Es la primera pregunta que hace cualquiera, y no tiene respuesta en forma de cifra. No porque nadie quiera darla, sino porque la pregunta no está bien planteada: pide un número para algo que es un producto de tres factores muy desiguales.
Lo que sí se puede responder —y es más útil— es qué lo determina. Con eso, cada organización calcula el suyo.
Factor 1 — cuántos sistemas, no cuánta empresa
El coste no escala con la plantilla ni con la facturación. Escala con el número de sistemas de IA distintos que la organización usa.
Una empresa de doscientas personas con tres herramientas puede tener menos trabajo que una de veinte con quince, porque cada sistema es una unidad de análisis independiente: hay que identificarlo, saber qué hace, clasificarlo y decidir qué le corresponde.
Y aquí aparece el primer error de estimación, que es sistemático: casi nadie sabe cuántos tiene. La cuenta que se hace de cabeza cuenta la IA que se decidió comprar. No cuenta las funciones de IA incorporadas a herramientas que ya estaban —como el software con el que se contrata y se evalúa a personas—, ni las que usa alguien por su cuenta sin pasar por nadie.
De modo que el primer factor no se estima: se cuenta. Y contar es la parte del trabajo que no se puede saltar, porque los otros dos factores se calculan sobre él.
Factor 2 — qué exige cada clasificación, que es lo más desigual
Este es el factor que dispara o hunde el total, y el que casi nunca se explica bien.
Un sistema de riesgo mínimo exige poco: que las personas que lo usan tengan las medidas de alfabetización del Art. 4, y que su uso no caiga en ninguna práctica prohibida del Art. 5. Documentarlo bien es cuestión de saber qué es, quién lo usa y para qué.
Un sistema de alto riesgo exige el Art. 26 entero: usarlo con arreglo a sus instrucciones con medidas técnicas y organizativas, encomendar la supervisión a personas con competencia y autoridad, vigilar su funcionamiento, conservar los registros que genere, informar a los trabajadores expuestos. Y, si concurre alguno de los supuestos del Art. 27, una evaluación de impacto adicional.
La diferencia entre las dos columnas no es de grado: es de naturaleza. Por eso el número que importa no es «cuántos sistemas tengo» sino «cuántos de ellos son de alto riesgo» — y para la mayoría de las organizaciones, la respuesta es menos de la que se teme y está en un sitio distinto del que se mira.
Factor 3 — cuánto de esto ya existe
El tercero es el que nadie contabiliza y suele ser el que más reduce.
Una organización con RGPD razonablemente puesto ya tiene registro de tratamientos, base jurídica de cada uno, contratos con encargados y, cuando procedía, evaluaciones de impacto hechas. Buena parte de lo que el AI Act pide sobre esos mismos sistemas se apoya en ese material, no lo duplica.
Al revés también: una organización que parte de cero en protección de datos no está haciendo un trabajo de AI Act. Está haciendo dos, y el segundo era exigible desde antes.
Lo que NO determina el coste
Merece decirse, porque son las tres variables que más aparecen en las conversaciones y ninguna manda.
El sector, salvo en lo que cambia la clasificación. Pertenecer a uno regulado no encarece por sí mismo: encarece si tus sistemas caen en alto riesgo por esa vía.
La urgencia. El régimen del alto riesgo del Anexo III se aplica desde el 2 de diciembre de 2027, y la fecha que circula en muchas guías es errónea. Trabajar contra un plazo que no existe no cambia el trabajo: cambia el precio que alguien está dispuesto a pagar por hacerlo deprisa.
El tamaño, salvo por su correlación con el factor 1. Más gente suele significar más herramientas, pero es una correlación, no una causa.
Cómo estimarlo sin que nadie te dé un número
Cuatro pasos, en este orden, y los dos primeros son gratis.
Cuenta los sistemas — incluyendo los que administran personas y los que alguien usa por su cuenta.
Separa los que deciden algo sobre personas de los que solo producen o asisten. Es el corte que aproxima la clasificación antes de hacerla formalmente.
Mira qué tienes ya documentado de esos sistemas por la vía del RGPD.
Y solo entonces pregunta por el coste, con esos tres datos en la mano. Cualquier presupuesto pedido antes de ese punto se está calculando sobre un inventario que no existe — el tuyo o el de otro.
Lo que está en vigor mientras tanto, sea cual sea el resultado, es el Art. 4 de alfabetización en IA desde el 2 de febrero de 2025 —reescrito por el Digital Ómnibus sin dejar de obligar— y el Art. 5. Eso no depende de ningún inventario, y es el suelo de cualquier cálculo.
Contenido con arreglo a los artículos 4, 5, 26 y 27 y al Anexo III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.