AI Act e ISO/IEC 42001: lo que se mide hoy y lo que está en preparación.
Para una organización que usa o integra IA: medimos tu cobertura del AI Act, puntuamos ISO/IEC 42001 y tratamos a tus proveedores de IA como terceros. El registro de sistemas de IA es un módulo en preparación, sin fecha.
- AI Governance: en preparación, sin fecha ni promesas
- Datos en la UE (OVH, Gravelines); Cloudflare (EE. UU.) en la ruta de la petición
Qué exige el AI Act, en breve
Regula la IA según el riesgo del sistema y el papel que juegas: proveedor o responsable del despliegue.
Resumen informativo, no asesoramiento jurídico. Las fechas han cambiado recientemente; consulta la versión consolidada en EUR-Lex.
- Prácticas prohibidas
- Algunos usos de IA están prohibidos (artículo 5), y los proveedores y responsables del despliegue deben adoptar medidas para apoyar la alfabetización en IA de su personal, sin garantizar un nivel concreto (artículo 4).
- Sistemas de alto riesgo
- Los de los anexos I y III tienen requisitos de gestión de riesgos, datos, documentación técnica, registro de eventos y supervisión humana. Quien los despliega tiene sus propias obligaciones (artículo 26).
- Transparencia y modelos de uso general
- Hay obligaciones de información al usuario (artículo 50) y requisitos específicos para los proveedores de modelos de uso general.
- Papel y calendario
- Lo que te toca depende de si eres proveedor o responsable del despliegue y del riesgo del sistema. El calendario de alto riesgo se modificó con el Reglamento (UE) 2026/1744; consulta la versión consolidada en EUR-Lex.
Un calendario escalonado
Fechas según el Reglamento (UE) 2024/1689 modificado por el Reglamento (UE) 2026/1744. Compruébalas en el texto consolidado antes de planificar.
2 feb 2025
Capítulos I y II: prohibiciones y alfabetización en IA
Se aplican el artículo 5 (prácticas prohibidas) y el artículo 4 (alfabetización en IA). El Reglamento (UE) 2026/1744 reformuló el artículo 4, que se aplica con su redacción nueva desde el 27 de julio de 2026: apoyar el desarrollo de la alfabetización en IA, sin garantizar un nivel concreto.
2 ago 2025
Sanciones, modelos de uso general y gobernanza
Se aplican el capítulo XII de sanciones (salvo el artículo 101), las obligaciones de los proveedores de modelos de IA de uso general (capítulo V) y las normas de gobernanza; desde esta fecha pueden sancionarse las infracciones del artículo 5 (artículo 113, letra b).
2 ago 2026
Obligaciones de transparencia
Fecha general de aplicación. Se aplica el artículo 50: deberes de informar a quien interactúa con un sistema de IA o está expuesto a contenido generado o manipulado por IA. Los sistemas generativos comercializados antes de esta fecha tienen una transición hasta el 2 de diciembre de 2026 (artículo 111, apartado 4).
2 dic 2026
Nuevas prácticas prohibidas
Se aplican los puntos añadidos al artículo 5 por el Reglamento (UE) 2026/1744: artículo 5(1)(ba) y (bb), y artículo 5(1a) y (1b). Ese mismo día vence el plazo para que los sistemas generativos comercializados antes del 2 de agosto de 2026 cumplan el artículo 50(2) (artículo 111, apartado 4).
2 dic 2027
Alto riesgo del anexo III
Se aplican las secciones 1 a 3 del capítulo III a los sistemas de alto riesgo del artículo 6(2) y del anexo III, incluidas las obligaciones de los responsables del despliegue (artículo 26) y la evaluación de impacto en los derechos fundamentales (artículo 27) (artículo 113, letra c, inciso i).
2 ago 2028
Alto riesgo del anexo I
Se aplican las secciones 1 a 3 del capítulo III a los sistemas de alto riesgo del artículo 6(1) y del anexo I, que son componentes de seguridad de productos regulados o productos regulados en sí (artículo 113, letra c, inciso ii).
2 ago 2030
Autoridades públicas
Los proveedores y responsables del despliegue de sistemas de IA de alto riesgo destinados a autoridades públicas deben cumplir a más tardar en esta fecha, aunque el sistema ya estuviera en el mercado (artículo 111, apartado 2).
HodeiAI: la IA de la plataforma, descrita con sus límites
Un ejemplo de cómo se gobierna una IA dentro de un producto, no una declaración de conformidad.
- Modelo
- Mistral AI, subencargado de Hodeitek.
- Seudonimización previa
- HodeiAI y el CISO virtual seudonimizan los datos personales que reconocen antes del envío; el mapeo vive solo en memoria. El análisis de riesgo de los escaneos de proveedores no seudonimiza: envía el dominio del proveedor y los hallazgos.
- Interruptor de administrador
- Un administrador de tu organización puede desactivar HodeiAI; desactivado, no se realiza ninguna llamada al modelo.
- Nunca actúa sin confirmación
- HodeiAI propone; una persona con rol de escritura aprueba, una sola vez, durante 15 minutos y ligada al hash de la propuesta.
De cada obligación a una capacidad de HodeiShield
Con fase del ciclo. Aquí se ve bien qué existe hoy y qué no.
