Análisis jurídico completo para empresas y administraciones públicas. La guía oficial de la AESIA más el criterio de iusia para el asesoramiento práctico.
Las Guías 1 a 15 de la AESIA son documentos de análisis y orientación: explican qué exige el AI Act, por qué lo exige, y cómo deben interpretarse los requisitos en distintos contextos. La Guía 16 es diferente: es una herramienta operativa. Sus 13 checklists en formato Excel y Word permiten verificar el cumplimiento de cada requisito del AI Act para sistemas de alto riesgo de forma estructurada y documentada.
La recomendación de iusia para quien empiece a trabajar en el cumplimiento del AI Act es empezar por aquí. Los checklists de la Guía 16 permiten hacer en pocas horas un gap analysis preliminar — una evaluación de la diferencia entre la situación actual de cumplimiento y los requisitos del Reglamento — que identifica cuáles son los ámbitos donde hay más trabajo por hacer y, por tanto, cuáles de las guías 1 a 15 son más urgentes de analizar en detalle. Sin este diagnóstico previo, es fácil invertir tiempo en ámbitos ya cubiertos mientras quedan sin atender obligaciones críticas.
Los checklists son expresamente no vinculantes como el resto de guías de la AESIA, pero tienen una relevancia práctica especial. En un eventual proceso de inspección o sancionador, poder presentar a la autoridad supervisora los checklists de la Guía 16 completados con respuestas afirmativas, fechas y evidencias referenciadas es una demostración robusta de la diligencia debida del proveedor o del desplegador. Una organización que ha completado sistemáticamente estos checklists y ha tomado acciones para resolver los gaps identificados está en una posición de cumplimiento significativamente mejor que una que no lo ha hecho.
La Guía 16 incluye un checklist para cada uno de los requisitos principales del AI Act para sistemas de alto riesgo. El primer checklist verifica el cumplimiento del sistema de gestión de riesgos del art. 9: si el proceso de gestión de riesgos está establecido y documentado, si es iterativo y continuo, si cubre los tres tipos de riesgo (técnico, de uso y de derechos fundamentales), si las medidas de mitigación están implementadas y verificadas, y si los riesgos residuales están documentados y son aceptables.
El segundo checklist verifica el cumplimiento de los requisitos sobre datos del art. 10: si los datos de entrenamiento, validación y prueba satisfacen los cinco criterios de calidad del art. 10.3, si está implementado un sistema de gobernanza de datos, si se han realizado evaluaciones de sesgos, y si el tratamiento de datos personales en el entrenamiento cumple con el RGPD.
El tercer checklist verifica la documentación técnica del Anexo IV: si las nueve secciones del Anexo IV están completadas, si la documentación refleja fielmente el sistema actual, si está actualizada conforme a las últimas modificaciones del sistema, y si está disponible en el idioma correcto.
El cuarto checklist verifica los logs automáticos del art. 12: si el sistema genera automáticamente los logs con el contenido mínimo del art. 12.2, si el desplegador tiene acceso a los logs, si el período de conservación de 6 meses se cumple, y si la política de conservación de logs es coherente con el RGPD.
El quinto checklist verifica la transparencia del art. 13: si las instrucciones de uso cubren el contenido mínimo del art. 13.3, si son comprensibles para el tipo de desplegador al que van dirigidas, y si se actualizan cuando el sistema cambia.
El sexto checklist verifica la supervisión humana del art. 14: si el sistema está diseñado para que las cinco capacidades del art. 14.4 sean posibles, si el desplegador ha asignado supervisores con las competencias adecuadas, si existe un proceso de supervisión humana efectivo (no puramente formal), y si hay registros de la supervisión ejercida.
El séptimo checklist verifica la precisión del art. 15: si se han evaluado las métricas de precisión apropiadas para el tipo de sistema, si se ha evaluado la precisión diferencial por grupos, si los niveles de precisión se han comunicado al desplegador, y si hay un proceso de monitorización de la precisión en producción.
El octavo checklist verifica la solidez y robustez del art. 15: si se han realizado pruebas de robustez frente a entradas inesperadas, si se monitoriza el distributional shift, si el sistema es resistente a ataques adversariales básicos, y si existen mecanismos de fall-back.
