El plan de acción de 90 días para el alto riesgo de la Ley de IA de la UE: un trimestre, cuatro fases
Un plan de acción de alto riesgo de la Ley de IA de la UE semana a semana: registro, clasificación, análisis de brechas y subsanación en un trimestre — pensado para la cuenta atrás hacia el 2 de diciembre de 2027.
La preparación para el alto riesgo bajo el Reglamento (UE) 2024/1689 cabe en un trimestre reservado, estructurado en cuatro fases en torno al Artículo 6. Construye un registro de sistemas de IA (semanas 1–2). Clasifica cada sistema y fija tu rol (semanas 3–4). Analiza las brechas frente a tu batería de obligaciones (semanas 5–8). Subsana con disciplina de evidencia (semanas 9–12). Cada fase termina en un artefacto que podrías poner delante de una autoridad, no en una reunión.
Este plan asume un arranque en el tercer trimestre de 2026, y una sola fecha gobierna todo lo que sigue. El Digital Omnibus — adoptado en junio de 2026 (Parlamento Europeo el 16 de junio, Consejo el 29 de junio) — aplaza la aplicación de los sistemas de alto riesgo autónomos del Anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027. Entra en vigor con su publicación en el Diario Oficial, una formalidad que no cambia la fecha.
Un trimestre, un responsable: cómo usar este plan
Los capítulos 1–7 de esta guía cubrieron la ley: qué cuenta como alto riesgo, qué deben los proveedores y los responsables del despliegue, qué plazos se movieron y cuáles no. Este capítulo es el cierre operativo. Programa el trabajo en un calendario. Si has leído los capítulos jurídicos y has concluido que tu empresa tiene exposición de alto riesgo, no necesitas más análisis jurídico. Necesitas un trimestre.
Empieza por la cuenta atrás, porque de ahí vienen la mayoría de las objeciones. Incluso con el aplazamiento del Omnibus, las capas ya en vigor no dejan ningún trimestre ocioso. Las prohibiciones del Artículo 5 se aplican desde el 2 de febrero de 2025, las obligaciones de IA de uso general de los Artículos 51–55 desde el 2 de agosto de 2025, el deber de alfabetización en IA del Artículo 4 se aplica ya, y la mayoría de los deberes de transparencia del Artículo 50 siguen empezando el 2 de agosto de 2026. La cuenta atrás hacia el 2 de diciembre de 2027 es tiempo para investigar y construir, no una pausa.
Tres reglas operativas sostienen todo el plan. Nombra a un único responsable rendidor de cuentas, una persona y no un comité. Reserva el trimestre en el calendario antes de que empiece el trabajo, o no empezará. Empieza por el registro, porque todo lo demás depende de él. Trata este trimestre como el brazo de ejecución de el método de evaluación de preparación: la evaluación te dice dónde estás, y el plan que sigue convierte esa posición en entregables con fecha.
El plan de 90 días de un vistazo
La tabla es el plan. Cada fase produce artefactos, no actividades. Si una fase termina sin su entregable, no está hecha.
| Semanas | Foco | Entregable |
|---|---|---|
| 1–2 | Registro de sistemas de IA | Registro completo: cada sistema, un responsable nominal, una finalidad prevista, una hipótesis de proveedor o responsable del despliegue |
| 3–4 | Clasificación y roles | Memorándum de clasificación por sistema a través de ambas vías del Artículo 6, un registro de comprobación frente al borrador de directrices, una determinación de rol por sistema |
| 5–8 | Análisis de brechas | Registro de brechas priorizado y mapeado a la batería de obligaciones aplicable — ordenado primero por plazo y luego por riesgo |
| 9–12 | Subsanación y evidencia | Brechas principales cerradas o en subsanación activa, un registro de evidencia vivo, el programa de alfabetización del Artículo 4 lanzado, una lista de vigilancia de dos elementos con un responsable nominal |
Las fases dependen unas de otras en secuencia. No puedes clasificar lo que no has inventariado, no puedes analizar brechas de sistemas sin clasificar, y no puedes priorizar la subsanación sin un registro de brechas. No empieces por la mitad.
Semanas 1–2: construye o actualiza el registro de sistemas de IA
Ningún artículo concreto de la Ley exige por su nombre un registro interno, y sin embargo cada obligación posterior asume que existe uno. La clasificación, la asignación de roles y el alcance de la alfabetización empiezan todos aquí, por eso el registro recibe las dos primeras semanas para sí solo.
