Si llegas aquí buscando un «certificado del AI Act» para tranquilizar a tu consejo de administración, probablemente acabas de recibir un email de un comercial que te lo ofrece como producto. No compres. Lo que este artículo explica es por qué ese producto no existe.
El Reglamento Europeo 2024/1689 establece obligaciones que varían según: (1) qué tipos de sistemas uses, (2) cómo los uses, (3) qué riesgos plantean. De ahí que sea imposible un único «certificado AI Act» aplicable a todas.
Lo que sí existe son tres vías que el mercado mezcla y que aquí os aclaramos:
1. Evaluación de conformidad + marcado CE: obligatoria solo para sistemas de alto riesgo, y solo a partir de 2027.
2. ISO/IEC 42001: certificación voluntaria de tu sistema de gestión de IA, disponible hoy mismo.
3. Adecuación general: cumplimiento de las obligaciones que ya están vigentes (inventario, formación, transparencia). Este proceso es muy sencillo, lo puedes hacer internamente y Nexai.es te puede ayudar.
La vía 1: Evaluación de conformidad y marcado CE (para sistemas de alto riesgo)
Qué es y quién la necesita
La evaluación de conformidad es un procedimiento técnico para demostrar que un sistema de IA de alto riesgo cumple los requisitos de seguridad, calidad de datos, supervisión humana y documentación establecidos en los artículos 8 a 15 del Reglamento.Los principales sistemas de alto riesgo son:
– Biometría remota: sistemas que identifican personas por cara, voz, huella dactilar.
– Scoring crediticio o seguro: IA que decide si concedes crédito o cobertura a un cliente.
– Selección de candidatos en RRHH: sistemas que filtran currículos o evalúan entrevistas.
– Infraestructuras críticas: IA en redes eléctricas, agua, transporte.
– Acceso a servicios esenciales: sistemas que determinan acceso a vivienda, educación, prestaciones públicas.
– Justicia y procesos democráticos: IA en tribunales o análisis de votos.
– Vigilancia de espacios públicos: detección de comportamientos o identificación en espacios públicos.
La Guía de AESIA es clara: la documentación técnica es la columna vertebral de la conformidad. Debe recopilar evidencias de:
1. Descripción general: nombre, versión, propósito previsto, usuarios finales.
2. Análisis de riesgos: qué puede salir mal, cómo mitigarlo.
3. Datos: fuentes, volumen, calidad, sesgos, cómo garantizas representatividad geográfica.
4. Gestión del modelo: arquitectura, parámetros, actualizaciones planeadas, monitoreo del drift.
5. Requisitos específicos:
– Art. 8 (Sistemas de gestión de datos): políticas, procedimientos, trazabilidad.
– Art. 9 (Documentación y transparencia): logs, información legible sobre el funcionamiento.
– Art. 10 (Calidad de datos): garantías de representatividad, procedimientos de limpieza.
– Art. 11 (Registros y auditoría): trazabilidad de decisiones, logs accesibles.
– Art. 12 (Supervisión humana): cómo se asegura que una persona puede intervenir.
– Art. 13 (Robustez, seguridad, ciberseguridad): pruebas contra ataques, resistencia.
– Art. 14 (Precisión, sesgo): métricas de rendimiento por subgrupos demográficos.
– Art. 15 (Ciberseguridad): medidas de protección de acceso, integridad de datos.
6. Vigilancia post-comercialización: cómo monitorizas el rendimiento en producción, cómo detectas y corriges problemas.
La documentación no es un PDF formal: es la colección de evidencias técnicas reales que prueban que tu sistema funciona seguro.
La vía 2: ISO/IEC 42001 (certificación voluntaria de gestión de IA)
La ISO/IEC 42001:2023 es la primera norma internacional que certifica no un producto o algoritmo, sino un sistema de gestión de inteligencia artificial (SGIA) a nivel organizacional. Establece cómo una empresa estructura, documenta y supervisa su IA de forma auditada.
