¿Qué es una plataforma de cumplimiento de IA en autoservicio? La definición del comprador para prepararte ante el Reglamento de IA
Qué es una plataforma de cumplimiento de IA en autoservicio, por qué encaja con equipos reducidos y las cuatro funciones que debe cubrir.
Una plataforma de cumplimiento de IA en autoservicio es un software que una empresa puede contratar, configurar y usar para operativizar sus obligaciones del Reglamento de IA de la UE, sin demostración obligatoria, sin llamada comercial y sin un consultor en nómina. Lo que la define no es la lista de funciones. Es el modo de comprarla y de operarla: precios publicados, alta autoguiada y un resultado real esa misma semana, en lugar de una implantación de seis a doce meses. Como mínimo, una plataforma así tiene que hacer cuatro cosas, vinculadas al Reglamento (UE) 2024/1689: inventariar, clasificar, documentar, supervisar.
Esta página define la categoría: qué significa el «autoservicio» como modelo de compra y operación, por qué encaja con equipos de cumplimiento reducidos, los cuatro pilares funcionales que una plataforma debe ofrecer, cómo se compara este modelo con la consultoría y con las suites empresariales bloqueadas tras una demo, y los plazos que marcan tu ritmo.
Qué significa de verdad una «plataforma de cumplimiento de IA en autoservicio»
Una categoría definida por el modo de compra, no solo por la lista de funciones
La mayoría del software de cumplimiento se describe por lo que contiene: registros, clasificadores, plantillas de documentación. Una plataforma de cumplimiento de IA en autoservicio se describe mejor por cómo la adquieres y la pones en marcha. Te das de alta contra un precio publicado, te incorporas por tu cuenta y produces un primer resultado en menos de una semana. No hay ningún trámite de compras entre tú y tu primera entrada en el registro de sistemas de IA. Ese modo es el atributo que define la categoría, y tiene consecuencias directas sobre cómo se cumple la obligación.
Autoservicio frente a consultoría frente a suite empresarial bloqueada tras demo
Tres modelos de entrega cubren el mercado de herramientas para el Reglamento de IA, y se diferencian por categoría, no por ningún proveedor concreto. La consultoría es asesoría: un experto a tarifa por jornada evalúa tus sistemas y te devuelve un informe en un momento dado. Las suites empresariales de gobernanza bloqueadas tras demo son de venta dirigida: precio bajo presupuesto, demostración obligatoria y un despliegue con varias partes interesadas que se mide en trimestres. Las plataformas en autoservicio quedan aparte: te das de alta y empiezas. Ninguna es universalmente superior, pero no son intercambiables, y esa distinción es el tema de esta página.
Por qué el «autoservicio» es un rasgo de cumplimiento, no solo de venta
La tentación es leer «autoservicio» como una versión más barata y ligera de la suite empresarial. No lo es. Es un modelo operativo distinto. En una consultoría, el consultor dirige el inventario, la clasificación y la documentación, y luego se marcha. En un modelo de autoservicio, los dirige tu equipo, y la plataforma aporta la estructura. Eso cambia quién entiende el trabajo. Como la empresa opera la plataforma directamente, las personas que acaban firmando las declaraciones son las mismas que vieron por qué se llegó a cada conclusión, que es justo lo que hace defendible una conclusión cuando una autoridad pregunta.
Por qué el modelo de autoservicio encaja con equipos de cumplimiento reducidos
La obligación no se reduce con el tamaño, pero el equipo suele ser pequeño
Los deberes del Reglamento de IA nacen de dos cosas: tu papel como agente —proveedor según el artículo 16, responsable del despliegue según el artículo 26— y la clase de riesgo de cada sistema según el artículo 6. No nacen de la plantilla ni del presupuesto. Una función de cumplimiento de cuatro personas en una empresa de 40 carga con el mismo texto legal que una de 40 personas en una multinacional. La obligación no encoge; el recurso sí. Esa asimetría es el argumento a favor del autoservicio: el software aporta la estructura que un equipo pequeño no puede construir desde cero.
Bajo un plazo, el tiempo hasta el primer registro gana a la amplitud de funciones
Bajo una fecha regulatoria fija, la métrica que importa es el tiempo hasta el primer registro, no la longitud de la lista de funciones. Un ciclo de compras con demo obligatoria y precio bajo presupuesto puede consumir un trimestre antes de que exista tu primera entrada en el registro de sistemas de IA. Un equipo reducido que afronta el 2 de diciembre de 2027 no puede permitirse gastar un tercio de su margen en llamadas con proveedores. El alta en autoservicio elimina ese bloqueo: dimensionas el gasto, consigues la aprobación interna contra un precio publicado y empiezas el registro esta misma semana.
