AI Trust Center: la página pública que gana la compra bajo la Ley de IA

Guía25 de junio de 2026· 19 min de lectura

Un AI trust center publica tu postura ante la Ley de IA para que los compradores hagan su propia diligencia. Conoce los siete bloques y cómo acorta la

Antes de firmar, un comprador empresarial quiere saber tres cosas: qué sistemas de IA hay dentro de tu producto, si eres proveedor o responsable del despliegue en cada uno, y qué evidencia puedes mostrar. Un AI trust center responde a las tres en una sola página pública, antes de que nadie te mande un cuestionario. Es la diferencia entre una revisión de seguridad de IA que se atasca seis semanas y otra que se resuelve en una tarde.

Esta página explica qué es un AI trust center, los siete bloques que debes publicar, en qué se distingue de los documentos confidenciales a los que apunta, y cómo construirlo y mantenerlo frente al calendario de la Ley de IA tal y como está a mediados de 2026.

Qué es un AI Trust Center (y por qué surge ahora)

Del security trust center al AI trust center

Las empresas SaaS llevan años publicando security trust centers: un punto público en /trust o /security que enumera certificaciones, subencargados, un contacto de seguridad y un flujo para solicitar el informe SOC 2 bajo NDA. El objetivo es comercial: contestar de antemano las preguntas de seguridad recurrentes para que el equipo de compras del comprador resuelva por sí mismo la mayor parte de su diligencia.

Un AI trust center es el mismo artefacto apuntando a otra pregunta. Es un único punto público —una página web o un microsite— donde una empresa publica su postura ante la Ley de IA para que los compradores potenciales mapeen tus sistemas de IA contra sus propias obligaciones sin necesidad de una llamada individual. La analogía es deliberada, y los compradores ya entienden el formato.

Por qué la Ley de IA hace valiosa una página pública de postura

A medida que las funcionalidades de IA llegan a los productos B2B, los compradores empresariales aplican una diligencia específica de IA —la que cubre un cuestionario de proveedor de IA—. Preguntan porque sus propias obligaciones como responsable del despliegue del artículo 26 del Reglamento (UE) 2024/1689 dependen de lo que tú, el proveedor, divulgues. Un comprador no puede implantar la supervisión humana, conservar los registros adecuados ni gestionar un incidente si no sabe qué es el sistema ni qué deberes de transparencia activa.

Un trust center responde de una vez, en público, esas preguntas recurrentes, en lugar de hacerlo en decenas de revisiones de seguridad y jurídicas por separado. Es un artefacto saliente, orientado a ventas, para acelerar la compra; no un expediente interno de cumplimiento, ni un aviso legal aislado enterrado en un pie de página.

Quién debería publicar uno

Las empresas que más se benefician son las que integran IA en productos vendidos a organizaciones de la UE. Si tu ciclo de ventas se atasca una y otra vez en revisiones repetidas de cumplimiento de IA, el trust center es el artefacto que lo desbloquea. Es igual de relevante para pymes que para grandes proveedores; el valor crece con la frecuencia con que preguntan los compradores. Un límite importante: un trust center publica declaraciones de postura y de disponibilidad, no la documentación técnica del artículo 11 / anexo IV en sí. Esa documentación va a las autoridades y, bajo NDA, a los compradores empresariales que la soliciten; nunca a una página pública.

Qué publicar: los siete bloques

Un trust center útil es concreto. Este es el contenido que le corresponde, sistema por sistema.

Lista de sistemas de IA y finalidad prevista

Publica una lista en lenguaje llano de los sistemas de IA de tu producto, y declara la finalidad prevista de cada sistema tal y como la define el artículo 3(12). El enfoque desde la finalidad prevista es lo que permite a un comprador mapear tu sistema contra su propio caso de uso y nivel de riesgo. «Un chatbot de soporte que responde preguntas sobre el producto» le dice a un comprador más sobre sus obligaciones de lo que jamás le dirá «asistente impulsado por IA».