Qué necesita cada entrada del registro
Captura seis campos por sistema, como mínimo:
- Nombre del sistema y una descripción de una línea
- Responsable de negocio — una persona con nombre, no un departamento
- Finalidad prevista en lenguaje llano
- Construir o comprar, y el proveedor externo si se compra
- Hipótesis de rol — proveedor o responsable del despliegue, a confirmar en las semanas 3–4
- Estado del ciclo de vida — piloto, producción o retirado
La declaración de finalidad decide si la semana 3 funciona. La clasificación del Anexo III depende del contexto de uso, no de la tecnología. "Puntúa candidaturas entrantes de empleo para la preselección" clasifica con limpieza; "herramienta de automatización de RR. HH." no clasifica nada y convierte la fase de clasificación en adivinación.
Dónde se esconden los sistemas
Barre más allá de lo obvio. Los registros de compras, las notas de gastos y la TI en la sombra sacan a la luz sistemas que nadie declaró. Las funciones de IA integradas en herramientas de proveedores existentes (suites de RR. HH., puntuación de leads en el CRM, triaje de tickets de soporte) pertenecen al registro aunque nadie en tu empresa las llame "sistemas de IA".
El registro justifica sus dos semanas con creces. Más adelante alimenta el registro en la base de datos de la UE del Artículo 49 que los proveedores de sistemas de alto riesgo del Anexo III deben completar, y da alcance al programa de alfabetización del Artículo 4 en las semanas 9–12. Empieza desde la plantilla de registro de sistemas de IA en lugar de una hoja en blanco. El listón del entregable es un registro que el responsable nominal firmaría con su nombre.
Semanas 3–4: clasifica cada sistema y fija tu rol
La clasificación corre por dos vías. Cada sistema del registro toma una de ellas, o sale como no de alto riesgo con la salida documentada.
Vía 1: productos y componentes de seguridad — Artículo 6(1) y Anexo I
Un sistema es de alto riesgo bajo el Artículo 6(1) cuando es un producto, o un componente de seguridad de un producto, cubierto por la legislación de armonización de la Unión enumerada en el Anexo I y sujeto a evaluación de la conformidad por un tercero: máquinas, productos sanitarios, ascensores y demás. Si tu IA se embarca dentro de un producto regulado, esta es tu vía. Los capítulos 1–3 de esta guía recorren el método completo.
Vía 2: casos de uso autónomos — Artículo 6(2) y Anexo III
Los sistemas autónomos usados en las áreas del Anexo III (empleo, crédito, educación, servicios esenciales, aplicación de la ley y demás) son de alto riesgo bajo el Artículo 6(2). Existe un filtro. Bajo el Artículo 6(3), un sistema de un área del Anexo III escapa del estatus de alto riesgo solo si no plantea un riesgo significativo para la salud, la seguridad o los derechos fundamentales y no influye materialmente en el resultado de las decisiones. Si invocas el filtro, documenta la evaluación antes de que el sistema se introduzca en el mercado o se ponga en servicio (Artículo 6(4)). Ten en cuenta que el Artículo 49(2) sigue exigiendo a los proveedores registrar esa conclusión de no alto riesgo en la base de datos de la UE.
Usa el borrador de directrices como orientación — Artículo 6(5)
El borrador de directrices de clasificación de la Comisión bajo el Artículo 6(5), publicado el 19 de mayo de 2026, orienta esta fase: principios generales, la vía del Artículo 6(1)/Anexo I, y la vía del Artículo 6(2)/Anexo III con ejemplos prácticos de lo que entra y lo que queda fuera. La consulta específica está abierta hasta el 23 de junio de 2026, y se espera la versión final más adelante en 2026. Las directrices no son jurídicamente vinculantes (la interpretación autorizada corresponde al Tribunal de Justicia de la UE), así que atribuye cada influencia de clasificación al "borrador de directrices" y asume que el texto final puede cambiar.
Ese es el trabajo del registro de comprobación. Para cada sistema, anota si el borrador de directrices respalda o cuestiona tu clasificación, y agenda una nueva prueba para el día en que aterrice la versión final. Es el seguro más barato de todo el plan.
Proveedor o responsable del despliegue: decide por sistema — Artículos 16, 25 y 26
El rol se decide por sistema, no por empresa. La batería de proveedor del Artículo 16 y la batería de responsable del despliegue del Artículo 26 son cargas de trabajo muy distintas, y la misma empresa es habitualmente proveedor de un sistema y responsable del despliegue de otros cinco.
