Saltar al contenido
AI Policy Generator

ENQué me toca

Vender software o servicios que incluyen IA en España: normas relacionadas

Organizaciones que desarrollan y comercializan productos o servicios con IA para otras empresas o consumidores. Asumen obligaciones de proveedor y, sobre todo, la exigencia de clientes que piden pruebas de gobierno, seguridad y transparencia antes de comprar.

Clasificación de riesgo

JurisdicciónNivelFechaNota
Unión EuropeaTransparencia2 de agosto de 2026Los proveedores deben diseñar los sistemas para informar de la interacción y marcar el contenido sintético (art. 50); gracia hasta el 2-dic-2026 para sistemas previos.
Unión EuropeaAlto riesgo2 de diciembre de 2027Si el producto tiene una finalidad del Anexo III, el proveedor asume sistema de gestión de riesgos, documentación técnica y evaluación de conformidad.
Unión EuropeaNormas sectoriales11 de septiembre de 2026Cyber Resilience Act: notificación de vulnerabilidades explotadas para productos con elementos digitales (el SaaS puro suele quedar fuera).

Obligaciones relacionadas con este caso de uso

Transparencia del proveedor: avisar de la IA y marcar el contenido sintético

AI ActReglamento (UE) 2024/1689, art. 50(1)-(2) y art. 111(4)Vigente

Aplicable desde 2 de agosto de 2026

Cuándo se relaciona
Si desarrolla o vende bajo su nombre un chatbot, agente, asistente de voz o un sistema que genera texto, imagen, audio o video. Si construye un chatbot propio sobre un modelo de terceros y lo pone en servicio con su marca, normalmente es proveedor.
Qué prevé la norma
  • Diseñar los sistemas que conversan con personas para que estas sepan que interactúan con una IA, salvo que sea evidente.
  • Marcar en formato legible por máquina el audio, imagen, video y texto generados o manipulados, con técnicas eficaces e interoperables.
  • Sistemas generativos comercializados antes del 2-ago-2026: completar el marcado técnico a más tardar el 2-dic-2026.
  • Puede usarse el Código de Buenas Prácticas de la Comisión sobre transparencia del contenido generado como referencia.
Evidencias habituales
  • Texto y ubicación del aviso de interacción con IA en cada canal.
  • Especificación técnica del marcado (marcas de agua, metadatos) y pruebas de detección.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fechas comprobadas en el texto consolidado del Reglamento de IA que publica el AI Act Service Desk de la Comisión Europea (versión a 27-jul-2026, con los cambios del Reglamento (UE) 2026/1744): art. 113 y art. 111.

Notificar vulnerabilidades explotadas e incidentes graves en 24/72 horas

CRAReglamento (UE) 2024/2847, art. 14Vigente

Aplicable desde 11 de septiembre de 2026

Cuándo se relaciona
Si fabrica o comercializa software o dispositivos con IA como producto (no solo como servicio en la nube). Los distribuidores solo asumen este deber si ponen el producto en el mercado con su propio nombre o lo modifican sustancialmente.
Qué prevé la norma
  • Alerta temprana en 24 horas, notificación en 72 horas e informe final, a través de la plataforma única de ENISA.
  • Informar a los usuarios afectados y de las medidas para mitigar.
Evidencias habituales
  • Procedimiento de gestión de vulnerabilidades y notificación.
  • Registro de notificaciones.
Documentos base relacionados
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Fecha de notificación confirmada en la página oficial de la Comisión sobre notificación del CRA (citada en la investigación).

Requisitos esenciales de ciberseguridad del producto

CRAReglamento (UE) 2024/2847, arts. 12-14 y Anexo IAprobada, aplica más adelante

Aplicable desde 11 de diciembre de 2027

Cuándo se relaciona
Si fabrica o comercializa software o dispositivos con IA como producto.
Qué prevé la norma
  • Diseñar con seguridad por defecto, evaluar riesgos y gestionar vulnerabilidades durante el periodo de soporte.
  • Documentación técnica, declaración UE de conformidad y marcado CE.
  • Los sistemas de IA de alto riesgo que cumplan el CRA se consideran conformes con los requisitos de ciberseguridad del Reglamento de IA.
  • Desde el 11-sep-2026 ya aplica el art. 14: notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad del producto.
Evidencias habituales
  • Evaluación de riesgos de ciberseguridad.
  • Lista de componentes de software (SBOM).
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Contrastado en el Diario Oficial (CELEX 32024R2847): art. 71.2 («shall apply from 11 December 2027. However, Article 14 shall apply from 11 September 2026»), art. 12 (sistemas de IA de alto riesgo), art. 13, Anexo I y art. 64.2 (multas de hasta 15 M€ o el 2,5 %).

Preparar la defensa ante reclamaciones por defectos de software o IA

Directiva de responsabilidad por productosDirectiva (UE) 2024/2853, arts. 4, 7-11 y 22Aprobada, aplica más adelante

Aplicable desde 9 de diciembre de 2026

Cuándo se relaciona
Si vende o importa software o productos con IA en la UE.
Qué prevé la norma
  • Documentar las pruebas de seguridad, el cumplimiento normativo y la gestión de actualizaciones de cada versión.
  • Conservar la documentación técnica: un tribunal puede ordenar su exhibición.
  • Mantener actualizaciones de seguridad mientras el producto esté bajo su control.
Evidencias habituales
  • Historial de versiones y pruebas.
  • Ficha técnica del modelo.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha de transposición y aplicación comprobada en la página oficial de la Comisión sobre responsabilidad por productos defectuosos. La transposición española no se ha verificado.

Facilitar a los clientes el cambio de proveedor de nube o IA

Data ActReglamento (UE) 2023/2854, arts. 23-31Vigente

Aplicable desde 12 de septiembre de 2025

Cuándo se relaciona
Si ofrece IA o software como servicio en la nube a clientes de la UE.
Qué prevé la norma
  • Incluir en el contrato el derecho a cambiar de proveedor y exportar datos, con plazos de preaviso y transición.
  • Eliminar obstáculos técnicos y comerciales; cobrar solo el coste directo del cambio hasta el 12-ene-2027 y nada después.
Evidencias habituales
  • Cláusulas contractuales de cambio y salida.
  • Documentación de formatos de exportación.
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Contrastado en el Diario Oficial (CELEX 32023R2854): art. 50 («It shall apply from 12 September 2025»), arts. 23-31 (cambio de proveedor) y art. 29 (cargos reducidos limitados a los costes directos hasta el 12-ene-2027; ninguno desde esa fecha).

Documentos base relacionados

Kits relacionados

Incluye 6 documentos

Kit proveedor B2B para cuestionarios de clientes

Documentos base sobre temas que los cuestionarios de compras de bancos y clientes de EE. UU. suelen tratar: política, inventario, evaluación de impacto, incidentes, proveedores y seguridad.

USD 169USD 274

Kit completo · disponible para comprar

Incluye 6 documentos

Kit para integradores de modelos por API

Seis documentos base para integrar modelos de terceros por API o RAG: diligencia debida, procedencia de modelos, arquitectura, mapa de integraciones, seguridad adversarial y acuerdo de nivel de servicio.

USD 119USD 194

Kit completo · disponible para comprar

Incluye 7 documentos

Kit para modelos autoalojados y de pesos abiertos

Siete documentos base para alojar modelos propios o de pesos abiertos: procedencia, línea base de seguridad, pruebas adversariales, arquitectura, tarjeta de modelo, ciclo de vida y reversión.

USD 149USD 233

Kit completo · disponible para comprar

Descubre qué te toca (gratis)España