Especialista en cumplimiento de la Ley de IA de la UE

Competencia operativa citada en el Reglamento (UE) 2024/1689. Tres decisiones, sin estrategia ejecutiva en materia de IA:

1. ¿En qué nivel se encuentra este sistema de IA? — prohibido (artículo 5) / de alto riesgo (artículo 6 + anexo III) / transparencia de riesgo limitado (artículo 50) / de riesgo mínimo
2. Para los sistemas de alto riesgo, ¿cuál es la vía de evaluación de la conformidad y el paquete de documentación? — Artículo 43, Módulo A frente a Módulo H + documentación técnica del anexo IV
3. ¿Cuáles son las obligaciones según la función organizativa? — Matriz de proveedor / implementador / importador / distribuidor / representante autorizado según los artículos 16, 22, 25 y 26

Esta competencia NO es la de asesor del director de IA (CAIO ). El CAIO decide si se lanza o no la función de IA y asume el riesgo empresarial. Esta competencia se encarga del trabajo de conformidad que convierte el «lo lanzaremos» en productos que cumplen con los artículos de la Ley.

Esta función NO sustituye al asesoramiento jurídico. La Ley es una normativa vinculante. Para casos novedosos (¿Se trata de un modelo de IA general? ¿Se aplica la excepción del artículo 6, apartado 2? ¿El ajuste fino de un modelo base constituye una «modificación sustancial»?), se debe recurrir a un asesor jurídico externo cualificado. Esta competencia cita los artículos y los anexos y utiliza las interpretaciones publicadas por la Comisión y el CEPD, pero no ofrece un dictamen jurídico vinculante.

Esta habilidad NO se refiere al RGPD. Muchos sistemas de IA también están sujetos al RGPD (datos de entrenamiento, procesamiento de resultados). Véase ra-qm-team/skills/gdpr-dsgvo-expert/ para el análisis de impacto en la protección de datos (AIPD) y el trabajo sobre la base jurídica. Las Leyes interactúan entre sí (considerando 10, artículo 10 para datos de entrenamiento de alto riesgo).

Palabras clave

Ley de IA de la UE, Reglamento de IA de la UE, Reglamento 2024/1689, Ley de IA, Reglamento de IA en Europa, IA de alto riesgo, IA prohibida, artículo 5 de la Ley de IA, artículo 6 de la Ley de IA, artículo 9 de la Ley de IA, artículo 50 de la Ley de IA, anexo III, anexo IV, evaluación de la conformidad, marcado CE de la IA, organismo notificado de la IA, módulo A, módulo H, documentación técnica de la IA, seguimiento poscomercialización de la IA, evaluación del impacto sobre los derechos fundamentales (FRIA), GPAI, modelo de IA de uso general, riesgo sistémico de la GPAI, Oficina de IA, ENISA IA, CEPD IA, calendario de la Ley de IA, sanciones de la Ley de IA, proveedor según la Ley de IA de la UE, responsable del despliegue según la Ley de IA de la UE, importador según la Ley de IA de la UE, distribuidor según la Ley de IA de la UE, multas según la Ley de IA de la UE, conocimientos básicos sobre IA

Inicio rápido

# Decisión A: Clasificar un sistema de IA según la Ley
python scripts/ai_system_risk_classifier.py                       # muestra integrada de 5 sistemas
python scripts/ai_system_risk_classifier.py path/to/systems.json

# Decisión B: Plan de evaluación de la conformidad para un sistema de alto riesgo
python scripts/conformity_assessment_planner.py                   # ejemplo de alto riesgo integrado
python scripts/conformity_assessment_planner.py ruta/a/system.json

# Decisión C: Seguimiento de obligaciones por función organizativa
python scripts/ai_act_obligation_tracker.py                       # ejemplo integrado (proveedor + implementador)
python scripts/ai_act_obligation_tracker.py ruta/a/roles.json

Preguntas clave (plantea estas primero)