El modelo de autoservicio también mantiene la obligación dentro de casa y de forma continua. El registro, la clasificación y las evidencias se quedan vivos y bajo tu control, en lugar de cederse a un consultor y quedar obsoletos el día en que se entrega el informe. El cumplimiento del Reglamento de IA no es una evaluación puntual: es un deber operativo continuo, y la titularidad es el punto clave.
Dónde termina el autoservicio y empieza el asesoramiento jurídico
El autoservicio no afirma que nunca vayas a necesitar un abogado. Sé preciso con el límite. El software de autoservicio operativiza las obligaciones repetibles y continuas: el registro, la clasificación del artículo 6, la documentación y la supervisión. El asesoramiento jurídico se reserva para el juicio legal genuino: si un argumento de no alto riesgo del artículo 6(3) se sostiene de verdad, o si un caso de uso límite cae dentro del anexo III. Los dos son complementarios, no alternativos. La mayoría de las empresas necesitan ambos: la plataforma para el trabajo operativo continuo, un abogado para los casos límite.
Las cuatro cosas que una plataforma de cumplimiento de IA en autoservicio debe hacer
Una plataforma se gana el nombre de la categoría ofreciendo cuatro pilares funcionales, cada uno vinculado al Reglamento. Todo lo que se quede corto en cualquiera de los cuatro está incompleto.
Inventariar: el registro de sistemas de IA como columna vertebral — artículo 6
Todo cuelga de un registro de sistemas de IA vivo: cada sistema de IA que proveas o despliegues, listado en un solo lugar. Sin él, no puedes clasificar, no puedes asignar obligaciones por sistema y no puedes producir evidencias. El registro es la columna vertebral y lo primero que una plataforma en autoservicio debería permitirte levantar. Nada más puede empezar hasta que existe.
Clasificar: la prueba de riesgo contra el anexo III, con el razonamiento del artículo 6(3) recogido
Para cada sistema, aplica la prueba de alto riesgo del artículo 6 contra la lista de casos de uso del anexo III —empleo y gestión de trabajadores, acceso a servicios esenciales, solvencia crediticia, biometría y las demás áreas listadas—. Cuando argumentas que un sistema no es de alto riesgo, el artículo 6(3) no te deja simplemente anotar una etiqueta: exige que la evaluación se documente con su fundamento. Una plataforma que recoge solo el veredicto, y no el razonamiento que hay detrás, suspende la prueba en cuanto una autoridad pregunta por qué.
Documentar: el expediente técnico del anexo IV y la EIDF del artículo 27 donde proceda
Los proveedores de sistemas de alto riesgo deben elaborar la documentación técnica del anexo IV según el artículo 11: un expediente técnico estructurado, no un resumen en PDF. Por separado, ciertos responsables del despliegue deben completar una evaluación de impacto relativa a los derechos fundamentales (EIDF) según el artículo 27 antes de poner un sistema en uso. Una plataforma en autoservicio debería generar ambos como registros estructurados y versionados, con el conjunto de obligaciones específico del papel derivado por sistema, en lugar de dejarte calcularlo a mano.
Supervisar: vigilancia poscomercialización y notificación de incidentes — artículos 72 y 73
El cumplimiento no termina al salir a producción. El artículo 72 exige que los proveedores de sistemas de alto riesgo establezcan y mantengan un sistema de vigilancia poscomercialización durante toda la vida operativa del sistema. El artículo 73 rige la notificación de incidentes graves a las autoridades de vigilancia del mercado dentro de los plazos definidos. Una plataforma que se detiene en la clasificación es solo media plataforma: las obligaciones poscomercialización corren mientras el sistema esté en uso.
Atravesando los cuatro pilares hay un requisito único: evidencias listas para auditoría, con sello temporal y exportables. Cada obligación vale tanto como el registro que la respalda. Estas cuatro son el mínimo que define la categoría —lo que la plataforma «debe hacer»—, no una lista de selección de proveedor de treinta filas. Esa comparación va en otra página; esto es el suelo.
Autoservicio frente a consultoría frente a empresa: una comparación lado a lado
Cómo leer la comparación: modo, titularidad, tiempo hasta el valor, encaje
Los tres modelos de entrega se diferencian en la práctica a lo largo de cinco dimensiones. La tabla siguiente describe el modo de venta y el modelo operativo de cada uno —a nivel de categoría y verificable—, sin inventar precios de competidores ni nombrar proveedores.
