Auditoría del AI Act para empresas

Sí, muy probablemente. El AI Act (Reglamento UE 2024/1689) no distingue entre crear una IA o solo usarla. Si tu empresa usa ChatGPT, Copilot o Gemini en su actividad, eres "responsable del despliegue" y tienes obligaciones propias, como la alfabetización del personal (Art. 4) y la transparencia (Art. 50). No depende de tu facturación ni de tu tamaño.

El AI Act no obliga a auditarse. Lo que sí obliga hoy a cualquier empresa que use IA es formar a quien la utiliza (Art. 4, vigente desde febrero de 2025, sin umbral de tamaño) y avisar cuando el contenido o la conversación los genera una IA (Art. 50, desde agosto de 2026). La auditoría es la forma práctica de demostrar que ambas cosas se cumplen.

La auditoría de uso de IA cuesta 900€ con entrega en 3 días e incluye la formación del equipo. La formación obligatoria del artículo 4 por separado son 290€ (bonificable por FUNDAE). El acompañamiento continuo, Oficina de IA, son 149€/mes sin permanencia. La adecuación de sistemas de alto riesgo parte de 1.900€. Precio cerrado antes de empezar.

El artículo 4 del AI Act exige la "alfabetización en IA": que quien usa o supervisa sistemas de IA en tu empresa tenga formación y criterio suficiente para hacerlo con responsabilidad. Está vigente desde el 2 de febrero de 2025 y no tiene umbral de tamaño de empresa. La carga de demostrar que la has cubierto es tuya.

El artículo 50 exige informar a las personas cuando interactúan con una IA (por ejemplo, un chatbot) e identificar el contenido generado o modificado con IA. Aplica desde el 2 de agosto de 2026, sin moratoria general.

Es la documentación que demuestra que has revisado tu uso de la IA y aplicado las medidas que te corresponden: inventario de sistemas, clasificación de riesgos, registro de proveedores, política interna de uso y evidencias de formación. Es lo que enseñas cuando un cliente o un inspector pregunta qué control tienes. Es tuyo, editable y sin dependencias.

La AESIA (Agencia Española de Supervisión de la IA) es el organismo nacional de vigilancia y ya está operativa, pero la ley española que tipifica las infracciones sigue en tramitación. Hoy, quien sanciona de forma efectiva cuando hay datos personales de por medio es la Agencia Española de Protección de Datos. La mejor defensa es tener documentadas tus medidas razonables.

No. La ISO 42001 es una norma voluntaria de sistema de gestión: no sustituye al AI Act ni acredita su cumplimiento. Merece la pena cuando te la exigen en un pliego público o en el cuestionario de un cliente grande, pero certificarse es caro y no acorta el camino del Reglamento.

El diagnóstico se entrega en unos 3 días laborables desde la sesión de recogida de información. La auditoría completa y el pack de cumplimiento tardan algo más, al incluir análisis más profundo, expediente y sesión de formación que agendamos contigo.

Trabajamos con un equipo que combina perfil económico, jurídico y técnico, incluida abogada colegiada. La auditoría es un servicio de cumplimiento práctico y formativo, no asesoramiento jurídico individualizado. Cuando un caso requiere abogado, te lo decimos con claridad y antes de empezar.