AI Act e ISO 42001: qué te obliga y cómo cumplir
El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, es la primera ley completa del mundo que regula la IA, y ya está en marcha. Si tu empresa desarrolla, integra o simplemente usa inteligencia artificial en sus procesos, te afecta. Esta guía explica qué te obliga el AI Act, qué plazos corren, qué sanciones hay y cómo la norma ISO 42001 se ha convertido en la vía más práctica para demostrar que cumples.
¿Qué es el AI Act?
El AI Act es el Reglamento (UE) 2024/1689, la primera regulación integral y vinculante sobre inteligencia artificial a nivel mundial. Clasifica los sistemas de IA por su nivel de riesgo e impone obligaciones proporcionales a ese riesgo, con el objetivo de que la IA usada en Europa sea segura, transparente y respetuosa con los derechos.
No es una recomendación ni un código de buenas prácticas: es una ley con obligaciones concretas y sanciones. Y no aplica solo a las grandes tecnológicas, sino a cualquier organización que desarrolle, comercialice o use IA en el mercado europeo. Lo desarrollamos en qué es el AI Act y a quién obliga.
¿A quién obliga el AI Act?
Obliga a proveedores, importadores, distribuidores y usuarios profesionales de sistemas de IA que operen en la Unión Europea, con independencia de su tamaño o de dónde tengan la sede. Si una pyme usa IA para filtrar currículums, puntuar clientes o automatizar decisiones, entra en el ámbito de la norma.
La intensidad de las obligaciones depende del riesgo del sistema. Un chatbot de atención tiene obligaciones de transparencia; un sistema que decide sobre crédito o contratación es de alto riesgo y soporta obligaciones estrictas. Lo específico para tu caso está en AI Act para pymes y SaaS.
¿Qué empresas necesitan actuar ya?
Fuera de la teoría legal, conviene verlo en casos concretos. Necesita actuar ya una empresa de recursos humanos que usa IA para preseleccionar candidatos, porque ese sistema entra directamente en la categoría de alto riesgo. También un fintech que puntúa el riesgo crediticio con un modelo propio, una plataforma educativa que evalúa el rendimiento de estudiantes con IA, o cualquier SaaS que use IA generativa para producir contenido de cara a usuarios finales, aunque sea solo con obligaciones de transparencia.
El patrón que se repite es que muchas empresas usan IA sin saberlo del todo: la traen integrada en un CRM, en una herramienta de atención al cliente o en un módulo de analítica de un proveedor externo. El AI Act no distingue entre IA desarrollada internamente y comprada a terceros; en ambos casos, quien la usa en su actividad profesional tiene obligaciones. Por eso el primer paso siempre es el mismo: hacer inventario de dónde entra la IA en la empresa, antes de decidir qué hacer con cada caso.
¿Qué es la alfabetización en IA y cómo se demuestra?
Es una de las obligaciones que ya son exigibles hoy, y de las que menos se habla. Consiste en garantizar que el personal que usa o supervisa sistemas de IA tiene un nivel de conocimiento suficiente sobre cómo funcionan, sus riesgos y sus límites, proporcional a su función.
En la práctica, esto se traduce en formación básica documentada: sesiones o materiales que expliquen qué sistemas de IA usa la empresa, para qué sirven, qué no deben hacer y qué hacer si algo falla. No hace falta una plataforma de formación corporativa cara; para una pyme, un programa breve y bien documentado es suficiente, siempre que quede constancia de quién lo ha recibido y cuándo. Es exactamente el tipo de evidencia que buscará un supervisor o un auditor de ISO 42001.
¿Qué controles exige el Anexo A de la ISO 42001?
El Anexo A de la ISO 42001 agrupa los controles en varios bloques que conviene conocer antes de arrancar un proyecto de certificación. Cubre la gobernanza de la IA: políticas, roles y responsabilidades claras sobre quién decide qué en materia de inteligencia artificial. Cubre el ciclo de vida de los sistemas: cómo se diseñan, prueban, despliegan y retiran los modelos, con puntos de control en cada etapa.
También exige controles sobre los datos que alimentan los sistemas de IA (procedencia, calidad, sesgos) y sobre la transparencia: qué se comunica a las personas afectadas por una decisión de IA. Y cierra con controles de relación con terceros, porque muchas empresas no desarrollan su propia IA sino que la contratan, y el estándar exige gestionar ese riesgo igual que el interno.
No todos los controles aplican a todas las organizaciones: el alcance que se define al principio del proyecto determina cuáles son relevantes para tu caso.
¿Qué sectores están más afectados por el AI Act?