| Dimensión | Plataforma en autoservicio | Consultoría | Suite empresarial bloqueada tras demo |
|---|---|---|---|
| Modo de compra | Alta, precio publicado | Propuesta más tarifas por jornada | Demo más precio bajo presupuesto |
| Quién hace el trabajo | Tu equipo, con estructura de la plataforma | El consultor | Tu equipo, tras una implantación larga |
| Tiempo hasta la primera entrada en el registro | Esta semana | Semanas para agendar | Tras la incorporación |
| Continuidad | Viva y bajo tu control | Informe en un momento dado | Continua pero pesada |
| Mejor encaje | Equipos reducidos que necesitan empezar ya | Juicio puntual de casos límite | Grandes carteras reguladas con muchos marcos |
Por qué ningún modelo es universalmente «el mejor»
El modelo correcto depende de tres variables: tamaño del equipo, urgencia y cuántos sistemas de IA hay en alcance. Un equipo reducido bajo un plazo cercano con un puñado de sistemas es el caso de manual para el autoservicio. Una gran empresa regulada que ejecuta decenas de marcos junto al Reglamento de IA puede necesitar de verdad la amplitud de una suite empresarial. Una única clasificación límite —¿este caso de uso cae dentro del anexo III?— puede justificar la tarifa por jornada de un consultor y nada más. En la práctica, los modelos se combinan: una plataforma en autoservicio para las obligaciones continuas, con asesoramiento jurídico a mano para los casos límite.
Ejemplo práctico: cómo una empresa de 40 personas usa una plataforma en autoservicio
El planteamiento: Lumora Talent, una empresa de software de reclutamiento
Imagina Lumora Talent, una empresa de tecnología de RR. HH. de 40 personas. Vende una herramienta de cribado de candidaturas a sus clientes y, además, usa internamente varias herramientas de IA de terceros: un asistente de agendas y un resumidor de notas de reuniones. No tiene equipo jurídico interno y cuenta con una función de cumplimiento y TI de dos personas. Una consultoría consumiría casi un trimestre; una suite empresarial, más. Lumora elige una plataforma en autoservicio.
Semana uno: inventariar, clasificar, asignar papeles
Paso 1 — inventariar. Lumora se da de alta sin demostración y levanta su registro de sistemas de IA, listando cada sistema de IA que provee y cada uno que despliega.
Paso 2 — clasificar. Su herramienta de cribado pasa la prueba del artículo 6 contra los casos de uso de empleo y gestión de trabajadores del anexo III y resulta de alto riesgo. Se argumenta que su asistente de agendas interno no es de alto riesgo, y según el artículo 6(3) la plataforma recoge el razonamiento con su fundamento, no solo la etiqueta de «no alto riesgo».
Paso 3 — asignar papeles. Lumora es proveedor según el artículo 16 para la herramienta de cribado que vende, y responsable del despliegue según el artículo 26 para las herramientas de terceros que usa internamente. La plataforma deriva ambos conjuntos de obligaciones, por sistema, en lugar de dejar que Lumora desenrede qué deberes corresponden a cada papel.
Hasta la puesta en producción: documentar y, después, supervisar
Paso 4 — documentar. Como proveedor de la herramienta de cribado de alto riesgo, Lumora construye el expediente técnico del anexo IV según el artículo 11. Una EIDF según el artículo 27 es una obligación del responsable del despliegue que aplica a casos concretos —organismos públicos, solvencia crediticia, seguros de vida y de salud—, así que Lumora comprueba si alguno de sus despliegues cumple los supuestos en lugar de suponer que todo uso de reclutamiento la activa. Ninguno de sus despliegues internos cae en esas categorías, así que registra esa comprobación y sigue adelante.
Paso 5 — supervisar. Tras la puesta en producción, Lumora mantiene su vigilancia poscomercialización del artículo 72 y está lista para cumplir los plazos de notificación de incidentes del artículo 73, todo sin un consultor llevando el día a día. Cada paso fue autoguiado; el plazo, y no el calendario de un proveedor, marcó el ritmo.
Los plazos que marcan tu ritmo
Qué está en vigor ahora: prohibiciones, alfabetización en IA, GPAI
Ya aplican tres conjuntos de obligaciones. Las prohibiciones del artículo 5 están en vigor desde el 2 de febrero de 2025. La alfabetización en IA del artículo 4 —garantizar que el personal que opera sistemas de IA en tu nombre tiene competencia suficiente— aplica desde la misma fecha. Las obligaciones sobre modelos de IA de uso general (GPAI) de los artículos 51-55 aplican desde el 2 de agosto de 2025, aunque las herramientas completas para proveedores de GPAI en el mercado siguen siendo parciales y están en la hoja de ruta, no terminadas.
Dos fechas fijas de calendario llegan más adelante en 2026 al margen del calendario de alto riesgo: una nueva prohibición de material de abuso sexual infantil (CSAM) y «desnudadores», y las obligaciones de marcado de contenidos y marca de agua del artículo 50, ambas con efecto el 2 de diciembre de 2026. No dependen de normas.
