Auditoría compliance IA: checklist AI Act 2026 para empresas españolas

Una auditoría de compliance IA es la revisión estructurada de los sistemas de inteligencia artificial que usa una empresa (propios o de terceros) para verificar que cumplen las obligaciones del Reglamento (UE) 2024/1689 — el AI Act. No es un trámite documental abstracto: es la prueba que le enseñas a la AESIA (Agencia Española de Supervisión de Inteligencia Artificial) si tu empresa recibe una inspección.

La auditoría no es opcional cuando la empresa opera IA de alto riesgo del Anexo III (RRHH, crédito, educación, servicios esenciales, seguridad, etc.). Para el resto de usos — riesgo mínimo o limitado — no es obligatoria como documento formal, pero conviene tenerla porque sirve para demostrar dos cosas que sí son exigibles a toda empresa: la alfabetización IA del equipo (Art. 4, obligatorio desde febrero de 2025) y la transparencia frente al usuario final (Art. 50, obligatorio desde 2 de agosto de 2026).

La fecha crítica es el 2 de agosto de 2026, cuando entran en aplicación completa las obligaciones para sistemas de alto riesgo. Empresas que empiezan la auditoría en el primer trimestre suelen llegar rodadas; las que dejan la auditoría para junio de 2026 llegan justas y con improvisación visible en la documentación.

Estos son los siete bloques de cualquier auditoría de compliance IA seria, con la referencia al artículo del Reglamento que aplica:

1. Inventario de sistemas IA (Art. 6-7): lista completa de sistemas propios, integrados en SaaS y desarrollos internos. Incluye CRM con scoring (HubSpot, Salesforce), email marketing con IA (Brevo, Mailchimp), OCR de facturas (Holded, A3), atención al cliente (Zendesk, Intercom), asistentes de código (Copilot, Cursor) y cualquier herramienta con LLM. Una PYME estándar descubre entre 5 y 15 sistemas.
2. Clasificación de riesgo (Anexo III): cada sistema se evalúa contra las 8 categorías del Anexo III. Los usos más frecuentes en alto riesgo son RRHH (screening de CVs, evaluación de desempeño), servicios financieros (scoring crediticio, KYC), educación (proctoring, evaluación) y acceso a servicios públicos.
3. Documentación técnica del Art. 11: para sistemas de alto riesgo, dossier técnico con arquitectura, datos de entrenamiento, métricas de rendimiento, sesgos detectados y mitigación. Suele ocupar 40-120 páginas por sistema.
4. Evaluación de impacto (EIPD, Art. 27): análisis del impacto sobre derechos fundamentales cuando el sistema afecta a personas físicas. Complementa a la evaluación de impacto de RGPD (DPIA) pero es distinta y obligatoria per se.
5. Supervisión humana (Art. 14): qué persona revisa las decisiones del sistema, con qué frecuencia, con qué margen de intervención y bajo qué protocolo escalado. No basta con decir “hay supervisión”: hay que documentar quién, cuándo y cómo.
6. Alfabetización IA del equipo (Art. 4): registro de la formación recibida por cada empleado que usa IA. Obligatorio para todas las empresas desde febrero de 2025. En una PYME de 20 personas se cubre con 1-2h de sesión por rol + evidencia documental de asistencia y contenidos.
7. Transparencia (Art. 50): avisar al usuario cuando interactúa con IA (chatbots, agentes de voz), etiquetar contenido generado y actualizar T&C. Obligatorio desde 2 de agosto de 2026. La ausencia de este aviso es uno de los incumplimientos más fáciles de detectar en una inspección.

El proceso estándar en una PYME o mediana empresa se estructura en cinco fases. En una empresa de 30-100 empleados con 5-15 sistemas de IA, la auditoría completa lleva 40-120 horas de trabajo distribuido en 4-8 semanas:

1. Kickoff y cribado inicial (semana 1): cuestionario de 12-15 preguntas a operaciones, RRHH, IT, marketing y comercial para identificar qué IA se usa. En la mayoría de empresas aparecen 30-40% más sistemas de los que el CEO creía que había.
2. Clasificación de riesgo por sistema (semana 2): cada sistema pasa por el flujo del Anexo III. Los que caen en alto riesgo se marcan para dossier completo; los de riesgo limitado o mínimo se documentan más ligero.
3. Recopilación documental (semanas 3-5): para cada sistema de alto riesgo, se pide al proveedor la documentación del Art. 11. Muchos proveedores SaaS grandes (Microsoft, Google, Salesforce) ya la tienen preparada; los proveedores más pequeños suelen tardar en responder.
4. Redacción de política interna, EIPDs y protocolos de supervisión (semanas 5-7): se redactan los documentos que faltan. En este punto se dispara la mayoría del tiempo si no se parte de plantillas.
5. Cierre y calendario de revisión (semana 8): el paquete queda archivado con hash, fecha y responsable, y se fija revisión anual mínima o antes si cambia un sistema.

