Plan de 90 días para el alto riesgo: cuatro fases
Plan de alto riesgo del RIA semana a semana: inventario, clasificación, análisis de brechas y subsanación en un trimestre, antes del 2 de diciembre de 2027.
La preparación para el alto riesgo bajo el Reglamento (UE) 2024/1689 (Reglamento de IA o RIA) cabe en un trimestre dedicado, estructurado en cuatro fases en torno al artículo 6. Construye un inventario de sistemas de IA (semanas 1–2). Clasifica cada sistema y fija tu rol (semanas 3–4). Analiza las brechas frente a tus obligaciones (semanas 5–8). Subsana con disciplina documental (semanas 9–12). Cada fase termina con un entregable que podrías enseñar a una autoridad, no con una reunión.
Este plan asume un arranque en el tercer trimestre de 2026, y una sola fecha gobierna todo lo que sigue. El Ómnibus Digital — Reglamento (UE) 2026/1744, de 8 de julio de 2026, DO L de 24.7.2026 — aplaza la aplicación de los sistemas de alto riesgo autónomos del anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027. El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026.
Un trimestre, un responsable: cómo usar este plan
Los capítulos 1–7 de esta guía cubrieron la ley: qué cuenta como alto riesgo, qué deben los proveedores y los responsables del despliegue, qué plazos se movieron y cuáles no. Este capítulo es el cierre operativo. Programa el trabajo en un calendario. Si has leído los capítulos jurídicos y has concluido que tu empresa tiene exposición de alto riesgo, no necesitas más análisis jurídico. Necesitas un trimestre.
Empieza por la cuenta atrás, porque de ahí vienen la mayoría de las objeciones. Incluso con el aplazamiento del Ómnibus, las capas ya en vigor no dejan ningún trimestre ocioso. Las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025, las obligaciones de IA de uso general de los artículos 51–55 desde el 2 de agosto de 2025, el deber de alfabetización en IA del artículo 4 se aplica ya, y el artículo 50, incluido el marcado del apartado 2, se aplica desde el 2 de agosto de 2026. La cuenta atrás hacia el 2 de diciembre de 2027 es tiempo para investigar y construir, no una pausa.
Tres reglas operativas sostienen todo el plan. Nombra a un único responsable rendidor de cuentas, una persona y no un comité. Reserva el trimestre en el calendario antes de que empiece el trabajo, o no empezará. Empieza por el inventario, porque todo lo demás depende de él. Trata este trimestre como el brazo de ejecución de el método de evaluación de preparación: la evaluación te dice dónde estás, y el plan que sigue convierte esa posición en entregables con fecha.
El plan de 90 días de un vistazo
La tabla es el plan. Cada fase produce entregables, no actividades. Si una fase termina sin su entregable, no está hecha.
| Semanas | Foco | Entregable |
|---|---|---|
| 1–2 | Inventario de sistemas de IA | Inventario completo: cada sistema, un responsable nominal, una finalidad prevista, una hipótesis de proveedor o responsable del despliegue |
| 3–4 | Clasificación y roles | Memorando de clasificación por sistema a través de ambas vías del artículo 6, un registro de comprobación frente al borrador de directrices, una determinación de rol por sistema |
| 5–8 | Análisis de brechas | Registro de brechas priorizado y vinculado al conjunto de obligaciones aplicable — ordenado primero por plazo y luego por riesgo |
| 9–12 | Subsanación y pruebas | Brechas principales cerradas o en subsanación activa, un registro de pruebas vivo, el programa de alfabetización del artículo 4 lanzado, una lista de vigilancia de dos elementos con un responsable nominal |
Las fases dependen unas de otras en secuencia. No puedes clasificar lo que no has inventariado, no puedes analizar brechas de sistemas sin clasificar, y no puedes priorizar la subsanación sin un registro de brechas. No empieces por la mitad.
Semanas 1–2: construye o actualiza el inventario de sistemas de IA
Ningún artículo concreto de la Ley exige por su nombre un inventario interno, y sin embargo cada obligación posterior asume que existe uno. La clasificación, la asignación de roles y el alcance de la alfabetización empiezan todos aquí, por eso el inventario recibe las dos primeras semanas para sí solo.
