La lista de diligencia debida de IA: qué ejecutar antes de comprar o integrar IA de terceros

Guía23 de junio de 2026· 20 min de lectura

Lista de diligencia debida de IA para compradores: triar al proveedor, mapear el anexo III, exigir la documentación y cerrar la compra antes de firmar.

Una agencia de selección compra una herramienta SaaS que clasifica automáticamente los currículos de los candidatos. Sin diligencia debida, la agencia descubre, tras firmar, que ha asumido un sistema de IA de alto riesgo del anexo III, punto 4, sin pruebas de conformidad, sin supervisión humana integrada y con un contrato que no le traslada ninguna de las obligaciones del proveedor. El arreglo es barato antes de la firma y caro después. La diligencia debida de IA es el flujo de trabajo del lado del comprador que hace aflorar todo eso antes de que cambie el dinero de manos.

Esta página expone el manual de cuatro fases que un comprador debería ejecutar antes de adquirir o integrar cualquier sistema o función de IA de terceros conforme al Reglamento (UE) 2024/1689: triar la profundidad de la revisión, mapear quién soporta cada deber, exigir los documentos que prueban la conformidad y cerrar una decisión de continuar o no, defendible, en la puerta de adquisición. Es un marco de partida que adaptar a una compra concreta, no asesoramiento jurídico.

Qué es una lista de diligencia debida de IA (y entre qué se sitúa)

La diligencia debida de IA es el conjunto secuenciado de actividades del lado del comprador que convierten una intención de compra en una decisión defendible de continuar o no. No es la hoja de respuestas del proveedor. El proveedor rellena un cuestionario; tú ejecutas la diligencia sobre lo que devuelve. No son el mismo artefacto, y confundirlos es como los compradores acaban confiando en una atestación que ningún documento respalda.

La diligencia debida es el flujo previo a la compra del comprador, no la hoja de respuestas del proveedor

Piensa en tres instrumentos y un manual. El cuestionario al proveedor de IA que recoge las pruebas reúne las respuestas del proveedor. La matriz de puntuación que te ayuda a puntuar las respuestas del proveedor en una calificación de continuar o no las valora. El contrato fija la subsanación. La diligencia debida es el manual ordenado que secuencia los tres más los pasos que solo realiza el comprador: triaje, mapeo de exposición y firma de aprobación. Los envuelve; no los duplica.

Quién la ejecuta: adquisiciones, jurídico, seguridad y el responsable de gobernanza de IA

La diligencia es interfuncional. Adquisiciones es dueña de la puerta y del calendario. Jurídico es dueño del análisis de roles y de las líneas rojas del contrato. Seguridad es dueña de la verificación del registro y de los flujos de datos. El responsable de gobernanza de IA —quien custodia el inventario de IA— es dueño de la conclusión de clasificación y archiva la lista completada como registro. Uno de ellos tiene que ser dueño de la decisión de continuar o no, o nunca se toma.

«Proveedor comercial» no es una categoría jurídica

El Reglamento (UE) 2024/1689 vincula a proveedores (artículo 16), responsables del despliegue (artículo 26), importadores (artículo 23) y distribuidores (artículo 24). El término genérico «proveedor comercial» no aparece en ningún sitio como sujeto obligado. Ejecutar la diligencia es como un prospectivo responsable del despliegue cumple sus propias obligaciones del artículo 26 antes del despliegue: verificando que el proveedor hizo lo que la ley exige, en lugar de presumirlo.

Fase 1 — Triaje: decidir hasta qué punto debe llegar la diligencia

La mayoría de las compras necesitan poco. Unas pocas necesitan el expediente completo. El triaje decide cuál, y se basa en el uso previsto, no en la etiqueta de precio. Una herramienta de 200 €/mes que criba candidatos a empleo merece más diligencia que una plataforma de analítica de seis cifras que no toca ninguna decisión protegida.

¿Hay realmente IA en el producto, y es relevante?

Primera pregunta: ¿hay IA en el producto, y informa de forma relevante una decisión? Un corrector ortográfico es IA e irrelevante. Un modelo que clasifica solicitantes de préstamo es IA y decisivo. La profundidad del triaje sigue a la relevancia.

Cribado de riesgo de primer paso — el artículo 5 primero

Criba el artículo 5 antes que nada. Si el uso es una práctica prohibida —puntuación social, extracción no selectiva de imágenes faciales, reconocimiento de emociones en el trabajo o la educación, ciertas categorizaciones biométricas— la diligencia se detiene en un no-compra automático. Estas prohibiciones se aplican desde el 2 de febrero de 2025. Ningún expediente de conformidad rescata un uso prohibido.