Tu rol: proveedor, responsable del despliegue o ambos

Para cada sistema, declara tu rol bajo la Ley: proveedor, responsable del despliegue o ambos. Después señala las condiciones del artículo 25 bajo las cuales un comprador que modifique sustancialmente, renombre o redestine el sistema podría convertirse él mismo en proveedor. No vuelvas a derivar la prueba de rol en el trust center: enlaza a un explicativo sobre si eres proveedor o responsable del despliegue y deja en el trust center solo la conclusión.

Avisos de transparencia y marcado de contenido del artículo 50

Declara qué deberes de transparencia del artículo 50 activa cada sistema y cómo se cumplen: la divulgación del chatbot del artículo 50(1) y el marcado en formato legible por máquina del contenido sintético del artículo 50(2) y 50(4). Ten en cuenta que las disposiciones de marcado de contenido y marca de agua del artículo 50 se aplican desde el 2 de diciembre de 2026. No reproduzcas el texto de la divulgación en el trust center: enlaza a redactar tus avisos de transparencia del artículo 50 y apunta en su lugar a los avisos en vivo.

Disponibilidad de la documentación y estado de conformidad

Declara qué evidencia existe y cómo la solicita un comprador bajo NDA, no los documentos en sí. Para sistemas de alto riesgo, eso significa la documentación técnica del artículo 11 / anexo IV y las instrucciones de uso del artículo 13. Publica disponibilidad y estado («documentación técnica mantenida; disponible bajo NDA previa solicitud»), no los archivos. Este es el error más común con diferencia: un trust center es un índice, no un volcado de documentos.

Contacto para incidentes e incidentes graves

Nombra un contacto para incidentes graves y vulnerabilidades, y describe el proceso, para que un responsable del despliegue pueda cumplir sus deberes de seguimiento y gestionar con rapidez una notificación de incidente grave del artículo 73. Esto refleja el contacto security@ que un security trust center ya publica. Un contacto con nombre y un plazo de respuesta declarado superan a un formulario web genérico.

Resumen de supervisión humana y gobernanza de datos

Para cualquier sistema de alto riesgo, añade un breve resumen de supervisión humana (artículo 14) y gobernanza de datos (artículo 10), planteado como lo que el comprador necesita para operar el sistema de forma responsable bajo sus deberes del artículo 26. Cíñete a lo que debe hacer el responsable del despliegue: quién supervisa las salidas, cómo anularlas, qué aspecto tiene el linaje de los datos a nivel de resumen.

Dependencias de GPAI / proveedor del modelo

Nombra la capa de modelo fundacional o de IA de uso general (GPAI) sobre la que se construye tu producto, y declara dónde terminan las obligaciones del proveedor de GPAI bajo los artículos 53 a 55 y dónde empiezan las tuyas. Este bloque trata de divulgar dependencias con honestidad; no es una afirmación de que hayas completado ningún flujo de trabajo de proveedor de GPAI. Cada vez más, los compradores preguntan qué modelo hay detrás de una funcionalidad; responderlo en el trust center elimina toda una cadena de preguntas de seguimiento.

El AI Trust Center frente a los documentos a los que apunta

Una pregunta recurrente: ¿en qué se distingue un trust center de los artefactos que los compradores ya piden? La respuesta corta es que no sustituye a ninguno de ellos, los indexa. La tabla siguiente contrasta el trust center con sus cuatro vecinos más cercanos.

Artefacto	Audiencia	Público o confidencial	Qué contiene	Anclaje principal en la Ley de IA
AI trust center	Compradores potenciales	Público	Resumen de postura + declaraciones de disponibilidad	Artículos 50, 13, 16, 73
Cuestionario de proveedor de IA	El comprador te lo manda	Confidencial	Preguntas y respuestas en un momento dado	Diligencia del responsable del despliegue bajo el artículo 26
Aviso de transparencia	Usuarios finales y personas afectadas	Público en el punto de interacción	Texto de la divulgación	Artículo 50
Documentación técnica	Autoridades de vigilancia del mercado; compradores bajo NDA	Confidencial	Evidencia completa	Artículo 11 y anexo IV
Instrucciones de uso	Responsables del despliegue profesionales	Suministradas con el sistema	Información de operación y supervisión	Artículo 13

Página pública de postura frente a evidencia confidencial

El trust center es el índice y la puerta de entrada. Apunta a evidencia confidencial y a avisos públicos; no se convierte en ninguno de ellos. Un comprador que lea un trust center completo debería poder dejar de mandarte un cuestionario de 200 líneas, porque las respuestas recurrentes —lista de sistemas, roles, estado de transparencia, contacto de incidentes— ya están en la página. El cuestionario se reduce al puñado de preguntas específicas del comprador que realmente necesitan una respuesta individual.

