El AI Act es tecnológicamente neutro: no prescribe cómo debe funcionar un sistema de IA, solo qué requisitos debe cumplir. Para trasladar esos requisitos a especificaciones técnicas concretas, el Reglamento se apoya en las normas técnicas armonizadas. Son el puente entre la ley y la ingeniería.
Qué son las normas técnicas armonizadas
Las normas técnicas armonizadas son documentos elaborados por organismos europeos de normalización —principalmente CEN y CENELEC— a petición de la Comisión Europea. Cuando se publica en el Diario Oficial de la UE la referencia de una norma armonizada, los proveedores que la apliquen se benefician de una presunción de conformidad con los requisitos del Reglamento que esa norma cubre.
No es obligatorio usarlas. Pero si no se usan, el proveedor tiene que demostrar por sus propios medios que cumple con cada requisito del AI Act. Las normas simplifican esa demostración de forma considerable.
El estado actual: JTC 21 y los mandatos de normalización
La Comisión Europea encargó al Comité Técnico Conjunto JTC 21 —formado por CEN y CENELEC— el desarrollo de las normas armonizadas para el AI Act. Ese trabajo comenzó en 2024 y continúa actualmente.
A fecha de octubre de 2026, la mayoría de las normas armonizadas específicas para el AI Act todavía están en desarrollo. La ausencia de normas publicadas no exime a los proveedores de cumplir: las obligaciones son exigibles desde agosto de 2026 con independencia de que las normas armonizadas estén o no disponibles.
El papel de ISO 42001
La norma ISO/IEC 42001:2023 es un estándar internacional para sistemas de gestión de la inteligencia artificial. No es una norma armonizada del AI Act —es voluntaria—, pero tiene un contenido sustancialmente compatible con los requisitos de gestión de calidad del artículo 17 del Reglamento.
Empresas que ya tienen implementado ISO 42001 pueden aprovechar esa base para cumplir con las obligaciones de documentación y gestión del AI Act. No hay equivalencia automática, pero sí una superposición significativa que reduce el esfuerzo adicional necesario.
Qué hacer cuando no hay norma armonizada
Cuando no existe norma armonizada para un requisito específico, el proveedor puede recurrir a:
- Estándares internacionales ISO relevantes: ISO 42001 para gestión de IA, ISO 31000 para gestión de riesgos, ISO 27001 para seguridad de la información
- Especificaciones técnicas CEN/CENELEC que no han alcanzado el rango de norma armonizada
- Documentación propia que demuestre cumplimiento de los requisitos del Anexo IV
- Estándares de organismos sectoriales reconocidos en el sector de actividad
En todos esos casos, la carga de la prueba recae sobre el proveedor. No significa que sea imposible: muchas empresas demuestran cumplimiento a través de su propio proceso de desarrollo y sus registros de pruebas.
Cuándo llegarán las normas armonizadas
El JTC 21 trabaja con un mandato que incluye más de treinta áreas temáticas distintas. No se espera que todas las normas estén disponibles antes de finales de 2027 o 2028. En el ínterin, los proveedores tienen que operar con cierta incertidumbre técnica, documentando con el máximo rigor posible cómo cumplen con cada requisito del Reglamento.
¿Necesitas apoyo para acreditar el cumplimiento del AI Act sin normas armonizadas disponibles? En Adapta RGPD construimos el expediente técnico dentro de nuestra consultoría de cumplimiento del AI Act, con las 193 medidas AESIA y seguimiento continuo desde 199€/año.