Qué necesita cada entrada del inventario
Recoge seis campos por sistema, como mínimo:
- Nombre del sistema y una descripción de una línea
- Responsable de negocio — una persona con nombre, no un departamento
- Finalidad prevista en lenguaje llano
- Construir o comprar, y el proveedor externo si se compra
- Hipótesis de rol — proveedor o responsable del despliegue, a confirmar en las semanas 3–4
- Estado del ciclo de vida — piloto, producción o retirado
La declaración de finalidad decide si la semana 3 funciona. La clasificación del anexo III depende del contexto de uso, no de la tecnología. "Puntúa candidaturas entrantes de empleo para la preselección" clasifica con limpieza; "herramienta de automatización de RR. HH." no clasifica nada y convierte la fase de clasificación en adivinación.
Dónde se esconden los sistemas
Barre más allá de lo obvio. Los registros de compras, las notas de gastos y la TI en la sombra sacan a la luz sistemas que nadie declaró. Las funciones de IA integradas en herramientas de proveedores existentes (suites de RR. HH., puntuación de leads en el CRM, triaje de tickets de soporte) pertenecen al inventario aunque nadie en tu empresa las llame "sistemas de IA".
El inventario justifica sus dos semanas con creces. Más adelante alimenta la inscripción en la base de datos de la UE del artículo 49 que los proveedores de sistemas de alto riesgo del anexo III deben completar, y define el alcance del programa de alfabetización del artículo 4 en las semanas 9–12. Empieza desde la plantilla de registro de sistemas de IA en lugar de una hoja en blanco. El listón del entregable es un inventario que el responsable nominal firmaría con su nombre.
Semanas 3–4: clasifica cada sistema y fija tu rol
La clasificación corre por dos vías. Cada sistema del inventario toma una de ellas, o sale como no de alto riesgo con la salida documentada.
Vía 1: productos y componentes de seguridad — artículo 6(1) y anexo I
Un sistema es de alto riesgo bajo el artículo 6(1) cuando es un producto, o un componente de seguridad de un producto, cubierto por la legislación de armonización de la Unión enumerada en el anexo I y sujeto a evaluación de la conformidad por un tercero: máquinas, productos sanitarios, ascensores y demás. Si tu IA va integrada en un producto regulado, esta es tu vía. Los capítulos 1–3 de esta guía recorren el método completo.
Vía 2: casos de uso autónomos — artículo 6(2) y anexo III
Los sistemas autónomos usados en las áreas del anexo III (empleo, crédito, educación, servicios esenciales, garantía del cumplimiento del Derecho y demás) son de alto riesgo bajo el artículo 6(2). Existe un filtro. Bajo el artículo 6(3), un sistema de un área del anexo III escapa del estatus de alto riesgo solo si no plantea un riesgo significativo para la salud, la seguridad o los derechos fundamentales y no influye materialmente en el resultado de las decisiones. Si invocas el filtro, documenta la evaluación antes de que el sistema se introduzca en el mercado o se ponga en servicio (art. 6(4)). Ten en cuenta que el artículo 49(2) sigue exigiendo a los proveedores registrar esa conclusión de no alto riesgo en la base de datos de la UE.
Usa el borrador de directrices como orientación — artículo 6(5)
El borrador de directrices de clasificación de la Comisión bajo el artículo 6(5), publicado el 19 de mayo de 2026, orienta esta fase: principios generales, la vía del artículo 6(1)/anexo I, y la vía del artículo 6(2)/anexo III con ejemplos prácticos de lo que entra y lo que queda fuera. La consulta específica se cerró el 23 de julio de 2026 (ampliada desde el 23 de junio); la Comisión afirma que adoptará las directrices definitivas antes de que termine 2026. Las directrices no son jurídicamente vinculantes (la interpretación autorizada corresponde al Tribunal de Justicia de la UE), así que atribuye cada influencia de clasificación al "borrador de directrices" y asume que el texto final puede cambiar.
Ese es el trabajo del registro de comprobación. Para cada sistema, anota si el borrador de directrices respalda o cuestiona tu clasificación, y programa una nueva comprobación para cuando se publique la versión final. Es el seguro más barato de todo el plan.
Proveedor o responsable del despliegue: decide por sistema — artículos 16, 25 y 26
El rol se decide por sistema, no por empresa. Las obligaciones de proveedor del artículo 16 y las de responsable del despliegue del artículo 26 son cargas de trabajo muy distintas, y la misma empresa es habitualmente proveedor de un sistema y responsable del despliegue de otros cinco.
