El cumplimiento ya no evita solo una multa: gana concursos.
Actualizado a agosto de 2026 · incluye el Reglamento (UE) 2026/1744
Convertimos el reglamento en algo operable: inventario, clasificación, controles y evidencias.
Para que una inspección no te pille por sorpresa y para que además puedas acreditarlo ante clientes, pliegos o licitaciones.
de los empleados dice que su organización tiene una política o guía de uso de IA generativa. El gap no es de intención: es de sistema.
KPMG y Universidad de Melbourne · 48.000 personas, 47 paísesobligaciones de transparencia del art. 50, en vigor desde el 2 de agosto de 2026. No estaban en el aplazamiento.
para el 2 de diciembre de 2027, fecha del Anexo III tras el Reglamento (UE) 2026/1744
El Anexo III de la Ley de Inteligencia Artificial de la UE (AI Act) es el listado oficial que define los sistemas de inteligencia artificial de alto riesgo basándose en su ámbito de aplicación y uso específico.
tarda una empresa mediana en adecuarse.
Fuentes: Reglamento (UE) 2024/1689 y Reglamento (UE) 2026/1744, DOUE de 24 de julio de 2026. El plazo de adecuación es una estimación de mercado, no un dato normativo.
El cumplimiento del AI Act —el Reglamento (UE) 2024/1689, modificado por el Reglamento (UE) 2026/1744— consiste en saber qué sistemas de IA usa una empresa, en qué categoría de riesgo caen, qué obligaciones les aplican y con qué evidencias se demuestra. Bluak lo implanta con una sola arquitectura de gobierno para los tres marcos que se solapan —AI Act, RGPD e ISO 42001— y entrega el sistema documental vivo con el que se responde a un cliente, a un pliego o a una inspección.
Las escuchamos en casi todas las primeras reuniones. Pincha en cada una para ver qué revela.
La ISO 42001 y las preguntas sobre gobierno de IA aparecen ya en pliegos públicos y contratos B2B corporativos. Quien no puede acreditarlo empieza a perder concursos mucho antes de que un regulador le mire.
La criba de currículums, la evaluación del desempeño y las decisiones de promoción caen en el Anexo III. Casi siempre llegan dentro de un módulo del ATS o de la suite de RRHH que nadie clasificó.
Las obligaciones de transparencia del art. 50 aplican desde el 2 de agosto de 2026 y no entraron en el aplazamiento. Solo hay gracia hasta el 2 de diciembre de 2026 para el marcado legible por máquina de sistemas ya comercializados.
El RGPD gobierna los datos personales; el AI Act gobierna el sistema, su clasificación de riesgo, la supervisión humana y la trazabilidad. Se solapan, pero ninguno cubre al otro. Lo eficiente es resolverlos con una sola arquitectura, no ignorar uno.
El Reglamento (UE) 2026/1744 movió el Anexo III a diciembre de 2027, pero no tocó las prohibiciones del art. 5, la alfabetización del art. 4, las obligaciones GPAI ni la transparencia del art. 50. Y adecuarse lleva 12–18 meses: esperar un año es llegar tarde.
El aplazamiento no es una exención.
Adecuarse lleva 12–18 meses. Y la cuenta atrás ya ha empezado.
hasta el 2 de diciembre de 2027. Ya estás dentro de la ventana de 12–18 meses de adecuación.
La norma ha cambiado dos veces en ocho meses. Cada fecha enlaza al DOUE.
Es la fecha desde la que se cuentan todos los plazos del AI Act. No impuso obligaciones inmediatas, pero fijó el reloj.
Nada exigible ese día. Sí conviene tener identificado desde cuándo cuenta cada plazo que te aplica.
Art. 5 y art. 4. Las prohibiciones se han ampliado además a imágenes íntimas no consentidas y CSAM. No dependen del tamaño de la empresa.
Política de usos vetados y formación acreditada de las personas que usan IA. Vía FUNDAE el coste puede ser cero.
Transparencia, documentación técnica y política de derechos de autor para proveedores de modelos fundacionales.
Si integras GPAI de terceros, exigir y archivar su documentación. Es una obligación en cadena.
Avisar de que se interactúa con una IA, marcar contenido sintético e informar en sistemas de reconocimiento de emociones o categorización biométrica.
Avisos en chatbots y asistentes, y marcado de contenido generado. Gracia hasta el 2 dic 2026 solo para el marcado legible por máquina de sistemas ya comercializados.
Termina la gracia para el marcado legible por máquina en sistemas ya comercializados. Entran también las nuevas prohibiciones del art. 5: imágenes íntimas no consentidas y material de abuso sexual infantil.
Marcado técnico implementado en todo lo que ya está en el mercado, y política de usos vetados actualizada.
Trasladados desde la fecha original por el Reglamento (UE) 2026/1744.
Si vas a desarrollar IA de alto riesgo, valorar la entrada en sandbox como vía de validación supervisada.
Empleo, educación, servicios esenciales, scoring crediticio, biometría, infraestructuras críticas. Es la fecha que la mayoría lee como «tengo tiempo».
Sistema de gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, supervisión humana y evaluación de conformidad. Adecuarse lleva 12–18 meses.