A diferencia de la evaluación de conformidad (que es obligatoria para alto riesgo y específica de cada sistema), la ISO 42001 es voluntaria y cubre la gobernanza global de toda tu IA.
La certifican entidades de certificación acreditadas. En España: AENOR (la referencia nacional), Bureau Veritas, BSI, DNV, SGS. El proceso es similar al de otras normas ISO. Pero es importante entender que la ISO 42001 no equivale a cumplir el AI Act. Es voluntaria, es de sistema de gestión, y no cubre necesariamente cada obligación específica del Reglamento.
La vía 3: Adecuación general (lo que te toca ahora)
A julio de 2026, esto es lo que el AI Act ya te exige, independientemente de certificados:
-Art. 4 (Alfabetización en IA) — Vigente desde febrero de 2025.
Tu equipo que usa IA debe entender qué hace. No es formación teórica: es que sepan qué sistema usan, para qué sirve, qué riesgos tiene, cómo no abusan de él. Debes documentar que lo hiciste: registro de asistencia, contenido de sesión, fechas.
-Art. 50 (Transparencia con usuarios) — Vigente desde 2 de agosto de 2026.
Si usas un chatbot con el público o generas contenido sintético (imágenes, texto con IA), debes decirlo. No es opcional. El chatbot debe identificarse como IA antes de interactuar. El contenido generado debe estar marcado. Si incumples y te lo cogen, multas de hasta 7.500€.
Art. 5 (Prácticas prohibidas) — Vigente desde febrero de 2025.
No puedes usar:
– Ciberseguridad que analiza la ropa de personas menores en tiempo real (depuración de menores).
– Sistemas de clasificación social (scoring crediticio sin transparencia previa).
– Manipulación psicológica en grupos vulnerables.
– Identificación biométrica en espacios públicos (salvo excepciones policiales).
Inventario de sistemas de IA: no hay fecha oficial, pero es la base de todo. Si una autoridad te revisa, lo primero que te pedirá es «muéstrame qué IA usas». Si no puedes hacer una lista, estás en riesgo. Incluye: nombre del sistema, proveedor, para qué lo usas, datos que procesa, criticidad (¿es de alto riesgo?).
Cálculo de riesgos: para cada sistema, pregúntate: ¿esto afecta decisiones sobre personas? ¿Qué puede salir mal? ¿Cómo lo prevengo? Documentalo.
Para demostrar cumplimiento ante una autoridad o cliente, necesitas:
1. Política de IA escrita: una página, máximo dos. «Usamos IA en X, Y, Z. Nuestro criterio es transparency, human oversight, no discrimination. Cualquier decisión de IA puede ser revisada por una persona. Los datos se tratan conforme a RGPD.»
2. Inventario: tabla con: Sistema | Proveedor | Propósito | Datos | Riesgo (Alto/Medio/Bajo) | Dónde se cumplen requisitos.
3. Registro de formación: lista de empleados, fecha, contenido cubierto. Puede ser una sesión grupal.
4. Chatbot transparen…: si tienes uno, captura de pantalla mostrando que avisa que es IA.
5. Análisis de datos: si usas IA para tomar decisiones, evidencia de que los datos no tienen sesgos evidentes (ejemplo: métricas de precisión por género, geografía, edad).
6. Supervisión humana: descripción de cómo revisan o pueden revocar decisiones de IA.
Esto no es un certificado, pero es lo que una inspección legal le pide a empresas.
Conclusión
El AI Act no es un obstáculo regulatorio que se resuelve con un sello. Es una señal clara de que las autoridades europeas quieren que uses IA de forma responsable. Para la mayoría de empresas, eso significa: saber qué IA usas, que tu equipo la use sin abusos, ser transparente con usuarios, documentar que lo hiciste.
Si necesitas ayuda, no dudes en contactarnos en Nexai.es