El noveno checklist verifica la ciberseguridad del art. 15: si el sistema tiene protecciones frente a data poisoning, model stealing e inversión del modelo, si los endpoints de la API están protegidos con autenticación robusta, y si el plan de respuesta a incidentes incluye procedimientos específicos para incidentes de ciberseguridad en sistemas de IA.
El décimo checklist verifica el sistema de gestión de calidad del art. 17: si el SGC está documentado y operativo, si incluye los diez elementos del art. 17.1, si se realizan auditorías internas periódicas, y si hay evidencias de que el SGC funciona como herramienta de mejora continua y no solo de cumplimiento formal.
El undécimo checklist verifica la evaluación de conformidad del art. 43 y el marcado CE del art. 48: si se ha completado el proceso de evaluación de conformidad aplicable (autoevaluación o por organismo notificado), si la declaración UE de conformidad está elaborada y firmada, si el marcado CE está fijado correctamente, y si el sistema está registrado en la base de datos de la UE.
El duodécimo checklist verifica la vigilancia poscomercialización del art. 72: si el plan de vigilancia poscomercialización está documentado antes de la comercialización, si los indicadores de rendimiento y los umbrales de acción están definidos, si existen canales de retroalimentación de los desplegadores, y si se realizan revisiones periódicas del plan.
El decimotercer checklist verifica las obligaciones del desplegador del art. 26: si el desplegador usa el sistema conforme a las instrucciones del proveedor, si ha asignado supervisores humanos competentes, si conserva los logs durante los plazos requeridos, si ha informado a los representantes de los trabajadores cuando procede, si ha realizado la EIPD y la FRIA cuando son obligatorias, y si tiene un proceso para notificar incidentes graves al proveedor.
En el contexto de una adquisición o inversión, los checklists de la Guía 16 son el punto de partida del análisis de AI compliance del target. El jurista que conduce la due diligence puede usar los checklists para estructurar las solicitudes de información al target y para evaluar las respuestas recibidas.
La metodología recomendada es enviar al target los checklists relevantes — dependiendo de si el target es proveedor o desplegador — con la solicitud de que los complete con sus respuestas y las evidencias correspondientes. Las respuestas negativas o incompletas identifican los gaps de cumplimiento. Para cada gap identificado, el jurista debe evaluar la relevancia del incumplimiento para el riesgo de la operación: no todos los incumplimientos tienen el mismo peso, y algunos son más fácilmente remediables que otros.
Los gaps de cumplimiento identificados pueden reflejarse en la transacción de varias formas: como ajuste del precio basado en el coste estimado de remediación, como representaciones y garantías del vendedor sobre el estado de cumplimiento, como obligaciones de remediación post-cierre con plazos y penalizaciones, o como condición precedente al cierre si los gaps son suficientemente graves.
Para organizaciones que ya tienen sistemas de IA desplegados y quieren evaluar su estado de cumplimiento, los checklists permiten hacer un gap analysis estructurado. El proceso recomendado es completar cada checklist con la participación de los equipos internos responsables de cada área — el equipo de ingeniería para los checklists técnicos, el DPO para los de datos y RGPD, el responsable de seguridad para el de ciberseguridad, el DRH para el de supervisión humana y RRHH, el responsable jurídico para los de evaluación de conformidad y documentación técnica.
Las respuestas negativas generan automáticamente un plan de acción: cada pregunta negativa del checklist corresponde a un gap de cumplimiento que debe corregirse. La plantilla de plan de acción integrada en el Excel de la Guía 16 permite organizar los gaps por nivel de urgencia, asignar un responsable interno a cada acción, y establecer un plazo de remediación. Este plan de acción debe revisarse periódicamente para verificar el avance y actualizar las estimaciones de plazo.
La AESIA está llamada a inspeccionar a los proveedores y desplegadores de sistemas de IA de alto riesgo establecidos en España, aunque su designación formal y su régimen sancionador dependen de la ley española que quedó pendiente al caducar el proyecto de Ley Orgánica en octubre de 2026. Aunque a la fecha de actualización de este análisis la AESIA está en proceso de establecer sus protocolos de inspección, la experiencia de otras agencias reguladoras en España — especialmente la AEPD — muestra que las inspecciones tienden a organizarse en torno a cuestionarios estructurados que recogen información sobre los principales elementos del régimen de cumplimiento.