Luego ejecuta un cribado de primer paso del anexo III sobre los ocho dominios de alto riesgo, juzgado por tu uso previsto, no por la etiqueta de marketing del proveedor. Un cribado alto del anexo III escala a diligencia completa; una herramienta claramente de riesgo mínimo recibe una revisión ligera y proporcionada.

Consigna cada herramienta triada, incluso las de bajo riesgo

Enlaza la decisión de profundidad con el inventario de IA para que cada herramienta triada quede consignada, incluso cuando se resuelva como de bajo riesgo. Un registro con lagunas es un registro en el que un inspector no confía. El motor determinista y basado en reglas de Confir produce la misma conclusión de triaje a partir de la misma entrada cada vez, de modo que la decisión de profundidad es reproducible y no cuestión de quién la ejecutó.

Fase 2 — Mapear roles y exposición: quién soporta cada deber, y el riesgo de vuelco del artículo 25

La pregunta clave que responde esta fase: ¿quién está jurídicamente en el anzuelo, y podría comprar esta herramienta convertirnos en silencio en el proveedor? El cuestionario y la matriz de puntuación tocan la asignación de roles solo de pasada. La diligencia tiene que resolverlo.

Confirma el reparto proveedor/responsable del despliegue

Las obligaciones del proveedor están en el artículo 16; las del responsable del despliegue, en el artículo 26. El proveedor que introduce el sistema en el mercado es normalmente el proveedor. Tú, que lo pones en uso bajo tu autoridad, eres normalmente el responsable del despliegue. Si no puedes decir con confianza qué rol ocupas, resuélvelo antes de puntuar nada: cada paso posterior depende de la respuesta.

El vuelco a proveedor del artículo 25 — la trampa que reclasifica al comprador

El artículo 25 es la trampa de la diligencia que atrapa a los compradores. Pasas a ser el proveedor —heredando toda la pila del artículo 16— si pones tu propio nombre o marca en un sistema de alto riesgo, realizas una modificación sustancial conforme al artículo 3, apartado 23, o cambias la finalidad prevista de modo que el sistema pase a ser de alto riesgo. La transferencia es total: evaluación de la conformidad, documentación del anexo IV, marcado CE, registro en la base de datos de la UE. Un vuelco no requiere reentrenamiento. Renombrar la herramienta como propia o extenderla a un nuevo caso de uso puede cruzar la línea por sí solo.

Proveedores no comunitarios y GPAI en la pila

Si el proveedor está establecido fuera de la UE, comprueba si hay un representante autorizado conforme al artículo 22: un proveedor no comunitario de un sistema de alto riesgo debe nombrar uno. Cuando la herramienta se construye sobre un modelo fundacional, identifica al proveedor del modelo GPAI aguas arriba y si aplica el riesgo sistémico (la presunción iuris tantum del artículo 51 se activa a los 10^25 FLOP de cómputo de entrenamiento). Las obligaciones del proveedor de GPAI conforme a los artículos 51 a 55 están en vigor desde el 2 de agosto de 2025. Si dudas de si la compra te hace responsable del despliegue o, en silencio, proveedor, averigua si eres el proveedor o el responsable del despliegue antes de puntuar, y encuentra la IA en la sombra que el personal adopta sin adquisiciones para que la diligencia cubra las herramientas ya presentes en la organización.

Fase 3 — La documentación que deberías exigir antes de firmar

Aquí es donde las atestaciones se topan con las pruebas. Pide el documento, no la afirmación. «Somos conformes» no pesa nada sin el expediente que lo respalda. Para un sistema de alto riesgo, el paquete de pruebas siguiente es lo que exiges y lo que prueba cada elemento.

Documento	Artículo	Qué evidencia	Qué aspecto tiene lo «bueno»
Instrucciones de uso	Artículo 13	El sistema puede desplegarse y supervisarse de forma conforme	Lo bastante detalladas para sustentar tu supervisión del artículo 14, no un folleto de marketing
Resumen de documentación técnica	Artículo 11 / anexo IV	Existe un expediente de conformidad	Resumen entregado a ti; expediente completo a disposición de las autoridades, no retenido por principio
Declaración UE de conformidad	Artículo 47	El proveedor ha declarado formalmente la conformidad	Una copia firmada y fechada que puedas leer
Marcado CE	Artículo 48	La conformidad está plasmada en el sistema	Presente y referenciado en la documentación
Identificador de registro en la base de datos de la UE	Artículos 49, 71	El sistema de alto riesgo está registrado	Un identificador de registro que puedas verificar, no «en curso»
Registro de evaluación de la conformidad	Artículo 43 / anexos VI, VII	La conformidad se evaluó realmente	Control interno (anexo VI) para la mayoría del anexo III; organismo notificado (anexo VII) generalmente para el anexo III, punto 1, biometría