Vigila las trampas del artículo 25. Poner tu nombre o marca en un sistema de alto riesgo, modificarlo sustancialmente o reorientar un sistema hacia un uso de alto riesgo convierte a un responsable del despliegue en proveedor, con todas las obligaciones de proveedor. Una herramienta de contratación de marca blanca es el ejemplo clásico.
Semanas 5–8: análisis de brechas frente a tus obligaciones
Esta fase recibe cuatro semanas porque aquí está el volumen. Toma la clasificación y el rol de cada sistema de las semanas 3–4, identifica las obligaciones que le corresponden y registra la distancia entre el estado requerido y el estado actual.
Obligaciones por sistema y por rol: artículos 9–15, 26 y 27
| Proveedor de un sistema de alto riesgo | Responsable del despliegue de un sistema de alto riesgo | |
|---|---|---|
| Deberes centrales | Artículos 9–15: sistema de gestión de riesgos, datos y gobernanza de datos, documentación técnica del anexo IV, conservación de registros, transparencia e instrucciones para los responsables del despliegue, supervisión humana, precisión, solidez y ciberseguridad | Artículo 26: uso conforme a las instrucciones, supervisión humana competente, control de los datos de entrada, seguimiento, conservación de registros, información a la plantilla |
| Nivel de sistema | Artículo 17 sistema de gestión de la calidad; artículo 43 evaluación de la conformidad; artículo 49 registro en la base de datos de la UE | Artículo 27 evaluación de impacto relativa a los derechos fundamentales, cuando proceda |
| Continuo | Artículos 72–73: vigilancia poscomercialización y notificación de incidentes graves | Seguimiento del funcionamiento y escalado de incidentes bajo el artículo 26 |
El desencadenante del artículo 27 es específico. La evaluación de impacto relativa a los derechos fundamentales obliga a los organismos de Derecho público, a los operadores privados que prestan servicios públicos, y a los responsables del despliegue de sistemas del anexo III punto 5(b) (solvencia y calificación crediticia) y del punto 5(c) (evaluación de riesgos y fijación de precios de seguros de vida y de salud).
Prioriza primero por plazo, luego por riesgo
Ordena las brechas por fecha de aplicación, con independencia del esfuerzo. Las obligaciones en vigor y a corto plazo encabezan la lista: cualquier exposición al artículo 5 (en vigor ya, y que acarrea el techo de 35 millones de euros o el 7 % bajo el artículo 99(3)), la alfabetización del artículo 4 (ahora), los puntos de contacto con la IA de uso general (ahora), y la transparencia del artículo 50 (2 de agosto de 2026). Luego vienen los elementos de alto riesgo de largo plazo, como la documentación técnica, la gestión de la calidad y la gobernanza de datos, que consumen la cuenta atrás hacia el 2 de diciembre de 2027. La mayoría de los incumplimientos de proveedores y responsables del despliegue se sitúan en el tramo del artículo 99(4): hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial, con un tope proporcional para las pymes y las empresas emergentes bajo el artículo 99(6). Para las pequeñas empresas de mediana capitalización, el menor importe se aplica solo a las multas de los apartados 4 y 5 del artículo 99, no a las de prácticas prohibidas del apartado 3 (art. 99, apartado 6 bis).
Ejecuta el método de análisis de brechas y documenta los resultados en la plantilla de análisis de brechas. El listón del entregable es simple: cada brecha lleva un responsable, una fecha objetivo y una cita a la obligación que cierra. Una brecha sin referencia a un artículo es una opinión.
Semanas 9–12: subsana, construye disciplina documental, cubre la alfabetización en IA
Cierra primero las brechas principales
Elige los objetivos de subsanación por la ordenación de plazo-y-riesgo de las semanas 5–8, no por la facilidad de completarlos. Las victorias rápidas que no cierran ninguna obligación con fecha son teatro. Una brecha del artículo 50 medio cerrada vale más que tres cosméticas cerradas.
Disciplina documental: artículo 99(5)
La disciplina documental significa que las decisiones se documentan en el momento en que se toman: memorandos de clasificación, evaluaciones del artículo 6(3), determinaciones de rol, decisiones de aceptación de brechas. Reconstruir las pruebas a posteriori es más lento y menos creíble, y acarrea su propia exposición. El artículo 99(5) convierte el facilitar información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades competentes en un tramo de sanción separado, de hasta 7,5 millones de euros o el 1 % del volumen de negocio anual mundial total. Las pruebas documentadas sobre la marcha son la mejor defensa. La preparación para auditorías cubre la visión orientada a auditoría de esa misma disciplina.
