Reglamento de IA de la UE: lo que los auditores necesitan saber

Una empresa puede utilizar el mismo modelo de inteligencia artificial en tres procesos y enfrentarse a tres preguntas regulatorias distintas. Un asistente de atención al cliente puede activar obligaciones de transparencia; una herramienta de selección de personal puede entrar en una categoría de alto riesgo; y un uso interno de baja exposición puede quedar fuera de esos regímenes específicos, aunque la organización siga teniendo obligaciones horizontales como la alfabetización en materia de IA.

Para auditoría, esa diferencia cambia el punto de partida. El Reglamento de Inteligencia Artificial de la Unión Europea no funciona como una única lista de controles aplicable a toda la IA. Primero hay que determinar el ámbito, el rol de la organización y el tratamiento regulatorio del caso de uso; solo después tiene sentido definir la evidencia que debe existir.

Esta distinción es especialmente importante en 2026. El Reglamento es aplicable de forma general desde el 2 de agosto de 2026, pero varias obligaciones sobre sistemas de alto riesgo fueron aplazadas mediante el Reglamento (UE) 2026/1744. Una auditoría basada en el calendario original puede exigir controles antes de tiempo o pasar por alto obligaciones que ya están en vigor.

El primer riesgo de auditoría es clasificar mal el caso de uso

El Reglamento (UE) 2024/1689 adopta un enfoque basado en riesgos, pero no todos sus regímenes encajan en una única escala. Para el auditor, conviene separar cuatro tratamientos de sistemas de IA y un régimen adicional para modelos de IA de uso general.

Tratamiento regulatorio	Qué debe reconocer el auditor	Pregunta inicial
Prácticas prohibidas	Determinados usos del artículo 5 no pueden introducirse en el mercado, ponerse en servicio o utilizarse, salvo las condiciones y excepciones previstas.	¿Existe algún caso de uso prohibido?
Sistemas de alto riesgo	La clasificación puede derivarse de determinados productos del anexo I o de casos de uso sensibles del anexo III.	¿Está documentada la clasificación y su fecha de aplicación?
Transparencia	El artículo 50 cubre, entre otros, ciertos sistemas que interactúan con personas y determinados contenidos generados o manipulados por IA.	¿La organización puede demostrar los avisos o marcados exigidos?
Riesgo mínimo o sin riesgo específico	La mayoría de los sistemas no entra en los regímenes anteriores. Eso no elimina automáticamente obligaciones horizontales.	¿Existe una justificación trazable de la clasificación?

Los modelos de IA de uso general (GPAI) deben analizarse por separado. El capítulo V establece obligaciones específicas para sus proveedores y añade requisitos cuando existe riesgo sistémico. GPAI no es simplemente otro “nivel de riesgo” dentro de la clasificación de sistemas.

Para auditoría interna, la consecuencia es práctica: el inventario de IA necesita más que un nombre de herramienta. Debería vincular caso de uso, finalidad prevista, usuarios, personas afectadas, ubicación, proveedor tecnológico, modelo subyacente, rol regulatorio y clasificación.

Antes de revisar controles, determine el rol de la organización

El Reglamento distingue entre proveedor, responsable del despliegue, importador, distribuidor, representante autorizado y otros operadores. Dos empresas que utilizan técnicamente el mismo sistema pueden tener obligaciones diferentes porque ocupan posiciones distintas en la cadena de valor.

Un proveedor desarrolla un sistema de IA o hace que se desarrolle y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca. Un responsable del despliegue utiliza un sistema de IA bajo su propia autoridad, fuera del ámbito puramente personal y no profesional. Además, el artículo 25 prevé situaciones en las que un distribuidor, importador, responsable del despliegue u otro tercero pasa a ser considerado proveedor de un sistema de alto riesgo, por ejemplo por rebranding, modificación sustancial o cambio de finalidad prevista.

Por eso, preguntar “¿quién es el vendor?” no basta. El equipo de auditoría debería reconstruir la cadena real de responsabilidad y revisar contratos, branding, modificaciones, integraciones y cambios de finalidad.

El alcance territorial también merece atención. El Reglamento puede aplicar a proveedores establecidos fuera de la UE cuando introducen sistemas o modelos GPAI en el mercado de la Unión y, en determinados casos, a proveedores o responsables del despliegue ubicados en terceros países cuando el resultado de salida se utiliza en la UE. Para grupos con sede en México o Latinoamérica, la ubicación de la matriz no basta para descartar aplicabilidad.

La evidencia debe seguir a la obligación

Una política de IA, un comité y un inventario pueden ser buenos controles de gobierno, pero no demuestran por sí solos el cumplimiento del Reglamento. La evidencia regulatoria debe corresponder al rol y a la obligación concreta.

