Al estimar lo que cuesta cumplir, el factor que más pesa es la clasificación de cada sistema. Conviene ver las dos columnas una al lado de la otra, porque la distancia entre ellas sorprende a casi todo el mundo — en las dos direcciones.
Columna izquierda: riesgo mínimo
Para la inmensa mayoría de los sistemas que usa una empresa —asistentes de redacción, previsión de demanda, optimización de rutas, resúmenes, ofimática asistida— el Reglamento pide dos cosas, y las dos alcanzan a cualquier organización con independencia de la clasificación.
Art. 4 — alfabetización en IA. Adoptar medidas para apoyar la promoción de la alfabetización en materia de IA del personal que opera o utiliza los sistemas, «teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso». Es una obligación de medios, no de resultado, y el propio artículo lo dice desde que el Digital Ómnibus lo reescribió.
Art. 5 — no incurrir en prácticas prohibidas. No es una tarea que se haga: es un límite que no se cruza. Se resuelve sabiendo qué hacen tus sistemas.
Y poco más por la vía del AI Act. Si el sistema interactúa con personas o genera contenido, entra además el régimen de transparencia del Art. 50, cuya obligación principal recae en el proveedor.
Lo que sí se añade, y no es del AI Act: si trata datos personales, el RGPD aplica igual que a cualquier otro tratamiento. La clasificación de riesgo mínima no rebaja nada de eso. Tampoco la evaluación de impacto: el Art. 35 del RGPD puede exigir una EIPD a un sistema que el AI Act no considera de alto riesgo, y la lista publicada por la AEPD (Art. 35.4) concreta los tipos de tratamiento en que procede.
Columna derecha: alto riesgo
Aquí se abre el Art. 26 completo. Son obligaciones del responsable del despliegue, distintas de las del proveedor, y ninguna se resuelve firmando un documento.
26(1) — usar el sistema «con arreglo a las instrucciones de uso», con medidas técnicas y organizativas adecuadas.
26(2) — encomendar la supervisión humana a personas físicas «que tengan la competencia, la formación y la autoridad necesarias». La tercera palabra es la que decide si la designación significa algo.
26(4) — que los datos de entrada sean «pertinentes y suficientemente representativos», en la medida en que ejerzas control sobre ellos.
26(5) — vigilar el funcionamiento e informar al proveedor cuando proceda.
26(6) — conservar los registros que el sistema genere automáticamente, en la medida en que estén bajo tu control.
26(7) — si eres empleador, informar a los representantes de los trabajadores y a los trabajadores afectados.
Y por encima, cuando concurre alguno de los supuestos del Art. 27, una evaluación de impacto sobre derechos fundamentales. Más la DPIA del Art. 35 del RGPD si el tratamiento la activa, que sigue su propia lógica.
Por qué la diferencia es de naturaleza y no de grado
Léase la columna derecha buscando qué se hace una vez y qué se hace de forma continua.
Casi todo es continuo. Vigilar el funcionamiento, conservar registros, mantener la supervisión asignada a alguien que siga estando y siga teniendo autoridad, revisar que el uso real siga encajando con las instrucciones. No es un proyecto con fecha de entrega: es una función que se mantiene mientras el sistema esté en uso.
La columna izquierda, en cambio, es sustancialmente un estado: saber qué tienes, quién lo usa, y haber adoptado medidas proporcionadas.
Esa es la razón real de que la clasificación domine el coste. No es que un sistema de alto riesgo tenga más casillas: es que introduce trabajo recurrente donde antes no lo había.
Lo que no está en la columna derecha, y se le atribuye
Conviene decirlo porque encarece presupuestos por error.
El sistema de gestión de la calidad del Art. 17, la conservación de documentación del Art. 18, la documentación técnica del Anexo IV, la vigilancia poscomercialización del Art. 72 y la notificación de incidentes graves del Art. 73 son obligaciones del proveedor. Atribuirlas a quien despliega es el error más caro de todo el Reglamento, porque cada una de ellas es un cuerpo de trabajo entero que no te corresponde. Con una salvedad que pone el propio Reglamento: si detectas un incidente grave, el Art. 26(5) te obliga a informar primero al proveedor y, a continuación, al importador o distribuidor y a la autoridad de vigilancia del mercado; y si no consigues contactar con el proveedor, el Art. 73 se te aplica mutatis mutandis.
Y la fecha, que cambia el orden de las cosas
El régimen del alto riesgo del Anexo III se aplica desde el 2 de diciembre de 2027, y la fecha que circula en buena parte de las guías es agosto de 2026. El del Anexo I, desde el 2 de agosto de 2028.
Eso significa que la columna derecha no es exigible hoy, y decir lo contrario es usar un plazo inexistente. La columna izquierda sí lo es, y lo es desde el 2 de febrero de 2025.
De modo que el orden sensato es el inverso al que se suele proponer: primero lo que ya obliga a todos y es barato, después lo que obligará a unos pocos y es caro. Y en medio, la única tarea que decide cuál de las dos columnas te toca — saber qué sistemas tienes.
Contenido con arreglo a los artículos 4, 5, 26, 27 y 50 y a los anexos I y III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026), y al artículo 35 del Reglamento (UE) 2016/679.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.