¿Cuál es el mejor software de cumplimiento del EU AI Act?

Ningún producto es el mejor para todos los compradores. Este software se divide en cuatro categorías (automatización GRC, gobernanza de IA empresarial, observabilidad de LLM y planos de control en tiempo de ejecución), y muchos equipos regulados usan dos: un sistema de registro para la gobernanza y una forma de controlar y registrar lo que hace su IA de mayor riesgo en producción. Puntúe a los candidatos con la hoja de evaluación de esta página.

¿Cómo elijo software de cumplimiento para el RGPD y el EU AI Act a la vez?

Parta de sus funciones: responsable o encargado del tratamiento según el RGPD, proveedor o responsable del despliegue según el AI Act. Enumere las obligaciones comunes: evaluaciones de impacto (EIPD y FRIA), intervención humana en decisiones automatizadas (artículo 22 del RGPD, artículo 14 del AI Act), registros (artículo 30 del RGPD, artículos 12 y 26, apartado 6, del AI Act) e información a las personas. Después pida a cada proveedor que muestre un registro que sirva a las dos autoridades y revise su contrato de encargo del tratamiento según el artículo 28 del RGPD.

¿Dónde comprar software de cumplimiento para el RGPD y el EU AI Act?

Directamente al proveedor. Las herramientas de observabilidad como Langfuse, LangSmith y Arize publican precios de autoservicio. Las plataformas GRC, de gobernanza de IA y de control en tiempo de ejecución venden con presupuesto. Antes de firmar, pida una región de alojamiento en la UE, un contrato de encargo del tratamiento según el artículo 28 del RGPD, la lista de subencargados y una exportación completa de sus datos al terminar el contrato.

¿Cuánto cuesta el software de cumplimiento para el RGPD y el EU AI Act?

Precios publicados en octubre de 2026: Langfuse Cloud desde gratis hasta 2.499 USD al mes, gratis si se aloja por cuenta propia; LangSmith Plus 39 USD por usuario y mes; Arize AX Pro 50 USD al mes. KLA empieza con un SAFR Production Sprint de cuatro semanas desde 5.000 EUR. Las plataformas GRC y de gobernanza de IA cotizan por contrato: pregunte por la unidad de precio (usuarios, marcos, sistemas de IA o agentes) y por el precio del segundo año.

¿Cuándo se aplican las obligaciones de alto riesgo del EU AI Act?

El Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Traslada al 2 de diciembre de 2027 las obligaciones de alto riesgo autónomas del Anexo III, la FRIA del artículo 27 y el registro del artículo 49, y al 2 de agosto de 2028 la IA de alto riesgo integrada en productos del Anexo I. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026; el periodo de gracia para marcar contenido generado por IA termina el 2 de diciembre de 2026.

¿Tiene KLA un interés comercial en esta guía?

Sí. KLA publica esta guía y vende un plano de control en tiempo de ejecución. Los demás proveedores se describen a partir de sus propias páginas públicas, comprobadas en octubre de 2026. La guía no clasifica a los proveedores.

¿Qué tipo de software demuestra que se gobernó una acción de un agente de IA?

Un plano de control en tiempo de ejecución puede mostrar el veredicto de la política, la aprobación o el escalado, la llamada de herramienta ejecutada, el resultado de negocio y la evidencia de integridad de una acción. El software de gobernanza de cartera aporta los registros de inventario y evaluación que la rodean.

¿Los equipos regulados necesitan software GRC y de gobernanza de IA en tiempo de ejecución?

Muchos equipos regulados usan un sistema de gobernanza o GRC para la amplitud de cartera y una capa en tiempo de ejecución para acciones con consecuencias. La combinación adecuada sigue el límite del sistema, la clasificación de riesgo y la responsabilidad sobre la evidencia.

¿Cómo elijo software para el EU AI Act en flujos de trabajo de agentes de alto riesgo?

Asigne el producto a la tarea que posee: inventario y evaluación, observabilidad de ingeniería o control en el momento de la decisión. Pida a los proveedores que demuestren un registro completo de la acción con política, decisión humana, efecto posterior, retención y verificación independiente.

¿Dónde encaja un selector de software de cumplimiento en el proceso de compra?

Un selector ayuda a identificar la categoría de software que corresponde a la brecha operativa inmediata. Valide el resultado frente a la finalidad prevista, el rol, las personas afectadas, la evidencia disponible y los controles necesarios en producción.