Aunque el reglamento aplica de forma transversal, hay sectores donde la probabilidad de tener sistemas de alto riesgo es mucho mayor. Recursos humanos y selección de personal, porque cualquier IA que filtre o puntúe candidatos entra directamente en esa categoría. Servicios financieros, por el scoring crediticio y la detección de fraude. Salud, por el diagnóstico asistido y la gestión de pacientes. Educación, por la evaluación automatizada de estudiantes. Y cualquier proveedor de infraestructuras críticas o servicios esenciales que incorpore IA en su operación.
Fuera de estos sectores, la mayoría de pymes tech se mueve en niveles de riesgo limitado o mínimo, con obligaciones más ligeras centradas en transparencia. Pero conviene no asumirlo sin comprobarlo: basta con que una sola funcionalidad de tu producto entre en una de estas categorías para que tengas que tratarla con el nivel de exigencia de alto riesgo, aunque el resto de tu negocio no lo requiera.
¿Qué plazos marca el AI Act?
El AI Act se aplica de forma escalonada. Las prácticas prohibidas y la obligación de alfabetización en IA del personal son exigibles desde principios de 2025; las obligaciones para modelos de IA de propósito general llegaron a mediados de 2025; y los requisitos para los sistemas de alto riesgo entran en plena vigencia en agosto de 2026, con algún plazo adicional en 2027.
Esto significa que el reloj ya corre. Preparar el cumplimiento ahora, antes del grueso de las obligaciones, es más barato y menos arriesgado que hacerlo con la fecha encima.
¿Qué sanciones contempla el AI Act?
El AI Act prevé sanciones significativas, que escalan según la gravedad del incumplimiento y pueden alcanzar un porcentaje relevante de la facturación anual global de la empresa. Las prácticas prohibidas son las más severamente penalizadas.
Más allá de la multa, el riesgo real para una empresa tech es reputacional y comercial: perder contratos, quedar fuera de licitaciones o ver comprometida la confianza de clientes que exigen garantías. En España, la supervisión recae en la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).
¿Qué es la ISO 42001 y cómo se relaciona con el AI Act?
La ISO/IEC 42001 es el primer estándar internacional para sistemas de gestión de inteligencia artificial. No es lo mismo que el AI Act: el AI Act es la ley, e ISO 42001 es el marco de gestión que te ayuda a cumplirla de forma ordenada y demostrable.
Certificarse en ISO 42001 no garantiza automáticamente el cumplimiento del AI Act, pero construye la base documental y operativa que un supervisor espera ver, y evidencia diligencia. Por eso se ha convertido en la vía preferida para prepararse. La explicamos en qué es la ISO 42001.
¿Cuánto cuesta certificarse en ISO 42001?
De forma orientativa, la certificación ISO 42001 en una pyme se sitúa entre 3.000 y 15.000 euros el primer año, y sube considerablemente en organizaciones grandes o con muchos sistemas de IA. La certificación tiene una validez de tres años con auditorías anuales de seguimiento.
Tienes el desglose completo por tamaño y por partida en cuánto cuesta la ISO 42001.
¿Qué documentación exige la ISO 42001?
El auditor revisa un conjunto de documentos concretos, y conviene tenerlos claros antes de arrancar. La política de IA es el documento marco, aprobado por la dirección, que fija los principios y compromisos de la organización con la inteligencia artificial. El inventario de sistemas de IA recoge cada modelo o herramienta en uso, su finalidad y su nivel de riesgo. La evaluación de impacto documenta los riesgos identificados para cada sistema y cómo se gestionan.
A esto se suman los procedimientos operativos: cómo se supervisa un sistema de IA en producción, cómo se gestiona un incidente si un modelo falla o produce un resultado sesgado, y cómo se documenta la formación del personal. Como en cualquier sistema de gestión, lo que más pesa en una auditoría no es que estos documentos existan, sino que haya evidencias de que se usan de verdad: registros, revisiones periódicas, actas de decisiones sobre nuevos sistemas de IA que se incorporan.
¿Cómo se certifica una empresa en ISO 42001?
El recorrido sigue las fases habituales de un sistema de gestión: análisis diferencial, definición del alcance, política de IA, inventario de sistemas, análisis de riesgos, implantación de los controles del Anexo A, formación y auditoría de certificación en dos etapas. Lo tienes paso a paso en cómo certificarse en ISO 42001.
Si tu empresa ya tiene ISO 27001, parte del camino está hecho: ambos estándares comparten estructura y se apoyan. Lo vemos en ISO 42001 e ISO 27001.
