Si tu empresa usa IA y quiere saber cuánto le costará cumplir el AI Act, es la primera pregunta que hace cualquiera, y no tiene una respuesta única en forma de cifra. No porque nadie quiera darla, sino porque la pregunta no está bien planteada: pide un número para algo que es el producto de tres factores muy desiguales.
Lo que sí se puede dar es qué lo determina y tres escenarios con sus hipótesis a la vista, para que cada organización ponga las suyas y calcule el suyo.
Tres escenarios, con las hipótesis a la vista
Un orden de magnitud ayuda a decidir por dónde empezar. La tabla da tres: una organización de 20 personas, una de 80 y una de 300, cada una con un inventario distinto. Lo que las separa no es la plantilla, sino lo que hay en ese inventario: cuántos sistemas y cuántos de ellos son de alto riesgo.
| Escenario | 20 empleados | 80 empleados | 300 empleados |
|---|---|---|---|
| Sistemas de IA en el inventario(hipótesis) | 6 | 15 | 40 |
| De ellos, de alto riesgo(hipótesis) | 0 | 1 | 3 |
| Personas que usan IA (Art.4)(hipótesis) | 10 | 40 | 150 |
| Módulo que cubre lo que exige la clasificación | M1 Visibilidad | M3 High-Risk Ready | M3 High-Risk Ready |
| Usuarios de la plataforma(hipótesis) | 3, dentro de los 3 incluidos | 6, dentro de los 8 incluidos | 12: 8 incluidos + 4 adicionales |
| Inventario y clasificación, por sistema(hipótesis) | 2–4 h | ||
| Medidas del Art.26 y documentación, por sistema de alto riesgo(hipótesis) | 20–40 h | ||
| Alfabetización, por persona que usa IA(hipótesis) | 1–2 h | ||
| Coste de una hora interna(hipótesis) | 30–60 € la hora | ||
| Ciclo de revisión(hipótesis) | semestral | ||
| Apoyo externo, por sistema de alto riesgo(hipótesis) | 800–2.000 € | ||
| Ciclo de facturación(hipótesis) | Cifras del ciclo anual. Existe ciclo mensual con tarjeta a precio distinto; ver /pricing. | ||
| Escenario | 20 empleados | 80 empleados | 300 empleados |
|---|---|---|---|
| Horas internas, primer año(hipótesis) | 22–44 h | 90–180 h | 290–580 h |
| Coste de esas horas, primer año(hipótesis) | 660–2.640 € | 2.700–10.800 € | 8.700–34.800 € |
| Suscripción de Alethexis | 1.980 € al año, sin IVA (equivale a 165 € al mes) | 3.960 € al año, sin IVA (equivale a 330 € al mes) | 4.728 € al año, sin IVA (equivale a 394 € al mes) |
| Apoyo externo, primer año(hipótesis) | — | 800–2.000 € | 2.400–6.000 € |
| Mantenimiento, horas al año(hipótesis) | 6–12 h | 23–46 h | 64–128 h |
Cómo leerla:
- Las horas internas, su coste y el apoyo externo son hipótesis, y van marcadas como tales. Salen de multiplicar el inventario de cada columna por las horas por unidad de la primera tabla; si tus horas o tu coste por hora son otros, el resultado cambia en la misma proporción.
- La suscripción de Alethexis sale de la tarifa vigente, en euros al mes, sin IVA y con facturación anual. El módulo es el que cubre lo que exige la clasificación del inventario: sin sistemas de alto riesgo basta el de visibilidad; con alguno, el que incluye su documentación.
- El mantenimiento es el trabajo que se repite en cada revisión —semestral en las hipótesis—: comprobar que el inventario sigue siendo cierto y que las medidas de los sistemas de alto riesgo siguen en pie.
- Lo que la tabla no incluye: las obligaciones del proveedor, que no son de quien despliega; la formación externa, si se contrata; y el complemento de agentes.
Ninguna columna es un presupuesto, y la tabla no compara con otras formas de hacer el trabajo: dice cuánto trabajo hay con esas hipótesis, no cuánto se deja de gastar. Los tres factores siguientes explican por qué las columnas son tan distintas.
Factor 1 — cuántos sistemas, no cuánta empresa
El coste no escala con la plantilla ni con la facturación. Escala con el número de sistemas de IA distintos que la organización usa.
Una empresa de doscientas personas con tres herramientas puede tener menos trabajo que una de veinte con quince, porque cada sistema es una unidad de análisis independiente: hay que identificarlo, saber qué hace, clasificarlo y decidir qué le corresponde.
Y aquí aparece el primer riesgo de estimación: es fácil no saber cuántos se tienen. La cuenta que se hace de cabeza cuenta la IA que se decidió comprar. No cuenta las funciones de IA incorporadas a herramientas que ya estaban —como el software con el que se contrata y se evalúa a personas—, ni las que usa alguien por su cuenta sin pasar por nadie.
De modo que el primer factor no se estima: se cuenta. Y contar es la parte del trabajo que no se puede saltar, porque los otros dos factores se calculan sobre él.
Factor 2 — qué exige cada clasificación, que es lo más desigual
Este es el factor que dispara o hunde el total, y el que casi nunca se explica bien.