Cómo se relaciona el trust center con cuestionarios, avisos y roles

Publicar una página de postura no es asesoramiento jurídico ni una afirmación de conformidad. El trust center comunica postura; no descarga por sí mismo ninguna obligación. Los sistemas subyacentes siguen necesitando una clasificación real, documentación real y avisos reales. Una página que dice lo correcto sobre sistemas que no se han evaluado es peor que no tener página: véase la exposición a sanciones más abajo.

Ejemplo práctico: un trust center para una empresa de analítica de 60 personas

Considera Cadence Analytics, una empresa SaaS B2B de analítica de ingresos de 60 personas que vende a empresas de la UE. Cadence lanza tres funcionalidades de IA, y su trust center mapea cada una contra los bloques de arriba.

La empresa y sus tres sistemas de IA

Sistema A: un chatbot de soporte dentro del producto. Riesgo limitado. El trust center declara que Cadence es el responsable del despliegue, que la divulgación del chatbot del artículo 50(1) se cumple en la primera interacción, y enlaza al aviso de transparencia en vivo. También nombra la dependencia de GPAI: el Sistema A llama a un modelo externo de uso general, y el trust center apunta a dónde se sitúan los deberes de documentación del proveedor de ese modelo bajo los artículos 53 a 55 frente a los deberes propios de Cadence.

Sistema B: un modelo de predicción de bajas (churn) usado internamente por el equipo de ingresos del comprador. Para analítica de negocio general este no es un caso de uso del anexo III, así que queda en riesgo mínimo-a-limitado. El trust center declara la finalidad prevista, afirma con claridad que el sistema no se usa para ninguna finalidad de alto riesgo del anexo III, y da la base de esa clasificación. Es una declaración honesta de «no es de alto riesgo», del tipo que el revisor de un comprador puede aceptar sin una llamada.

Sistema C: una puntuación de encaje de candidatos comerciales. Tal y como se entrega, puntúa el encaje de un prospecto, no a personas. Pero si un comprador lo redestinara para contratación, tocaría los casos de uso de selección de personal del anexo III. El trust center documenta el límite de la finalidad prevista y lleva la advertencia del artículo 25: un comprador que redestine el Sistema C para decisiones de empleo puede arrastrar a ambas partes a terreno de proveedor y de alto riesgo. Esa única frase protege a Cadence y educa al comprador.

Qué queda público y qué queda bajo solicitud

Cadence mantiene públicos la lista de sistemas, las finalidades previstas, los roles, el estado de transparencia y el contacto de incidentes. Su línea de disponibilidad de documentación dice que los materiales técnicos existen y están disponibles bajo NDA. El resultado: Cadence sustituye los hilos de correo improvisados de revisión de seguridad por una única página enlazable más un flujo de solicitud protegido por NDA, y la parte de IA en la compra empresarial deja de ser la que hace descarrilar el trato.

Plazos y exposición a sanciones detrás de la postura que publicas

La postura que publicas tiene que reflejar lo que realmente está en vigor. A mediados de 2026, este es el estado de la situación.

Qué está en vigor ahora frente a lo que se mueve

En vigor: las prohibiciones del artículo 5 y los deberes de alfabetización en IA del artículo 4 desde el 2 de febrero de 2025; las obligaciones de GPAI bajo los artículos 51 a 55 desde el 2 de agosto de 2025. Una nueva prohibición de material de abuso sexual infantil (CSAM) / «desnudadores» y las disposiciones de marcado de contenido y marca de agua del artículo 50 se aplican desde el 2 de diciembre de 2026.

El calendario de alto riesgo hay que declararlo con exactitud, no aplanarlo. El Digital Omnibus ya está adoptado: votación en el pleno del Parlamento Europeo el 16 de junio de 2026, adopción formal del Consejo el 29 de junio de 2026; entra en vigor con su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Los sistemas de alto riesgo autónomos del anexo III bajo el artículo 6(2) se aplican ahora desde el 2 de diciembre de 2027. La IA de alto riesgo integrada como componente de seguridad en productos del anexo I bajo el artículo 6(1) se aplica desde el 2 de agosto de 2028. El aplazamiento son fechas de calendario fijas; la variante de «parar el reloj» condicionada a normas técnicas fue rechazada. No todo se aplaza.

Por qué declarar mal la postura conlleva su propio riesgo de sanción

Un trust center lo leen los compradores y podrían verlo las autoridades, así que la exactitud no es cosmética. Los niveles de sanción bajo el artículo 99 son: hasta 35 M€ o el 7 % del volumen de negocio anual total a escala mundial, lo que sea mayor, por prácticas prohibidas (artículo 99(3)); hasta 15 M€ o el 3 % del volumen de negocio anual total a escala mundial por la mayoría de incumplimientos de alto riesgo y de obligaciones (artículo 99(4)); y hasta 7,5 M€ o el 1 % del volumen de negocio anual total a escala mundial por facilitar información incorrecta, incompleta o engañosa a las autoridades (artículo 99(5)). El artículo 99(6) limita a pymes y empresas emergentes al menor entre el porcentaje aplicable o el importe fijo.

La regla práctica: un trust center que exagera la conformidad es exactamente el tipo de representación engañosa que crea exposición evitable bajo el artículo 99(5). Publica lo que es cierto, féchalo y versiona la página cuando cambie la postura.

Cómo construir y mantener tu AI Trust Center

Montarlo es una secuencia, no un documento puntual.

Una secuencia de construcción en seis pasos

Inventaría los sistemas de IA de tu producto y anota la finalidad prevista de cada uno (artículo 3(12)).
Asigna un rol por sistema: proveedor, responsable del despliegue o ambos (artículos 16 y 26).
Clasifica el nivel de riesgo y confirma si aplica algún desencadenante del anexo III.
Mapea los deberes de transparencia (artículo 50) y la disponibilidad de documentación (artículos 11 y 13, anexo IV).
Nombra el contacto de incidentes y el proceso de incidentes graves (artículo 73).
Publica la postura más un flujo de solicitud protegido por NDA, y fecha cada declaración.

Mantenerlo actualizado y versionado

Trata el trust center como una página de seguridad: revísalo de nuevo cada vez que cambie la finalidad, los datos o la dependencia de modelo de un sistema, y versiona cada actualización material. Una declaración de postura que era cierta en el lanzamiento pero quedó obsoleta tras cambiar de modelo es un pasivo, no un activo. Esto es una obligación continua en espíritu: los proveedores deben mantener la documentación exacta (artículo 16), y la página pública debería seguir los mismos cambios.

Dónde el mapeo determinista elimina las conjeturas

La parte difícil de un trust center no es la página: es producir un inventario, una asignación de rol, una clasificación de riesgo y un mapa de obligaciones exactos y reproducibles que estés dispuesto a publicar y respaldar.

Cómo ayuda Confir

El motor de síntesis de Confir es determinista y basado en reglas: sin inferencia de modelo, sin alucinación. Respondes preguntas en lenguaje llano sobre cada sistema de IA y el motor devuelve un inventario de sistemas reproducible, la asignación de rol (proveedor o responsable del despliegue), la clasificación de riesgo y el mapa de obligaciones. La misma entrada produce siempre el mismo resultado, con un razonamiento legible por personas, que es exactamente la columna vertebral desde la que un trust center debería publicar, porque un regulador puede escrutarlo. Confir genera los artefactos subyacentes a los que apunta un trust center, incluido el paquete de documentación del artículo 11 / anexo IV y el flujo de la evaluación del artículo 27 cuando aplica. El flujo de trabajo de proveedor de GPAI (artículos 53 a 55) está en la hoja de ruta y se trata como parcial, no completo. Un trust center mantenido y exacto convierte la diligencia de IA individual repetida en una puerta de entrada de autoservicio: la razón comercial para construir uno.

Preguntas frecuentes

¿Qué es un AI trust center?

