Preparación para auditorías del Reglamento de IA: qué puede pedirte realmente una autoridad de vigilancia del mercado
Qué evidencia puede exigir una autoridad de vigilancia del mercado (art. 74): inventario, anexo IV, registros, EIDF, registro. Tu dosier listo.
La preparación para auditorías no es una obligación legal. Es una práctica: la disciplina de mantener la evidencia que un regulador puede exigir en un estado en el que podrías entregarla en días, no en meses. El Reglamento de IA, Reglamento (UE) 2024/1689, da a las autoridades de vigilancia del mercado dientes investigadores reales en virtud del artículo 74 y las disposiciones del capítulo IX que lo rodean: pueden solicitar documentación, acceder a tus registros técnicos y exigirte que demuestres la conformidad. La «preparación para auditorías» es sencillamente organizar los artefactos que la ley ya exige, de modo que una solicitud no se convierta en un simulacro de incendio.
El punto que conviene interiorizar desde el principio: cada elemento de los de abajo es algo que debes producir de todos modos si operas un sistema de alto riesgo. La preparación cambia el plazo, no la obligación.
Quién te audita, y bajo qué potestad
El Reglamento no crea «auditorías de IA» rutinarias como la legislación financiera obliga a presentar cuentas anuales. En su lugar, el artículo 74 faculta a las autoridades nacionales de vigilancia del mercado para supervisar los sistemas que están en el mercado, y el artículo 21 obliga a los proveedores a cooperar con las autoridades competentes cuando se les solicita. Una autoridad actúa ante una reclamación, una notificación de incidente grave (artículo 73), un barrido temático o una derivación. Cuando lo hace, puede exigirte que demuestres que un sistema de alto riesgo cumple los requisitos del capítulo III —y puede pedir los registros subyacentes.
Un encuadre de profesional: trata la solicitud como inevitable para cualquier sistema del anexo III, y construye el dosier mientras construyes el sistema. El coste de ensamblar la evidencia de forma retrospectiva —reconstruir un expediente de riesgos, rellenar a posteriori registros que nunca guardaste— es donde los equipos fallan en realidad.
El dosier de evidencia: qué mantener listo
Este es el núcleo de la práctica. Para un sistema de alto riesgo, una autoridad puede esperar razonablemente cada uno de los siguientes. Fíjate en cuáles son deberes del proveedor y cuáles del responsable del despliegue —no son los mismos.
| Elemento de evidencia | Base legal | En manos de |
|---|---|---|
| Inventario de sistemas de IA + clasificaciones de riesgo (con la evaluación motivada del art. 6, apdo. 3, donde alegues una exención) | Art. 6, art. 49 | Proveedor y responsable del despliegue |
| Documentación técnica del anexo IV | Art. 11, anexo IV | Proveedor |
| Registro de la evaluación de la conformidad + declaración UE de conformidad | Art. 43, art. 47, anexo V | Proveedor |
| Registros generados automáticamente / conservación de registros | Art. 12 (diseño), art. 19 (conservación) | El proveedor conserva ≥6 meses; el responsable del despliegue conserva los registros bajo su control |
| Registros del sistema de gestión de riesgos | Art. 9 | Proveedor |
| Evaluación de impacto sobre los derechos fundamentales (donde aplique) | Art. 27 | Responsable del despliegue (organismo público / crédito / seguros) |
| Instrucciones de uso | Art. 13 | El proveedor las suministra; el responsable del despliegue las conserva |
| Registro en la base de datos de la UE | Art. 49, anexo VIII | Proveedor (y responsable del despliegue para usos de autoridades públicas) |
| Registros de vigilancia poscomercialización + cualquier notificación de incidente grave | Art. 72, art. 73 | Proveedor |
Mantén la documentación al día —la documentación del artículo 11 debe reflejar el sistema tal como funciona realmente, y una modificación sustancial (artículo 3, punto 23) puede reiniciar tus obligaciones. La documentación técnica debe conservarse 10 años después de la introducción del sistema en el mercado (artículo 18).
Proveedor frente a responsable del despliegue: quién guarda qué expediente
El error de preparación más común con diferencia es que un responsable del despliegue dé por hecho que debe producir el expediente técnico del proveedor. No es así. Como responsable del despliegue (artículo 26), tu evidencia es más estrecha: que usaste el sistema conforme a las instrucciones de uso, que ejecutaste la supervisión humana que especificó el proveedor (artículo 14), que conservaste los registros bajo tu control, que vigilaste el funcionamiento y —cuando entres en el ámbito— que completaste una EIDF (artículo 27). El expediente técnico del anexo IV, la evaluación de la conformidad y la declaración de conformidad pertenecen al proveedor (artículo 16). Si construyes o modificas sustancialmente un sistema bajo tu propio nombre, el artículo 25 te transforma en el rol de proveedor y el expediente más pesado pasa a ser tuyo. Saber en qué columna te sitúas te dice qué evidencia debes poder producir. Véase roles de proveedor frente a responsable del despliegue.
La fecha límite que gobierna el expediente
La mayor parte de esta evidencia solo se vuelve obligatoria una vez que aplica el régimen de alto riesgo. Los sistemas autónomos de alto riesgo del anexo III aplican desde el 2 de diciembre de 2027 (con los sistemas integrados en productos del anexo I desde el 2 de agosto de 2028), fechas fijadas por el Ómnibus Digital, ya adoptado: el Parlamento Europeo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Planifica frente al 2 de diciembre de 2027. Dos deberes vinculan sea cual sea esa fecha y deben estar en cualquier expediente de preparación ya: la alfabetización en IA del artículo 4 (en vigor desde el 2 de febrero de 2025) y las prohibiciones del artículo 5.