Mantener los checklists de la Guía 16 actualizados y con las evidencias referenciadas permite responder a las solicitudes de información de la AESIA de forma rápida y organizada, lo que reduce el riesgo de que la inspección identifique gaps de cumplimiento adicionales derivados de la desorganización documental. Una organización que presenta a la AESIA los checklists completados con evidencias referenciadas está en una posición mucho más favorable que una que debe reconstruir la información durante la propia inspección.
La Guía 16 y sus checklists son la respuesta práctica a la pregunta más frecuente que reciben los juristas especializados en AI Act: ¿por dónde empezamos? La respuesta es: por aquí. Complete el checklist del art. 9 (gestión de riesgos) y el checklist del desplegador del art. 26 esta semana. Le dirán exactamente dónde están los gaps de cumplimiento más urgentes para su organización. Con esa información, podrá priorizar cuáles de las guías 1 a 15 de la AESIA necesita leer con más urgencia y qué acciones debe tomar antes del 2 de diciembre de 2027, fecha de aplicación del alto riesgo del Anexo III fijada por el Ómnibus Digital (2 de agosto de 2028 para el Anexo I). Recuerde que las prohibiciones, la alfabetización y la transparencia del artículo 50 ya son exigibles.
Los checklists de la Guía 16 son también una herramienta de formación. Completar un checklist con el equipo interno responsable de cada área — en lugar de hacerlo individualmente el responsable de cumplimiento — es una forma eficiente de que todos los implicados en el desarrollo, despliegue y mantenimiento del sistema entiendan qué requisitos específicos les corresponde cumplir. La discusión que se genera al intentar responder colectivamente a las preguntas del checklist tiene un valor formativo que supera al de cualquier presentación sobre el AI Act.
La AESIA y la AEPD están desarrollando programas de formación específicos sobre el AI Act dirigidos a distintos perfiles profesionales: juristas, ingenieros de IA, responsables de cumplimiento, y directivos con responsabilidad de adopción de sistemas de IA. Los checklists de la Guía 16 pueden usarse como base de diagnóstico en estos programas formativos, permitiendo a los participantes aplicar inmediatamente los conocimientos adquiridos a la evaluación de sus propios sistemas.
El AI Act es una norma relativamente reciente y está en proceso de desarrollo — las normas armonizadas, las especificaciones técnicas comunes, las directrices del Comité Europeo de IA y las posibles modificaciones introducidas por el Ómnibus Digital pueden alterar el contenido de los requisitos que los checklists verifican. La guía recomienda establecer un proceso de revisión periódica de los checklists para garantizar que reflejan el estado actual de los requisitos normativos.
La AESIA se ha comprometido a mantener actualizadas las guías, incluyendo los checklists de la Guía 16, cuando se produzcan cambios normativos significativos. Sin embargo, la responsabilidad de verificar que los checklists usados internamente están actualizados recae sobre la organización. iusia monitoriza las novedades normativas — nuevas guías AESIA, normas armonizadas, directrices del Comité Europeo de IA, modificaciones del AI Act introducidas por el Ómnibus Digital — y actualiza sus análisis para que sus suscriptores siempre trabajen con la información más actualizada disponible.
En las organizaciones con múltiples sistemas de IA, los checklists de la Guía 16 pueden integrarse en un dashboard de gobernanza corporativa de IA que proporcione a la dirección y al consejo de administración una visión consolidada del estado de cumplimiento del AI Act en toda la organización. Este dashboard puede mostrar, para cada sistema de IA inventariado, el nivel de cumplimiento de cada requisito del AI Act, los gaps identificados y el estado de las acciones correctivas en curso.
La gobernanza corporativa de IA es una expectativa creciente de inversores institucionales, clientes corporativos y reguladores. Las empresas cotizadas en mercados europeos están recibiendo preguntas específicas sobre su cumplimiento del AI Act en el contexto de sus obligaciones de información no financiera bajo la CSRD (Corporate Sustainability Reporting Directive). Los checklists de la Guía 16, integrados en un proceso formal de gobernanza, pueden proporcionar la evidencia estructurada necesaria para responder a estas preguntas con rigor.
