Dos cosas que una empresa que construye o usa IA en la Unión necesita saber el 12 de septiembre de 2026, y la mayoría de las páginas se equivocan en la primera. La primera es que las fechas del Reglamento de IA ya no son las del texto de 2024: el Reglamento (UE) 2026/1744, el ómnibus digital sobre IA, firmado el 8 de julio de 2026, publicado en el Diario Oficial el 24 de julio y en vigor desde el 27 de julio, sustituyó el calendario de los sistemas de alto riesgo. La segunda es que ISO/IEC 42001, la norma de sistemas de gestión de la IA, produce una gran parte de lo que el artículo 17 pide a un proveedor de un sistema de alto riesgo, y una parte bien delimitada de lo que no. Este artículo es ambas, leídas en los dos Reglamentos en CELLAR el 12 de septiembre de 2026 y en el anexo A de la norma; la correspondencia es nuestra, comprobable con los textos, y la redacción de la norma no se reproduce.
Las fechas, tal como se modificaron
El artículo 113 modificado por el Reglamento (UE) 2026/1744, con la regla transitoria que la modificación añadió al artículo 111.
| Se aplica desde | Qué |
|---|---|
| 2 de febrero de 2025 | Capítulos I y II: objeto, definiciones, alfabetización en IA (artículo 4), prácticas prohibidas (artículo 5) |
| 2 de agosto de 2025 | Capítulo V, modelos de IA de uso general, y los capítulos de gobernanza y sanciones |
| 27 de julio de 2026 | Artículos 102 a 110, las modificaciones de otros actos de la Unión |
| 2 de agosto de 2026 | El Reglamento en general, incluidas las obligaciones de transparencia del artículo 50 |
| 2 de diciembre de 2026 | Artículo 50(2), marcado legible por máquina del contenido sintético, para los sistemas ya en el mercado el 2 de agosto de 2026 (artículo 111(4) modificado) |
| 2 de diciembre de 2027 | Capítulo III, secciones 1 a 3: los requisitos de alto riesgo y las obligaciones de proveedores y responsables del despliegue, para los sistemas clasificados de alto riesgo según el artículo 6(2) y el anexo III |
| 2 de agosto de 2028 | Lo mismo, para los sistemas clasificados de alto riesgo según el artículo 6(1) y el anexo I, la legislación de seguridad de los productos |
El texto original tenía el 2 de agosto de 2026 para el anexo III y el 2 de agosto de 2027 para el anexo I. La modificación también fijó el 2 de septiembre de 2027 como fecha en la que la Comisión adopta directrices y una plantilla para el plan de vigilancia poscomercialización (artículo 72(3) modificado), e insertó el artículo 4a, que permite a un proveedor tratar categorías especiales de datos personales para detectar y corregir sesgos bajo condiciones.
Qué más cambió el ómnibus para un proveedor
Cuatro cambios alcanzan directamente el programa de cumplimiento de una empresa. El artículo 4 se reescribió: proveedores y responsables del despliegue toman medidas para apoyar la alfabetización en IA de su personal y de otras personas que operan IA en su nombre, y el artículo dice ahora expresamente que esto no exige garantizar ningún nivel concreto de alfabetización a ninguna persona; la Comisión y los Estados miembros deben apoyar el esfuerzo, con ejemplos prácticos. El artículo 17(2) dice ahora que el sistema de gestión de la calidad es proporcionado al tamaño del proveedor, nombrando a las pymes, las empresas emergentes y las pequeñas empresas de mediana capitalización. El artículo 10 perdió su apartado 5 y remite al nuevo artículo 4a para las categorías especiales de datos, y se aplica solo a los conjuntos de datos de prueba en los sistemas no entrenados con datos. El artículo 72(3) convierte el plan de vigilancia poscomercialización en parte de la documentación técnica del anexo IV, sobre la plantilla de la Comisión una vez adoptada. El artículo 6 ganó los apartados 1a a 1c, que sacan de la definición de componente de seguridad la IA usada únicamente para aspectos no relacionados con la seguridad como la optimización del rendimiento, la eficiencia del servicio, la automatización, la comodidad o el control de calidad.
El artículo 17: los trece aspectos, en correspondencia
El artículo 17(1) exige a un proveedor de un sistema de IA de alto riesgo un sistema de gestión de la calidad documentado de manera sistemática y ordenada en forma de políticas, procedimientos e instrucciones escritos, con al menos trece aspectos. ISO 42001 es una norma de sistemas de gestión, así que aquí es donde las dos se encuentran más directamente. La correspondencia nombra los controles del anexo A y las cláusulas de ISO/IEC 42001:2023 cuyos registros son el proceso que hay detrás de cada aspecto; la base dice si el registro de la norma es la evidencia, o si la norma ejecuta el proceso y el sistema de IA aporta la evidencia.