Ejemplo práctico: un responsable del despliegue se prepara para una solicitud
Personalkraft GmbH, una empresa de trabajo temporal de unos 210 empleados cerca de Stuttgart con aproximadamente 46 millones de euros de facturación, despliega una herramienta de cribado de CV de un tercero —un uso de alto riesgo del punto 4 del anexo III. Es un responsable del despliegue, no el proveedor. Cuando su autoridad nacional de vigilancia del mercado abre una revisión temática de la IA de selección de personal, el dosier de preparación de Personalkraft contiene: su inventario de IA que lista la herramienta con la clasificación de alto riesgo; las instrucciones de uso del proveedor y la declaración de conformidad (obtenidas en la contratación); evidencia del paso de supervisión humana que un reclutador realiza antes de cualquier rechazo (artículo 14); los registros operativos que conservó; su EIDF del artículo 27 —completada porque ciertos usos de empleo arrastran a los responsables del despliegue al ámbito de la EIDF junto a los casos legales de crédito y seguros; y su sesión informativa de alfabetización del artículo 4. No guarda el expediente técnico del anexo IV —ese es del proveedor. Como Personalkraft ensambló esto durante la contratación y la operación, la solicitud de la autoridad se convierte en un ejercicio de recuperación, no de reconstrucción.
Cómo ayuda Confir
Confir mantiene el expediente de preparación ensamblado como subproducto del trabajo normal de cumplimiento: registra cada sistema de IA, anota la clasificación y la evaluación motivada del artículo 6, apartado 3, deriva tu rol, genera la documentación del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V, ejecuta la EIDF del artículo 27 donde aplica, y guarda un registro de auditoría inmutable. El motor es determinista y basado en reglas —la misma admisión produce siempre el mismo registro— de modo que cuando una autoridad pregunta, la evidencia está al día y es exportable en lugar de dispersa.
Preguntas frecuentes
¿Obliga el Reglamento de IA a una auditoría anual de IA?
No. El Reglamento no obliga a una auditoría legal recurrente como la legislación financiera exige cuentas anuales. En su lugar, las autoridades de vigilancia del mercado pueden investigar en virtud del artículo 74, y los proveedores deben cooperar en virtud del artículo 21. La «preparación para auditorías» es la práctica voluntaria de mantener la evidencia que esas potestades pueden exigir —el expediente técnico, los registros, los registros de riesgo y los documentos de conformidad— en un estado en el que puedas entregarla rápidamente.
¿Qué puede solicitar una autoridad de vigilancia del mercado?
Para un sistema de alto riesgo, una autoridad puede exigirte que demuestres la conformidad y produzcas los registros de respaldo: la documentación técnica del anexo IV, la evaluación de la conformidad y la declaración de conformidad (artículos 43 y 47), los registros del artículo 12, los registros de gestión de riesgos del artículo 9, las instrucciones de uso, los datos de registro (artículo 49) y cualquier notificación de incidente grave (artículo 73). Actúa ante reclamaciones, notificaciones de incidentes o revisiones temáticas, no según un calendario fijo.
¿Necesitan los responsables del despliegue la documentación técnica?
No. El expediente técnico del anexo IV, la evaluación de la conformidad y la declaración de conformidad son deberes del proveedor (artículo 16). La evidencia de un responsable del despliegue es más estrecha en virtud del artículo 26: uso conforme a las instrucciones, el paso de supervisión humana, los registros bajo su control, los registros de vigilancia y una EIDF donde aplica el artículo 27. Si construyes o modificas sustancialmente un sistema bajo tu propio nombre, el artículo 25 te convierte en el proveedor y el expediente más pesado pasa a ser tuyo.
¿Cuánto tiempo deben conservarse los registros del Reglamento de IA?
La documentación técnica debe conservarse 10 años después de la introducción del sistema en el mercado (artículo 18). Los proveedores conservan los registros generados automáticamente durante al menos seis meses salvo que otra norma exija más tiempo (artículo 19); los responsables del despliegue conservan los registros bajo su control. Los registros de vigilancia poscomercialización (artículo 72) y la documentación de incidentes graves (artículo 73) deberían conservarse como parte del expediente.
¿Cuándo empiezan estas obligaciones de auditoría?
Los deberes subyacentes de alto riesgo aplican desde el 2 de diciembre de 2027, fecha fijada por el Ómnibus Digital (los sistemas integrados en productos del anexo I desde el 2 de agosto de 2028), ya adoptado por el Parlamento y el Consejo y pendiente solo de publicación en el Diario Oficial. Planifica frente al 2 de diciembre de 2027. La alfabetización del artículo 4 y las prohibiciones del artículo 5 ya aplican y deben estar en tu expediente ya.
¿Es la preparación para auditorías una exigencia legal?
No, es una práctica de gobernanza, no un término legal. Los registros subyacentes que organiza (documentación técnica, registros, expedientes de riesgo, EIDF, registro) sí son legalmente exigibles para los sistemas de alto riesgo, pero la «preparación para auditorías» en sí es la disciplina de mantener esos artefactos al día y recuperables, de modo que la solicitud de un regulador sea un ejercicio de recuperación en lugar de una reconstrucción.
Guías relacionadas
- Roles de proveedor frente a responsable del despliegue
- Documentación técnica del anexo IV
- Evaluación de la conformidad, definida
- Artículo 27: la evaluación de impacto sobre los derechos fundamentales
- Preparación para auditorías del Reglamento de IA
- Vigilancia del mercado bajo el Reglamento de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →