Herramientas para la Ley de IA de la UE: cómo evaluar el software de cumplimiento

Esta sección se dirige a quien tiene ya un plazo y una partida presupuestaria y ahora debe elegir software. Las guías que encontrarás aquí son marcos de evaluación, no clasificaciones. Parten de lo que el Reglamento (UE) 2024/1689 te obliga a elaborar y, desde ahí, retroceden hasta las preguntas que conviene plantear a cualquier proveedor — incluidos nosotros.

Una advertencia previa, porque debería cambiar tu lectura de todo lo que sigue. Confir publica estas guías y Confir fabrica una herramienta de cumplimiento de la Ley de IA de la UE. En esta sección no encontrarás a ningún otro proveedor nombrado, puntuado ni clasificado. Es una decisión deliberada: una tabla de clasificación escrita por un participante vale muy poco, y los criterios te resultarán más útiles que nuestra opinión sobre quién los cumple. Aplica a Confir las preguntas siguientes con exactamente el mismo escepticismo que aplicarías a cualquier otro.

Empieza por el plazo y por el entregable, no por la lista de funciones

Determina qué debes poder entregar a una autoridad de vigilancia del mercado, y para cuándo. En virtud del Ómnibus Digital (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026), los sistemas autónomos de alto riesgo de la lista del anexo III deben cumplir antes del 2 de diciembre de 2027. La IA de alto riesgo integrada como componente de seguridad en un producto regulado del anexo I dispone de plazo hasta el 2 de agosto de 2028. Las prohibiciones del artículo 5 y el deber de alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025. Las obligaciones de los modelos de IA de uso general (GPAI) se aplican desde el 2 de agosto de 2025. El artículo 50, incluido el deber de marcado de contenidos del apartado 2, se aplica desde el 2 de agosto de 2026; solo los sistemas generativos ya introducidos en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 — una fecha distinta, que a menudo se confunde con la del anexo III.

Esas fechas definen la forma de la decisión de compra. Si es de alto riesgo conforme al anexo III, el entregable es un expediente técnico completo del anexo IV, una evaluación de la conformidad del artículo 43, una declaración UE de conformidad firmada del artículo 47 y el registro del artículo 49. Una herramienta que no termine en esos entregables es un gestor de tareas, diga lo que diga su etiqueta de categoría.

Las preguntas que merece la pena hacer

¿La herramienta codifica el Reglamento o un marco de controles genérico? Hay una diferencia real entre un software que implementa el artículo 6 y los ocho epígrafes del anexo III como lógica explícita — incluido el filtro del artículo 6, apartado 3, y su límite infranqueable: todo sistema que elabore perfiles de personas físicas es de alto riesgo con independencia de todo lo demás — y un software que te entrega un cuestionario configurable para que lo rellenes tú. Lo segundo es una hoja de cálculo con permisos.

¿Cada resultado remite a un artículo? Pide ver un hallazgo. Debería leerse como una cita: alto riesgo conforme al artículo 6, apartado 2 / Anexo III, punto 4, letra a), porque el sistema criba candidaturas de empleo. Una clasificación que no puede rastrear hasta una disposición no es defendible cuando un regulador te pregunte cómo llegaste a ella.

¿El resultado es reproducible? Introduzca la misma información dos veces. Un motor basado en reglas devuelve el mismo nivel, el mismo rol y la misma regla activada en todas las ocasiones. Si el resultado varía según cómo se redacte la entrada, no podrá reconstruir el razonamiento que sustenta una declaración que ya ha firmado.

¿Puede realmente producir los entregables? Documentación técnica del anexo IV en las nueve áreas — no un resumen en PDF. La evaluación de impacto relativa a los derechos fundamentales (EIDF) del artículo 27, para los responsables del despliegue que verdaderamente la deben: organismos públicos y responsables del despliegue de sistemas del anexo III de solvencia crediticia (punto 5, letra b) o de seguros de vida y salud (punto 5, letra c). La declaración de conformidad del artículo 47 como documento que alguien pueda firmar.

¿Sobrevive a la introducción en el mercado? El cumplimiento no termina con el marcado CE. El artículo 72 exige un plan de vigilancia poscomercialización que contraste el rendimiento real con el expediente técnico, y el artículo 73 obliga a notificar los incidentes graves a la autoridad de vigilancia del mercado. Aquí importa el registro de eventos del artículo 12, y también el cambio de rol del artículo 25: pon tu marca en un sistema de alto riesgo, o modifícalo sustancialmente, y pasarás a ser el proveedor con toda la carga de obligaciones.

¿Dónde se alojan los datos y quién puede acceder a ellos? Vas a introducir en esta herramienta descripciones de sistemas, la trazabilidad de los datos de entrenamiento y registros de incidentes. Pregunta dónde residen y qué encargados del tratamiento intervienen.

¿Cubre ambos roles? La mayoría de las empresas son proveedor de una cosa y responsable del despliegue de otra. Los deberes del proveedor (artículos 9 a 15, 17, 43, 47 y 49) y los del responsable del despliegue (artículo 26, más el artículo 27 cuando proceda) son conjuntos de obligaciones distintos. Una herramienta que solo atiende a uno deja un hueco.

Lo que estas guías deliberadamente no hacen

No clasifican proveedores ni comparan a Confir con competidores nombrados. Tampoco tratan toda pregunta como algo que el software pueda resolver. El asesoramiento jurídico es el instrumento adecuado para los casos límite reales — si un uso encaja siquiera en el anexo III, o si una exención del artículo 6, apartado 3, se sostendrá. La herramienta es el instrumento adecuado para el trabajo repetible: la clasificación, el registro, el expediente técnico y el ciclo de vigilancia. La mayoría de las organizaciones necesitan ambos.

Cómo ayuda Confir

Confir es una herramienta para la Ley de IA de la UE basada en reglas y determinista. Admisión guiada, clasificación automática frente al artículo 6 y el anexo III, controles delimitados automáticamente, el paquete documental del anexo IV, la EIDF del artículo 27, la declaración de conformidad del artículo 47, la transparencia del artículo 50, un registro de modelos de IA (artículo 25), un registro de roles, un registro de auditoría con las acciones de gobernanza con sello de tiempo y bloqueadas frente a ediciones, la vigilancia poscomercialización (artículo 72) y la notificación de incidentes del artículo 73 — presentados en un Risk Cockpit y alojados en la UE. La misma admisión produce el mismo resultado, y la regla que se activó se muestra en lenguaje claro.

Y la descalificación honesta: Confir cubre la Ley de IA de la UE, y solo la Ley de IA de la UE. Si lo que necesitas es consolidar varios marcos — ISO/IEC 42001, NIST AI RMF, SOC 2 y la Ley de IA en un único registro — Confir es la herramienta equivocada y deberías comprar algo concebido para eso. El flujo de trabajo para proveedores de GPAI (artículos 51 a 55) es parcial y sigue en la hoja de ruta; si tú mismo entrenas modelos fundacionales, ese es un hueco que deberías sopesar antes de elegir.