Adapta tus sistemas de IA al AI Act

Las prácticas prohibidas y la alfabetización en IA se aplican desde el 2 de febrero de 2025; las obligaciones de los modelos de uso general, desde el 2 de agosto de 2025; y las obligaciones de transparencia del artículo 50 (indicar que un interlocutor es una máquina, marcar los contenidos generados, señalar un deepfake), desde el 2 de agosto de 2026. En cambio, el Digital Omnibus, en vigor desde el 27 de julio de 2026, ha aplazado las obligaciones de los sistemas de alto riesgo del anexo III al 2 de diciembre de 2027, y al 2 de agosto de 2028 para la IA integrada en un producto ya regulado.

Cambia el calendario, no la carga de trabajo. Un inventario completo, la clasificación de cada sistema y la revisión de la documentación llevan varios meses. Y las dos nuevas fechas son firmes: el Parlamento y el Consejo descartaron la activación condicionada a la publicación de las normas armonizadas que proponía la Comisión. Las obligaciones de transparencia, por su parte, ya son exigibles.

El proveedor desarrolla un sistema de IA y lo introduce en el mercado; el responsable del despliegue lo utiliza en un contexto profesional sin haberlo desarrollado. Una empresa que construye un producto sobre la API de un modelo pasa de responsable del despliegue a proveedor en cuanto comercializa un sistema propio con su nombre. Esta clasificación es clave: determina el alcance de tus obligaciones.

El anexo III enumera ocho ámbitos: biometría; infraestructuras críticas; educación y formación profesional; empleo y gestión de trabajadores; acceso a servicios esenciales (crédito, seguros, prestaciones sociales, servicios de emergencia); garantía del cumplimiento del Derecho; migración y control fronterizo; administración de justicia y procesos democráticos. Un sistema incluido en el anexo III puede quedar fuera del alto riesgo, pero la evaluación debe motivarse y registrarse en la base de datos europea.

Para una organización que identifica entre dos y cinco sistemas de alto riesgo, cuenta con entre cuatro y siete meses desde la definición del proyecto hasta el cumplimiento documentado. El plazo se alarga cuando hay muchos usos al margen del departamento de sistemas o cuando no existe ningún mapa previo. Adaptamos el ritmo a tus plazos.

Tienes un único interlocutor en Galadrim, que dirige el proyecto. El despacho asociado se ocupa de la clasificación de los roles, los contratos con tus proveedores y clientes, el encaje con el RGPD, la propiedad intelectual de los contenidos generados y el régimen de responsabilidad, en coordinación con nuestros equipos técnicos. No tienes que coordinar a dos proveedores.

Hay tres topes, y en cada uno se aplica el mayor de los dos importes: 35 M€ o el 7 % de la facturación mundial por prácticas prohibidas; 15 M€ o el 3 % por otros incumplimientos, incluida la transparencia; y 7,5 M€ o el 1 % por facilitar información inexacta a las autoridades. Para las pymes y las pequeñas empresas de mediana capitalización se aplican topes reducidos.

El AI Act no lo exige como tal: son el RGPD y, en su caso, tu normativa sectorial los que regulan la ubicación. En la práctica, la cuestión surge en cuanto un modelo externo trata datos personales o sensibles. Según el caso, anonimizamos antes de la llamada, alojamos en la UE o desplegamos un modelo open source autoalojado. Es lo que hicimos para el Ministerio de las Fuerzas Armadas francés.