Vigila las trampas del Artículo 25. Poner tu nombre o marca en un sistema de alto riesgo, modificarlo sustancialmente o reorientar un sistema hacia un uso de alto riesgo convierte a un responsable del despliegue en proveedor, con toda la batería de proveedor adosada. Una herramienta de contratación de marca blanca es el ejemplo clásico.
Semanas 5–8: análisis de brechas frente a tu batería de obligaciones
Esta fase recibe cuatro semanas porque aquí está el volumen. Toma la clasificación y el rol de cada sistema de las semanas 3–4, mapea las obligaciones que se adhieren, y registra la distancia entre el estado requerido y el estado actual.
Mapea la batería por sistema y por rol — Artículos 9–15, 26 y 27
| Proveedor de un sistema de alto riesgo | Responsable del despliegue de un sistema de alto riesgo | |
|---|---|---|
| Deberes centrales | Artículos 9–15: sistema de gestión de riesgos, datos y gobernanza de datos, documentación técnica del Anexo IV, conservación de registros y logs, transparencia e instrucciones para los responsables del despliegue, supervisión humana, exactitud-robustez-ciberseguridad | Artículo 26: uso conforme a las instrucciones, supervisión humana competente, control de los datos de entrada, seguimiento, conservación de registros, información a la plantilla |
| Nivel de sistema | Artículo 17 sistema de gestión de la calidad; Artículo 43 evaluación de la conformidad; Artículo 49 registro en la base de datos de la UE | Artículo 27 evaluación de impacto en los derechos fundamentales, cuando proceda |
| Continuo | Artículos 72–73: vigilancia poscomercialización y notificación de incidentes graves | Seguimiento del funcionamiento y escalado de incidentes bajo el Artículo 26 |
El desencadenante del Artículo 27 es específico. La evaluación de impacto en los derechos fundamentales vincula a los organismos de Derecho público, a los operadores privados que prestan servicios públicos, y a los responsables del despliegue de sistemas del Anexo III punto 5(b) (solvencia y calificación crediticia) y del punto 5(c) (evaluación de riesgos y fijación de precios de seguros de vida y de salud).
Prioriza primero por plazo, luego por riesgo
Ordena las brechas por lo que muerde primero, con independencia del esfuerzo. Las obligaciones en vigor y a corto plazo encabezan la lista: cualquier exposición al Artículo 5 (en vigor ya, y que acarrea el techo de 35 millones de EUR o el 7% bajo el Artículo 99(3)), la alfabetización del Artículo 4 (ahora), los puntos de contacto con la IA de uso general (ahora), y la transparencia del Artículo 50 (2 de agosto de 2026). Luego vienen los elementos de alto riesgo de largo plazo, como la documentación técnica, la gestión de la calidad y la gobernanza de datos, que consumen la cuenta atrás hacia el 2 de diciembre de 2027. La mayoría de los incumplimientos de proveedores y responsables del despliegue se sitúan en el tramo del Artículo 99(4): hasta 15 millones de EUR o el 3% del volumen de negocio anual mundial, con un tope proporcional para las pymes y las empresas emergentes bajo el Artículo 99(6).
Ejecuta el método de análisis de brechas y captura los resultados en la plantilla de análisis de brechas. El listón del entregable es simple: cada brecha lleva un responsable, una fecha objetivo y una cita a la obligación que cierra. Una brecha sin referencia a un artículo es una opinión.
Semanas 9–12: subsana, construye disciplina de evidencia, cubre la alfabetización en IA
Cierra primero las brechas principales
Elige los objetivos de subsanación por la ordenación de plazo-y-riesgo de las semanas 5–8, no por la facilidad de completarlos. Las victorias rápidas que no cierran ninguna obligación con fecha son teatro. Una brecha del Artículo 50 medio cerrada vale más que tres cosméticas cerradas.
Disciplina de evidencia — Artículo 99(5)
Disciplina de evidencia significa que las decisiones se documentan en el momento en que se toman: memorandos de clasificación, evaluaciones del Artículo 6(3), determinaciones de rol, decisiones de aceptación de brechas. Reconstruir la evidencia a posteriori es más lento y menos creíble, y acarrea su propia exposición. El Artículo 99(5) convierte el facilitar información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades competentes en un tramo de sanción separado, de hasta 7,5 millones de EUR o el 1% del volumen de negocio anual mundial total. La evidencia construida sobre la marcha es la defensa. La preparación para auditorías cubre la visión orientada a auditoría de esa misma disciplina.
