Normas armonizadas del EU AI Act publicadas: Implementación de EN ISO/IEC 42001 y EN 18286

La publicación de las primeras normas armonizadas en el Diario Oficial por parte de la Comisión Europea marca un punto de inflexión en la aplicación del Reglamento de Inteligencia Artificial de la UE (EU AI Act). Para directores de IA (CAIO), responsables de gobernanza de IA y líderes de cumplimiento, la transición de textos legislativos abstractos hacia la conformidad técnica ya está oficialmente en marcha.

Las normas armonizadas adoptadas en virtud del artículo 40 del EU AI Act proporcionan a los responsables del despliegue y a los proveedores un mecanismo legal esencial: la presunción de conformidad. Cumplir con estas normas europeas otorga a las organizaciones una base directa y jurídicamente sólida para demostrar el cumplimiento de las correspondientes obligaciones legales obligatorias del Reglamento.

Esta guía detalla el alcance de estas normas, a quiénes aplican, los riesgos operativos de no implementarlas y cómo RiskOnyx permite un cumplimiento continuo y automatizado.

¿Qué son las normas armonizadas?

Bajo el mandato de normalización encomendado por la Comisión Europea a CEN y CENELEC (JTC 21), Europa está estandarizando las bases técnicas en gestión de calidad, gobernanza de datos, ciberseguridad y gestión de riesgos. Dos pilares fundamentales constituyen el núcleo de esta publicación:

1. EN ISO/IEC 42001:2025 (Sistema de Gestión de Inteligencia Artificial - AIMS)

   • La base: Publicada y citada para respaldar la responsabilidad a nivel de dirección, las estructuras de gobernanza, las políticas operativas y los controles sistémicos a lo largo del ciclo de vida de la IA.
   • Alcance: Establece procesos organizacionales para la evaluación de riesgos de IA, seguimiento de sistemas, gestión de competencias y controles operativos.

2. EN 18286 (Evaluación de la conformidad de IA y requisitos operativos)

   • El puente técnico: Desarrollada por CEN-CENELEC para hacer operativas la evaluación técnica, las metodologías de prueba y los protocolos de verificación adaptados a las exigencias regulatorias europeas.
   • Alcance: Conecta los compromisos de gestión de alto nivel con puntos de control concretos de evaluación de conformidad, formatos de documentación técnica y evidencias de control medibles.

En conjunto, EN ISO/IEC 42001 y EN 18286 transforman las obligaciones para sistemas de alto riesgo del Anexo III y las expectativas generales de gobernanza en una guía técnica estructurada.

¿A quién aplican estas normas?

Estas normas armonizadas afectan directamente a cualquier organización vinculada al mercado de la Unión Europea:

• Proveedores de sistemas de IA de alto riesgo (Anexo III y Anexo I): Organizaciones que desarrollan o ajustan modelos implementados en infraestructuras críticas, empleo, evaluación crediticia, aplicación de la ley o biometría. Demostrar el cumplimiento a través de normas armonizadas es la vía más rápida para obtener el marcado CE y superar las evaluaciones de conformidad.
• Responsables de despliegue ("Deployers") (Empresas e instituciones financieras): Organizaciones que utilizan internamente sistemas de IA comerciales o personalizados. Según el artículo 26, los responsables del despliegue deben supervisar las operaciones del sistema, seguir las instrucciones del proveedor, conservar registros y garantizar la transparencia laboral.
• Proveedores de modelos de IA de uso general (GPAI): Los equipos que desarrollan o alojan modelos fundacionales deben respaldar sus controles de riesgo sistémico y evaluaciones técnicas mediante metodologías de prueba verificables.
• Directores de IA (CAIO) y comités de gobernanza: Líderes responsables que deben certificar ante las juntas directivas y auditores externos que los sistemas corporativos de IA operan bajo parámetros auditables.

