// checklist del ai act

Checklist del AI Act
para equipos de IA.

Dos preguntas y a tu lista. Marca lo que ya tengas, el navegador lo recuerda, y llévatelo en PDF cuando quieras.

// cómo usarlo

Dos preguntas y a tu lista.

1. ¿Tu equipo usa IA de terceros? APIs, ChatGPT, copilots, la nuestra.

Sí No

Si la respuesta es sí, te tocan los bloques A, B y D.

2. ¿Además construyes un producto o proceso con IA? Chatbot propio, scoring, agentes.

Sí No

Si también es sí, se añade el bloque C.

El bloque E, la carpeta de evidencias, es para todos. Y el bloque F es lo que puedes tachar de tus preocupaciones.

0 de 0 completado

Lo que marcas se guarda solo en este navegador. No se envía a ningún sitio.

// bloque a · en vigor desde febrero de 2025

Lo que ya deberías tener.

Inventario de la IA que usáis. Todas: las contratadas, las integradas en vuestro software y las que el equipo usa por su cuenta, que suele ser el grupo mayor. Basta una hoja con cinco columnas: herramienta, quién la usa, para qué, qué datos toca, quién es el proveedor. Por qué: es el paso previo de todo lo demás y lo primero que pide cualquier revisión. Esfuerzo: una reunión con los responsables de área.
Formación básica del equipo que usa IA (art. 4, alfabetización). No exige un máster: exige que quien usa IA entienda qué hace, sus límites y sus riesgos, de forma proporcional al uso. Guarda la evidencia: asistencia, materiales, fecha. Por qué: es la obligación en vigor más antigua y la más barata de cumplir. Esfuerzo: una sesión interna documentada por perfil.
Política interna de uso de IA. Una página: qué herramientas están permitidas, para qué, qué datos no se pegan nunca en un prompt, y a quién preguntar. Por qué: ordena el uso real y es la segunda evidencia que pide cualquier cliente. Esfuerzo: medio día con una plantilla.

// bloque b · antes del 2 de agosto de 2026

Transparencia (art. 50).

Si un chatbot vuestro atiende a personas: que se sepa que es una máquina. Un aviso claro al inicio de la conversación basta. Aplica a asistentes web, bots de soporte y voicebots. Esfuerzo: un texto y un deploy.
Si publicáis contenido generado por IA: identificarlo como tal. Aplica al contenido sintético que llega a terceros, deepfakes incluidos. No aplica al uso interno ni al contenido con revisión editorial humana sustancial. El marcado legible por máquina tiene un plazo extra, hasta el 2 de diciembre de 2026, para los sistemas introducidos en el mercado antes del 2 de agosto de 2026. Esfuerzo: definir la regla una vez y aplicarla en el flujo de publicación.
Revisar los avisos con producto y marketing juntos. La transparencia del art. 50 es la obligación que cruza departamentos y por eso se le escapa a todos.

// bloque c · si construyes con ia

Producto o proceso propio.

Determina tu papel para cada sistema. ¿Solo lo usas (responsable del despliegue) o lo comercializas con tu marca (posible proveedor del sistema)? La respuesta cambia tu paquete de obligaciones. Regla rápida: si tu cliente percibe la IA como tuya, trabaja con la hipótesis de proveedor y verifica.
Comprueba el Anexo III y el Anexo I. Un sistema es de alto riesgo por una de dos vías: porque su finalidad encaja en los casos del Anexo III (empleo, crédito, educación, servicios esenciales...) o porque es componente de seguridad de un producto ya regulado por la normativa del Anexo I (equipos médicos, maquinaria, juguetes...). Si tu producto vive en un sector con marcado CE, la segunda vía te toca aunque tu uso no aparezca en el Anexo III. Las obligaciones están aplazadas a diciembre de 2027 (Anexo III) y agosto de 2028 (Anexo I) por el Ómnibus, pero el diseño empieza ahora. Si no te alcanza ninguna de las dos vías, casi seguro que no eres alto riesgo, y puedes decirlo con tranquilidad.
Si haces fine-tuning de un modelo abierto: documenta tu cómputo de modificación. La regla indicativa de la Comisión es clara: solo te conviertes en proveedor del modelo si tu modificación supera un tercio del cómputo de entrenamiento del original, algo que un fine-tuning normal no roza. Guardar el dato del cómputo usado es tu evidencia de que estás muy por debajo. Esfuerzo: apuntar un número que ya tienes.
Fija las versiones de los modelos que usas. Con modelos abiertos puedes anclar la versión exacta, auditarla y documentar el stack completo. Es la ventaja de trazabilidad de lo abierto: úsala y déjala escrita.

