Hoja de ruta de cumplimiento de la Ley de IA: un plan por fases hacia cada plazo

Una hoja de ruta de cumplimiento es una práctica, no un documento exigido por la ley. El Reglamento (UE) 2024/1689 fija fechas; no te dice cómo secuenciar el trabajo para llegar a ellas. La hoja de ruta es precisamente esa secuencia: un plan por fases que convierte un muro de plazos en hitos con responsables y evidencias. Importa porque las obligaciones de la Ley no llegan todas a la vez: algunas están en vigor desde principios de 2025, un bloque importante aplica desde agosto de 2026, el gran bloque de alto riesgo se ha movido a finales de 2027 y un último bloque integrado en productos llega en 2028. Una hoja de ruta construida en torno a un único "el plazo" parte de un error de hecho y es inútil en la práctica.

Esta guía expone las fases frente a las fechas reales, los hitos de cada una, quién las asume y la evidencia que prueba que cada fase está cerrada.

---

Las fechas sobre las que se construye la hoja de ruta

Si las aciertas, todo el plan se secuencia solo. Si fallas una, el plan reparte mal un año entero de trabajo.

Dos precisiones de las que depende la hoja de ruta. Primera: el aplazamiento del alto riesgo es ley. El Ómnibus Digital —Reglamento (UE) 2026/1744, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026— movió la fecha del alto riesgo autónomo del 2 de agosto de 2026 al 2 de diciembre de 2027. Ya no hay dos fechas que comparar: la fecha legal es el 2 de diciembre de 2027. Segunda: no se movió todo — el artículo 4, el artículo 5, las obligaciones GPAI y el artículo 50 siguen aplicando en sus fechas (el Ómnibus suavizó la redacción del artículo 4 y añadió dos prohibiciones al artículo 5). Una hoja de ruta que "espera a 2027" se pierde cuatro bloques ya vigentes.

---

Fase 0 (ahora): los cimientos — y los deberes ya vigentes

El trabajo que ya está vencido o es inminente, y del que depende todo lo demás:

• Construye el registro de casos de uso. El inventario único de cada sistema de IA que construyes o despliegas. Sin él no puedes planificar, clasificar ni probar nada. Responsable: responsable de gobernanza de IA. Evidencia: un registro poblado.
• Realiza el cribado de usos prohibidos del artículo 5. En vigor desde el 2 de febrero de 2025. Criba cada sistema y cada nuevo caso de uso frente a las ocho prohibiciones originales y las dos nuevas letras (ba) y (bb), aplicables desde el 2 de diciembre de 2026; un sistema prohibido no debe operarse. Responsable: responsable de gobernanza / legal. Evidencia: resultados del cribado registrados en el registro.
• Pon en marcha la alfabetización en IA del artículo 4. También en vigor desde el 2 de febrero de 2025, para toda IA; desde el 27 de julio de 2026 exige adoptar medidas para apoyar el desarrollo de la alfabetización en IA, sin exigir que se garantice un nivel concreto de alfabetización de cada persona. Un programa de formación de base para el personal que usa o se ve afectado por la IA. Responsable: responsable de gobernanza con RR. HH. Evidencia: registros de formación.
• Confirma tu exposición a GPAI. Las obligaciones GPAI (capítulo V) se aplican desde el 2 de agosto de 2025, pero vinculan a los proveedores del modelo, no al responsable del despliegue típico que usa un modelo a través de una API. Confirma si eres proveedor de GPAI (lo normal es que no). Responsable: responsable de gobernanza / legal. Evidencia: una determinación documentada.

La fase 0 no es trabajo futuro. Si tu hoja de ruta coloca el cribado de usos prohibidos y la alfabetización en 2027, ya está fuera de cumplimiento.

Fase 1 (vencida el 2 de agosto de 2026): transparencia y clasificación

• Clasifica todo el parque conforme al artículo 6 / anexo III. Para cada sistema registrado, determina mínimo / limitado / alto riesgo por uso, dejando constancia del razonamiento del artículo 6(3) cuando exceptúes un sistema del anexo III (que aun así debe registrarse en la base de datos de la UE). Responsable: responsables de producto, revisado de forma centralizada. Evidencia: registro de clasificación por sistema.
• Implementa la transparencia del artículo 50. Desde el 2 de agosto de 2026, los chatbots y las interfaces de interacción con IA deben informar a los usuarios de que tratan con una IA; el contenido sintético debe marcarse (los sistemas generativos ya introducidos en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026). Identifica cada sistema de riesgo limitado y construye la comunicación. Responsable: responsables de producto. Evidencia: comunicación en producción, capturas/registro.
• Deriva los roles. Para cada sistema, artículo 16 proveedor frente a artículo 26 responsable del despliegue, comprobando el cambio del artículo 25 cuando re-marcas o modificas un sistema de un tercero. Responsable: responsable de gobernanza. Evidencia: rol registrado.

Fase 2 (hasta el 2 de diciembre de 2027): la construcción de alto riesgo

El bloque pesado — para los sistemas que la fase 1 marcó como de alto riesgo. Para cada uno, el conjunto de obligaciones de proveedor/responsable del despliegue:

• Artículo 9 sistema de gestión de riesgos — continuo, iterativo, de ciclo de vida. Responsable: responsable de producto; método a cargo del responsable de gobernanza.
• Artículo 10 gobernanza de los datos de entrenamiento/validación/prueba. Responsable: responsable de datos/ML.
• Artículo 11 / anexo IV documentación técnica. Responsable: responsable de producto.
• Artículo 14 disposiciones de supervisión humana. Responsable: responsable de producto.
• Artículo 15 precisión, solidez, ciberseguridad. Responsable: seguridad + responsable de producto.
• Artículo 43 evaluación de la conformidad (control interno / anexo VI para la mayoría del anexo III; organismo notificado / anexo VII para biometría). Responsable: responsable de gobernanza.
• Artículo 47 / anexo V declaración de conformidad, y luego artículo 49 registro en la base de datos de la UE. Responsable: responsable de gobernanza.
• EIDF del artículo 27 donde aplica (organismos públicos; responsables del despliegue de evaluación de solvencia y de seguros de vida/salud). Responsable: DPO/legal con responsable de producto.
• Artículo 72 vigilancia poscomercialización + artículo 73 notificación de incidentes graves, listos para la puesta en marcha. Responsable: responsable de producto.