Alfabetización en IA del Artículo 4 — exigible ya, no en diciembre de 2027
El Artículo 4 se aplica desde el 2 de febrero de 2025 y no lo toca el Omnibus. Pertenece a este trimestre, no a uno posterior. Da alcance al programa directamente desde el registro: quién opera qué sistema, en qué rol, con qué formación técnica. Luego imparte una formación proporcionada y documentada. Consulta los requisitos de alfabetización en IA (en vigor ya) para el deber completo.
Antes del día 90, establece la lista de vigilancia: dos elementos, un responsable nominal. Primero, las directrices finales de clasificación del Artículo 6(5), cuya publicación desencadena la nueva prueba de cada clasificación registrada frente al borrador. Segundo, la publicación en el Diario Oficial del Omnibus — adoptado en junio de 2026 (Parlamento Europeo el 16 de junio, Consejo el 29 de junio) — que pone en vigor la fecha del 2 de diciembre de 2027.
Al final del trimestre, tienes cuatro entregables: brechas principales en marcha, registro de evidencia vivo, programa de alfabetización lanzado, lista de vigilancia con responsable.
Después del día 90: la cuenta atrás es tiempo de construcción, no colchón
Las fechas que no se mueven
El aplazamiento nunca tocó la mayor parte del calendario fijado por el Artículo 113. Prohibiciones del Artículo 5: en vigor desde el 2 de febrero de 2025. Obligaciones de IA de uso general (Artículos 51–55): en vigor desde el 2 de agosto de 2025. La mayoría de la transparencia del Artículo 50: 2 de agosto de 2026. Alfabetización del Artículo 4: ahora. El Omnibus también añadió una nueva fecha fija, el 2 de diciembre de 2026, para la prohibición del material de abuso sexual infantil / "desnudadores" y los deberes de marcado de contenidos y marca de agua.
Un punto importa para la planificación. Las nuevas fechas son fechas de calendario fijas. La propuesta de "parar el reloj", que habría atado el aplazamiento a la disponibilidad de normas armonizadas, fue rechazada. Nunca planifiques como si el calendario flotase sobre las normas.
Cómo es el siguiente trimestre
El 2 de diciembre de 2027 se consume rápido porque el trabajo restante es de largo plazo. Los sistemas de gestión de la calidad, la documentación técnica del Anexo IV, la gobernanza de datos y la evaluación de la conformidad del Artículo 43 son construcciones que se miden en trimestres, no en semanas. Una empresa que arranca en el tercer trimestre de 2026 pasa toda la cuenta atrás construyendo, no esperando. El siguiente trimestre alberga la subsanación profunda del registro de brechas restante, la preparación de la evaluación de la conformidad, y la nueva prueba de clasificación una vez aterricen las directrices finales.
La decisión que tienes delante: nombra esta semana al único responsable rendidor de cuentas, reserva el trimestre en el calendario, y empieza por el registro el primer día. Todo lo de esta guía se comprime en esa frase.
¿Listo para ejecutar el plan de este trimestre en un solo sitio? Consulta los precios de Confir y empieza en autoservicio.
Cómo ayuda Confir
El módulo de Clasificación de Riesgos y Cumplimiento de Confir ejecuta este trimestre como un único flujo de trabajo estructurado: el registro de sistemas de IA como una recogida guiada, la clasificación frente al Artículo 6 y el Anexo III con una conclusión documentada por sistema, la asignación de roles incluyendo los casos límite del Artículo 25, y un registro de brechas atado a referencias de artículos y plazos. El motor de síntesis es determinista y basado en reglas. Las mismas respuestas de recogida producen la misma conclusión, usando la misma lógica cada vez, sin inferencia de modelos y sin alucinaciones, y cada conclusión nombra la regla que se activó. Los memorandos de clasificación y los registros de comprobación de las semanas 3–4 salen como artefactos listos para auditoría en lugar de texto libre, y el registro de evidencia de las semanas 9–12 se construye solo a medida que se registran las decisiones, que es exactamente la disciplina que el Artículo 99(5) recompensa.
