42 comprobaciones para saber qué te exige hoy el AI Act — y qué no, porque el Ómnibus aplazó media norma.
El 2 de agosto entró en vigor la parte de transparencia del AI Act. Nueve días antes, el Reglamento (UE) 2026/1744 había aplazado el alto riesgo a diciembre de 2027 — y casi nadie lo contó. Resultado: te toca hacer menos de lo que crees, y le toca a mucha más gente de la que cree.
Responde sí o no a los 42 puntos. Cada no es una tarea. Cada punto te dice además qué documento genera al resolverlo, porque en cumplimiento lo que vale no es haberlo hecho: es poder demostrarlo. Tu progreso se guarda en este navegador.
No es asesoramiento jurídico. Soy CTO de una empresa de software que está pasando esto ahora mismo, y cada punto cita el articulado para que puedas comprobarlo. Estado normativo a 13 de agosto de 2026. Para cualquier dictamen, un abogado. El detalle de cada bloque, en el artículo.
Las plantillas, en tu correo
El checklist te dice qué falta. Las plantillas te lo resuelven.
Registro de formación del artículo 4, política de uso responsable de IA e inventario de sistemas: los tres documentos que la ley pide y que casi nadie tiene. Los estoy preparando para mi propia empresa este mes. Apúntate y te llegan cuando estén.
¿Tienes una lista escrita de todos los sistemas de IA que la empresa usa internamente, incluidos los que vienen dentro de otras herramientas (correo, CRM, soporte, RRHH, editor de código)?
Qué evidencia genera: Un inventario en una hoja. Es la base de todo lo demás: sin él no puedes decidir tu rol en cada sistema.
A.2
Funciones de IA que ofrecéis fuera
¿Tienes una lista escrita de todas las funciones de IA que tu producto ofrece a clientes?
Qué evidencia genera: La misma hoja, segunda pestaña. Determina en qué casos eres proveedor.
A.3
Uso propio o marca propia
¿Para cada sistema has anotado si tu empresa lo usa o lo ofrece bajo su marca?
Qué evidencia genera: La columna que decide el rol. Art. 3.3 y 3.4.
A.4
Dónde están los clientes
¿Has anotado si cada función la usan clientes de la UE, de fuera, o ambos?
Qué evidencia genera: Necesario para el art. 2.1, aunque rara vez te saque del ámbito.
A.5
Construido o integrado
¿Distingues cuáles has construido tú y cuáles solo integras?
Qué evidencia genera: Marca la frontera del art. 25: integrar bajo tu marca también te hace proveedor.
Bloque B de I
Formación
Obligación viva desde febrero de 2025 — art. 4.
B.1
Formación impartida
¿Todas las personas que usan IA en su trabajo han recibido formación sobre cómo funciona, qué limitaciones tiene y qué no deben hacer con ella?
Qué evidencia genera: Acta o resumen de la sesión.
B.2
Freelances y contractors
¿Cubre también a freelances y contractors que trabajan por cuenta de la empresa, vivan donde vivan?
Qué evidencia genera: Lista de externos con acceso a herramientas de IA.
B.3
Registro documental
¿Queda registro de quién la recibió y cuándo: fecha, asistentes, contenido?
Qué evidencia genera: El documento que la ley pide de verdad. Sin esto, la formación no consta.
B.4
Repetición
¿Se repite cuando entra alguien nuevo o se adopta una herramienta nueva?
Qué evidencia genera: Un punto en el proceso de onboarding.
B.5
Política de uso
¿Existe un documento interno, aunque sea de dos páginas, que diga qué se puede y qué no se puede hacer con IA?
Qué evidencia genera: Política de uso responsable de IA.
Bloque C de I
Líneas rojas
Obligación viva desde febrero de 2025 — art. 5. Son prohibiciones, no requisitos.
C.1
Emociones de empleados o candidatos
¿Has verificado que ninguna herramienta deduce el ánimo, el estrés o las emociones de empleados o candidatos?