Planifica esto contra el 2 de diciembre de 2027, la fecha legal desde la entrada en vigor del Ómnibus Digital — el dosier del anexo IV y la evidencia del artículo 9 tardan de 12 a 18 meses en montarse bien, así que empezar tarde sigue siendo el riesgo real.

Fase 3 (hasta el 2 de agosto de 2028): alto riesgo integrado en producto

Para la IA de alto riesgo integrada como componente de seguridad en productos del anexo I (productos sanitarios bajo MDR/IVDR, máquinas bajo el Reglamento de Máquinas (UE) 2023/1230, vehículos, etc.), las obligaciones se integran a través de la vía de conformidad sectorial del producto y se aplican desde el 2 de agosto de 2028. Las máquinas pasaron con el Ómnibus a la sección B del anexo I: sus requisitos de IA llegarán mediante actos delegados del Reglamento de Máquinas. Si construyes o introduces tales productos, este es un flujo de trabajo distinto y posterior, asumido junto a tu función de seguridad de producto/regulatoria — no lo mezcles con la vía autónoma de la fase 2; las rutas y las fechas difieren.

---

Una vista de una página

---

Ejemplo trabajado: la hoja de ruta de una empresa SaaS

Brightfjord Analytics AB — unos 110 empleados, alrededor de 18 millones de euros de facturación, una empresa SaaS sueca que comercializa un producto de analítica de RR. HH. con una función integrada de clasificación de candidatos y un chatbot de atención al cliente — construye su hoja de ruta.

• Fase 0 (hecha este trimestre): el registro lista tres sistemas de IA; la función de clasificación de candidatos pasa el cribado del artículo 5 (no es un uso prohibido); se despliega la formación de alfabetización del artículo 4; un chequeo de GPAI confirma que Brightfjord es responsable del despliegue de un modelo de un tercero, no proveedor de GPAI.
• Fase 1 (cerrada en ago 2026): la clasificación determina que la función de clasificación de candidatos es de alto riesgo (anexo III, punto 4, empleo) — y, como Brightfjord la construye y la comercializa, la empresa es proveedor conforme al artículo 16. El chatbot es de riesgo limitado del artículo 50; se construye la comunicación. El cuadro de mando interno de analítica es mínimo.
• Fase 2 (planificada contra dic 2027): el conjunto completo de obligaciones de proveedor para la función de clasificación — sistema de gestión de riesgos del art. 9, gobernanza de datos del art. 10, dosier del art. 11/anexo IV, supervisión del art. 14, solidez del art. 15, conformidad por control interno del art. 43, declaración del art. 47, registro del art. 49, vigilancia y notificación del art. 72/73. El responsable de gobernanza asume el dosier; el responsable de ML asume el trabajo de datos.
• Fase 3: no aplica — Brightfjord comercializa software, no un producto del anexo I.

La hoja de ruta de Brightfjord muestra el valor de las fases: no se trata de "hacer cumplimiento de la Ley de IA" en un único empujón indiferenciado, sino de un registro y un cribado hechos ahora, clasificación y comunicación para 2026, y un único dosier de alto riesgo — para el único sistema que lo necesita — planificado contra la fecha legal.

---

Sanciones (lo que la hoja de ruta protege)

Conforme al artículo 99: las prácticas prohibidas del artículo 5 — 35 000 000 € o el 7 % del volumen de negocios mundial (99(3)); las obligaciones de alto riesgo y la transparencia del artículo 50 — 15 000 000 € o el 3 % (99(4)); la información incorrecta o engañosa a una autoridad — 7 500 000 € o el 1 % (99(5)). El tercer tramo es del 1 %, nunca del 1,5 %. Las multas a proveedores de modelos GPAI son un régimen aparte (artículo 101, impuestas por la Comisión). El límite del artículo 99(6) (la menor de las dos cifras, porcentaje o importe fijo) aplica a pymes y empresas emergentes, y el nuevo artículo 99(6 bis) extiende ese criterio a las pequeñas empresas de mediana capitalización para las multas de los apartados 4 y 5 — recógelo en tu plan como factor de calibración del riesgo, no como excusa para ir más despacio.

---

Cómo ayuda Confir

Confir convierte la hoja de ruta de una hoja de cálculo en un registro vivo: mantiene el registro de casos de uso, ejecuta el cribado del artículo 5 y la clasificación del artículo 6 / anexo III, deriva el rol del artículo 16/26 y enruta las obligaciones de cada fase hacia un responsable con un estado. La clasificación es determinista y basada en reglas — misma entrada, mismo resultado, con la regla que se activó registrada — de modo que cada hito tiene evidencia defendible detrás, y genera el dosier del artículo 11/anexo IV, la declaración del artículo 47 y la EIDF del artículo 27 que produce la fase 2.

Guías relacionadas

• Modelo operativo de gobernanza de IA
• Plazos y cronología de la Ley de IA de la UE
• La cronología de aplicación de la Ley de IA de la UE
• Lista de comprobación de cumplimiento de la Ley de IA de la UE
• Hoja de ruta de implementación para equipos de cumplimiento
• Sistema de gestión de riesgos del artículo 9
• Cómo clasificar tu sistema de IA