Cuando una empresa pregunta qué papeles le exige el AI Act, casi siempre piensa en la documentación técnica del Anexo IV, con sus ocho secciones y su evaluación de conformidad. Esa documentación es cosa de los proveedores de sistemas de alto riesgo. Una empresa que solo usa herramientas de terceros, que es el caso de la inmensa mayoría, tiene un expediente mucho más corto, pero tiene que existir y estar al día.
La pregunta útil no es “qué documentos pide la ley”, sino “qué tengo que poder demostrar si me inspeccionan”. Se reduce a cuatro cosas: qué sistemas uso, que formé a quien los maneja, qué reglas di y que aviso cuando hay una máquina detrás.
El expediente mínimo de una empresa que usa IA
| Documento | Qué demuestra | Desde cuándo |
|---|---|---|
| Inventario de sistemas de IA | Qué herramientas se usan, quién las usa y para qué | Recomendable desde el primer uso |
| Revisión de prácticas prohibidas | Que ningún uso de la empresa cae dentro del artículo 5 | 2 de febrero de 2025 |
| Registro de formación | Que el personal que usa IA tiene conocimientos suficientes (artículo 4) | 2 de febrero de 2025 |
| Política de uso de IA | Las reglas que la empresa dio y la aceptación de cada persona | Recomendable desde el primer uso |
| Avisos de transparencia | Que se informa a las personas cuando interactúan con una IA o ven contenido generado con ella (artículo 50) | 2 de agosto de 2026 |
| Contratos y documentación de proveedores | Las instrucciones de uso y las garantías que ofrece cada proveedor | Según el rol y el sistema |
Si hay un sistema de alto riesgo
Cuando la empresa despliega un sistema de alto riesgo, por ejemplo uno que filtra candidatos o puntúa a clientes, el expediente crece. El artículo 26 exige usar el sistema según las instrucciones del proveedor, asignar supervisión humana competente, conservar los registros automáticos durante al menos seis meses e informar a los trabajadores afectados antes de ponerlo en marcha. En determinados casos hay que hacer además una evaluación de impacto sobre derechos fundamentales.
El Ómnibus Digital aplazó a diciembre de 2027 buena parte de las obligaciones de alto riesgo del Anexo III. Eso da margen, pero no cambia que las prácticas prohibidas, la formación y la transparencia ya se exigen. Mucho de lo que conviene preparar ahora, como el inventario y la clasificación, es justo lo que te dirá si tienes algún sistema de alto riesgo. Lo explicamos en la guía sobre sistemas de alto riesgo.
¿Sirve el registro de actividades del RGPD?
Solo en parte. El registro del artículo 30 recoge los tratamientos de datos personales. El expediente del AI Act tiene que incluir también las herramientas que no tratan datos personales y añadir, por cada una, su nivel de riesgo y quién la usa. Lo razonable es mantener los dos y que se remitan entre sí. Si además un sistema de IA trata datos personales a gran escala o toma decisiones sobre personas, la evaluación de impacto del RGPD puede ser necesaria. Está explicado en cumplimiento conjunto de RGPD y AI Act.
Cuánto tiempo hay que conservarlo
El Reglamento no fija un plazo general para el expediente de un desplegador. Sí fija seis meses como mínimo para los registros automáticos de los sistemas de alto riesgo. Para el resto, la regla práctica es conservar cada versión de cada documento mientras el sistema esté en uso y un tiempo razonable después, con la fecha de cada cambio. Lo que una inspección va a mirar es que el expediente refleje lo que la empresa hace de verdad, no que sea voluminoso.
Cómo empezar
El orden más eficiente es empezar por el inventario de sistemas de IA, seguir con la política de uso de IA y registrar la formación a medida que se imparte. Los avisos de transparencia suelen ser lo último, porque dependen de qué herramientas interactúan con clientes.
SIGNA360 reúne todo ese expediente en un único panel, con la hoja de ruta y las alertas de plazos, dentro de nuestra adaptación al AI Act para empresas. Puedes ver cuánto te falta con el test gratuito del AI Act, y comprobar los avisos de tu web con el análisis legal gratuito.