Transparencia, registro y supervisión que puedas verificar

Confirma los deberes de divulgación del artículo 50 cuando la herramienta sea un chatbot, un sistema de reconocimiento de emociones o de categorización biométrica, o genere contenido sintético. Una nueva obligación de marcado de contenido y de marca de agua conforme al artículo 50 entra en vigor el 2 de diciembre de 2026. Verifica que el registro automático del artículo 12 existe y es accesible para ti, y que las medidas de supervisión humana del artículo 14 están genuinamente integradas en la arquitectura. Una supervisión «sobre el papel» que el sistema no puede sostener realmente es una bandera roja, no una casilla.

La parada en seco, y la diligencia proporcionada por debajo del alto riesgo

Si el proveedor no puede aportar documentación alguna del anexo IV ni evidenciar la conformidad de un sistema de alto riesgo, eso es un descarte, no un punto de seguimiento. Trata la negativa a compartir o incluso a resumir como un incumplimiento del deber de transparencia del artículo 13 del proveedor. Para las herramientas de riesgo mínimo y limitado, suele bastar un subconjunto proporcionado: instrucciones, condiciones de tratamiento de datos, postura de seguridad. La profundidad de la diligencia sigue al triaje de la fase 1.

Fase 4 — Puerta de adquisición y líneas rojas del contrato

La diligencia no vale nada hasta que se cierra en una decisión y la decisión aterriza en el contrato. Esta es la capa de acción de adquisición que el cuestionario y la matriz de puntuación no alcanzan.

Convierte las conclusiones en continuar / condicional / no continuar

Convierte el expediente en uno de tres resultados:

CONTINUAR: prosigue y archiva el registro de diligencia.
CONDICIONAL: prosigue solo con subsanación contractual de las lagunas nombradas.
NO CONTINUAR: lo dispara cualquier descarte definitivo: una prohibición del artículo 5, conformidad ausente para un sistema de alto riesgo, ninguna supervisión integrada o incidentes graves no notificados.

Líneas rojas del contrato que toda compra de IA debería llevar

Cuatro cláusulas se ganan su lugar en cualquier contrato de IA. Primera, el proveedor garantiza su condición de proveedor y sus obligaciones del artículo 16 para el sistema tal como se suministra. Segunda, el proveedor avisa por adelantado antes de cualquier cambio que pudiera disparar un vuelco del artículo 25 o una nueva evaluación de la conformidad conforme al artículo 43, apartado 4. Tercera, los plazos de notificación de incidentes del artículo 73 te llegan en cascada: los informes corren en un plazo de 15 días desde el conocimiento, 2 días en caso de infracción generalizada o perturbación de infraestructuras críticas, y 10 días cuando se ha producido un fallecimiento. Cuarta, mantienes derechos de auditoría sobre el resumen del anexo IV tras un cambio significativo.

Vincula la decisión a la exposición sancionadora para que tenga dientes

Los incumplimientos del responsable del despliegue y de la mayoría de obligaciones acarrean multas de hasta 15 000 000 € o el 3 % de la facturación anual mundial total, la cuantía que sea mayor (artículo 99, apartado 4). Los incumplimientos de prácticas prohibidas alcanzan los 35 000 000 € o el 7 % (artículo 99, apartado 3). Facilitar información incorrecta o engañosa a las autoridades llega a los 7 500 000 € o el 1 % (artículo 99, apartado 5). Para pymes y empresas emergentes, el artículo 99, apartado 6, limita la multa a la menor entre el importe fijo y el porcentaje. Programa una nueva diligencia en la renovación y ante cualquier cambio relevante. Archiva la lista completada como artefacto de la puerta de adquisición y siémbrala en el registro de IA. Los instrumentos sobre los que funciona esta puerta son el cuestionario al proveedor de IA que recoge las pruebas y el marco de evaluación de proveedores para el responsable del despliegue.

Ejemplo práctico: aplicar la lista a un proveedor de cribado de candidatos

Meridian Talent GmbH, una agencia de selección de 280 personas en Múnich, está comprando «ScreenFlow», una herramienta SaaS que clasifica automáticamente los currículos de los candidatos, a un proveedor estadounidense. Aquí está la lista aplicada de principio a fin.

