Si has seguido la serie hasta aquí, ya tienes lo difícil resuelto. Sabes clasificar tus sistemas, conoces la documentación que exige el reglamento, tienes claro qué responsabilidad asumes como deployer y qué debes exigir a tus proveedores.
Falta ordenarlo. Y ese es justo el punto donde la mayoría de empresas se bloquea, porque saber qué hay que hacer no es lo mismo que saber en qué orden hacerlo.
Por qué 90 días puede ser un buen primer ciclo
Hay programas de cumplimiento de año y medio que tienen sentido para una multinacional con cientos de sistemas. Para una PYME española que usa entre tres y diez herramientas de IA, ese enfoque puede resultar desproporcionado.
El objetivo de un plan de 90 días no es la perfección. Es la conformidad demostrable: poder enseñar, ante una inspección de la AESIA, que tienes identificados tus sistemas, clasificado su riesgo, documentado lo esencial y asignadas las responsabilidades. Eso es lo que protege a la empresa. No el documento de doscientas páginas que nadie ha leído.
Fase 1. Inventario, semanas 1 a 3
Lista completa de sistemas de IA en uso, propios y de terceros. Para cada uno: qué hace, quién lo usa y qué decisiones influye. Este trabajo, mal hecho, invalida todo lo que viene después.
Fase 2. Clasificación, semanas 4 a 6
Cada sistema se clasifica en uno de los cuatro niveles de riesgo. Aquí es donde se aplican los criterios del Anexo III que vimos hace unas semanas. El resultado debe ser un semáforo claro: qué sistemas son de alto riesgo y necesitan trabajo inmediato.
Fase 3. Documentación, semanas 7 a 10
Para cada sistema de alto riesgo, se reúne o se genera la documentación técnica, las instrucciones de uso y el registro de funcionamiento. Es la fase que más tiempo consume, y también la que más protege.
Fase 4. Gobernanza, semanas 11 a 13
Se formalizan los responsables designados en cada sistema, se documentan los procedimientos de supervisión, y se deja todo preparado para que el cumplimiento no dependa de la memoria de una sola persona.
El error más común al ejecutar el plan
Intentar hacer las cuatro fases a la vez. El resultado suele ser un poco de todo y nada terminado. El orden importa: sin inventario no hay clasificación correcta, sin clasificación no sabes qué documentar, y sin documentación la gobernanza es solo un organigrama bonito.
Por dónde empezar
Reúnete esta semana con los responsables de recursos humanos, operaciones y tecnología. Haz la pregunta. Escribe la lista. Con esa lista en la mano, el resto del plan se construye en horas, no en semanas.
La serie se completa con un marco de gobernanza a largo plazo para mantener el cumplimiento cuando el reglamento, los sistemas y la organización cambian.
¿En qué fase estaría tu empresa hoy?
- Reglamento (UE) 2024/1689
- Consejo de la UE: simplificación y nuevos plazos de alto riesgo
- Recursos y guías de AESIA
Contenido informativo. No sustituye asesoramiento jurídico adaptado al caso concreto.
Convierte el contenido en un plan para tu empresa
Revisamos sistemas, usos, responsables y evidencias para priorizar lo que realmente necesita atención.
Solicitar diagnóstico inicial
Francisco Rodríguez Mendoza
Consultor en gobernanza de IA, AI Act y gestión de riesgos. PMP® e ingeniero de telecomunicaciones.
Ver perfil profesional →