Alfabetización en IA (art. 4): aplicable ya, en su versión suavizada
El artículo 4 se aplica desde el 2 de febrero de 2025; el Ómnibus sustituyó su texto por una versión más suave con efecto desde el 27 de julio de 2026, pero no movió la fecha. Pertenece a este trimestre, no a uno posterior. Define el alcance del programa directamente a partir del inventario: quién opera qué sistema, en qué rol, con qué formación técnica. Luego adopta medidas proporcionadas y documentadas para apoyar la alfabetización, como formación específica; el texto modificado ya no exige garantizar un nivel concreto. Consulta los requisitos de alfabetización en IA (en vigor ya) para el deber completo.
Antes del día 90, establece la lista de vigilancia: dos elementos, un responsable nominal. Primero, las directrices finales de clasificación del artículo 6(5), cuya publicación desencadena la nueva prueba de cada clasificación registrada frente al borrador. Segundo, las fechas del 2 de diciembre de 2026: las dos nuevas prohibiciones del artículo 5, letras ba) y bb), y el fin de la transición del artículo 50 para los sistemas generativos ya introducidos en el mercado antes del 2 de agosto de 2026.
Al final del trimestre, tienes cuatro entregables: brechas principales en marcha, registro de pruebas vivo, programa de alfabetización lanzado, lista de vigilancia con responsable.
Después del día 90: la cuenta atrás es tiempo de construcción, no colchón
Las fechas que no se mueven
El aplazamiento nunca tocó la mayor parte del calendario fijado por el artículo 113. Prohibiciones del artículo 5: en vigor desde el 2 de febrero de 2025. Obligaciones de IA de uso general (arts. 51–55): en vigor desde el 2 de agosto de 2025. Transparencia del artículo 50, incluido el marcado del apartado 2: desde el 2 de agosto de 2026. Alfabetización del artículo 4: ahora. El Ómnibus también añadió una nueva fecha fija, el 2 de diciembre de 2026, para dos nuevas prohibiciones del artículo 5(1), letras ba) y bb) —imágenes íntimas no consentidas de una persona identificable y material de abuso sexual infantil— y para los sistemas generativos ya introducidos en el mercado antes del 2 de agosto de 2026, que tienen hasta entonces para cumplir el artículo 50 (art. 111(4)).
Un punto importa para la planificación. Las nuevas fechas son fechas de calendario fijas. La propuesta de la Comisión de noviembre de 2025 habría vinculado el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de respaldo; los colegisladores adoptaron en su lugar fechas fijas. Nunca planifiques como si el calendario flotase sobre las normas.
Cómo es el siguiente trimestre
El 2 de diciembre de 2027 se consume rápido porque el trabajo restante es de largo plazo. Los sistemas de gestión de la calidad, la documentación técnica del anexo IV, la gobernanza de datos y la evaluación de la conformidad del artículo 43 son construcciones que se miden en trimestres, no en semanas. Una empresa que arranca en el tercer trimestre de 2026 pasa toda la cuenta atrás construyendo, no esperando. El siguiente trimestre alberga la subsanación profunda del registro de brechas restante, la preparación de la evaluación de la conformidad, y la nueva prueba de clasificación una vez se publiquen las directrices finales.
La decisión que tienes delante: nombra esta semana al único responsable rendidor de cuentas, reserva el trimestre en el calendario, y empieza por el inventario el primer día. Todo lo de esta guía se comprime en esa frase.
¿Listo para ejecutar el plan de este trimestre en un solo sitio? Consulta los precios y empieza hoy.
Cómo ayuda Confir
El módulo de Clasificación de Riesgos y Cumplimiento de Confir ejecuta este trimestre como un único flujo de trabajo estructurado: el inventario de sistemas de IA como una recogida guiada, la clasificación frente al artículo 6 y el anexo III con una conclusión documentada por sistema, la asignación de roles incluyendo los casos límite del artículo 25, y un registro de brechas atado a referencias de artículos y plazos. El motor de síntesis es determinista y basado en reglas. Las mismas respuestas de recogida producen la misma conclusión, usando la misma lógica cada vez, sin inferencia de modelos y sin alucinaciones, y cada conclusión nombra la regla que se activó. Los memorandos de clasificación y los registros de comprobación de las semanas 3–4 salen como documentos listos para auditoría en lugar de texto libre, y el registro de pruebas de las semanas 9–12 se construye solo a medida que se registran las decisiones, que es exactamente la disciplina que el artículo 99(5) recompensa.