Errores frecuentes al preparar el AI Act
El primero es no saber dónde está la IA en la empresa. Sin un inventario real, es imposible clasificar el riesgo de cada sistema y, por tanto, imposible saber qué obligaciones tocan. Muchas empresas descubren tarde que una herramienta que llevan meses usando entra en una categoría de riesgo que no habían considerado.
El segundo es confundir cumplir el AI Act con tener ISO 42001. La certificación aporta un marco de gestión muy sólido, pero no sustituye el análisis legal específico de cada sistema de IA frente a la norma; conviene no dar por cerrado el cumplimiento solo por tener el sello.
El tercero es tratar la alfabetización en IA como un trámite puntual, cuando la norma la plantea como algo continuo: si se incorporan nuevos sistemas de IA o cambia el personal que los usa, la formación tiene que actualizarse.
Y el cuarto es esperar a agosto de 2026 para moverse. Los requisitos de alto riesgo entran en vigor entonces, pero el trabajo de inventario, clasificación e implantación de controles necesita meses; llegar a esa fecha sin haber empezado deja a la empresa expuesta justo cuando la supervisión se intensifica.
¿Cómo se relaciona el AI Act con el RGPD?
Son dos regulaciones distintas que se aplican en paralelo y, en muchos casos, sobre los mismos sistemas. El RGPD regula cómo se tratan los datos personales; el AI Act regula cómo se desarrollan y usan los sistemas de inteligencia artificial, traten o no datos personales. Un sistema de IA que procesa currículums, por ejemplo, tiene que cumplir el RGPD (por los datos personales que maneja) y el AI Act (por ser un sistema de alto riesgo en el ámbito de contratación).
La buena noticia es que ambos marcos comparten principios: transparencia, minimización, supervisión humana y documentación de las decisiones automatizadas. Una empresa que ya tiene una cultura sólida de protección de datos parte con ventaja para abordar el AI Act, aunque los requisitos técnicos y documentales no sean intercambiables entre uno y otro.
Cómo lo hacemos en Novaciber
Acompañamos a pymes tecnológicas y empresas SaaS a preparar el cumplimiento del AI Act y a certificarse en ISO 42001, con el foco puesto en un objetivo doble: cumplir la ley y convertir ese cumplimiento en un activo comercial ante clientes y licitaciones.
Empezamos siempre por el mismo punto: un inventario real de dónde usa tu empresa la inteligencia artificial, propia o de terceros. A partir de ahí clasificamos el riesgo de cada sistema, priorizamos lo que ya es exigible hoy y dejamos preparado el camino hacia ISO 42001 si te aporta valor comercial, sin sobredimensionar el proyecto para una pyme.
La IA responsable no es un freno. Bien gestionada, es exactamente lo que te diferencia en un mercado que empieza a exigir garantías. Si además vendes al sector público, encaja con tu adecuación al ENS y con tu ISO 27001.
¿Por dónde empiezo con el AI Act en mi empresa?
Empieza por una conversación de 30 minutos, sin coste ni compromiso. Hacemos juntos un primer mapa de dónde usas IA, qué nivel de riesgo tienen esos sistemas y qué te obliga hoy frente a lo que puedes planificar con calma.
Sí, si desarrollas, comercializas o usas sistemas de IA en el mercado europeo, con independencia de tu tamaño. Las obligaciones concretas dependen del nivel de riesgo de cada sistema de IA que utilices.
No, ISO 42001 es un estándar voluntario. Lo que es obligatorio es cumplir el AI Act. ISO 42001 es la vía más eficiente y reconocida para estructurar ese cumplimiento y demostrar diligencia ante los supervisores.
No de forma automática. ISO 42001 aporta el marco de gestión que cubre buena parte de los requisitos del AI Act y evidencia diligencia, pero el cumplimiento legal específico debe verificarse aparte.
De forma escalonada. Las prácticas prohibidas y la alfabetización en IA son exigibles desde 2025, y los requisitos para sistemas de alto riesgo entran en plena vigencia en agosto de 2026, con algún plazo adicional posterior.
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad de referencia para la aplicación del AI Act en España.
No. El RGPD regula el tratamiento de datos personales; el AI Act regula el desarrollo y uso de sistemas de inteligencia artificial, con independencia de si tratan datos personales. Un mismo sistema puede estar sujeto a ambos a la vez.
El AI Act no distingue entre IA desarrollada internamente y contratada a terceros: como usuario profesional de esa herramienta, tienes obligaciones igualmente, proporcionales al nivel de riesgo del sistema que estés usando.