Plantillas de la Ley de IA de la UE: puntos de partida gratuitos para tu documentación

La Ley de IA de la UE no te pide redactar ensayos. Te pide conservar registros: un sistema de gestión de riesgos conforme al artículo 9, documentación técnica conforme al artículo 11, registros automáticos conforme al artículo 12, un informe de incidente conforme al artículo 73 cuando algo sale gravemente mal. Casi todos los equipos se atascan en el mismo punto: saben que la obligación existe, pero no saben qué aspecto debe tener el documento sobre el papel.

Esta sección existe para eliminar ese primer bloqueo. Cada plantilla es un punto de partida gratuito y estructurado para uno de los documentos que exige el Reglamento: los epígrafes, los campos, las preguntas que tienes que responder y el artículo o anexo del que depende el documento. La copias, la rellenas con tu propio sistema y la mantienes.

Está pensada para quien ha recibido el encargo del cumplimiento de la IA y una página en blanco: el responsable de cumplimiento, el propietario del producto, el ingeniero que escribe la primera descripción honesta de lo que hace realmente un modelo, la persona fundadora que necesita una política antes de que se la pida el departamento de compras de un cliente.

Qué plantilla responde a qué obligación

Las plantillas se organizan por obligaciones, no por perfiles profesionales. El mapeo es lo verdaderamente útil:

Algunas plantillas no responden a ningún artículo concreto. Un inventario de sistemas de IA, un cuestionario para proveedores, un análisis de brechas o una política interna de IA no son obligaciones nombradas en el Reglamento. Son los instrumentos de trabajo que hacen alcanzables las obligaciones que sí lo son. No puedes redactar la documentación del Anexo IV de un sistema que no has inventariado, ni responder por un modelo de terceros al que nunca hiciste preguntas.

Por dónde empezar, con honestidad

Empieza por un inventario de sistemas de IA, antes que por cualquier política. Casi todas las obligaciones posteriores son por sistema: la clasificación es por sistema, la documentación técnica es por sistema, la notificación de incidentes es por sistema. Hasta que no sepas qué tienes, todo lo demás son conjeturas sobre un denominador desconocido.

Después, clasifica. El artículo 6 y el Anexo III deciden si el bloque pesado de obligaciones se aplica siquiera. Una herramienta interna de riesgo mínimo no necesita un expediente del Anexo IV. Redactarlo de todos modos no es prudencia: son meses desperdiciados. La clasificación te dice qué plantillas te conciernen y cuáles no.

A partir de ahí, trabaja hacia fuera desde la clasificación. Si un sistema es de alto riesgo, el registro de riesgos del artículo 9 y el expediente del Anexo IV son la columna vertebral, y todo lo demás cuelga de ellos. Si un sistema solo activa el artículo 50 —un chatbot, contenido generado, categorización biométrica—, un aviso de transparencia puede ser realmente toda tu obligación documental.

Dos fechas marcan la presión. Los sistemas autónomos de alto riesgo enumerados en el Anexo III deben cumplir antes del 2 de diciembre de 2027. La IA de alto riesgo integrada como componente de seguridad en un producto regulado del Anexo I tiene hasta el 2 de agosto de 2028. Dos obligaciones ya están vigentes: las prohibiciones del artículo 5 y el deber de alfabetización en materia de IA del artículo 4 se aplican desde el 2 de febrero de 2025. La transparencia general del artículo 50 se aplica desde el 2 de agosto de 2026, y el deber de marcado de contenidos del artículo 50, apartado 2, desde el 2 de diciembre de 2026: una fecha distinta, que a menudo se confunde con la del Anexo III.

Qué puede y qué no puede hacer una plantilla

Una plantilla es una estructura de partida. No es prueba, y conviene ser tajante con esa diferencia.

El Anexo IV no pide un documento. Pide una descripción exacta de un sistema concreto: su arquitectura, sus datos de entrenamiento, su rendimiento probado, sus limitaciones conocidas. Una plantilla te da los epígrafes de esa descripción. No puede aportar el contenido, y el contenido es toda la sustancia de la obligación. Una plantilla rellenada que describe un sistema que en realidad no operas es peor que nada ante una autoridad de vigilancia del mercado.

El límite de fondo es el tiempo. El artículo 9 define el sistema de gestión de riesgos como un proceso continuo e iterativo a lo largo de todo el ciclo de vida. El artículo 11 exige mantener actualizada la documentación técnica. El artículo 72 exige vigilancia una vez el sistema está en el mercado. Un documento estático queda obsoleto en el momento en que el sistema cambia: un modelo reentrenado, una nueva fuente de datos, una finalidad prevista ampliada, y tu expediente describe algo que ya no existe. Conforme al artículo 25, una modificación sustancial puede incluso cambiar quién eres: un responsable del despliegue que altera materialmente un sistema de alto riesgo pasa a ser su proveedor, con todas las obligaciones del proveedor.

Así que trata estas plantillas como andamiaje de un registro vivo, no como un entregable que se termina. El documento vale exactamente lo que valga su exactitud el día en que lo lea un regulador.

Cómo ayuda Confir

Confir convierte estos documentos en registros que se mantienen al día. La entrada guiada de datos y la clasificación automática basada en reglas frente al artículo 6 y el Anexo III determinan qué obligaciones se aplican realmente a cada sistema y ajustan los controles en consecuencia. La documentación técnica del Anexo IV, el registro de gestión de riesgos del artículo 9, la transparencia del artículo 50, la declaración UE de conformidad, la vigilancia poscomercialización del artículo 72 y la notificación de incidentes del artículo 73 se generan a partir de los datos vivos de tus sistemas y se versionan en un registro de auditoría inalterable conforme al artículo 12. El motor es determinista y basado en reglas, y todo está alojado en la UE. Las plantillas que figuran a continuación son gratuitas, uses o no el producto.