| Artículo 17(1) | ISO 42001 | Base |
|---|---|---|
| 17(1)(a): Una estrategia de cumplimiento normativo, la evaluación de la conformidad y la gestión de las modificaciones | 4.2, A.2.2, A.2.3, A.6.2.5 | Proceso; el sistema aporta la evidencia |
| 17(1)(b): Diseño, control del diseño y verificación del diseño | A.6.1.3, A.6.2.2, A.6.2.3, A.6.2.4 | Proceso; el sistema aporta la evidencia |
| 17(1)(c): Desarrollo, control de calidad y aseguramiento de la calidad | A.6.1.3, A.6.2.3, A.6.2.4 | Proceso; el sistema aporta la evidencia |
| 17(1)(d): Examen, prueba y validación antes, durante y después del desarrollo, y con qué frecuencia | A.6.2.4, A.6.2.6 | Proceso; el sistema aporta la evidencia |
| 17(1)(e): Las especificaciones técnicas y normas aplicadas, y los medios usados donde no se aplican normas armonizadas | A.6.2.2 | Proceso; el sistema aporta la evidencia |
| 17(1)(f): Gestión de datos, de la adquisición a la conservación | A.7.2, A.7.3, A.7.4, A.7.5, A.7.6 | El registro es la evidencia |
| 17(1)(g): El sistema de gestión de riesgos del artículo 9 | 6.1.2, 6.1.3, A.5.2, A.5.3, A.5.4, A.5.5 | Proceso; el sistema aporta la evidencia |
| 17(1)(h): Un sistema de vigilancia poscomercialización, según el artículo 72 | A.6.2.6, A.8.3 | Proceso; el sistema aporta la evidencia |
| 17(1)(i): Procedimientos de notificación de incidentes graves, según el artículo 73 | A.8.4, A.3.3 | Proceso; el sistema aporta la evidencia |
| 17(1)(j): Comunicación con autoridades, organismos notificados, operadores, clientes y partes interesadas | A.8.2, A.8.5, A.10.4 | Proceso; el sistema aporta la evidencia |
| 17(1)(k): Conservación de registros de toda la documentación e información pertinentes | 7.5, A.6.2.7, A.6.2.8 | El registro es la evidencia |
| 17(1)(l): Gestión de recursos, incluida la seguridad del suministro | A.4.2, A.4.3, A.4.4, A.4.5, A.4.6, A.10.3 | Proceso; el sistema aporta la evidencia |
| 17(1)(m): Un marco de rendición de cuentas para la dirección y el personal | 5.3, A.3.2, A.10.2 | El registro es la evidencia |
Lo que la norma no produce para el artículo 17, aspecto por aspecto: para (a), el procedimiento de evaluación de la conformidad del artículo 43 y los anexos VI y VII y la regla de las modificaciones sustanciales; para (d), la frecuencia de las pruebas y la validación posterior al desarrollo; para (e), la indicación de las normas armonizadas o especificaciones comunes conforme a las que se construye el sistema y los medios usados donde no cubren un requisito; para (g), el proceso del artículo 9 durante toda la vida útil con pruebas contra métricas definidas y un juicio sobre el riesgo residual por peligro; para (h), el plan de vigilancia poscomercialización sobre la plantilla de la Comisión; para (i), la notificación a la autoridad de vigilancia del mercado dentro de los plazos del artículo 73, 15 días en general, 2 días para una infracción generalizada o un incidente según el artículo 3(49)(b), 10 días para un fallecimiento. Los otros siete aspectos son lo que un sistema de gestión de la IA conforme ya posee.
Artículos 9 a 15, 72 y 73: los requisitos del sistema
La sección 2 del capítulo III es la lista de requisitos que debe cumplir un sistema de alto riesgo, y el patrón cambia: el control fija lo que el sistema debe hacer, el sistema es la evidencia.