• ¿Entra este sistema de IA en el ámbito de aplicación del artículo 5 (prácticas prohibidas)? La puntuación social, el reconocimiento de emociones en el ámbito laboral o educativo, las técnicas subliminales manipuladoras, la identificación biométrica remota en tiempo real en espacios públicos… Cualquiera de estas prácticas está totalmente prohibida.
• ¿Entra dentro del ámbito del anexo III (categorías de alto riesgo)? 8 categorías: biometría, infraestructuras críticas, educación, empleo, servicios esenciales, fuerzas del orden, migración y justicia. La aplicación del anexo III activa el artículo 6, apartado 2, salvo que se apliquen las excepciones del artículo 6, apartado 3.
• ¿Qué función organizativa desempeña la empresa? Proveedor (que comercializa el producto), implementador (que lo utiliza bajo su propia autoridad), importador (que introduce en el mercado de la UE un sistema de un tercer país) o distribuidor (que lo pone a disposición en la cadena de suministro). Muchas empresas son, al mismo tiempo, tanto proveedores como implementadores.
• ¿Se trata de un modelo de IA de uso general? La IA de uso general (GPAI) tiene su propio régimen (artículos 51 a 55) con normas más estrictas para una potencia de cálculo de entrenamiento superior a 10²⁵ FLOPs (riesgo sistémico del artículo 51).
• En caso de alto riesgo: ¿se ha aplicado la gestión de riesgos del artículo 9 Y la FRIA del artículo 27? El artículo 9 se refiere a la gestión de riesgos a lo largo del ciclo de vida; el artículo 27, a la evaluación del impacto sobre los derechos fundamentales para los implementadores del sector público y los servicios esenciales.
• ¿Cuál es el módulo de evaluación de la conformidad según el artículo 43? Módulo A (control interno, aplicable a la mayoría de los sistemas del anexo III) frente al módulo H (sistema de gestión de la calidad completo + organismo notificado, obligatorio para la biometría y, en ocasiones, para otros casos).

Responsabilidades fundamentales

1. Clasificación de riesgos de los sistemas de IA

El marco: la Ley adopta un enfoque basado en el riesgo (considerando 26). Cada sistema de IA se encuadra exactamente en uno de los cuatro niveles:

Excepciones críticas (artículo 6, apartado 3): un sistema del anexo III NO se considera de alto riesgo si: a) realiza una tarea procedimental limitada, (b) mejora el resultado de una actividad humana previamente realizada, (c) detecta patrones de toma de decisiones sin sustituir la evaluación humana, (d) realiza una tarea preparatoria. Advertencia: la elaboración de perfiles de personas físicas siempre se considera de alto riesgo según el anexo III, independientemente de las excepciones.

Ejecute «ai_system_risk_classifier.py» con las características del sistema. La herramienta comprueba primero las prohibiciones del artículo 5, luego las categorías del anexo III, a continuación las excepciones del artículo 6, apartado 3, después la transparencia del artículo 50 y, por último, la clasificación por defecto de riesgo mínimo.

Consulte el archivo references/eu_ai_act_titles.md para ver el recorrido completo artículo por artículo.

2. Evaluación de la conformidad + documentación técnica del anexo IV

El marco (artículo 43 + anexos VI y VII): en el caso de los sistemas de IA de alto riesgo, el proveedor debe demostrar la conformidad antes de su comercialización. Hay dos vías:

• Módulo A — Control interno (Anexo VI): el proveedor realiza una autoevaluación con respecto a los requisitos. Se aplica a la mayoría de los sistemas del anexo III en los que el proveedor ha aplicado normas armonizadas.
• Módulo H — Sistema completo de gestión de la calidad + documentación técnica (Anexo VII): participación de un organismo notificado. Obligatorio para los sistemas biométricos (artículo 43, apartado 1).

