Nota editorial, 24 de septiembre de 2026: conservamos la fecha original de publicación, pero corregimos las referencias a un supuesto «enforcement completo» en agosto de 2026. El Consejo de la UE sitúa la aplicación aplazada de los requisitos de alto riesgo para sistemas autónomos del Anexo III en el 2 de diciembre de 2027 y para sistemas incorporados en productos del Anexo I en el 2 de agosto de 2028. La mayoría de las demás reglas comenzó a aplicarse el 2 de agosto de 2026. Comprueba siempre la fecha aplicable a tu sistema.
Una revisión interna de IA puede empezar antes de una inspección, una compra empresarial o una auditoría formal. Su objetivo inicial es saber qué sistemas se usan, qué documentos existen y qué decisiones necesitan una persona responsable. No todas las startups recibirán una auditoría ni todas tendrán las mismas obligaciones.
1. Inventaría sistemas y usos
Incluye sistemas propios, servicios de terceros y funciones de IA integradas en herramientas de trabajo. Registra para cada uso su finalidad, proveedor, personas afectadas, datos empleados, responsable interno y decisiones en las que influye. Distingue un sistema desplegado de una mención o prueba aislada: una señal de uso requiere confirmación.
2. Determina el papel de la organización
El Reglamento (UE) 2024/1689 distingue, entre otros, al proveedor y al responsable del despliegue. Las obligaciones cambian según el papel, el sistema y el uso. No conviertas una lista genérica de controles para proveedores en una obligación automática de cualquier startup que utiliza una API.
Si un caso podría estar en el Anexo I o el Anexo III, revisa también el artículo 6 y sus excepciones con asesoramiento competente. Una categoría descriptiva o una alerta de software no constituye una clasificación jurídica final.
3. Ordena documentos y preguntas de revisión
Para un sistema potencialmente de alto riesgo, prepara las fuentes que permitan examinar, según corresponda, gestión de riesgos, datos, documentación técnica, registros, información para usuarios, supervisión humana, precisión y ciberseguridad. Los artículos 9 a 15 describen requisitos relevantes para proveedores de esos sistemas; su aplicación concreta exige comprobar el rol y el calendario.
Una tabla simple evita confundir ausencia de documento con incumplimiento demostrado:
| Pregunta | Evidencia disponible | Responsable | Siguiente paso |
| ¿Qué uso se está evaluando? | Descripción y fuente del sistema | Propietario del producto | Confirmar finalidad y contexto |
| ¿Qué requisito podría aplicar? | Referencia legal y clasificación provisional | Legal o compliance | Revisar rol y excepciones |
| ¿Qué falta comprobar? | Pasaje documental y documento original | Equipo responsable | Pedir o validar evidencia |
Conserva los documentos originales. Un informe que cita un pasaje no sustituye el archivo fuente si un comprador, asesor o autoridad necesita contrastarlo después.
4. Prioriza con el calendario correcto
Las prácticas prohibidas y la alfabetización en IA tienen fechas anteriores; las principales reglas GPAI comenzaron a aplicarse en 2025. La mayoría de las demás disposiciones comenzó a aplicarse en agosto de 2026, con las excepciones de alto riesgo indicadas arriba. El calendario del Consejo ayuda a ubicar los hitos, pero la decisión requiere revisar el texto vigente y el caso concreto.
Prioriza primero prácticas ya prohibidas, datos o usos sensibles, obligaciones efectivamente aplicables y compromisos contractuales con plazo. Documenta por qué una cuestión quedó pendiente y quién la resolverá.
5. Cierra la revisión con decisiones humanas
Una revisión útil deja un inventario comprobado, evidencia con fuente, preguntas abiertas, responsables y fechas de seguimiento. Si cambian el modelo, la finalidad, los datos o el proveedor, revisa de nuevo el análisis. Una comprobación interna no equivale a evaluación formal de conformidad ni a certificación.
Fencia puede ayudar a organizar documentos compatibles y posibles hallazgos frente a los requisitos que cubre. La persona responsable debe verificar cada fuente, decidir qué obligación aplica y aprobar el siguiente paso. Conoce el flujo y sus límites.
Fuentes oficiales: Reglamento de IA en EUR-Lex; cronología del Consejo de la UE.