Documentación técnica AI Act: checklist completo de requisitos

Documentación técnica AI Act: checklist completo de requisitos

Por qué la documentación es tu defensa legal (y tu mayor riesgo)

El cambio en 2026

Antes (2024): Documentación técnica era recomendación.

Ahora (Octubre 2026): Documentación es REQUISITO LEGAL.

Sin ella → Presunción de incumplimiento automática.

AESIA (Agencia Española de Supervisión de IA) comienza inspecciones.

Multa automática si documentación falta: €5M-€20M.

Por qué es tu defensa

Si tu sistema causa daño Y tienes documentación verificable:

• Demuestras que intentaste cumplir
• Demuestras que implementaste salvaguardas
• Defensa legal más fuerte ante tribunal

Si tu sistema causa daño Y NO tienes documentación:

• Presunción legal de negligencia
• Multa máxima
• Responsabilidad civil sin defensa

Qué debes documentar (según AI Act art. 11)

SECCIÓN 1: DESCRIPCIÓN DEL SISTEMA

[ ] Nombre y versión del sistema [ ] Propósito específico [ ] Clasificación de riesgo [ ] Responsable legal (nombre, email, teléfono) [ ] Fecha de despliegue [ ] Casos de uso permitidos y no permitidos

SECCIÓN 2: DATOS DE ENTRENAMIENTO

[ ] Fuentes de datos (¿de dónde vinieron?) [ ] Volumen de datos [ ] Período temporal [ ] Representatividad (¿cubre población?) [ ] Sesgos potenciales identificados [ ] Tratamiento de datos anómalos

SECCIÓN 3: METODOLOGÍA

[ ] Tipo de modelo (clasificación, regression, etc.) [ ] Arquitectura técnica [ ] Proceso de validación [ ] Métricas de rendimiento [ ] Umbral de decisión [ ] Procedimiento de actualización

SECCIÓN 4: EVALUACIÓN DE IMPACTO (DPIA)**

[ ] Riesgos identificados [ ] Medidas de mitigación por riesgo [ ] Plan de supervisión humana [ ] Alternativas consideradas [ ] Análisis de compatibilidad RGPD

SECCIÓN 5: SUPERVISIÓN HUMANA

[ ] Procedimiento específico [ ] Roles y responsabilidades [ ] Escalada automática (cuándo se escala) [ ] Registro de decisiones (logs) [ ] Proceso de apelación

SECCIÓN 6: AUDITORÍA y CUMPLIMIENTO

[ ] Checklist de requisitos AI Act [ ] Evidencia de cumplimiento [ ] Certificaciones (si existen) [ ] Resultados de auditoría [ ] Cumplimiento RGPD

SECCIÓN 7: CAMBIOS y VERSIONES

[ ] Registro de todas las actualizaciones [ ] Qué cambió, cuándo, por qué [ ] Autorización de cambios [ ] Impacto de cambios

SECCIÓN 8: INCIDENTES

[ ] Cada fallo identificado [ ] Contexto del fallo [ ] Impacto [ ] Acción correctiva [ ] Fecha resolución

Duración de almacenamiento (obligatoria)

Documentación técnica: Mínimo 3 años

Logs de decisiones: Mínimo 3 años

DPIA: Vigencia del sistema + 3 años

Registros de cambios: Histórico completo

Incidentes: Mínimo 3 años

Evidencia de supervisión: Mínimo 3 años

Errores comunes que generan multa

❌ ERROR 1: documentación genérica

Problema: "Usamos IA pero no especificamos cómo"

En auditoría: Rechazado como "insuficiente"

Multa: €5M-€20M

Solución: Ser específico. Incluir datos, metodología, decisiones reales.

❌ ERROR 2: no guardar logs

Problema: No hay registro de decisiones del sistema

En auditoría: Imposible verificar supervisión humana

Multa: €2M-€15M (falta supervisión)

Solución: Logs automáticos, sin excepción, 3 años mínimo

❌ ERROR 3: DPIA genérico

Problema: DPIA copiado de otro sistema

En auditoría: No refleja riesgos reales

Multa: €1M-€5M

Solución: DPIA específico para cada sistema, análisis real de riesgos

❌ ERROR 4: supervisión humana ficticia

Problema: "Hay revisión humana" pero logs no lo muestran

En auditoría: Se descubre que no hay revisión real

Multa: €2M-€15M

Solución: Supervisión real con documentación verificable

❌ ERROR 5: no documentar cambios

Problema: Actualizan modelo sin registrar qué cambió

En auditoría: No hay trazabilidad

Multa: €1M-€5M

Solución: Changelog riguroso, todos los cambios registrados

Marco de sanciones: lo que arriesgas

Checklist: ¿estás listo para auditoría AESIA?

• [ ] Tengo descripción completa del sistema
• [ ] Tengo documentación de datos de entrenamiento
• [ ] Tengo DPIA (Evaluación de Impacto)
• [ ] Tengo plan de supervisión humana
• [ ] Tengo análisis de sesgos documentado
• [ ] Tengo logs de decisiones (3 años)
• [ ] Tengo registro de cambios (versioning)
• [ ] Tengo registro de incidentes
• [ ] Tengo auditoría de conformidad completada
• [ ] Tengo evidencia de revisiones periódicas
• [ ] Almacenamiento es seguro (backup)
• [ ] Documentación está actualizada (octubre 2026)

Status regulatorio: octubre 2026

CONFIRMADO:

• AI Act requirements are fully in force
• AESIA inspections have begun
• Maximum penalties are applicable (€20M+)
• Documentation is legally mandatory

IMPORTANTE: Hoy es el plazo. No hay transitorios.

Conclusión: La documentación no es papeleo. Es tu defensa legal.