Un AI trust center es una única página pública o microsite donde una empresa publica su postura ante la Ley de IA para los compradores potenciales. Por analogía con los security trust centers que los proveedores SaaS ya mantienen, enumera los sistemas de IA de un producto, declara el rol de la empresa (proveedor o responsable del despliegue), resume el estado de transparencia y documentación, y nombra un contacto de incidentes. El objetivo es que los compradores hagan su propia diligencia y se acorte la compra, en lugar de responder el mismo cuestionario una y otra vez.

¿Qué debe incluir un AI trust center bajo la Ley de IA?

Siete bloques: una lista de sistemas de IA con la finalidad prevista de cada uno; tu rol por sistema (proveedor, responsable del despliegue o ambos); los deberes de transparencia del artículo 50 que activa cada sistema y cómo se cumplen; la disponibilidad de documentación, como la documentación técnica del artículo 11 y las instrucciones de uso del artículo 13; un contacto de incidentes graves alineado con el artículo 73; un breve resumen de supervisión humana y gobernanza de datos para los sistemas de alto riesgo; y las dependencias de GPAI o de modelo fundacional de las que depende el producto. Publica postura y disponibilidad, no los documentos confidenciales en sí.

¿Es un AI trust center lo mismo que un aviso de transparencia?

No. Un aviso de transparencia bajo el artículo 50 se entrega a los usuarios finales y personas afectadas en el momento en que interactúan con un sistema de IA, y contiene un texto de divulgación específico. Un AI trust center va dirigido a los compradores potenciales y equipos de compras, y resume la postura general de todos tus sistemas. El trust center suele enlazar a tus avisos de transparencia en vivo en lugar de reproducirlos. Sirven a audiencias y momentos distintos del recorrido.

¿Publicar un AI trust center me hace cumplir la Ley de IA?

No. Un trust center comunica postura; no descarga por sí mismo ninguna obligación. Los sistemas subyacentes siguen necesitando una clasificación de riesgo genuina, documentación técnica, avisos de transparencia y mecanismos de supervisión humana cuando apliquen. Peor aún, un trust center exagerado puede crear exposición: facilitar información incorrecta o engañosa a las autoridades puede acarrear multas de hasta 7,5 M€ o el 1 % del volumen de negocio anual total a escala mundial bajo el artículo 99(5). Publica solo lo que es cierto, y fecha cada declaración.

¿Quién necesita un AI trust center?

Es más valioso para las empresas que integran IA en productos vendidos a organizaciones de la UE, porque esos compradores aplican una diligencia específica de IA antes de comprar y sus propias obligaciones como responsable del despliegue bajo el artículo 26 dependen de lo que divulgues. Empresas de cualquier tamaño, incluidas las pymes, pueden beneficiarse. Si tu ciclo de ventas se atasca una y otra vez en revisiones repetidas de seguridad y cumplimiento de IA, una página pública de postura más un flujo de solicitud de documentos protegido por NDA es el artefacto que lo desbloquea.

¿Qué documentos deben quedar privados frente a públicos en un AI trust center?

Mantén público el resumen de postura: la lista de sistemas, las finalidades previstas, los roles, el estado de transparencia y un contacto de incidentes. Mantén confidencial la evidencia completa: la documentación técnica del artículo 11, el detalle del anexo IV y las instrucciones de uso del artículo 13, que facilitas a las autoridades de vigilancia del mercado y, bajo NDA, a los compradores empresariales que las soliciten. La función del trust center es declarar que esa evidencia existe y explicar cómo solicitarla, actuando como el índice y la puerta de entrada y no como la caja fuerte.

¿Cuándo entran en vigor los plazos de la Ley de IA detrás de un trust center?

A junio de 2026: las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI bajo los artículos 51 a 55 desde el 2 de agosto de 2025; y las disposiciones de marcado de contenido del artículo 50 se aplican desde el 2 de diciembre de 2026. Para los sistemas de alto riesgo autónomos del anexo III, el Digital Omnibus, ya adoptado (Parlamento el 16 de junio de 2026, Consejo el 29 de junio de 2026; entrada en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026), aplaza la fecha al 2 de diciembre de 2027.

Guías relacionadas

Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar

Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.

Empieza la prueba gratuita →