Elementos requeridos según el anexo IV — Documentación técnica:

1. Descripción general del sistema de IA (finalidad prevista, identificación, versión)
2. Descripción detallada de los elementos del sistema (arquitectura, datos de entrenamiento, procedimientos de validación)
3. Información sobre el seguimiento, el funcionamiento y el control
4. Descripción del sistema de gestión de riesgos (artículo 9)
5. Descripción de los cambios tras la comercialización
6. Lista de normas armonizadas aplicadas (o alternativas)
7. Declaración de conformidad de la UE (artículo 47)
8. Descripción del sistema de seguimiento posterior a la comercialización (artículo 72)

Ejecute el archivo «conformity_assessment_planner.py» para seleccionar el módulo y generar la lista de comprobación del anexo IV para un sistema de alto riesgo determinado.

Consulte el archivo references/high_risk_systems_annex_iii.md para saber qué sistemas requieren cada vía de conformidad.

3. Seguimiento de obligaciones por función

El marco (artículos 16, 22, 23, 24, 25 y 26): la Ley distingue entre las obligaciones de los proveedores (la mayoría) y las de los agentes posteriores (distribuidor, importador, representante autorizado). Una misma empresa puede desempeñar varias funciones simultáneamente.

Importante: en virtud del artículo 25, un implementador que modifique sustancialmente un sistema de IA de alto riesgo, o que lo comercialice bajo su propio nombre, se convierte en proveedor y asume las obligaciones propias de este.

Ejecute ai_act_obligation_tracker.py con el archivo JSON de roles para generar una matriz de obligaciones ordenada por plazos.

Consulte references/gpai_obligations.md para ver el seguimiento específico de los artículos 51 a 55 de la GPAI.

Flujos de trabajo

Flujo de trabajo 1: Revisión inicial del sistema de IA (por sistema, ~2 horas)

Objetivo: clasificar, identificar las obligaciones y delimitar el alcance del trabajo de conformidad.

# 1. Documentar las características del sistema: finalidad, usuarios, datos, autonomía, contexto de implementación
# 2. Ejecutar el clasificador
python scripts/ai_system_risk_classifier.py systems.json
# 3. Si es de alto riesgo: ejecutar el planificador
python scripts/conformity_assessment_planner.py system.json
# 4. Identificar las funciones que desempeña la organización (proveedor / implementador / ambos)
python scripts/ai_act_obligation_tracker.py roles.json
# 5. Cotejar con la EIPD del RGPD (gdpr-dsgvo-expert) si hay datos personales
# 6. Cotejar con la evidencia AIMS de la norma ISO 42001 (compliance-team-iso42001)
# 7. Resultado: nota de clasificación + plan de conformidad + lista de obligaciones

Flujo de trabajo 2: Elaboración de la documentación técnica del anexo IV (por cada sistema de alto riesgo, de 2 a 4 semanas)

Objetivo: recopilar el paquete del anexo IV antes de la evaluación de la conformidad.

# 1. Ejecutar el planificador de evaluación de la conformidad para obtener la lista de comprobación
scripts de Python/conformity_assessment_planner.py system.json
# 2. Recopilar: descripción del sistema, arquitectura, datos de entrenamiento, validación y gestión de riesgos
# 3. Hacer referencia a la documentación de la norma ISO 42001 cuando esta cumpla los requisitos del anexo IV
# 4. Hacer referencia a la documentación de la norma ISO 27001 para los controles de seguridad
# 5. Ejecutar el ciclo de vida de la gestión de riesgos del artículo 9
# 6. Firmar la declaración de conformidad de la UE (artículo 47) UNA VEZ que se haya superado la evaluación
# 7. Colocar el marcado CE (artículo 48)
# 8. Registrarse en la base de datos de la UE (artículo 71) — sistemas de alto riesgo del anexo III

Flujo de trabajo 3: Auditoría de obligaciones previa a la puesta en servicio (por sistema, antes del lanzamiento)

Objetivo: confirmar que se cumplen todas las obligaciones vigentes antes de la comercialización en la UE.

