Glosario regulatorio de IA
Qué significa cada término del EU AI Act y del RGPD, con el artículo que lo sostiene y desde cuándo aplica.
Qué encuentras en cada entrada
Qué significa el término, qué artículo lo sostiene y desde cuándo aplica.
Por qué una definición sola no sirve
En el Reglamento (UE) 2024/1689 casi ningún término obliga igual a todo el mundo. La misma palabra cambia de consecuencia según quién la lea —quien construye el sistema o quien lo despliega en su organización— y según cuándo la lea, porque las obligaciones no empezaron a aplicarse todas a la vez.
Por eso cada entrada dice el rol y la fecha con palabras, dentro del texto. No verás una etiqueta suelta: una etiqueta es un estado, y un estado caduca.
Qué distingue una entrada de un resumen
No todo lo que se recomienda obliga, y no todo lo que conviene hacer lo manda una norma. Cada entrada separa cuatro cosas que suelen presentarse mezcladas: lo que el articulado impone y ya se aplica; lo que impone con una fecha futura ya fijada; lo que solo recomiendan marcos como ISO 42001, NIST AI RMF o las guías de ENISA, la OCDE y la AESIA —que orientan, pero no obligan—; y lo que no manda ninguna norma pero hace falta para poder demostrar lo que hiciste.
Y lo dice ligado a quién y a cuándo, dentro de la frase y no en una etiqueta: la misma obligación puede recaer sobre quien construye el sistema y no sobre quien lo despliega en su organización. Las fechas del AI Act, una a una, están en el calendario.
Cómo está escrito
Las definiciones que el Reglamento fija literalmente se citan literalmente, con su artículo y su punto. El resto se explica en prosa propia, con el artículo al lado para que cualquiera pueda ir al texto oficial y comprobarlo.
- AI Officer
Es una decisión de organización, no una exigencia legal, y confundirlas es caro en las dos direcciones.
- Alfabetización en materia de IA
Es una de las obligaciones horizontales más amplias del Reglamento: alcanza a cualquier empresa que use IA, sea cual sea el riesgo de sus herramientas, y es una obligación de medios, no de resultado.
- Alto riesgo
No es «la IA importante»: es una lista de ámbitos de uso, y estar en uno de ellos no basta.
- DPIA — Evaluación de impacto relativa a la protección de datos
Es la evaluación que hace quien decide para qué se tratan datos personales, antes de empezar a tratarlos.
- FRIA — Evaluación de impacto relativa a los derechos fundamentales
Es la evaluación que hace quien usa el sistema, no quien lo fabrica, y solo la deben unos pocos.
- GPAI — Modelos de IA de uso general
Es el modelo que hay debajo de la herramienta, y sus obligaciones son de quien lo fabrica, no de quien lo usa.
- Marcado de contenido sintético
Es la obligación de que lo que genera una IA lleve una marca que una máquina pueda leer, no una etiqueta que vea el usuario.
- Modificación sustancial
Es uno de los tres actos que convierten a quien despliega en proveedor, y los tres solo existen sobre sistemas de alto riesgo.
- Obligaciones de transparencia (Art.50)
Es la única parte del Reglamento que reparte obligaciones entre quien fabrica y quien usa, apartado por apartado.
- Prácticas prohibidas
Es la única parte del Reglamento que no admite gestión de riesgo: no se mitiga, no se documenta, no se hace.
- Proveedor (provider)
Es quien desarrolla el sistema, o quien encarga su desarrollo, y lo pone en el mercado con su propio nombre o marca.
- Régimen sancionador (Art.99)
El Reglamento fija las cuantías máximas de las multas (Art.99, apartados 3 a 5); a cada Estado miembro le corresponde establecer el régimen de sanciones y su aplicación, y lo que el Reglamento no tasa.
- Responsable del despliegue (deployer)
Es el papel que tiene casi cualquier empresa que contrata software con IA en vez de desarrollarlo.
- Riesgo mínimo
Es donde está la inmensa mayoría de las herramientas que usa una empresa, y donde las obligaciones son pocas, pero no cero.
- Sistema de IA
Es la puerta de entrada al Reglamento: todo lo demás —categorías, obligaciones, fechas— empieza por si una herramienta encaja en esta definición.