Fase 1 — triaje. La clasificación automática de currículos influye en las preselecciones de contratación. Eso encaja de lleno en el uso de empleo del anexo III (punto 4) y, como la herramienta elabora perfiles de personas físicas, la excepción del artículo 6, apartado 3, no puede aplicar. Meridian escala a diligencia completa. Punto final.

Fase 2 — roles. El proveedor es el proveedor (artículo 16); Meridian es el responsable del despliegue (artículo 26). Como el proveedor es no comunitario, Meridian comprueba si hay un representante autorizado del artículo 22. Meridian confirma que no renombrará ni modificará ScreenFlow, así que no hay vuelco del artículo 25, pero añade igualmente una cláusula de aviso previo al cambio. Desplegar en el lugar de trabajo dispara el deber del artículo 26, apartado 7, de informar a los representantes de los trabajadores antes del uso.

Fase 3 — documentación. El proveedor aporta las instrucciones del artículo 13 y un resumen del anexo IV, pero no facilita un identificador de registro en la base de datos de la UE y la divulgación de pruebas de sesgo es escasa. Como las pruebas de conformidad sí existen, esto es un condicional, no un descarte.

Fase 4 — puerta. Resultado: CONDICIONAL. Antes de la firma, el contrato debe añadir el identificador de registro, métricas de rendimiento desagregadas, la cascada de incidentes del artículo 73 y el aviso previo al cambio. Meridian archiva la lista completada y siembra el registro en su inventario de IA. La advertencia sobre los plazos (más abajo) condicionó el calendario de Meridian, que fechó la diligencia conforme a las fechas ya adoptadas por el Ómnibus Digital.

Cuándo muerden las obligaciones: los plazos que condicionan el calendario de la diligencia

¿Para cuándo debe estar hecha esta diligencia, y en qué plazos puede confiar realmente un comprador? El calendario de la diligencia depende de la respuesta, y no todo está aplazado.

Qué está ya en vigor

Fijo y vivo: las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 desde el 2 de febrero de 2025; las obligaciones de GPAI (artículos 51 a 55) desde el 2 de agosto de 2025. Un nuevo plazo del 2 de diciembre de 2026 añade la prohibición de material de abuso sexual infantil y de «desnudadores», más la obligación de marcado de contenido y marca de agua del artículo 50.

Qué sigue en movimiento

Alto riesgo independiente del anexo III (artículo 6, apartado 2): el Ómnibus Digital aplaza la fecha del 2 de agosto de 2026 al 2 de diciembre de 2027. Alto riesgo integrado en productos del anexo I (artículo 6, apartado 1): el Ómnibus Digital aplaza la fecha del 2 de agosto de 2027 al 2 de agosto de 2028.

El calendario completo: el Ómnibus Digital ya está adoptado — el Parlamento Europeo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. El aplazamiento son fechas de calendario fijas; la variante de «parar el reloj» supeditada a normas fue rechazada.

Planifica frente al 2 de diciembre de 2027

Para los compradores, la conclusión práctica es planificar y fechar tu diligencia con el 2 de diciembre de 2027 para el alto riesgo independiente, la fecha ya fijada por el Ómnibus Digital adoptado.

Cómo ayuda Confir

Confir ejecuta el manual de diligencia como un flujo de trabajo secuenciado en lugar de un formulario estático. El cribado de triaje consigna cada herramienta frente al artículo 5 y los dominios del anexo III; el mapeo de roles señala el riesgo de vuelco del artículo 25 antes de que puntúes; la fase de documentación rastrea cada artefacto exigido frente a su artículo y marca las lagunas para la puerta de adquisición. El motor es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, de modo que la misma entrada siempre produce la misma conclusión, y un inspector puede ver exactamente por qué una herramienta se aprobó, quedó condicional o fue rechazada. Las listas completadas se siembran directamente en tu registro de IA de toda la organización.

Preguntas frecuentes

¿Qué es una lista de diligencia debida de IA?

Es el manual ordenado del comprador para examinar un sistema o función de IA de terceros antes de comprarlo o integrarlo. Conforme a la Ley de IA de la UE, secuencia cuatro fases: triar hasta qué punto debe llegar la revisión, mapear quién es el proveedor y quién el responsable del despliegue (artículo 16 frente a artículo 26), exigir la documentación que prueba la conformidad y cerrar una decisión de continuar, condicional o no continuar con cláusulas contractuales. Es el flujo de trabajo que envuelve un cuestionario al proveedor y una matriz de puntuación, más los pasos que solo el comprador realiza y que ninguna herramienta cubre.