Sistemas de IA embebidos en productos que ya pasan por una evaluación de conformidad sectorial.
Alinear el expediente de IA con el marcado CE del producto. Afecta sobre todo a fabricantes.
Entró en el Congreso (BOCG) y sigue en tramitación. Define autoridades —AESIA, DG de IA, AEPD, Banco de España, CNMV, DGSFP, CGPJ—, un régimen sancionador de cuatro niveles y un inventario público estatal.
Identificar qué autoridad te supervisa según sector y preparar la ficha de sistemas para el inventario estatal.
El art. 50 aplica desde el 2 de agosto de 2026, con un periodo de gracia hasta el 2 de diciembre de 2026 solo para el marcado legible por máquina de sistemas ya comercializados. En España, el Proyecto de Ley de gobernanza de la IA entró en el Congreso el 12 de junio de 2026 y sigue en tramitación.
Marca los usos que existen en tu empresa. Cada uno cae en el Anexo III y suele llegar escondido dentro de un software que ya tenías.
Estos seis usos caen en el Anexo III del AI Act. Marca los que existan en tu empresa y te decimos qué obligaciones activan.
Casi nadie compra «un sistema de IA de alto riesgo». Lo que compra es un CRM, un ERP o una herramienta de RRHH que trae uno dentro.
Qué te aplica y por qué: entidades, geografías, tu rol —proveedor, responsable del despliegue, importador— y las obligaciones concretas. También qué autoridad te supervisa en España: AESIA, AEPD, Banco de España, CNMV o DGSFP.
El AI Act tiene alcance extraterritorial y no exime por tamaño. «Somos pequeños» no es una categoría del reglamento.
Cada sistema en su categoría —prohibido, alto riesgo, transparencia o riesgo mínimo— con el puente al RGPD y el gap frente a ISO 42001.
Aquí se decide el coste de todo el proyecto: una clasificación mal hecha se paga en obligaciones que no te tocaban.
Empieza por AIRGA →Medimos la distancia real frente a los tres marcos —gobernanza, supervisión humana, transparencia, robustez, DPIA y minimización— y la convertimos en un plan con responsables, coste y fechas.
12–18 meses tarda una empresa mediana en adecuarse. Contra diciembre de 2027, empezar hoy no es anticiparse.
Fichas por sistema, logs, controles, modelo de auditoría y ciclo de vida. Es el pilar que separa cumplir de poder demostrarlo, y el que casi nadie tiene resuelto.
La diferencia entre cumplir y poder demostrarlo un martes por la mañana con dos horas de aviso.
No hay caja negra: cada fase cierra con un hito que apruebas tú.
Es el sistema documental vivo con el que respondes a un cliente, a un pliego o a una inspección.
Un solo proyecto para tres marcos: AI Act, RGPD e ISO 42001.
Comparten inventario, controles y evidencias. Hacerlos por separado significa construir tres veces lo mismo y pagarlo tres veces.
Cada una con su fuente primaria enlazada. Ninguna procede de un blog.
Fuentes: DOUE, ONTSI/INE, KPMG y Universidad de Melbourne, FUNDAE.
Cuatro consecuencias en orden de probabilidad real, no de gravedad teórica. Las tres primeras ya están pasando.
Cuestionarios de cumplimiento y pliegos que no puedes contestar. Es la consecuencia más probable y la más silenciosa: nadie te dice que perdiste por eso.
Iniciativas de IA bloqueadas por legal cuando ya se ha invertido presupuesto y equipo.
Doce o dieciocho meses de adecuación comprimidos en tres, con el coste y el riesgo de ejecución que eso implica.
Hasta 35 M€ o el 7 % de la facturación mundial. Es el escenario que todos cuentan primero y el último que llega.
La primera obligación puede salirte a coste cero.
La alfabetización en IA del art. 4 es exigible desde febrero de 2025 y es la obligación más barata de cumplir. En muchos casos la formación es bonificable vía FUNDAE.
Sujeto al crédito de formación disponible de tu empresa. Consultar FUNDAE →
El gap analysis se contesta en semanas y te dice el coste real de tu adecuación. Sin él, cualquier presupuesto es una suposición.
Perímetro, inventario, clasificación normativa e informe GAP.
Hasta gobierno aprobado y evidencias operativas.
Procedimientos, formación, herramientas e integraciones.
Preauditoría, revisión por dirección y mejora continua.
El mercado ofrece dos cosas: auditorías legales con mucho papel y poco terreno, o plataformas GRC con mucho terreno y ninguna decisión. Nosotros trabajamos en el medio y hacia abajo.
El registro, el dossier técnico y los procedimientos son tuyos, en formato editable.
Tu equipo puede operarlo desde el día uno, sin depender de una llamada.
Si decides seguir solo, te llevas todo el sistema documental montado.
AI Act, RGPD e ISO 42001 con una única arquitectura de gobierno. No tres proyectos aislados que producen tres veces las mismas evidencias.
Construimos el dashboard, el registro y las integraciones que el modelo necesita. Un despacho te dice qué falta; nosotros lo dejamos funcionando.
