Por qué llegan las preguntas
El Reglamento de IA de la UE (Reglamento (UE) 2024/1689) entró en vigor en agosto de 2024 y se aplica por fases. Primero llegaron las prácticas prohibidas y la alfabetización en materia de IA, en febrero de 2025. Las normas para los modelos de IA de uso general siguieron en agosto de 2025, y las obligaciones de transparencia en agosto de 2026. Los sistemas de IA que ya estaban en el mercado en esa fecha tienen hasta diciembre de 2026 para marcar el contenido que generan en un formato legible por máquina.
El Digital Omnibus, la modificación que entró en vigor en julio de 2026, cambió tres cosas sobre las que se preguntará a un proveedor. Aplazó las obligaciones de alto riesgo a diciembre de 2027 para los usos de alto riesgo enumerados y a agosto de 2028 para la IA integrada en productos regulados. Suavizó la obligación de alfabetización en materia de IA: los proveedores y los responsables del despliegue deben adoptar medidas que favorezcan la alfabetización en materia de IA de su personal, en lugar de garantizar un nivel suficiente para cada persona. Y añadió dos prácticas prohibidas a partir de diciembre de 2026: la IA que genera imágenes íntimas de una persona real sin su consentimiento y la IA que genera material de abuso sexual infantil.
La mayoría de sus clientes son responsables del despliegue según el Reglamento: utilizan un sistema de IA en su propio trabajo y deben conocerlo lo suficiente para usarlo dentro de las normas. Sus equipos de compras y de seguridad han añadido una sección de IA al cuestionario de proveedores para averiguarlo, y llega a todo proveedor cuyo producto redacte, puntúe, resuma o recomiende algo.
Qué pregunta un cuestionario sobre el Reglamento de IA
Las preguntas varían según el cliente, pero los temas se repiten:
- Qué funciones usan IA, qué hace cada una y si el cliente puede desactivarla.
- Su papel: si es usted el proveedor del sistema de IA y sobre qué proveedores de modelos de IA de uso general construye.
- La clase de riesgo: si algún uso es una práctica prohibida o entra en la lista de alto riesgo, y cómo llegó a esa conclusión.
- Transparencia: si se informa a los usuarios de que están interactuando con IA y si el contenido generado se marca como tal.
- Datos de clientes: si las instrucciones, los documentos o los resultados se usan para entrenar algún modelo, dónde se tratan y cuánto tiempo se conservan.
- Supervisión humana: si una persona revisa el resultado antes de que se utilice y si puede corregirlo o anularlo.
- Precisión y pruebas: cómo evalúa el resultado, cómo gestiona los modos de fallo conocidos y qué registra.
- Gobernanza: quién es responsable de la IA en su empresa, si tiene una política de IA o sigue ISO 42001, y qué hace por la alfabetización en materia de IA de su propio personal.
Responder como proveedor
Empiece por un inventario, con una entrada por cada función de IA: qué hace, a qué modelo y proveedor llama, qué datos se envían, si se conserva algo o se usa para entrenamiento, quién revisa el resultado y su clase de riesgo, con el razonamiento en una frase. Cinco funciones caben en una página, y todas las filas de la sección de IA se responden a partir de ella.
Dos respuestas requieren una decisión, no un dato. La primera es la definición de su papel: qué proporciona usted, qué decide el cliente y dónde empiezan las obligaciones propias del cliente como responsable del despliegue. La segunda es la clasificación del riesgo. "No es de alto riesgo" es una respuesta completa solo si nombra el uso y el motivo, por ejemplo "redacta respuestas para que las revise el personal del cliente; no es un uso enumerado en el anexo III". Acuerde ambas con quien firme sus contratos, para que el cuestionario y el contrato digan lo mismo.
La sección de IA se solapa con dos que usted ya responde. El entrenamiento con datos de clientes, las ubicaciones del tratamiento y los subencargados son preguntas del RGPD que se repiten para los proveedores de IA, y el registro, el acceso y la gestión de incidentes son respuestas de seguridad que ya tiene. Responda con el mismo texto en ambos lugares.
Las respuestas, y su propia IA
Las respuestas sobre el Reglamento de IA están en la base de conocimiento como cualquier otra respuesta aprobada, con el inventario y su política de IA adjuntos como evidencia con fechas de revisión, y cada cuestionario se redacta a partir de ellas con las palabras del cliente. Responsemate es en sí un producto de IA, así que sus propias respuestas sirven de ejemplo práctico: cada borrador muestra sus fuentes y una puntuación de confianza y espera a que una persona lo apruebe, el proveedor y el modelo de IA los elige el cliente, y ningún contenido de clientes entrena un modelo. El AI usage report muestra las fuentes utilizadas. La IA de Responsemate y su tratamiento de datos.
Preguntas que hacen las personas
¿Se aplica el Reglamento de IA de la UE a un proveedor SaaS de fuera de la UE?
Sí, cuando el sistema de IA se introduce en el mercado de la UE o su resultado se utiliza en la UE. Un proveedor de EE. UU. o del Reino Unido que vende a clientes de la UE está dentro del ámbito de aplicación para los sistemas que utilizan esos clientes.
¿Es nuestro producto de alto riesgo según el Reglamento de IA?
Probablemente no. El alto riesgo es una lista definida de usos, como la contratación de personal, la evaluación de la solvencia, el acceso a la educación o a servicios públicos esenciales y los componentes de seguridad de productos regulados. Redactar textos, resumir documentos o buscar en una base de conocimiento no figura en ella. Indique en qué categoría está y por qué, en una o dos frases.
El plazo de alto riesgo se aplazó a 2027. ¿Podemos esperar para responder?
No. El aplazamiento afecta a las obligaciones de alto riesgo, y la mayor parte del software B2B no es de alto riesgo de todos modos. Las prácticas prohibidas, las obligaciones de transparencia y las normas para los modelos de IA de uso general ya se aplican, y sus clientes están recopilando ahora las respuestas de los proveedores para contratos que se extenderán mucho más allá de 2027.
¿Necesitamos ISO 42001 para responder a un cuestionario sobre el Reglamento de IA?
No. ISO/IEC 42001 es una norma voluntaria para un sistema de gestión de la IA, y un certificado es una evidencia útil, pero el cuestionario puede responderse sin él. Los clientes preguntan si lo tiene igual que preguntan por ISO 27001.