Auditoría AI Act: Cómo Auditar el Cumplimiento en tu Empresa
Consultoría y Cumplimiento EU AI Act
Auditoría AI Act: qué es y para qué sirve
Una auditoría AI Act es el proceso sistemático de verificar que tu empresa cumple con las obligaciones del Reglamento (UE) 2024/1689 en función del rol que tiene en el ecosistema de IA (desplegador, proveedor o ambos) y del nivel de riesgo de los sistemas que opera.
Una auditoría AI Act no es lo mismo que la evaluación de conformidad para sistemas de alto riesgo: la evaluación es un requisito legal del Reglamento; la auditoría es un proceso interno o contratado externamente para detectar brechas antes de una inspección de la AESIA. Conoce también las sanciones del AI Act para entender qué se juega tu empresa si la AESIA detecta incumplimientos.
Una auditoría AI Act bien ejecutada detecta brechas antes de que lo haga la AESIA
Fase 1: Inventario y clasificación
Mapear todos los sistemas de IA que la empresa usa o desarrolla, determinar si son proveedores o desplegadores para cada uno, y clasificar cada sistema según el nivel de riesgo del AI Act: inaceptable, alto (Anexo III), limitado o mínimo. Es la fase más crítica: sin un inventario completo, la auditoría no tiene sentido.
Fase 2: Revisión de obligaciones
Contrastar, sistema por sistema y según tu rol, las obligaciones aplicables: medidas de formación del personal (Art. 4), transparencia (Art. 50), prohibiciones (Art. 5) y, en alto riesgo, las del proveedor o del desplegador (Art. 26).
Fase 3: Análisis de brechas
Identificar qué obligaciones están incumplidas, qué documentación falta y qué procesos necesitan ajustarse. El análisis de brechas prioriza por riesgo: las brechas en sistemas de alto riesgo o en obligaciones ya vigentes (Art. 4 desde feb. 2025, Art. 50 desde ago. 2026) son las más urgentes.
Fase 4: Plan de remediación
Definir las acciones correctoras, responsables y plazos para cada brecha detectada. El plan de remediación incluye la creación de la documentación que falta, los procesos de formación pendientes y los controles técnicos necesarios. La auditoría sin remediación no vale nada.
Cuándo hacer una auditoría AI Act y quién la realiza
Criterios para decidir si necesitas una auditoría externa, cuándo hacerla y qué herramientas usar
¿Cuándo es urgente?
Si no tienes inventario de sistemas, medidas de formación del equipo documentadas o aviso de transparencia para usuarios de chatbots, y ya han pasado las fechas de febrero de 2025 (Art. 4) y agosto de 2026 (Art. 50). También es urgente si hay sospechas de operar con sistemas de alto riesgo no clasificados, o si la empresa ha recibido una comunicación de una autoridad.
¿Interna o externa?
Para pymes con usos de bajo y limitado riesgo, una auditoría interna con checklist estructurado es suficiente. Para empresas con sistemas de alto riesgo, que procesen datos personales a escala o que estén en sectores regulados, la auditoría externa con firma consultora especializada aporta más credibilidad ante la AESIA.
SIGNA360: auditoría continua
El módulo AI Act de SIGNA360 funciona como un sistema de auditoría continua: inventario actualizado de sistemas, alertas de cumplimiento por fecha clave, documentación generada y revisable, y evidencias de formación. Desde 79 €/año, sin necesidad de contratar una auditoría puntual.
Preguntas Frecuentes
¿Es obligatoria la auditoría AI Act para mi empresa?
La auditoría AI Act como proceso formal no es un requisito legal del Reglamento para desplegadores. Lo que sí es obligatorio es cumplir las obligaciones del AI Act y poder demostrar que se cumplen ante la AESIA. La auditoría es el proceso que garantiza que puedes demostrar ese cumplimiento. Para sistemas de alto riesgo, los proveedores sí tienen obligación de evaluación de conformidad, que es el equivalente regulatorio de una auditoría.
¿Qué documentación debe existir al terminar una auditoría AI Act?
Al finalizar una auditoría AI Act deben existir: inventario de sistemas de IA con clasificación de riesgo, política de uso de IA (buena práctica), evidencias de las medidas de formación del equipo (Art. 4), con certificados por persona si se emiten, aviso de transparencia si aplica (Art. 50), y para sistemas de alto riesgo: documentación técnica del proveedor, registro de actividades y procedimiento de supervisión humana documentado.
¿Cuánto cuesta una auditoría AI Act externa?
El coste de una auditoría AI Act externa depende del número de sistemas a auditar, el sector y la complejidad de los usos, y crece con los sistemas de alto riesgo. Como alternativa, SIGNA360 desde 79 €/año en riesgo bajo mantiene el cumplimiento de forma continua, aunque no sustituye una auditoría jurídica externa en casos complejos.
¿Cómo se diferencia la auditoría AI Act de la evaluación de conformidad?
La evaluación de conformidad es el proceso formal y legalmente exigido al proveedor de sistemas de alto riesgo para obtener el marcado CE y declarar que el sistema cumple el AI Act. La auditoría AI Act es un proceso interno o externo que cualquier empresa puede hacer para verificar si cumple sus obligaciones como desplegador. No son equivalentes: la primera es un requisito regulatorio del proveedor; la segunda es una herramienta de gestión para el desplegador.
¿Con qué frecuencia debo hacer una auditoría AI Act?
No hay una frecuencia legalmente establecida. Como mínimo, una revisión al año para actualizar el inventario de sistemas (las empresas incorporan nuevas herramientas de IA constantemente), verificar que la formación se ha impartido y acreditado, y comprobar que la documentación está al día. Un sistema de seguimiento continuo como SIGNA360 evita tener que hacer auditorías puntuales reactivas.
Auditoría AI Act continua desde 79 €/año, sin sorpresas ante la AESIA
Inventario, documentación, formación y seguimiento actualizados en tiempo real en SIGNA360
Cookies
Aquí puede revisar sus preferencias de privacidad. Esta web utiliza cookies propias y de terceros para mejorar su accesibilidad, realizar análisis estadísticos y de navegación de usuarios a fin de mejorar su experiencia. Leer más