// bloque d · tu proveedor

Las preguntas que hay que hacer.

¿Guardáis prompts y respuestas? Sí o no. "Tus datos están seguros" no es una respuesta.
Si los guardáis, ¿cuánto tiempo, para qué, y puedo desactivarlo?
¿Dónde se procesan y almacenan físicamente, y bajo qué jurisdicción está el proveedor? Un datacenter en la UE de una empresa sujeta al Cloud Act no es lo mismo que un proveedor europeo.
¿Se usan mis datos para entrenar modelos? ¿Dónde lo dice el contrato?
¿Tenéis DPA listo para firmar, lista de subencargados y documentación de arquitectura bajo petición?
¿Qué documentación del modelo podéis darme para mi propia trazabilidad? Versión, model card, changelog de cambios de modelo.
¿Vuestra analítica funciona sin mis contenidos? La pregunta que más revela: si necesitan tu contenido para operar, su incentivo es retenerlo.

// bloque e · para todos

La carpeta de evidencias.

El primer examen del AI Act es posible que no venga de la AESIA: te lo hará el cliente grande en una renovación, una licitación o la due diligence. Ten una carpeta con esto dentro.

El inventario de IA (bloque A).
La política de uso de IA y la evidencia de formación.
Los DPAs y las respuestas de proveedores (bloque D).
Para cada sistema propio: su ficha de papel y riesgo (bloque C) y las versiones de modelos ancladas.
Si usas un proveedor con compliance por arquitectura: su documentación de seguridad y flujos de datos, pedida y archivada.

// bloque f · respira

Lo que puedes tachar de tus preocupaciones.

Si solo usas IA o despliegas sistemas de terceros: no necesitas ninguna certificación obligatoria. No existe ninguna certificación obligatoria que comprar; desconfía de quien te venda un "sello AI Act". La cosa cambia si eres proveedor de un sistema de alto riesgo: ahí el reglamento sí exige un sistema de gestión de calidad y una evaluación de conformidad, que para la mayoría de los casos del Anexo III es una autoevaluación con marcado CE, con la biometría como excepción que pasa por organismo notificado; en el Anexo I mandan las normas y organismos de cada sector.
Las obligaciones de alto riesgo están aplazadas (dic 2027 / ago 2028). Y solo aplican si tu uso está en el Anexo III o tu producto es componente de seguridad de un producto regulado (Anexo I). La mayoría de usos empresariales no están en ninguno de los dos.
Las obligaciones de los modelos de uso general no son tuyas. Son del desarrollador del modelo: OpenAI, Alibaba, Z.ai. Usar modelos, abiertos o cerrados, por API o en tu infra, no te las transfiere.
El RGPD no se sustituye ni se duplica. Si ya lo cumples, gran parte del trabajo de datos está hecho. El AI Act añade la capa de uso de la IA, no rehace la de datos.
No hay que parar nada el 2 de agosto. Para el perfil de usuario de IA, lo exigible es ligero (bloques A y B) y se resuelve en días, no en meses.

0 de 0 completado

¿Necesitas IA de modelos abiertos en infraestructura europea?

Nosotros la servimos: modelos open-weight en GPUs de la UE, cero logs y empresa europea. Si quieres revisar tu caso concreto, escríbenos y lo vemos.

hablamos →

La guía completa del AI Act Con artículos, fechas y fuentes. Este checklist es la versión operativa.

Esto es divulgación, no asesoramiento jurídico. Fuentes: Reglamento (UE) 2024/1689, Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), directrices GPAI de la Comisión (julio de 2025) y FAQ de la AI Office.

helmcode.com · Impreso el

// empezar

EMPIEZA A QUEMAR TOKENS

Olvídate de la infra de IA. Despliega hoy el primer endpoint de inferencia privada.

Tarifa plana. Datos en la UE. Compatible con la API de OpenAI.

reservar_llamada

Checklist del AI Actpara equipos de IA.