Qué evidencia genera: Nota de verificación por herramienta. Art. 5.1.f — alcanza el análisis de sentimiento sobre llamadas, vídeos de entrevista y mensajes internos a partir de datos biométricos.
C.2
Puntuación social
¿Ninguna función puntúa o clasifica a personas por su comportamiento social causándoles trato desfavorable en contextos no relacionados?
Qué evidencia genera: Revisión de las funciones de scoring del producto.
C.3
Reconocimiento facial por raspado
¿No usáis ni vendéis reconocimiento facial construido con raspado masivo de imágenes de internet o de cámaras?
Qué evidencia genera: Confirmación del origen de los datos de entrenamiento del proveedor.
C.4
Inferencia de categorías protegidas
¿Ninguna función deduce raza, opiniones políticas, afiliación sindical, creencias, vida sexual u orientación a partir de datos biométricos?
Qué evidencia genera: Revisión de los campos derivados que genera el sistema.
C.5
Fecha para lo no comprobado
Si alguna respuesta es NO porque «no lo he mirado»: ¿tienes fecha puesta para mirarlo?
Qué evidencia genera: Una entrada en el calendario. Cuenta como diligencia.
Bloque D de I
Transparencia
Obligación viva desde el 2 de agosto de 2026 — art. 50. Es la que se comprueba entrando en tu web.
D.1
Aviso en el chatbot
Cuando un usuario habla con un chatbot tuyo, ¿se le dice que habla con una IA sin que tenga que preguntarlo?
Qué evidencia genera: Captura de la primera interacción.
D.2
También los bots internos
¿Vale también para los bots internos (soporte, base de conocimiento, triage)?
Qué evidencia genera: Las Guidelines C(2026) 5054 §3.2.1 eximen el asistente interno si el personal está formado. Sin formación documentada, no hay excepción.
D.3
Marcado legible por máquina
Si tu producto genera texto, imagen, audio o vídeo, ¿la salida va marcada como generada artificialmente en formato legible por máquina?
Qué evidencia genera: Art. 50.2, y este no tiene excepción de obviedad. Plazo para lo ya en servicio: 2-dic-2026.
D.4
Contenido que parece real
Si publicáis contenido que pueda parecer una persona o un hecho real, ¿se indica que es sintético?
Qué evidencia genera: Art. 50.4. No obliga a etiquetar todo el marketing: cubre deepfakes y textos sobre asuntos de interés público.
D.5
En la primera interacción
¿Esa información aparece la primera vez que el usuario interactúa, y no enterrada en los términos?
Qué evidencia genera: Art. 50.5.
D.6
Accesible
¿Es accesible (contraste, lectores de pantalla), no solo un icono?
Qué evidencia genera: Requisito expreso del art. 50.
Bloque E de I
¿Eres proveedor sin saberlo?
El bloque que más sorpresas da.
E.1
Marca propia sobre modelo ajeno
¿Vendes o cedes alguna función de IA bajo tu nombre o marca, aunque por debajo use un modelo de un tercero?
Qué evidencia genera: Si es SÍ, eres proveedor. Art. 3.3. Que el modelo base cumpla no te cubre.
E.2
Herramienta interna propia
¿Has puesto en servicio para uso propio alguna herramienta de IA construida por vosotros?
Qué evidencia genera: También te hace proveedor. Art. 3.11 — no existe exención de uso interno.
E.3
Finalidad prevista escrita
¿Tienes escrita, para cada función de IA, cuál es su finalidad prevista?
Qué evidencia genera: El documento que delimita tu responsabilidad. Es lo que el art. 25.1.c usa como referencia.
¿Esa prohibición está en el contrato o las condiciones, y no solo en la documentación?
Qué evidencia genera: Un PDF de ayuda no vincula al cliente.
E.6
Marketing revisado
¿Alguien revisa el material de marketing para que no posicione el producto para usos que has prohibido?
Qué evidencia genera: Art. 25.1.c: el marketing puede cambiar la finalidad prevista y convertirte en proveedor de alto riesgo.
Bloque F de I
Territorio y clientes
Reduce superficie. No te saca del Reglamento si estás establecido en la UE.
F.1
País de cada cliente
¿Sabes en qué país está establecido cada cliente, y está registrado en un sitio consultable?
Qué evidencia genera: Campo en el CRM.
F.2
Bloqueo técnico, no cláusula
Si vendes fuera de la UE y quieres quedarte fuera del ámbito, ¿tienes bloqueo técnico de acceso desde la UE, y no solo una cláusula?
Qué evidencia genera: Una cláusula sin control técnico no acredita nada.
F.3
Prohibición contractual de uso en la UE
¿El contrato prohíbe expresamente usar el servicio o sus resultados en la Unión?
Qué evidencia genera: Complementa al bloqueo técnico, no lo sustituye.
F.4
Logs de uso
¿Guardas logs que permitan demostrar dónde se usan los resultados?
Qué evidencia genera: La prueba, si algún día hay que demostrarlo.
F.5
Transparencia configurable por cliente
¿Puedes activar o desactivar por cliente las funciones de transparencia y registro sin desplegar una versión distinta?
Qué evidencia genera: Evita mantener dos productos.
Bloque G de I
Cadena de suministro
Preparación, no obligación vigente.
G.1
Modelo y versión por función
¿Sabes qué modelo o proveedor hay detrás de cada función, y en qué versión?
Qué evidencia genera: Columna añadida al inventario del bloque A.
G.2
Documentación del proveedor
¿Tienes guardada la documentación técnica que ese proveedor publica?
Qué evidencia genera: Carpeta con las fichas de modelo.
G.3
Derechos en la subcontratación
Si subcontratas desarrollo de IA, ¿el contrato te da derecho a la información técnica que necesitarías para documentar el sistema?
Qué evidencia genera: Cláusula de acceso a información técnica.
G.4
Trazabilidad de versión
¿Registras qué versión del modelo estaba activa en cada momento, por si hay que reconstruir una decisión pasada?
Qué evidencia genera: Log de versión por petición.
Bloque H de I
Preparación para diciembre de 2027
El alto riesgo se aplazó. Esto es planificar, no correr.
H.1
¿Encaja algo en el Anexo III?
¿Has comprobado si alguna función encaja en el Anexo III (empleo, educación, crédito, seguros, servicios esenciales, biometría, migración, justicia)?
Qué evidencia genera: Nota de análisis por función.
H.2
Decisión tomada
Si encaja alguna, ¿tienes decidido si la mantienes, la limitas o la retiras antes de dic-2027?
Qué evidencia genera: Decisión escrita con fecha.
H.3
Fecha de revisión
¿Tienes fecha en el calendario para revisarlo? (recomendado: primer trimestre de 2027)
Qué evidencia genera: Una entrada de calendario.
H.4
No adelantar gasto
¿Has resistido la tentación de contratar hoy una certificación de alto riesgo que no será exigible hasta dic-2027?
Qué evidencia genera: Marca este SÍ si no has gastado de más. Cuenta igual que los demás.
Bloque I de I
Gobernanza y evidencia
Sin esto, lo anterior se pierde en tres meses.
I.1
Un responsable con nombre
¿Hay una persona con nombre y apellidos responsable de esto?
Qué evidencia genera: Nombre en un documento. Sin dueño, no se mantiene.
I.2
Carpeta única de evidencia
¿Existe una carpeta única donde vive toda la evidencia: inventario, formación, decisiones, contratos?
Qué evidencia genera: La carpeta. Es lo que enseñas si alguien pregunta.
Las plantillas, en tu correo
El checklist te dice qué falta. Las plantillas te lo resuelven.
Registro de formación del artículo 4, política de uso responsable de IA e inventario de sistemas: los tres documentos que la ley pide y que casi nadie tiene. Los estoy preparando para mi propia empresa este mes. Apúntate y te llegan cuando estén.