Situación	Evidencia a buscar	Ejemplo de prueba
Cualquier proveedor o responsable del despliegue	Inventario, análisis de ámbito, clasificación de roles y medidas de alfabetización en materia de IA.	Muestrear casos de uso y reconstruir la lógica de ámbito, rol y obligación.
Artículo 50	Avisos, diseño de interacción, marcado legible por máquina cuando aplique, pruebas y justificación de excepciones.	Probar escenarios reales y verificar que la transparencia ocurre como se espera.
Proveedor de GPAI	Documentación técnica, información para proveedores posteriores, política sobre derechos de autor y resumen del contenido de entrenamiento; evidencia adicional si existe riesgo sistémico.	Trazar obligaciones hasta documentos vigentes y responsables.
Preparación para alto riesgo	Clasificación, gestión de riesgos, gobierno de datos, documentación técnica, registros, instrucciones, supervisión humana, robustez, ciberseguridad, exactitud, evaluación de conformidad y seguimiento, según corresponda.	Mapear obligación → control → evidencia → procedimiento de auditoría.
Responsable del despliegue de alto riesgo	Uso conforme a instrucciones, supervisión humana competente y con autoridad, registros, seguimiento, escalamiento de incidentes y evaluación de impacto en derechos fundamentales cuando aplique.	Verificar que los controles operaron sobre decisiones o incidentes reales.

La regla útil para auditoría es simple: la evidencia debe permitir reconstruir la decisión regulatoria y demostrar que el control operó. Una matriz de cumplimiento sin registros, pruebas o decisiones trazables puede ser ordenada y, aun así, insuficiente.

El calendario vigente a septiembre de 2026

El calendario debe tratarse como información controlada y versionada. La versión consolidada incorpora los cambios de julio de 2026 y ya no coincide con muchos roadmaps preparados en 2024 o 2025.

Fecha	Qué ocurre	Implicación para auditoría
2 feb 2025	Comenzaron a aplicar la alfabetización en materia de IA y la mayoría de las prácticas prohibidas.	Revisar usos prohibidos y medidas de alfabetización adaptadas al contexto.
2 ago 2025	Empezaron a aplicar las obligaciones para proveedores de GPAI y partes del marco de gobernanza.	Identificar si la organización actúa como proveedor de GPAI y distinguir modelos nuevos y heredados.
2 ago 2026	El Reglamento pasó a ser aplicable de forma general; también comenzaron las obligaciones de transparencia del artículo 50 y las facultades de ejecución de la Comisión para GPAI.	Tratar transparencia y GPAI como cumplimiento actual.
2 dic 2026	Comienzan a aplicar nuevas prohibiciones añadidas en 2026 sobre determinadas prácticas relativas a material íntimo no consentido y material de abuso sexual infantil.	Actualizar controles de uso prohibido.
2 ago 2027	Los proveedores de modelos GPAI introducidos antes del 2 ago 2025 deben haber adoptado las medidas necesarias de cumplimiento.	Incluir modelos heredados en remediación y seguimiento.
2 dic 2027	Aplicarán las secciones clave del capítulo III para sistemas de alto riesgo del artículo 6(2) y anexo III.	Auditar preparación en empleo, educación, biometría, infraestructuras críticas y otros ámbitos relevantes.
2 ago 2028	Aplicarán esas obligaciones para sistemas de alto riesgo vinculados a productos del artículo 6(1) y anexo I.	Coordinar con cumplimiento de producto y regulación sectorial.

El aplazamiento de alto riesgo no significa esperar. Significa distinguir entre cumplimiento exigible hoy y preparación verificable para obligaciones futuras. Si una organización tiene sistemas que probablemente queden dentro del anexo III, 2026 y 2027 son años para cerrar inventarios, resolver clasificaciones, aclarar contratos, diseñar controles y acumular evidencia operativa.

Un programa de auditoría puede empezar con cinco decisiones

Para una revisión inicial del Reglamento, un auditor generalista no necesita validar modelos matemáticos. Puede comenzar con cinco preguntas:

Ámbito: ¿qué sistemas, modelos, entidades y flujos de salida pueden quedar dentro del Reglamento?
Rol: ¿qué papel ocupa la organización en cada caso de uso y puede cambiar por branding, modificación o cambio de finalidad?
Clasificación: ¿el uso está prohibido, es de alto riesgo, activa transparencia, utiliza GPAI o queda fuera de esos regímenes específicos?
Fecha: ¿la obligación ya es exigible, tiene un periodo transitorio o requiere preparación para 2027/2028?
Evidencia: ¿cada obligación aplicable tiene propietario, control, registro y prueba de funcionamiento suficientes?

Este enfoque evita dos errores comunes: convertir el Reglamento en una checklist enorme sin verificar aplicabilidad y asumir que “tener una política de IA” equivale a estar preparado para cumplimiento.

La cadena que interesa a auditoría es más concreta: caso de uso → ámbito → rol → clasificación → obligación → control → evidencia → conclusión. El auditor no necesita convertirse en abogado de IA, pero sí debe hacer visible si la organización puede explicar qué IA utiliza, bajo qué responsabilidad, con qué obligación y con qué evidencia demuestra cumplimiento.