Checklist del Reglamento de IA para pymes: 12 puntos
28 de octubre de 2026 · Fuentes comprobadas el 28 de octubre de 2026.
Esta lista recorre lo que el Reglamento europeo de IA (Reglamento (UE) 2024/1689, en la versión consolidada vigente tras el Reglamento (UE) 2026/1744) pide a una empresa que usa sistemas de IA de terceros, el «responsable del despliegue» del art. 3, punto 4. Cada punto lleva su artículo y la fecha desde la que se aplica según el art. 113. Repasar la lista ordena el trabajo; no dice si una empresa cumple el Reglamento en un caso concreto, no interpreta y no constituye asesoramiento jurídico.
La lista
| N.º | Qué revisar | Artículo | Se aplica desde |
|---|---|---|---|
| 1 | Qué herramientas que usa la empresa son sistemas de IA | Art. 3, punto 1 | 2 de febrero de 2025 |
| 2 | En qué papel queda la empresa con cada sistema: responsable del despliegue o proveedor | Art. 3, puntos 3 y 4; art. 25 | 2 de febrero de 2025 (definiciones); 2 de diciembre de 2027 y 2 de agosto de 2028 (art. 25) |
| 3 | Que ningún uso encaje en una práctica prohibida | Art. 5 | 2 de febrero de 2025; letras b bis y b ter, 2 de diciembre de 2026 |
| 4 | Qué medidas de alfabetización en IA se han adoptado para quien maneja los sistemas | Art. 4 | 2 de febrero de 2025 |
| 5 | Si se usa reconocimiento de emociones o categorización biométrica, que se informa a las personas expuestas | Art. 50.3 y 50.5 | 2 de agosto de 2026 |
| 6 | Si se generan o manipulan ultrafalsificaciones, que se hace público | Art. 50.4 y 50.5 | 2 de agosto de 2026 |
| 7 | Si se publican textos generados por IA para informar al público sobre asuntos de interés público, que se divulga | Art. 50.4, párrafo segundo | 2 de agosto de 2026 |
| 8 | Qué sistemas pueden ser de alto riesgo: anexo III, excepción del art. 6.3 y perfiles | Art. 6 y anexo III | 2 de diciembre de 2027 (anexo III) y 2 de agosto de 2028 (anexo I) |
| 9 | En los de alto riesgo, uso con arreglo a las instrucciones y supervisión humana | Art. 26.1 y 26.2 | 2 de diciembre de 2027 (anexo III) y 2 de agosto de 2028 (anexo I) |
| 10 | En los de alto riesgo, datos de entrada, vigilancia del funcionamiento y conservación de los archivos de registro | Art. 26.4, 26.5 y 26.6 | 2 de diciembre de 2027 (anexo III) y 2 de agosto de 2028 (anexo I) |
| 11 | En los de alto riesgo, información a los trabajadores y a las personas sobre las que se decide | Art. 26.7 y 26.11 | 2 de diciembre de 2027 (anexo III; el 26.7 también desde el 2 de agosto de 2028 para el anexo I) |
| 12 | Si la empresa está entre los obligados, la evaluación de impacto relativa a los derechos fundamentales | Art. 27 | 2 de diciembre de 2027 |
Punto por punto
- **Sistemas de IA.** El art. 3, punto 1, define el sistema de IA por que infiere, de la información de entrada que recibe, cómo generar resultados de salida (predicciones, contenidos, recomendaciones o decisiones). Cuentan también los que vienen dentro de otro producto. La documentación del proveedor es la primera fuente.
- **Papel.** Quien utiliza un sistema bajo su propia autoridad, fuera de una actividad personal no profesional, es responsable del despliegue (art. 3, punto 4); quien lo desarrolla o lo encarga y lo comercializa o pone en servicio con su nombre o marca, incluso para uso propio, es proveedor (art. 3, punto 3). El art. 25.1 añade tres casos en que quien usa un sistema pasa a ser proveedor de uno de alto riesgo: ponerle su nombre o marca, modificarlo sustancialmente o cambiar su finalidad prevista de modo que pase a serlo.
- **Prácticas prohibidas.** El art. 5.1 enumera diez letras: manipulación, explotación de vulnerabilidades, imágenes íntimas sin consentimiento y material de abuso sexual de menores (las dos añadidas por el Reglamento (UE) 2026/1744), puntuación ciudadana, predicción de delitos por perfil, bases de reconocimiento facial por extracción no selectiva, emociones en el trabajo y en la educación, categorización biométrica por atributos sensibles e identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho.