Guía de compra

Best EU AI Act compliance software 2026: A buyer's guide

Actualizado en octubre de 2026. El software de cumplimiento del EU AI Act se divide en cuatro categorías: automatización GRC, gobernanza de IA empresarial, observabilidad de LLM y planos de control en tiempo de ejecución. Cómo elegir, dónde comprar y cuánto cuesta para el RGPD y el AI Act, con las afirmaciones de los proveedores comprobadas en octubre de 2026 y una hoja de evaluación.

Respuesta corta

Elija según el trabajo. La automatización GRC (Vanta, Drata, Secureframe) gestiona el RGPD y el AI Act en un mismo programa. La gobernanza de IA empresarial (OneTrust, Credo AI, Holistic AI, IBM watsonx.governance) mantiene el inventario de IA y las evaluaciones de impacto. La observabilidad de LLM sirve a ingeniería. Un plano de control en tiempo de ejecución retiene las acciones de alto riesgo para su aprobación y registra la evidencia. KLA, editor de esta guía, vende esta última categoría.

Para empresas

Use una plataforma de gobernanza empresarial de IA (OneTrust, Credo AI u Holistic AI) como sistema de registro para descubrimiento y evaluaciones de impacto, y añada un plano de control en tiempo de ejecución (KLA) para hacer cumplir y demostrar la supervisión humana en Processes de alto riesgo.

Para startups

Si la IA es un marco más entre SOC 2, ISO 27001 y GDPR, empiece con una plataforma GRC (Vanta o Drata). Si su producto es de alto riesgo o agéntico, priorice un plano de control en tiempo de ejecución para evidencia lista para auditoría.

Para GDPR y EU AI Act

Combine un sistema de registro de gobernanza con una capa en tiempo de ejecución: el primero organiza programa, inventario y evaluaciones; la segunda demuestra la ejecución, la supervisión humana y la decisión de cada caso.

Declaración de interés: KLA publica esta guía y vende un producto de la categoría de planos de control en tiempo de ejecución. Describimos a los demás proveedores a partir de sus propias páginas de producto y de precios, comprobadas en octubre de 2026, y enlazamos cada fuente. La guía agrupa los productos por el trabajo que hacen y no los clasifica.

"Software de cumplimiento de IA" abarca cuatro tipos de producto: automatización GRC, gobernanza de IA empresarial, observabilidad de LLM y agentes, y planos de control en tiempo de ejecución. Las fronteras se movieron en 2026. Drata y Vanta anuncian productos de gobernanza de agentes, y OneTrust y Holistic AI describen el bloqueo o el escalado de acciones de agentes durante la ejecución. Use las categorías para fijar el trabajo y pruebe a cada proveedor en ese trabajo.

Los plazos ya son derecho vigente. El Ómnibus Digital sobre IA se publicó en el Diario Oficial como Reglamento (UE) 2026/1744 el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Los sistemas de alto riesgo autónomos (Anexo III) deben cumplir desde el 2 de diciembre de 2027, y la IA de alto riesgo integrada en productos regulados (Anexo I) desde el 2 de agosto de 2028. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026; el periodo de gracia para marcar contenido generado por IA termina el 2 de diciembre de 2026.

La primera norma armonizada también está en vigor. El 14 de octubre de 2026 la Comisión citó la EN 18286:2026, la norma de sistema de gestión de la calidad, en el Diario Oficial (Decisión de Ejecución (UE) 2026/2274). Los proveedores que la aplican obtienen una presunción de conformidad para los requisitos del artículo 17 que cubre. Vea qué cambia la cita para el artículo 17.

En resumen

Defina primero su sistema de registro: normalmente una plataforma de gobernanza de IA empresarial, o una plataforma GRC si la IA forma parte de un programa más amplio. Después decida si sus flujos de trabajo de mayor riesgo necesitan además un plano de control en tiempo de ejecución para aplicar y evidenciar la decisión real. La mayoría de los responsables del despliegue regulados acaban operando ambos, porque un registro de gobernanza y la prueba de ejecución a nivel de caso son dos cosas distintas.

Última actualización: 20 de octubre de 2026 · Versión v3.0 · No constituye asesoramiento jurídico.