La Comisión Nacional del Mercado de Valores (CNMV) ha señalado que incorporará el cumplimiento del AI Act como uno de los criterios de supervisión de las entidades financieras cotizadas a partir de la plena aplicación del Reglamento. Los consejos de administración de estas entidades deben anticipar que el cumplimiento del AI Act formará parte de su agenda de supervisión tan pronto como en el segundo semestre de 2026, y que los checklists de la Guía 16 debidamente cumplimentados y actualizados serán el punto de partida más eficiente para preparar esa supervisión.
Los checklists de la Guía 16 son también una herramienta de formación. Completar un checklist con el equipo interno responsable de cada área — en lugar de hacerlo individualmente el responsable de cumplimiento — es una forma eficiente de que todos los implicados en el desarrollo, despliegue y mantenimiento del sistema entiendan qué requisitos específicos les corresponde cumplir. La discusión que se genera al intentar responder colectivamente a las preguntas del checklist tiene un valor formativo que supera al de cualquier presentación sobre el AI Act.
La AESIA y la AEPD están desarrollando programas de formación específicos sobre el AI Act dirigidos a distintos perfiles profesionales: juristas, ingenieros de IA, responsables de cumplimiento, y directivos con responsabilidad de adopción de sistemas de IA. Los checklists de la Guía 16 pueden usarse como base de diagnóstico en estos programas formativos, permitiendo a los participantes aplicar inmediatamente los conocimientos adquiridos a la evaluación de sus propios sistemas.
El AI Act es una norma relativamente reciente y está en proceso de desarrollo — las normas armonizadas, las especificaciones técnicas comunes, las directrices del Comité Europeo de IA y las posibles modificaciones introducidas por el Ómnibus Digital pueden alterar el contenido de los requisitos que los checklists verifican. La guía recomienda establecer un proceso de revisión periódica de los checklists para garantizar que reflejan el estado actual de los requisitos normativos.
La AESIA se ha comprometido a mantener actualizadas las guías, incluyendo los checklists de la Guía 16, cuando se produzcan cambios normativos significativos. Sin embargo, la responsabilidad de verificar que los checklists usados internamente están actualizados recae sobre la organización. iusia monitoriza las novedades normativas — nuevas guías AESIA, normas armonizadas, directrices del Comité Europeo de IA, modificaciones del AI Act introducidas por el Ómnibus Digital — y actualiza sus análisis para que sus suscriptores siempre trabajen con la información más actualizada disponible.
En las organizaciones con múltiples sistemas de IA, los checklists de la Guía 16 pueden integrarse en un dashboard de gobernanza corporativa de IA que proporcione a la dirección y al consejo de administración una visión consolidada del estado de cumplimiento del AI Act en toda la organización. Este dashboard puede mostrar, para cada sistema de IA inventariado, el nivel de cumplimiento de cada requisito del AI Act, los gaps identificados y el estado de las acciones correctivas en curso.
La gobernanza corporativa de IA es una expectativa creciente de inversores institucionales, clientes corporativos y reguladores. Las empresas cotizadas en mercados europeos están recibiendo preguntas específicas sobre su cumplimiento del AI Act en el contexto de sus obligaciones de información no financiera bajo la CSRD (Corporate Sustainability Reporting Directive). Los checklists de la Guía 16, integrados en un proceso formal de gobernanza, pueden proporcionar la evidencia estructurada necesaria para responder a estas preguntas con rigor.
La Comisión Nacional del Mercado de Valores (CNMV) ha señalado que incorporará el cumplimiento del AI Act como uno de los criterios de supervisión de las entidades financieras cotizadas a partir de la plena aplicación del Reglamento. Los consejos de administración de estas entidades deben anticipar que el cumplimiento del AI Act formará parte de su agenda de supervisión tan pronto como en el segundo semestre de 2026, y que los checklists de la Guía 16 debidamente cumplimentados y actualizados serán el punto de partida más eficiente para preparar esa supervisión.
Más recursos: calendario del AI Act tras el Ómnibus Digital · análisis del AI Act en 2026 · servicios para administraciones públicas (LexQuark).
Newsletter gratuita · Empresas y administraciones públicas · En español