La normativa ha cambiado dos veces en ocho meses. Nuestros clientes se enteran el mismo día, no en la siguiente auditoría.
Caso anonimizado pendiente de validar con cliente antes de publicar. Sustituir por testimonio con nombre en cuanto haya autorización.
Certificaciones del equipo: ISO 42001, ISO 27001, experiencia en auditoría
En una página de compliance las credenciales pesan más que un logo. Añade también enlace a Testimonios.
Si no tienes inventario, empieza por AIRGA. Si además eres entidad financiera o proveedor TIC de una, DORA Ready se solapa con esto y conviene hacerlo con una sola arquitectura de gobierno.
Es demostrar, con evidencias, que sabes qué sistemas de IA usa tu empresa, en qué categoría de riesgo caen y qué obligaciones les aplican. Implica cuatro cosas: un inventario clasificado, un modelo de gobierno con responsables, controles proporcionados al riesgo de cada sistema y un registro de evidencias que se pueda enseñar a un cliente, un pliego o un supervisor sin fabricarlo sobre la marcha.
Sí, y es lo más habitual. Casi nadie compra «un sistema de IA de alto riesgo»: compra un CRM, un ERP o una herramienta de RRHH que trae uno dentro. La criba de currículums, la evaluación del desempeño, el scoring crediticio, la evaluación educativa, el acceso a servicios esenciales y la gestión de infraestructuras críticas caen en el Anexo III del AI Act, y en la mayoría de las empresas llegaron dentro de una actualización de software que nadie clasificó.
Se aplazó una parte. El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, movió el Anexo III al 2 de diciembre de 2027 y el Anexo I al 2 de agosto de 2028. No tocó las prohibiciones del art. 5, la alfabetización en IA del art. 4, las obligaciones de los modelos de propósito general ni la transparencia del art. 50, que aplica desde el 2 de agosto de 2026. Y adecuarse lleva 12–18 meses en una empresa mediana: diciembre de 2027 se decide hoy.
Es el paquete que dio lugar al Reglamento (UE) 2026/1744, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. Reordena el calendario del AI Act —Anexo III a diciembre de 2027, Anexo I a agosto de 2028, sandboxes a agosto de 2027— y amplía las prácticas prohibidas del art. 5 a las imágenes íntimas no consentidas y al material de abuso sexual infantil. Ya no es una propuesta: es derecho vigente.
Probablemente sí, aunque con obligaciones más ligeras. Usar herramientas de terceros te sitúa como responsable del despliegue, y eso activa como mínimo la alfabetización en IA del art. 4 y la transparencia del art. 50 cuando hay interacción con personas o contenido generado. Y la pregunta importante es otra: qué hace tu equipo con esas herramientas, con qué datos y con qué política. Eso es lo que se acredita.
La responsabilidad viaja por la cadena. Si integras un sistema de IA de un tercero, necesitas su documentación técnica y sus declaraciones de conformidad, y sigues respondiendo del uso que haces de él. En la práctica esto se resuelve con cláusulas contractuales, un registro de proveedores y evidencias archivadas. Si operas en el sector financiero, esa cadena tiene además requisitos propios bajo DORA.
El AI Act marca las obligaciones legales, la ISO 42001 aporta el sistema de gestión que ordena cómo se cumplen esas obligaciones día a día, y el RGPD entra en juego siempre que la IA trata datos personales. Los tres marcos se solapan y conviene gestionarlos con una sola arquitectura de gobierno, no con tres proyectos aislados.
Sí, porque cubren cosas distintas y acumulativas. El RGPD gobierna los datos personales; el AI Act gobierna el sistema: su clasificación de riesgo, la gobernanza de datos de entrenamiento, la supervisión humana, la robustez y la trazabilidad. Tener el RGPD hecho acelera bastante el proyecto —la parte de tratamiento de datos ya está mapeada—, pero no cubre las obligaciones del reglamento de IA.
Es la obligación, vigente desde febrero de 2025, de garantizar que las personas que operan o usan IA en tu empresa tienen la formación suficiente para hacerlo con criterio. Se acredita con un plan formativo, contenidos adaptados a cada perfil y registro de asistencia y evaluación. Es la obligación más barata de cumplir —en muchos casos con coste cero vía FUNDAE— y una de las más olvidadas, así que suele ser la mejor puerta de entrada.
Depende del sector. El Proyecto de Ley de gobernanza de la IA, en tramitación en el Congreso desde el 12 de junio de 2026, reparte la vigilancia entre AESIA como autoridad general y los supervisores sectoriales: AEPD para tratamientos de datos y biometría, Banco de España, CNMV y DGSFP para el ámbito financiero y asegurador, y el CGPJ para el uso judicial. Prevé un régimen sancionador de cuatro niveles y un inventario público estatal.
PENDIENTE: rango de precio o «desde X €» por modalidad (Gap Analysis, AI Act Ready completo, Implantación, Conformidad continua) y horquilla de plazos. En una página de intención comercial-transaccional como esta, la ausencia total de precio frena más leads de los que filtra.
Solicita tu gap analysis AI Act. Te decimos qué te aplica, cuánto te falta y cuánto cuesta cerrarlo, por escrito.
