Es poder enseñar, en 30 minutos, que se ha hecho el trabajo básico de gobernanza sobre los sistemas de IA que la empresa usa. Esta guía es operativa: qué evidencias deben existir, en qué formato, actualizadas con qué frecuencia.

1. Inventario de sistemas de IA

Lo primero es saber qué estás usando. Un inventario es una hoja (puede ser Excel, Notion o Airtable) con una fila por sistema de IA que la empresa utiliza o despliega. Campos mínimos:

• Nombre del sistema.
• Proveedor (Microsoft, OpenAI, Anthropic, Google, Azure, AWS, proveedor externo…).
• Finalidad: para qué se usa.
• Usuarios internos: qué área / rol lo usa.
• Datos que consume: qué se le envía al modelo.
• Proceso que afecta: decisiones o outputs que produce.
• Fecha de alta y fecha del último review.

Frecuencia de actualización: cada vez que se contrata un sistema nuevo o se deja de usar uno existente. Review formal anual.

2. Clasificación de riesgo por sistema

Para cada sistema del inventario hay que asignar nivel de riesgo según el Reglamento:

• Prohibido (art. 5): manipulación subliminal, social scoring, vigilancia biométrica en tiempo real en espacios públicos, categorización por datos sensibles.
• Alto riesgo (Anexo III): RRHH (filtrado de CVs, evaluación), scoring crediticio, admisión educativa, dispositivos médicos, gestión de migraciones, aplicación de la ley.
• Riesgo limitado (obligaciones de transparencia): chatbots, generación de contenido sintético.
• Riesgo mínimo: el resto, incluidos copilots internos, asistentes de escritura, recomendadores simples.

Cada clasificación debe ir con justificación escrita (una o dos frases). Si el regulador pregunta, necesitas enseñar por qué has clasificado un copilot como riesgo mínimo y no como limitado o alto.

3. Alfabetización en IA (AI Literacy)

Artículo 4 del reglamento, aplicable desde el 2 de febrero de 2025. Obligación de que el personal que usa IA tenga formación adecuada. Mínimo anual:

• Material formativo entregado (PDF, vídeo, curso online).
• Lista de asistentes con fecha y firma o confirmación.
• Contenido cubierto: cómo funciona, limitaciones, supervisión humana, tratamiento de datos, qué subir y qué no.
• Responsable interno del programa de formación.

4. Supervisión humana documentada

Para cualquier sistema de alto riesgo es obligatoria supervisión humana (art. 14). Pero también es buena práctica en sistemas de riesgo limitado y mínimo si afectan decisiones. Qué debe quedar escrito:

1. 1Qué outputs del sistema revisa una persona antes de actuar.
2. 2Qué decisiones nunca quedan totalmente automatizadas.
3. 3Cómo se escalada una incidencia detectada por el supervisor humano.
4. 4Quién es el responsable (rol, no nombre concreto) de esa supervisión.

5. Documentación técnica del proveedor

Para sistemas de alto riesgo, el proveedor debe entregar la documentación del Anexo IV: descripción técnica, datos de entrenamiento, métricas de rendimiento, evaluación de conformidad, marcado CE. Si consumes un SaaS que entra en alto riesgo, esa documentación forma parte de tu archivo de cumplimiento. Sin ella, no puedes demostrar conformidad como deployer.

6. Registro de incidencias graves

Un incidente grave (art. 3, punto 49 del reglamento) en un sistema de alto riesgo debe notificarse a la autoridad nacional en ≤15 días. Para poder hacerlo, hace falta un registro interno donde anotar:

• Fecha y descripción del incidente.
• Sistema afectado.
• Impacto estimado (personas afectadas, gravedad).
• Acciones de contención tomadas.
• Comunicación enviada a la autoridad (cuándo y qué).

7. Política interna de uso de IA generativa

Documento corto (2-4 páginas) firmado o aceptado digitalmente por todo el personal. Debe cubrir:

• Qué herramientas de IA generativa están autorizadas (ChatGPT Enterprise, Copilot, Claude Teams, etc.).
• Qué tipo de información NO se puede subir (datos personales identificables, información comercialmente sensible, código propietario crítico).
• Cómo se marca el contenido generado por IA cuando se entrega a clientes.
• Qué hacer ante una alucinación o error del sistema.

8. Contratos con proveedores de IA actualizados

Un contrato de SaaS genérico firmado antes de 2024 probablemente no cubre los requisitos AI Act. Cláusulas a añadir o revisar:

1. 1Nivel de riesgo declarado del sistema y compromiso de notificar cambios.
2. 2Prohibición expresa de usar datos del cliente para entrenar modelos generales.
3. 3Procedimiento conjunto ante incidencias graves.
4. 4Entrega de documentación técnica (Anexo IV) si el sistema es alto riesgo.
5. 5Marcado CE donde aplique y cumplimiento con las normas armonizadas.

Calendario de implementación recomendado

Preguntas frecuentes

¿Este checklist vale para una pyme de 50 empleados?

Sí. De hecho está pensado para empresas con recursos limitados. No hace falta software especializado ni consultores externos obligatorios: se puede mantener en un espacio de Notion, SharePoint o Confluence. Lo que importa es que las evidencias existan, estén fechadas y se revisen anualmente.

¿Cuánto tiempo lleva tener todo esto listo?

Una pyme que parte de cero puede tenerlo operativo en 4-6 semanas de trabajo con un responsable interno part-time. El bloque más largo suele ser la renegociación de contratos con proveedores, porque depende de terceros.