Fechas de alto riesgo: el calendario tras el Ómnibus Digital
La ley fija el 2 de agosto de 2026 para los sistemas de alto riesgo autónomos del anexo III según el artículo 6(2), y el 2 de agosto de 2027 para los sistemas integrados en productos del anexo I según el artículo 6(1).
El Ómnibus Digital, adoptado con el voto final del Parlamento Europeo el 16 de junio de 2026 y la adopción del Consejo el 29 de junio de 2026, aplaza el alto riesgo del anexo III al 2 de diciembre de 2027 y el anexo I al 2 de agosto de 2028. El paquete entra en vigor con su publicación en el Diario Oficial de la UE, prevista antes del 2 de agosto de 2026; esa publicación es un trámite pendiente, pero las fechas de aplicación ya están asentadas. Planifica con el 2 de diciembre de 2027 como fecha de aplicación del alto riesgo autónomo del anexo III.
Dos puntos que merece la pena retener: el aplazamiento son fechas fijas de calendario, y se rechazó la variante «parar el reloj» supeditada a normas, que habría atado el retraso a que las normas armonizadas estuvieran listas. Y no todo se aplaza: las prohibiciones, la alfabetización en IA, la GPAI y las fechas de diciembre de 2026 se mantienen al margen.
Planifica con el 2 de diciembre de 2027 como fecha de aplicación
| Obligación | Estado a junio de 2026 | Fecha de aplicación |
|---|---|---|
| Prohibiciones del artículo 5 | En vigor | 2 de febrero de 2025 |
| Alfabetización en IA del artículo 4 | En vigor | 2 de febrero de 2025 |
| Modelos GPAI (artículos 51-55) | En vigor | 2 de agosto de 2025 |
| Prohibición CSAM / marcado de contenidos del artículo 50 | Fijo | 2 de diciembre de 2026 |
| Alto riesgo anexo III (artículo 6(2)) | Aplazado (Ómnibus Digital, adoptado) | 2 de diciembre de 2027 |
| Integrado en productos anexo I (artículo 6(1)) | Aplazado (Ómnibus Digital, adoptado) | 2 de agosto de 2028 |
La relevancia para el autoservicio es directa: una plataforma que sigue el plazo aplicable por sistema —y lo actualiza en cuanto el Ómnibus Digital se publique en el Diario Oficial— te quita la carga de vigilar tú mismo el proceso legislativo. Una preparación temprana, de bajo coste y en autoservicio gana de forma consistente a una carrera de última hora contra una fecha que no puedes mover.
Cómo ayuda Confir
Confir es una plataforma de cumplimiento del Reglamento de IA en autoservicio y con precios transparentes, pensada para responsables de cumplimiento, jurídico y TI: puedes levantar el registro de sistemas de IA y ejecutar una primera clasificación sin demostración ni ciclo de compras.
Confir se asigna a los cuatro pilares. Inventariar: el registro de sistemas de IA por cada sistema y papel. Clasificar: la prueba del artículo 6 contra el anexo III, recogiendo el razonamiento del artículo 6(3) y derivando tu papel —proveedor del artículo 16 o responsable del despliegue del artículo 26— por sistema. Documentar: el expediente técnico del anexo IV según el artículo 11, y la EIDF del artículo 27 para los responsables del despliegue que cumplan los supuestos. Supervisar: la vigilancia poscomercialización del artículo 72 y los flujos de incidentes del artículo 73. Los cuatro se asientan sobre un rastro de evidencias versionado y listo para auditoría, diseñado para resistir la revisión de una autoridad o de un cliente.
El motor de síntesis es determinista y basado en reglas: la misma entrada produce el mismo mapeo de obligaciones siempre, atado directamente al texto del artículo y del anexo — sin inferencia de modelos, sin alucinaciones. Esa reproducibilidad es lo que hace defendible una conclusión cuando firmas una declaración: la regla que se activó es trazable y citable, no una puntuación opaca que varía de una ejecución a otra.
Una nota sobre el alcance, en términos sencillos: el flujo para proveedores de GPAI (artículos 51-55) es parcial y está en la hoja de ruta. Confir no afirma cumplir por completo como proveedor de GPAI. La tesis de la categoría se mantiene en todo momento: software de autoservicio para las obligaciones repetibles, con asesoramiento jurídico reservado para los casos límite genuinos.
Guías relacionadas
- La guía del comprador en autoservicio para empresas más pequeñas
- Compara software del Reglamento de IA por cobertura de obligaciones
- Cuánto cuesta el software de cumplimiento del Reglamento de IA
- Ejecuta una evaluación de preparación para acotar tus sistemas
- Visión general de la gobernanza de la IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →