Adaptarse al AI Act suena a proyecto de meses con un equipo jurídico detrás. Para una pyme que usa herramientas de IA de terceros, no lo es. Lo que hace falta es un orden de trabajo, y doce semanas bastan para tener lo exigible ya resuelto: inventario, clasificación, formación, política de uso, proveedores y avisos de transparencia. Lo que queda fuera de este plan son las obligaciones de alto riesgo, que el Ómnibus Digital aplazó a diciembre de 2027 y que solo importan si el inventario descubre un sistema de ese tipo.
Las doce semanas
| Semanas | Tarea | Resultado |
|---|---|---|
| 1 y 2 | Inventario de todos los sistemas de IA, incluidos los que el equipo contrató por su cuenta | Lista con finalidad, proveedor, datos y responsable |
| 3 | Determinar el rol de la empresa en cada sistema y clasificar el riesgo | Cada fila marcada como prohibida, alta, limitada o mínima |
| 4 | Revisar que ningún uso cae en las prácticas prohibidas del artículo 5 | Constancia escrita de la revisión |
| 5 y 6 | Formación del artículo 4 para quien usa IA | Registro de asistentes, contenidos y fechas |
| 7 | Redactar y hacer firmar la política de uso de IA | Política vigente con aceptación de cada persona |
| 8 y 9 | Revisar contratos e instrucciones de los proveedores de IA | Cláusulas de datos y garantías comprobadas |
| 10 | Avisos de transparencia del artículo 50 en web, chatbots y comunicaciones | Textos publicados y comprobados |
| 11 | Reunir las evidencias en un único expediente | Carpeta o panel con todo versionado |
| 12 | Revisión final y calendario trimestral | Fechas de revisión asignadas |
Cómo hacer cada fase sin perderse
Las dos primeras semanas son las que más cuestan, porque obligan a preguntar a cada área qué usa. Conviene empezar con el inventario de sistemas de IA y no pasar a la clasificación hasta tenerlo completo: un sistema que no está en la lista no se puede evaluar.
La formación y la política van en paralelo. Si ya tienes la política de uso de IA redactada antes de la formación, esta puede usar sus reglas como casos prácticos. Para saber cómo acreditarla ante una inspección, la guía sobre formación obligatoria en IA detalla qué registrar.
En las semanas 8 a 10 suele aparecer lo inesperado: un proveedor que no explica cómo trata los datos, un chatbot sin aviso, un texto generado con IA que se publica sin revisar. Son hallazgos normales y la mayoría se corrige en una tarde.
Qué decide el plan: tu rol
Si tu empresa solo usa sistemas de terceros, el trabajo es el de desplegador y este calendario te sirve tal cual. Si además desarrollas o integras un sistema con tu marca, tus obligaciones son las de proveedor y el plan se alarga con documentación técnica y evaluación de conformidad. Es la diferencia más importante entre dos empresas que parecen iguales. Para una visión por tamaño, la guía de AI Act para pymes recoge qué ajustes reconoce el Reglamento.
Cuándo hace falta ayuda externa
Con pocos sistemas y sin alto riesgo, muchas empresas lo resuelven solas con una hoja de cálculo. Hace falta apoyo cuando hay sistemas de alto riesgo, cuando hay datos personales sensibles, cuando se gestionan varios clientes o sedes o cuando no sabes si eres proveedor o desplegador. Esa duda es la que más errores genera y conviene resolverla con alguien que ya haya visto casos parecidos.
La adaptación al Reglamento de Inteligencia Artificial de Adapta RGPD sigue este mismo orden dentro de SIGNA360, con la hoja de ruta, los plazos y las alertas generados por cliente. Para empezar sin compromiso, puedes hacer el test gratuito del AI Act y el análisis legal gratuito de tu web.