Preguntas frecuentes
¿Cuándo se aplican las obligaciones de alto riesgo de la Ley de IA de la UE? Los sistemas de alto riesgo autónomos del Anexo III se aplican desde el 2 de diciembre de 2027. El Digital Omnibus — adoptado en junio de 2026 (Parlamento Europeo el 16 de junio, Consejo el 29 de junio) — aplazó esa fecha desde el 2 de agosto de 2026 original, y movió la vía del Anexo I integrada en productos del 2 de agosto de 2027 al 2 de agosto de 2028. Entra en vigor con su publicación en el Diario Oficial, una formalidad que no cambia las fechas.
¿Se ha retrasado la Ley de IA de la UE? Solo en parte. Los plazos de alto riesgo se movieron bajo el Digital Omnibus, adoptado en junio de 2026, pero las prohibiciones del Artículo 5 se aplican desde el 2 de febrero de 2025, las reglas de IA de uso general desde el 2 de agosto de 2025, la alfabetización en IA del Artículo 4 está en vigor, y la mayoría de los deberes de transparencia del Artículo 50 siguen empezando el 2 de agosto de 2026. El marcado de contenidos recibe una nueva fecha fija del 2 de diciembre de 2026 — las fechas son de calendario fijo, no contingentes de las normas.
¿Necesito un registro de sistemas de IA bajo la Ley de IA de la UE? Ningún artículo concreto exige un registro interno, pero no puedes clasificar sistemas bajo el Artículo 6, asignar roles de proveedor o responsable del despliegue, ni dar alcance a la alfabetización en IA del Artículo 4 sin uno. Los proveedores de sistemas de alto riesgo del Anexo III deben registrarse por separado en la base de datos de la UE bajo el Artículo 49. En la práctica, el registro es el primer entregable de cualquier trimestre de cumplimiento — las semanas uno y dos de este plan.
¿Cuánto tarda el cumplimiento de la Ley de IA de la UE? Un trimestre enfocado cubre la base: registro (semanas 1–2), clasificación (semanas 3–4), análisis de brechas (semanas 5–8) y primera subsanación (semanas 9–12). La construcción completa de alto riesgo — gestión de riesgos, documentación técnica del Anexo IV, gestión de la calidad, evaluación de la conformidad — suele extenderse varios trimestres más, por lo que la cuenta atrás hacia el 2 de diciembre de 2027 es tiempo de construcción, no colchón.
¿Cuáles son las sanciones por incumplimiento de la Ley de IA de la UE? Tres tramos bajo el Artículo 99: hasta 35 millones de EUR o el 7% del volumen de negocio anual mundial por prácticas prohibidas bajo el Artículo 5; hasta 15 millones de EUR o el 3% por la mayoría de las demás obligaciones; y hasta 7,5 millones de EUR o el 1% por facilitar información incorrecta, incompleta o engañosa a las autoridades. Las pymes y las empresas emergentes se benefician de un tope proporcional bajo el Artículo 99(6).
¿Son jurídicamente vinculantes las directrices de clasificación de alto riesgo de la Comisión? No. El borrador de directrices bajo el Artículo 6(5), publicado el 19 de mayo de 2026, es orientación práctica, no ley — la interpretación autorizada de la Ley de IA de la UE corresponde al Tribunal de Justicia de la UE. La consulta específica está abierta hasta el 23 de junio de 2026 y se espera la versión final más adelante en 2026, así que registra qué clasificaciones respalda el borrador y vuelve a probarlas cuando aterrice el texto final.
¿Se aplica ya el requisito de alfabetización en IA de la Ley de IA de la UE? Sí. El Artículo 4 se aplica desde el 2 de febrero de 2025 y no lo toca el acuerdo del Digital Omnibus. Los proveedores y los responsables del despliegue deben garantizar un nivel suficiente de alfabetización en IA entre el personal y las demás personas que operen sistemas de IA en su nombre, teniendo en cuenta el conocimiento técnico, el contexto y las personas afectadas. Pertenece al plan de este trimestre, no a uno posterior.
Guías relacionadas
- La Guía de Alto Riesgo de la Ley de IA de la UE — todos los capítulos
- Capítulo 1: Qué cuenta como alto riesgo
- Capítulo 7: Plazos del alto riesgo
- El método de evaluación de preparación
- El método de análisis de brechas
- La plantilla de registro de sistemas de IA
- Requisitos de alfabetización en IA (en vigor ya)