Un sistema de riesgo mínimo exige poco: que la organización adopte medidas para apoyar la alfabetización en IA de quienes lo usan en su nombre (Art. 4), y que su uso no caiga en ninguna práctica prohibida del Art. 5. Si además interactúa con personas o genera o manipula contenido, se suman los deberes de transparencia del Art. 50, repartidos entre el proveedor y el responsable del despliegue. Documentarlo bien es cuestión de saber qué es, quién lo usa y para qué.
Un sistema de alto riesgo exige, entre otras cosas, lo que dispone el Art. 26: usarlo con arreglo a sus instrucciones con medidas técnicas y organizativas, encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, vigilar su funcionamiento, conservar los archivos de registro que genere automáticamente en la medida en que estén bajo su control, durante al menos seis meses salvo que el Derecho aplicable disponga otra cosa, informar a los representantes de los trabajadores y a los trabajadores afectados si quien lo despliega es empleador y, en los sistemas del anexo III que toman decisiones o ayudan a tomarlas sobre personas físicas, informar a esas personas.
El artículo 26 aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza.
Y, si el responsable del despliegue es un organismo de Derecho público o una entidad privada que presta servicios públicos, o despliega sistemas del anexo III, punto 5, letras b) o c), una evaluación de impacto en los derechos fundamentales (Art. 27), cuya única fecha de aplicación es el 2 de diciembre de 2027 y que solo alcanza a sistemas del Art. 6, apartado 2, salvo los del anexo III, punto 2.
La diferencia entre las dos columnas no es de grado: es de naturaleza. Por eso el número que importa no es «cuántos sistemas tengo» sino «cuántos de ellos son de alto riesgo» — y la respuesta puede estar en un sitio distinto del que se mira.
Factor 3 — cuánto de esto ya existe
El tercero es el que nadie contabiliza y suele ser el que más reduce.
Una organización con RGPD razonablemente puesto ya tiene registro de tratamientos, base jurídica de cada uno, contratos con encargados y, cuando procedía, evaluaciones de impacto hechas. Parte de lo que el AI Act pide sobre esos mismos sistemas puede apoyarse en ese material: el Art. 26, apartado 9, remite a la información facilitada por el proveedor para la evaluación de impacto del Art. 35 del RGPD, y el Art. 27, apartado 4, permite incluir en la evaluación de impacto en los derechos fundamentales referencias cruzadas a esa evaluación o partes de ella, sin que la sustituya.
Al revés también: una organización que parte de cero en protección de datos no está haciendo un trabajo de AI Act. Está haciendo dos, y el segundo era exigible desde antes.
Lo que NO determina el coste
Merece decirse, porque son las tres variables que más aparecen en las conversaciones y ninguna manda.
El sector, salvo en lo que cambia la clasificación. Pertenecer a uno regulado no encarece por sí mismo: encarece si tus sistemas caen en alto riesgo por esa vía.
La urgencia. Las obligaciones del alto riesgo se aplican desde el 2 de diciembre de 2027 para los sistemas del anexo III y desde el 2 de agosto de 2028 para los del anexo I, y la fecha que todavía circula en algunas guías no es la aplicable. Trabajar contra un plazo que no existe no cambia el trabajo: cambia el precio que alguien está dispuesto a pagar por hacerlo deprisa.
El tamaño, salvo por su correlación con el factor 1. Más gente suele significar más herramientas, pero es una correlación, no una causa.
Cómo estimarlo con tu propio inventario
Cuatro pasos, en este orden, y los dos primeros no requieren contratar nada.
Cuenta los sistemas — incluyendo los que administran personas y los que alguien usa por su cuenta.
Separa los que deciden algo sobre personas de los que solo producen o asisten. Es el corte que aproxima buena parte del anexo III antes de hacer la clasificación formalmente; no capta la vía del Art. 6, apartado 1 —componentes de seguridad de productos del anexo I, o productos de ese anexo, que deben someterse a evaluación por un tercero— ni las infraestructuras críticas del anexo III, punto 2.
Mira qué tienes ya documentado de esos sistemas por la vía del RGPD.
Y solo entonces pregunta por el coste, con esos tres datos en la mano. Cualquier presupuesto pedido antes de ese punto se está calculando sobre un inventario que no existe — el tuyo o el de otro.
Lo que se aplica mientras tanto, sea cual sea el resultado, es el Art. 4 de alfabetización en IA desde el 2 de febrero de 2025 —reescrito por el Digital Ómnibus sin dejar de obligar—; el Art. 5 desde esa misma fecha, salvo las nuevas letras b bis) y b ter) de su apartado 1, que se aplican desde el 2 de diciembre de 2026, y, desde el 2 de agosto de 2026, el Art. 50 para los sistemas que interactúan con personas o generan o manipulan contenido (con un transitorio hasta el 2 de diciembre de 2026, solo para los proveedores, en el marcado de los sistemas introducidos en el mercado antes del 2 de agosto de 2026). Eso no depende de ningún inventario, y es el suelo de cualquier cálculo.
Contenido con arreglo a los artículos 2, 4, 5, 6, 26, 27, 50, 111 y 113 y a los anexos I y III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.