Riesgos de no implementar las normas armonizadas

Operar sin un sistema de gestión de IA alineado y sin una estructura técnica de conformidad genera serias vulnerabilidades operativas:

• Pérdida de la presunción de conformidad: Sin aplicar normas armonizadas, su organización asume la carga de demostrar que especificaciones técnicas alternativas cumplen con cada cláusula del EU AI Act, elevando la complejidad, costes y fricción de las auditorías.
• Bloqueos en procesos de compras corporativas: Los compradores empresariales y contrapartes europeas ya están incorporando requisitos de certificación EN ISO/IEC 42001 en licitaciones y evaluaciones de riesgo de proveedores.
• Sanciones por incumplimiento: El incumplimiento de las obligaciones obligatorias expone a las organizaciones a multas según el artículo 99 de hasta 35 millones de euros o el 7 % de la facturación global anual.
• Silos fragmentados de evidencia: Los documentos de políticas estáticas y las hojas de cálculo no superan el escrutinio de supervisión postcomercialización ni de evaluación de la conformidad. Los reguladores exigen registros operativos en tiempo real y auditables.

Plan de acción en 4 pasos

Si su organización aún no ha puesto en marcha EN ISO/IEC 42001 y EN 18286, adopte las siguientes medidas prácticas:

1. Establecer un inventario automatizado de sistemas

No se puede gobernar lo que no se puede inspeccionar. Registre cada modelo de IA, integración de API externa, flujo RAG y modelo entrenado internamente. Documente el linaje de datos, el propósito del modelo, la clasificación de riesgo y los responsables asignados.

2. Cruzar marcos existentes con las cláusulas normativas

Mapee las certificaciones empresariales existentes (como ISO/IEC 27001, SOC 2 o NIST CSF) con las cláusulas de EN ISO/IEC 42001 y los controles de ensayo de EN 18286. Identifique dónde bastan los controles actuales y dónde surgen brechas específicas de IA, especialmente en evaluación de prompts, supervisión continua de deriva y pruebas de imparcialidad.

3. Pasar de políticas estáticas a controles en tiempo de ejecución

Traduzca las directrices en salvaguardas ejecutables por software. Configure el registro automatizado de entradas y salidas, implemente filtros contra inyecciones de prompts y establezca protocolos de intervención humana formalmente estructurados.

4. Recopilación continua de evidencias para auditorías

La evaluación de conformidad en el EU AI Act es continua. Sustituya auditorías trimestrales puntuales por recopilación automatizada de evidencias que integre registros, métricas de evaluación y aprobaciones en un libro de cumplimiento verificable.

Implementar normas armonizadas con RiskOnyx

RiskOnyx elimina la complejidad manual del cumplimiento del EU AI Act mediante un sistema operativo de cumplimiento nativo de IA:

• Mapeo automatizado de normas a obligaciones: Descompone EN ISO/IEC 42001, EN 18286 y el EU AI Act en obligaciones legibles por máquina, asignándolas al instante a sus sistemas de IA desplegados.
• Inventario de sistemas y responsabilidades en tiempo real: Mantenga un registro centralizado y preparado para auditorías que rastrea procedencia del modelo, estado operativo, clasificación de riesgo y responsables asignados.
• Verificación continua de controles: Conecte pipelines técnicos a controles de RiskOnyx para automatizar telemetría, ensayos, validaciones humanas y evaluaciones de riesgos en un historial auditable.
• Informes de conformidad con un clic: Genere expedientes técnicos y revisiones de gestión estructuradas según CEN-CENELEC, listas para organismos notificados y comités de riesgo.

Evalúe su cumplimiento y acceda a los marcos

Conocer la posición de su cartera de IA frente a las normas armonizadas recién publicadas es el primer paso para un despliegue seguro:

1. Realice nuestra evaluación gratuita en RiskOnyx para identificar sus obligaciones exactas y medir su nivel de preparación.
2. Solicite acceso prioritario a los módulos de normas EN ISO/IEC 42001 y EN 18286 para comenzar el mapeo automatizado de controles en su entorno de trabajo RiskOnyx.