Preguntas frecuentes
¿Cuándo se aplican las obligaciones de alto riesgo de la Ley de IA de la UE? Las obligaciones de los sistemas de alto riesgo autónomos del anexo III se aplican desde el 2 de diciembre de 2027. El Ómnibus Digital — Reglamento (UE) 2026/1744, de 8 de julio de 2026, DO L de 24.7.2026 — aplazó esa fecha desde el 2 de agosto de 2026 original, y movió la vía del anexo I integrada en productos del 2 de agosto de 2027 al 2 de agosto de 2028. El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026.
¿Se ha retrasado la Ley de IA de la UE? Solo en parte. Los plazos de alto riesgo se movieron bajo el Ómnibus Digital, en vigor desde el 27 de julio de 2026, pero las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025, las reglas de IA de uso general desde el 2 de agosto de 2025, la alfabetización en IA del artículo 4 está en vigor, y el artículo 50, incluido el marcado del apartado 2, se aplica desde el 2 de agosto de 2026. Los sistemas generativos ya introducidos en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 (art. 111(4)). Las fechas son de calendario fijo, no contingentes de las normas.
¿Necesito un inventario de sistemas de IA según la Ley de IA de la UE? Ningún artículo concreto exige un inventario interno, pero no puedes clasificar sistemas bajo el artículo 6, asignar roles de proveedor o responsable del despliegue, ni dar alcance a la alfabetización en IA del artículo 4 sin uno. Los proveedores de sistemas de alto riesgo del anexo III deben registrarse por separado en la base de datos de la UE bajo el artículo 49. En la práctica, el inventario es el primer entregable de cualquier trimestre de cumplimiento — las semanas uno y dos de este plan.
¿Cuánto tarda el cumplimiento de la Ley de IA de la UE? Un trimestre enfocado cubre la base: inventario (semanas 1–2), clasificación (semanas 3–4), análisis de brechas (semanas 5–8) y primera subsanación (semanas 9–12). La construcción completa de alto riesgo — gestión de riesgos, documentación técnica del anexo IV, gestión de la calidad, evaluación de la conformidad — suele extenderse varios trimestres más, por lo que la cuenta atrás hacia el 2 de diciembre de 2027 es tiempo de construcción, no colchón.
¿Cuáles son las sanciones por incumplimiento de la Ley de IA de la UE? Tres tramos bajo el artículo 99: hasta 35 millones de euros o el 7 % del volumen de negocio anual mundial por prácticas prohibidas bajo el artículo 5; hasta 15 millones de euros o el 3 % por la mayoría de las demás obligaciones; y hasta 7,5 millones de euros o el 1 % por facilitar información incorrecta, incompleta o engañosa a las autoridades. Las pymes y las empresas emergentes se benefician de un tope proporcional bajo el artículo 99(6).
¿Son jurídicamente vinculantes las directrices de clasificación de alto riesgo de la Comisión? No. El borrador de directrices bajo el artículo 6(5), publicado el 19 de mayo de 2026, es orientación práctica, no ley — la interpretación autorizada de la Ley de IA de la UE corresponde al Tribunal de Justicia de la UE. La consulta específica se cerró el 23 de julio de 2026 (ampliada desde el 23 de junio) y la Comisión afirma que adoptará las directrices definitivas antes de que termine 2026, así que registra qué clasificaciones respalda el borrador y vuelve a comprobarlas cuando se publique el texto final.
¿Se aplica ya el requisito de alfabetización en IA de la Ley de IA de la UE? Sí. El artículo 4 se aplica desde el 2 de febrero de 2025; el Ómnibus Digital sustituyó su texto por una versión más suave con efecto desde el 27 de julio de 2026, pero no movió la fecha. El deber vigente, en la redacción del Reglamento (UE) 2026/1744, es adoptar medidas para apoyar la alfabetización en IA, sin tener que garantizar un nivel concreto; contrasta tu programa con ese texto. Pertenece al plan de este trimestre, no a uno posterior.