Mapear un caso de uso de IA al AI Act (UE) en 2026 es, antes que nada, un ejercicio de precisión: describir la tecnología, su propósito, su contexto de despliegue y su impacto. A partir de ahí, el marco regulatorio deja de ser un abstracto y se convierte en una lista concreta de obligaciones documentables.
Enfoque de trabajo (de lo técnico a lo jurídico)
- 1 Define el caso de uso con una ficha corta: entradas (datos o señales), transformaciones (modelo/servicios), salidas y propósito.
- 2 Identifica el rol en la cadena (proveedor, implementador, usuario) y dónde se “pone en servicio” la solución.
- 3 Clasifica el riesgo según el uso y el contexto. Esto guía el nivel de requisitos (desde obligaciones de transparencia hasta exigencias más robustas para sistemas de alto riesgo).
- 4 Traduce a documentación: evidencias, políticas, registros y trazabilidad operacional. Sin este paso, la clasificación no “vive” en el negocio.
Paso 1: describe el caso de uso con precisión operativa
Evita descripciones genéricas. Para mapear bien, documenta el “qué” y el “cómo” a nivel de producto: qué pregunta resuelve la IA, qué señales consume, qué decisiones o recomendaciones genera, y en qué condiciones se despliega (canales, usuarios, entornos, frecuencia y límites de uso).
- Entradas: tipos de datos, procedencia, calidad y si hay datos personales.
- Salida: texto, decisión, puntuación de riesgo, segmentación, o acción automatizada.
- Contexto: quién la usa, para qué finalidad y qué impacto tendría un error o uso indebido.
Paso 2: ubica el “sujeto regulado” y las responsabilidades internas
En AI Act, el mapeo no termina en la tecnología: termina en el rol. Define qué equipo asume la oferta del sistema, quién lo integra en un producto final y qué parte controla la puesta en servicio. Este reparto impacta directamente en políticas de calidad, control de cambios y gestión de evidencias.
Si tu empresa desarrolla modelos o librerías internas, el encaje contractual y la gobernanza de uso se vuelven parte de la estrategia de compliance.
Paso 3: clasifica el sistema por riesgo, no por “sensación”
La clasificación debe seguir criterios verificables ligados al uso. Si el caso de uso se alimenta de datos sensibles o afecta decisiones relevantes, el enfoque debe ser más exigente. Documenta hipótesis, límites y supuestos: ayudan a sostener la clasificación frente a auditorías internas o revisiones regulatorias.
Salida esperada de esta fase
Una ficha de mapeo que conecte: descripción técnica → rol regulado → contexto de despliegue → categoría de riesgo → lista de obligaciones documentales priorizadas.
Paso 4: convierte la clasificación en un plan de documentación (2026)
En 2026, el trabajo efectivo no es producir documentos por producir, sino construir trazabilidad: qué se hizo, cuándo, con qué evidencias y cómo se gestiona el cambio. Aquí es donde “compliance” se vuelve operable.
- Trazabilidad del desempeño y de decisiones del modelo, con registros que permitan justificar resultados.
- Gestión de datos: controles, revisiones, y auditoría de riesgos asociados.
- Gobernanza contractual cuando hay partners: licencias, límites de uso y obligaciones de cooperación.
Plantilla mental para revisar tu mapeo
¿Se entiende en producto?
Que un equipo no técnico pueda seguir el flujo y entender entradas, salidas y límites.
¿Se puede auditar?
Que existan evidencias y que el cambio de versión tenga un rastro.
¿El rol está claro?
Que se sepa quién “pone en servicio” y quién documenta obligaciones.
¿El contexto está descrito?
Que no haya supuestos ocultos sobre el uso del sistema.
Si quieres, podemos ayudarte a convertir tu mapeo en un paquete de compliance con estructura de evidencias, enfoque práctico para IA en España y coherencia con tu arquitectura de datos y partners.