Auditoría del AI Act para empresas

Sí, muy probablemente. El AI Act (Reglamento UE 2024/1689) no distingue entre crear una IA o solo usarla. Si tu empresa usa ChatGPT, Copilot o Gemini en su actividad, eres "responsable del despliegue" y tienes obligaciones propias, como la alfabetización del personal (Art. 4) y la transparencia (Art. 50). No depende de tu facturación ni de tu tamaño.

El AI Act no obliga con carácter general a contratar una auditoría. Sí exige a proveedores y responsables del despliegue adoptar medidas para apoyar la alfabetización en IA de su personal (Art. 4) y fija obligaciones de transparencia para determinados sistemas y contenidos (Art. 50). La auditoría sirve para saber qué te aplica en cada caso de uso y dejarlo documentado.

Publicamos cuatro niveles con precio cerrado. La formación y alfabetización del artículo 4 cuesta 290€ por 2 horas (bonificable por FUNDAE cuando proceda). El diagnóstico y expediente base cuesta 900€ con entrega en 3 días e incluye la formación del equipo. La auditoría completa del Reglamento de IA cuesta 2.900€ y lleva de 2 a 3 semanas: añade entrevistas por departamento, los 25 apartados con evidencia, revisión de los contratos con los proveedores de IA e informe jurídico firmado por abogada colegiada. El acompañamiento continuo, Oficina de IA, son 149€/mes sin permanencia. La adecuación de sistemas de alto riesgo del Anexo III va a presupuesto cerrado por alcance, porque depende del número de sistemas y de la documentación técnica existente. Precio cerrado antes de empezar en todos los casos.

El artículo 4 del AI Act exige la "alfabetización en IA": que quien usa o supervisa sistemas de IA en tu empresa tenga formación y criterio suficiente para hacerlo con responsabilidad. Está vigente desde el 2 de febrero de 2025 y no tiene umbral de tamaño de empresa. La carga de demostrar que la has cubierto es tuya.

El artículo 50 distingue obligaciones según el rol y el caso: información en sistemas que interactúan con personas, marcado legible por máquina a cargo de proveedores y divulgación por responsables del despliegue en deepfakes, ciertos textos de interés público y sistemas de reconocimiento de emociones o categorización biométrica. No todo contenido generado con IA exige una etiqueta visible.

Es la documentación que demuestra que has revisado tu uso de la IA y aplicado las medidas que te corresponden: inventario de sistemas, clasificación de riesgos, registro de proveedores, política interna de uso y evidencias de formación. Es lo que enseñas cuando un cliente o un inspector pregunta qué control tienes. Es tuyo, editable y sin dependencias.

La AESIA está operativa y su estatuto prevé funciones de supervisión y, en su caso, sanción conforme a la normativa aplicable. A 19 de septiembre de 2026, el proyecto de ley orgánica español que identifica autoridades y desarrolla el régimen sancionador nacional sigue en fase de enmiendas. Dependiendo de la materia también pueden intervenir autoridades sectoriales, entre ellas la AEPD.

No. La ISO 42001 es una norma voluntaria de sistema de gestión: no sustituye al AI Act ni acredita su cumplimiento. Merece la pena cuando te la exigen en un pliego público o en el cuestionario de un cliente grande, pero certificarse es caro y no acorta el camino del Reglamento.

El diagnóstico se entrega en unos 3 días laborables desde la sesión de recogida de información. La auditoría completa y el pack de cumplimiento tardan algo más, al incluir análisis más profundo, expediente y sesión de formación que agendamos contigo.

Trabajamos con un equipo que combina perfil económico, jurídico y técnico, incluida abogada colegiada. La auditoría es un servicio de cumplimiento práctico y formativo, no asesoramiento jurídico individualizado. Cuando un caso requiere abogado, te lo decimos con claridad y antes de empezar.