| Artículo | ISO 42001 | Base |
|---|---|---|
| 9: Sistema de gestión de riesgos | 6.1.2, 6.1.3, A.5.2, A.5.3, A.5.4, A.5.5, A.6.2.4 | Proceso; el sistema aporta la evidencia |
| 10: Datos y gobernanza de datos | A.7.2, A.7.3, A.7.4, A.7.5, A.7.6 | Proceso; el sistema aporta la evidencia |
| 11: Documentación técnica, según el anexo IV | A.6.2.3, A.6.2.7 | Proceso; el sistema aporta la evidencia |
| 12: Conservación de registros: archivos automáticos durante la vida útil | A.6.2.8 | Proceso; el sistema aporta la evidencia |
| 13: Transparencia e instrucciones de uso | A.8.2, A.6.2.7, A.10.4 | Proceso; el sistema aporta la evidencia |
| 14: Vigilancia humana | ninguno | No está en el anexo A |
| 15: Precisión, solidez y ciberseguridad | A.6.2.4, A.6.2.6 | Proceso; el sistema aporta la evidencia |
| 72: Vigilancia poscomercialización | A.6.2.6, A.8.3 | Proceso; el sistema aporta la evidencia |
| 73: Notificación de incidentes graves | A.8.4, A.3.3 | Proceso; el sistema aporta la evidencia |
Las carencias son concretas. El artículo 10 especifica las propiedades de los conjuntos de datos de entrenamiento, validación y prueba, pertinentes, suficientemente representativos, en la medida de lo posible libres de errores y completos, con las decisiones de diseño, orígenes, preparación, supuestos, examen de sesgos y lagunas documentados; el anexo A gobierna los datos, el Reglamento los especifica. El artículo 11 fija el contenido de la documentación técnica en el anexo IV, con un formulario simplificado para las pymes, las empresas emergentes y las pequeñas empresas de mediana capitalización. El artículo 12 exige que el propio sistema registre los eventos que nombra. El artículo 13 fija el contenido de las instrucciones de uso, entre ellas las métricas de precisión declaradas. El artículo 14 es el único requisito que ningún control del anexo A produce: medidas de vigilancia integradas en el sistema o especificadas para el responsable del despliegue, para que las personas asignadas puedan entender sus límites, vigilar el sesgo de automatización, interpretar la salida, decidir no usarlo y detenerlo. El artículo 15 pide precisión declarada, resiliencia frente a errores y bucles de retroalimentación, y resiliencia frente al envenenamiento de datos, el envenenamiento de modelos, los ejemplos adversarios y los fallos de los modelos, y ahí los controles de ISO 27001 llevan la mitad de ciberseguridad y ninguna de las dos normas prueba la solidez por usted.
Artículos 4 y 26: los deberes de una empresa que usa IA
La mayoría de las empresas son responsables del despliegue, no proveedores. El artículo 4 se aplica a ambos desde el 2 de febrero de 2025, tal como lo reescribió el ómnibus; el artículo 26 se aplica a los responsables del despliegue de sistemas de alto riesgo desde las mismas fechas que las obligaciones de los proveedores.
| Artículo | ISO 42001 | Base |
|---|---|---|
| 4: Alfabetización en materia de IA | 7.2, 7.3, A.4.6 | El registro es la evidencia |
| 26: Responsables del despliegue de sistemas de alto riesgo | A.9.2, A.9.3, A.9.4, A.6.2.8, A.8.5 | Proceso; el sistema aporta la evidencia |
Para un responsable del despliegue, lo que ISO 42001 no resuelve está en el propio artículo 26: vigilancia humana asignada a personas físicas competentes, datos de entrada pertinentes para la finalidad prevista, los archivos de registro del sistema conservados al menos seis meses, los representantes de los trabajadores y los trabajadores afectados informados antes de usar un sistema de alto riesgo en el lugar de trabajo, y la evaluación de impacto sobre los derechos fundamentales del artículo 27 cuando el responsable del despliegue es un organismo público o uno privado que presta servicios públicos, o un banco o una aseguradora que usa los sistemas de crédito y seguros del anexo III.
Lo que suma todo esto
Para un proveedor de un sistema de alto riesgo, ISO 42001 es el sistema de gestión de la calidad del artículo 17 en su estructura y en diez de sus trece aspectos; lo que hay que escribir para el Reglamento es la vía de evaluación de la conformidad, la documentación técnica según el anexo IV con el plan de vigilancia poscomercialización dentro, el proceso de riesgos del artículo 9 con sus métricas, el procedimiento de incidentes con la autoridad y los plazos, y la vigilancia humana del artículo 14. Para una empresa que usa IA, las cláusulas de la norma sobre competencia y concienciación y sus controles A.9 sobre el uso son el registro de los artículos 4 y 26. Las fechas dan a un proveedor de un sistema del anexo III hasta el 2 de diciembre de 2027, y ninguna de las fechas da a nadie motivo para publicar una página con el 2 de agosto de 2026 después del 27 de julio.
Los 38 controles del anexo A de ISO 42001 en lenguaje llano, lo que StandardOS cubre de la norma cláusula por cláusula y la cuestión de la certificación, con el recuento de licitaciones son las piezas complementarias.
Fuentes
- Reglamento (UE) 2024/1689 (el Reglamento de IA), artículos 4, 6, 9 a 15, 17, 26, 27, 50, 72, 73, 111 y 113, anexos III y IV, leídos en CELLAR el 12 de septiembre de 2026.
- Reglamento (UE) 2026/1744 de 8 de julio de 2026 (el ómnibus digital sobre IA), artículo 1, puntos (5), (6), (8), (9), (10), (11), (30), (39) y (40); Diario Oficial de 24 de julio de 2026, ELI http://data.europa.eu/eli/reg/2026/1744/oj; en vigor el 27 de julio de 2026.
- ISO/IEC 42001:2023, anexo A y cláusulas 4.2, 5.3, 6.1.2, 6.1.3, 7.2, 7.3 y 7.5, citadas por número; el texto es de ISO y no se reproduce; la correspondencia es nuestra.
Esto no es asesoramiento jurídico. Si un sistema concreto es de alto riesgo se decide conforme al artículo 6 y los anexos; la correspondencia es una lectura de dos textos, no una presunción de conformidad.