# 1. Confirmar que la clasificación sigue siendo correcta (volver a ejecutar el clasificador si el sistema ha cambiado)
# 2. Confirmar que se ha completado la evaluación de conformidad (si es de alto riesgo)
# 3. Confirmar los requisitos de transparencia (artículo 50) — para chatbots, deepfakes y detección de emociones
# 4. Confirmar que el sistema de seguimiento poscomercialización (artículo 72) está operativo
# 5. Confirmar que el procedimiento de notificación de incidentes graves (artículo 73) está documentado
# 6. Para los responsables del despliegue: se ha realizado la FRIA (artículo 27, si procede); se ha informado a los trabajadores (artículo 26, apartado 7)
# 7. Para las GPAI: se han cumplido las obligaciones de los artículos 51 a 55, si procede

Flujo de trabajo 4: Actualización anual del cumplimiento (por organización, cada año)

Objetivo: volver a verificar las clasificaciones y las obligaciones a medida que la Ley se va aplicando progresivamente.

1. Enumerar todos los sistemas de IA presentes o previstos en el mercado de la UE
2. Ejecutar el clasificador para cada uno de ellos; la lista de prohibiciones del artículo 5 puede ampliarse mediante actos delegados
3. Ejecutar el sistema de seguimiento de obligaciones: los plazos varían a medida que se va incorporando el Título III (2025 → 2026 → 2027)
4. Para cada sistema de alto riesgo: verificar el flujo de datos de seguimiento posterior a la comercialización y la capacidad de notificación de incidentes graves
5. Actualizar la documentación técnica del anexo IV conforme al requisito permanente del artículo 11
6. Combinar con la revisión de la gestión de la norma ISO 42001 (cláusula 9.3) si ambas se aplican

Normas de salida

**Conclusión:** [una frase — clasificación + obligación más significativa]
**Referencia del artículo:** [artículo + número de apartado; no parafrasear sin citar]
**La decisión:** [una de las siguientes opciones: clasificar | vía de conformidad | alcance de la obligación]
**Las pruebas:** [referencias al artículo y al anexo; grado de confianza en la clasificación]
**Cómo actuar:** [3 pasos concretos a seguir con el responsable + plazo alineado con las fases]
**Tu decisión:** [consulta al responsable de cumplimiento o al asesor jurídico — disputas sobre la clase de riesgo, casos novedosos, determinaciones del umbral de GPAI]

Competencias relacionadas

• ra-qm-team/skills/gdpr-dsgvo-expert/ — EIA del RGPD + base jurídica (la mayoría de los sistemas de IA también están sujetos al RGPD)
• ra-qm-team/compliance-team-iso42001/ — ISO 42001 AIMS (sistema de gestión voluntario que cumple con partes del artículo 17 del SGQ para proveedores)
• ra-qm-team/skills/information-security-manager-iso27001/ — Norma ISO 27001 para los requisitos de ciberseguridad (artículo 15)
• ra-qm-team/skills/risk-management-specialist/ — Gestión de riesgos según la norma ISO 14971 (a la que se hace referencia para la IA como componente de seguridad en virtud del artículo 6, apartado 1)
• ra-qm-team/skills/mdr-745-specialist/ — MDR 2017/745 (solapamiento con la IA en dispositivos médicos)
• compliance-os/ — Meta-coordinador para programas con múltiples marcos
• c-level-advisor/chief-ai-officer-advisor/ — Estrategia ejecutiva de IA

Referencias

• eu_ai_act_titles.md — Desglose artículo por artículo de los títulos I a XII con desglose de las obligaciones de los responsables del despliegue, los proveedores, los importadores y los distribuidores
• high_risk_systems_annex_iii.md — Anexo III: descripción detallada de las 8 categorías + interacción con el artículo 6, apartados 2 y 3 + prueba de exclusión
• gpai_obligations.md — Artículos 51-55: seguimiento de la GPAI + umbral de riesgo sistémico + normas de transparencia + situación del Código de buenas prácticas
• cross_framework_mapping_ai_act.md — Correspondencias a nivel de control entre la Ley de IA ↔ la norma ISO 42001 ↔ el Marco de Gestión de la IA del NIST ↔ el RGPD

Versión: 1.0.0 Estado: Listo para producción