- **Alfabetización.** Desde el Reglamento (UE) 2026/1744, el art. 4.1 pide adoptar medidas para apoyar la alfabetización en IA del personal y de quienes manejan los sistemas en nombre de la empresa, según su experiencia y el contexto de uso, sin exigir un nivel específico de ninguna persona en particular.
- **Emociones y biometría.** El art. 50.3 pide informar del funcionamiento del sistema a las personas expuestas a él, y el 50.5, hacerlo de manera clara y distinguible a más tardar en la primera interacción o exposición.
- **Ultrafalsificaciones.** El art. 50.4 pide hacer público que las imágenes o los contenidos de audio o vídeo que constituyan una ultrafalsificación se han generado o manipulado de manera artificial; en una obra manifiestamente creativa, satírica, artística o de ficción, basta con hacerlo de una manera que no dificulte la exhibición o el disfrute de la obra.
- **Textos de interés público.** El párrafo segundo del art. 50.4 pide divulgar que un texto publicado para informar al público sobre asuntos de interés público se ha generado o manipulado de manera artificial, salvo que haya pasado por una revisión humana o un control editorial y una persona física o jurídica tenga la responsabilidad editorial.
- **Alto riesgo.** Son de alto riesgo los sistemas de los ocho ámbitos del anexo III (entre ellos, el empleo, la solvencia de personas físicas y los seguros de vida y de salud) y los componentes de seguridad de productos del anexo I. El art. 6.3 deja fuera los del anexo III que no plantean un riesgo importante, con cuatro condiciones, salvo los que elaboran perfiles de personas físicas, que siempre son de alto riesgo.
- **Instrucciones y supervisión.** El art. 26.1 pide adoptar medidas técnicas y organizativas adecuadas para usar los sistemas de alto riesgo con arreglo a sus instrucciones de uso, y el 26.2, encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias.
- **Datos, vigilancia y registros.** El art. 26.4 pide que los datos de entrada que la empresa controle sean pertinentes y suficientemente representativos; el 26.5, vigilar el funcionamiento y, si hay motivos para considerar que presenta un riesgo, informar al proveedor o distribuidor y a la autoridad y suspender su uso; el 26.6, conservar los archivos de registro que genere el sistema y estén bajo su control al menos seis meses.
- **Información.** El art. 26.7 pide al empleador informar a los representantes de los trabajadores y a los trabajadores afectados antes de usar un sistema de alto riesgo en el lugar de trabajo; el 26.11, informar a las personas físicas sobre las que un sistema del anexo III toma decisiones o ayuda a tomarlas.
- **Evaluación de impacto.** El art. 27 la pide antes de desplegar un sistema del art. 6.2 (salvo el punto 2 del anexo III) a los organismos de Derecho público, a las entidades privadas que prestan servicios públicos y a quienes usen sistemas del anexo III, punto 5, letras b) y c) (solvencia y seguros de vida y de salud).
La tabla y los resúmenes son eso, resúmenes; el texto que vale es el oficial, enlazado al final.
Cómo llevar la lista
Cada punto se revisa sistema por sistema, se anota con su fecha y se guarda la prueba (el contrato, las instrucciones del proveedor, el aviso publicado, la hoja de asistencia a la formación). Y se repasa cuando entra una herramienta nueva, cuando cambia el uso de una y antes de cada fecha de la tabla.
La plantilla Inventario de IA lleva la lista montada: los sistemas en «Sistemas de IA», con las casillas de la revisión del art. 5, del art. 6 y del art. 50, y el «Nivel orientativo» y las «Obligaciones aplicables (orientativo)» que salen de ellas; las bases de referencia «Prácticas prohibidas (art. 5)», «Obligaciones del responsable del despliegue» y «Clasificación (art. 6 y anexo III)», cada fila con su fecha, su enlace a EUR-Lex y la fecha de comprobación; la formación en «Alfabetización en IA (art. 4)» y las pruebas en «Evidencias»: Inventario de IA.
Fuentes (abiertas el 28 de octubre de 2026)
- Reglamento (UE) 2024/1689, texto consolidado a 27 de julio de 2026, la versión consolidada vigente que da EUR-Lex (EUR-Lex): https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:02024R1689-20260727 — arts. 3, 4, 5, 6, 25, 26, 27, 50 y 113 y anexos I y III.
- Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026 (DOUE L de 24 de julio de 2026): https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32026R1744
Herramienta de organización documental basada en textos oficiales; no constituye asesoramiento jurídico.