El coste de una auditoría subcontratada en consultora especializada oscila entre 5.000 y 25.000 EUR según el tamaño de la empresa y el número de sistemas de alto riesgo. Una PYME con 2-3 sistemas de alto riesgo puede resolverla con plataforma de compliance automatizada (200-600 EUR/mes) + 8-15h de dedicación interna.

El Art. 5 del AI Act prohíbe una serie de usos con independencia del sector y del tamaño de la empresa. Su incumplimiento tiene el tramo máximo de sanción: hasta 35 millones de euros o el 7% de facturación global. Este es el checklist rápido:

• Manipulación subliminal o técnicas engañosas que distorsionen materialmente el comportamiento de una persona en su perjuicio.
• Explotación de vulnerabilidades por edad, discapacidad o situación socioeconómica específica.
• Scoring social generalizado por parte de autoridades o empresas basado en comportamiento social o características personales.
• Predicción de riesgo criminal basada exclusivamente en perfilado o rasgos de personalidad, sin objetividad probada.
• Bases de datos de reconocimiento facial creadas por scraping indiscriminado de internet o CCTV.
• Reconocimiento de emociones en contextos laborales o educativos (con excepciones médicas o de seguridad justificadas).
• Categorización biométrica para deducir raza, opiniones políticas, orientación sexual o religión.
• Identificación biométrica en tiempo real en espacios públicos por parte de autoridades (con excepciones limitadas).

Ninguna PYME cae en estos casos por error si no busca activamente el uso. Aun así, conviene tenerlo en el checklist para descartar de forma expresa.

Estos son los cinco errores que vemos con más frecuencia en empresas que llegan tarde a la auditoría, o que la contratan con un despacho sin especialidad en IA:

• Confundir RGPD y AI Act. El RGPD protege datos personales; el AI Act regula el sistema de IA en sí. Se solapan (por ejemplo, en la EIPD/DPIA), pero no se sustituyen. Una empresa cumplidora del RGPD sigue teniendo que documentar Art. 11, Art. 14 y Art. 4 aparte.
• Auditar solo IA visible e ignorar la que va integrada en SaaS. El scoring de HubSpot es IA. El OCR de Holded es IA. El corrector de Grammarly es IA. Todos deben estar en el inventario.
• Auditar sobre papel sin probar el sistema real. La supervisión humana del Art. 14 no puede quedarse en un párrafo del manual: la AESIA puede pedir evidencia de que efectivamente hay una persona revisando y con qué frecuencia.
• Copiar plantillas genéricas americanas o inglesas. Muchas plantillas de compliance IA en circulación están redactadas para el marco NIST o ICO británico. El AI Act español tiene particularidades (AESIA, sanciones concretas, sandbox) que requieren adaptación.
• Posponer la auditoría al segundo semestre de 2026. Si en junio se detecta que hay que redocumentar 3 sistemas de alto riesgo, no da tiempo. Empezar antes del verano de 2026 es la única forma de llegar al 2 de agosto rodado.

Este es el índice mínimo que debe tener el dossier de auditoría al final del proceso. Cualquier plataforma SaaS de compliance IA lo genera automáticamente; si se hace a mano en Word/Notion, sirve el mismo esquema:

1. Portada con datos de la empresa, responsable de IA, fecha de la auditoría y versión.
2. Inventario completo de sistemas IA (tabla con nombre, proveedor, uso, nivel de riesgo, referencia Anexo III).
3. Clasificación de riesgo justificada para cada sistema (con referencia al artículo del Anexo).
4. Para cada sistema de alto riesgo: dossier del Art. 11 (arquitectura, datos, sesgos, métricas).
5. EIPD por sistema de alto riesgo (impacto sobre derechos fundamentales).
6. Protocolo de supervisión humana Art. 14 por sistema (quién, cuándo, cómo).
7. Política de IA empresarial (documento corporativo transversal).
8. Registro de alfabetización Art. 4 (empleados, fechas, contenidos, evidencia).
9. Plan de transparencia Art. 50 (chatbot, agentes voz, contenido generado, T&C).
10. Registro de tratamiento (Art. 30 RGPD, se puede reutilizar).
11. Calendario de revisión y responsables.
12. Firma del responsable y fecha.

Cuando llega la AESIA, este es el paquete que se entrega. En una auditoría bien planteada, prepararlo la primera vez lleva 4-8 semanas; mantenerlo actualizado después son 4-8 horas al mes.