Abrir comparativas Checklist del paquete de evidencias

Respuesta citable

Objeto de citación

Definición

El software de cumplimiento del EU AI Act cubre capas de trabajo distintas: gestión de programas, inventario y evaluación de sistemas de IA, observabilidad de ingeniería y control en tiempo de ejecución. Un pila adecuado depende de si el equipo necesita gobernanza de cartera, telemetría para desarrolladores o decisiones aplicables y evidencia para acciones de IA de alto riesgo. La comparación depende del alcance operativo del comprador y de la finalidad prevista del sistema.

Alcance y excepciones

Se aplica cuando: Use este marco al comparar software para gobernanza de IA, preparación para el EU AI Act o control en producción de flujos de trabajo con agentes. Empiece por las preguntas sobre sistema de registro, clasificación de riesgos y acciones en tiempo de ejecución.
Excepciones: El trabajo basado solo en plantillas, la interpretación jurídica y la evaluación de conformidad específica del sector requieren el proceso del responsable de legal, cumplimiento o del organismo notificado.

Marco de decisión

Automatización GRC: amplitud de programa multi-marco y coordinación de evidencia.
Gobernanza empresarial de IA: inventario, clasificación y evaluaciones de impacto.
Observabilidad de LLM y agentes: trazas de ingeniería, evaluación y depuración.
Plano de control en tiempo de ejecución: política, supervisión humana y evidencia de ejecución a nivel de caso.

Evidencia mínima

Finalidad prevista, rol del operador, personas afectadas y clasificación de riesgo aplicable.
Responsable del control, versión de la política, resultado de la decisión y registro de aprobación o escalado.
Identificadores de agente, modelo, herramienta, límite de datos y acción de negocio para cada caso gobernado.
Manifiesto de exportación de evidencia, hashes o firmas, regla de retención y método de verificación.

Workflow regulado trabajado

Selección del pila de software para la concesión de préstamos

Escenario: Un banco usa un agente para preparar una solicitud, llamar a un modelo de riesgo de crédito y remitir los casos dudosos a un suscriptor.

Workflow: El sistema de gobernanza registra el inventario de IA, la finalidad prevista, la clasificación y la evaluación de impacto. Un plano de control en tiempo de ejecución evalúa la decisión propuesta, crea una Decision Request para el suscriptor y vincula la aprobación, el resultado y la evidencia sellada al caso. Así, el comprador puede evaluar la cobertura de la cartera y la prueba a nivel de acción como responsabilidades separadas.

Preguntas de los compradores

¿Qué tipo de software demuestra que se gobernó una acción de un agente de IA?: Un plano de control en tiempo de ejecución puede mostrar el veredicto de la política, la aprobación o el escalado, la llamada de herramienta ejecutada, el resultado de negocio y la evidencia de integridad de una acción. El software de gobernanza de cartera aporta los registros de inventario y evaluación que la rodean.
¿Los equipos regulados necesitan software GRC y de gobernanza de IA en tiempo de ejecución?: Muchos equipos regulados usan un sistema de gobernanza o GRC para la amplitud de cartera y una capa en tiempo de ejecución para acciones con consecuencias. La combinación adecuada sigue el límite del sistema, la clasificación de riesgo y la responsabilidad sobre la evidencia.
¿Cómo elijo software para el EU AI Act en flujos de trabajo de agentes de alto riesgo?: Asigne el producto a la tarea que posee: inventario y evaluación, observabilidad de ingeniería o control en el momento de la decisión. Pida a los proveedores que demuestren un registro completo de la acción con política, decisión humana, efecto posterior, retención y verificación independiente.
¿Dónde encaja un selector de software de cumplimiento en el proceso de compra?: Un selector ayuda a identificar la categoría de software que corresponde a la brecha operativa inmediata. Valide el resultado frente a la finalidad prevista, el rol, las personas afectadas, la evidencia disponible y los controles necesarios en producción.

Fuentes primarias

Actualización: 20 de octubre de 2026

Cómo implementa esto KLA Control Plane

KLA plano de control ocupa la capa de control en tiempo de ejecución para acciones de agentes. Intercepta las acciones propuestas, aplica decisiones de política y aprobación y genera evidencia de ejecución que conecta el control con el resultado de negocio.