Directo: la plataforma lo hace. Parcial: aporta evidencia o una parte, el resto es tuyo. No cubre: queda fuera de HodeiShield.
- Obligación:
Medir tu cobertura frente al AI Act
Reglamento (UE) 2024/1689
Qué hace HodeiShield:El AI Act figura entre los 17 marcos como cobertura medida sobre los controles canónicos.
Docs · Cumplimiento (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceParcial - Obligación:
Sistematizar la gobernanza de la IA como sistema de gestión
ISO/IEC 42001
Qué hace HodeiShield:Puntuación control a control de ISO/IEC 42001 con evidencia con responsable y validez. La norma ayuda a organizar la gobernanza; no equivale a cumplir el AI Act.
Docs · Cumplimiento (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceDirecto - Obligación:
Tratar a los proveedores de IA como terceros
Art. 25 y 26
Qué hace HodeiShield:Un proveedor de modelos o servicios de IA entra en el grafo como cualquier proveedor: cuestionario, escaneo externo periódico, CVE y concentración.
Docs · Motor de riesgo (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceParcial - Obligación:
Medidas de alfabetización en IA y su evidencia
Art. 4 (alfabetización)
Qué hace HodeiShield:Biblioteca de políticas y motor de evidencia con responsable, validez y estado.
Docs · Cumplimiento (se abre en una pestaña nueva)FaseSENSEAlcanceParcial - Obligación:
Inventario de sistemas de IA y su clasificación por riesgo
Art. 6 y anexo III
Qué hace HodeiShield:El registro de sistemas de IA pertenece al módulo AI Governance, que está en preparación, sin fecha. Hoy no existe en la plataforma.
FaseFuera del cicloAlcanceNo cubre - Obligación:
Documentación técnica, registro de eventos y evaluación de impacto
Art. 11, 12 y 27
Qué hace HodeiShield:Fuera de HodeiShield.
FaseFuera del cicloAlcanceNo cubre - Obligación:
Supervisión humana de la IA
Art. 14 y 26
Qué hace HodeiShield:Se aplica en HodeiAI: propone y aprueba una persona. Para tus propios sistemas de IA, la supervisión es tuya.
Docs · HodeiAI (se abre en una pestaña nueva)FaseACTAlcanceNo cubre
Lo que HodeiShield no hace con el AI Act
Más límites que en el resto de páginas, porque el módulo todavía no existe.
No hay registro de sistemas de IA
AI Governance está en preparación. No damos fecha ni lo presentamos como disponible.
No clasifica tus sistemas por riesgo ni evalúa conformidad
Esa clasificación, la documentación técnica y la evaluación de conformidad son tuyas.
La cobertura del AI Act es medida sobre los controles canónicos
Se informa sobre los controles canónicos, sin afirmar que cubre cada requisito del reglamento.
ISO/IEC 42001 no es el AI Act
Ayuda a sistematizar la gobernanza de la IA, pero no sustituye las obligaciones del reglamento.
Preguntas sobre el AI Act
Con lo que existe hoy y lo que no.
¿Tiene HodeiShield un registro de sistemas de IA?
No todavía. El módulo AI Governance, que incluiría ese registro, está en preparación y no tiene fecha. Hoy puedes medir la cobertura del AI Act y puntuar ISO/IEC 42001.
¿Soy proveedor o responsable del despliegue?
Depende de cómo uses la IA. Quien desarrolla o comercializa un sistema es proveedor; quien lo usa bajo su autoridad es responsable del despliegue. Tu asesoría jurídica lo concreta.
¿Qué IA usa HodeiShield?
HodeiAI usa Mistral AI. Antes del envío, HodeiAI y el CISO virtual seudonimizan los datos personales reconocidos; el análisis de riesgo de los escaneos de proveedores no seudonimiza. Un administrador puede desactivar HodeiAI.
¿ISO/IEC 42001 me hace cumplir el AI Act?
No por sí sola. Es un estándar de sistema de gestión que ayuda a organizar la gobernanza de la IA. Las obligaciones del reglamento hay que cumplirlas igualmente.
¿Cuándo se aplica el AI Act?
De forma escalonada, según el Reglamento (UE) 2024/1689 modificado por el Reglamento (UE) 2026/1744: los artículos 4 y 5 desde el 2 de febrero de 2025 (el artículo 4, con su redacción nueva, desde el 27 de julio de 2026); las sanciones y las obligaciones de los modelos de uso general desde el 2 de agosto de 2025; la fecha general, con el artículo 50, el 2 de agosto de 2026 (con una transición hasta el 2 de diciembre de 2026 para los sistemas generativos ya comercializados, artículo 111, apartado 4); los nuevos puntos del artículo 5 el 2 de diciembre de 2026; el alto riesgo del anexo III el 2 de diciembre de 2027 y el del anexo I el 2 de agosto de 2028. Confirma el texto consolidado en EUR-Lex.
Soluciones relacionadas
Una sesión de cobertura de marcos
Por ahora la demo es una sesión de cobertura: qué se mide del AI Act e ISO/IEC 42001, con qué evidencia y qué sigue en preparación.
Sin compromiso ni promesas de fechas.