¿En qué se diferencia la diligencia debida de IA de un cuestionario al proveedor o una evaluación de riesgo?

Un cuestionario recoge las respuestas del proveedor; una evaluación de riesgo pondera esas respuestas en una puntuación numérica. La diligencia debida es el flujo de adquisición más amplio que secuencia ambos y añade los pasos que solo realiza el comprador: triar la profundidad de la revisión, mapear el riesgo de vuelco a proveedor del artículo 25, exigir y revisar documentos, y convertir las conclusiones en un contrato. Trata el cuestionario y la matriz de puntuación como instrumentos que la lista de diligencia te indica cuándo y cómo usar, terminando en una decisión de compra defendible e inspeccionable.

¿Qué documentos deberías pedir a un proveedor de IA durante la diligencia debida?

Para un sistema de alto riesgo, solicita las instrucciones de uso (artículo 13), un resumen de documentación técnica del anexo IV (artículo 11), la declaración UE de conformidad (artículo 47), pruebas del marcado CE (artículo 48), el identificador de registro en la base de datos de la UE (artículo 49) y el registro de evaluación de la conformidad (artículo 43). Pide los documentos en sí, no atestaciones: un proveedor que no puede aportar material alguno del anexo IV para un sistema de alto riesgo es un descarte. Para herramientas de riesgo limitado o mínimo, suele bastar un subconjunto proporcionado.

¿Comprar o integrar una herramienta de IA puede convertir a mi empresa en el proveedor?

Sí. Conforme al artículo 25, si pones tu propio nombre o marca en un sistema de alto riesgo, realizas una modificación sustancial según la define el artículo 3, apartado 23, o cambias la finalidad prevista del sistema de modo que pase a ser de alto riesgo, quedas reclasificado de responsable del despliegue a proveedor y heredas todo el conjunto de obligaciones del artículo 16: evaluación de la conformidad, documentación del anexo IV, marcado CE y registro en la base de datos de la UE. Esto puede ocurrir sin reentrenamiento alguno; renombrar o extender el alcance a un nuevo caso de uso puede bastar. La diligencia debería señalar esto, y el contrato debería exigir aviso previo de los cambios que lo disparan.

¿Cuáles son las sanciones por desplegar la herramienta de un proveedor de IA no conforme?

La exposición propia del responsable del despliegue es independiente de la del proveedor. Los incumplimientos de alto riesgo y de la mayoría de obligaciones acarrean multas de hasta 15 000 000 € o el 3 % de la facturación anual mundial total, la cuantía que sea mayor (artículo 99, apartado 4). Usar una práctica prohibida del artículo 5 acarrea hasta 35 000 000 € o el 7 % (artículo 99, apartado 3), y facilitar información incorrecta o engañosa a las autoridades, hasta 7 500 000 € o el 1 % (artículo 99, apartado 5). Para pymes y empresas emergentes, el artículo 99, apartado 6, limita la multa a la menor de las dos cuantías. La falta de conformidad del proveedor no te protege.

¿Cuándo debe completarse la diligencia debida de IA conforme a la Ley de IA de la UE?

Depende de la obligación. Las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025, y las obligaciones de GPAI (artículos 51 a 55) desde el 2 de agosto de 2025. Para los sistemas independientes de alto riesgo del anexo III, el Ómnibus Digital aplaza la fecha del 2 de agosto de 2026 al 2 de diciembre de 2027; el paquete ya está adoptado por el Parlamento Europeo (16 de junio de 2026) y el Consejo (29 de junio de 2026), y solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Planifica tu diligencia con el 2 de diciembre de 2027, la fecha ya fijada.

¿Una lista de diligencia debida de IA se aplica a funciones de IA dentro de software ordinario?

Sí. Una función de IA se evalúa por la función que realiza, no por lo periférica que sea respecto al producto más amplio. El cribado automático de currículos dentro de una plataforma de RR. HH. es un uso de alto riesgo del anexo III, punto 4, tanto si es un producto independiente como una función incorporada, y tus deberes como responsable del despliegue conforme al artículo 26 aplican con independencia del empaquetado. Durante el triaje, la prueba es si hay IA en el producto y si informa de forma relevante una decisión; si un proveedor no puede decirte si su función de IA ha sido clasificada, eso es en sí mismo una conclusión que merece consignarse.

Guías relacionadas

Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar

Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.

Empieza la prueba gratuita →