Capacidad: /platform/live-intercepts
Referencia técnica: /resources/evidence-room-sample
Recurso práctico: Selector de software para el EU AI Act

Límite de alcance: El inventario de cartera, la interpretación jurídica y la gestión de programas multi-marco siguen siendo responsabilidad de los sistemas de gobernanza y cumplimiento del comprador. KLA aborda la capa de ejecución.

Veredicto

La respuesta en 30 segundos

Las cuatro categorías de un vistazo (afirmaciones de proveedores comprobadas en octubre de 2026)
Categoría	Trabajo principal	Ejemplos	Mejor encaje con el EU AI Act	Qué probar	Elíjala cuando
Automatización GRC	Gestionar el cumplimiento de IA dentro de un programa multimarco que ya cubre el RGPD	Vanta, Drata, Secureframe	Gestión del programa, inventarios, evidencia entre marcos (SOC 2, ISO 27001, ISO 42001, RGPD, AI Act)	La gobernanza de agentes es reciente: Vanta indica lista de espera y Drata disponibilidad limitada	La IA es un dominio de riesgo entre muchos y quiere un único lugar para todos
Gobernanza de IA empresarial	Un sistema de registro de IA: descubrimiento, clasificación, evaluaciones de impacto	OneTrust, Credo AI, Holistic AI, IBM watsonx.governance	Artículos 9 y 11, evaluaciones de impacto, gobernanza transversal	Qué entornos de ejecución admite la aplicación de reglas y cómo se registra una aprobación humana	Necesita gobernanza estructurada en una cartera grande de sistemas de IA
Observabilidad de LLM y agentes	Trazar, evaluar y supervisar aplicaciones LLM	LangSmith, Langfuse, Arize AI	Registros de ingeniería útiles para el artículo 12 y las pruebas del artículo 15	Plazo de conservación, formato de exportación y quién puede modificar una traza	Ingeniería necesita depurar y evaluar modelos y agentes
Plano de control en tiempo de ejecución	Evaluar cada acción de agente de alto impacto antes de ejecutarla, retenerla para aprobación humana y registrar evidencia verificable	KLA (editor de esta guía)	Supervisión del artículo 14, registros del artículo 12 con control de integridad, evidencia del Anexo IV para flujos gobernados	Marcos de agentes y vías de integración admitidos	Hay agentes que toman acciones de alto riesgo y debe mostrar a un auditor quién aprobó qué

RGPD y AI Act a la vez: cómo elegir, dónde comprar y cuánto cuesta

El RGPD y el AI Act piden registros que se solapan. Un sistema de IA que usa datos personales para tomar o preparar decisiones sobre personas suele necesitar una evaluación de impacto relativa a la protección de datos (EIPD, artículo 35 del RGPD). Si el sistema es de alto riesgo, el responsable del despliegue puede necesitar además una evaluación de impacto en los derechos fundamentales (FRIA, artículo 27 del AI Act) a partir del 2 de diciembre de 2027. El artículo 26, apartado 9, pide a los responsables del despliegue usar las instrucciones de uso del proveedor (artículo 13) para su EIPD, y el artículo 27, apartado 4, establece que la FRIA complementa una EIPD que ya cubre parte de sus puntos. El software para ambas normas debe mantener una sola descripción del sistema y una sola cadena de evidencia detrás de las dos evaluaciones.

Cómo elegir. (1) Anote sus funciones: responsable o encargado según el RGPD, proveedor o responsable del despliegue según el AI Act. (2) Marque en la tabla las obligaciones que le aplican. (3) Pida a cada proveedor que muestre un registro que sirva a una autoridad de protección de datos y a una autoridad de vigilancia del mercado, por ejemplo una decisión automatizada revisada con el revisor, la información mostrada y el resultado. (4) Puntúe las respuestas con la hoja de evaluación.

Dónde comprar. Todos los proveedores de esta guía venden de forma directa. Langfuse, LangSmith y Arize publican planes de autoservicio; las plataformas GRC, de gobernanza de IA y de control en tiempo de ejecución trabajan con presupuesto. Antes de firmar, pida una región de alojamiento en la UE, un contrato de encargo del tratamiento según el artículo 28 del RGPD, la lista de subencargados, el mecanismo de transferencia internacional y una exportación completa de sus datos si se va.

Cuánto cuesta. Precios publicados en octubre de 2026: Langfuse Cloud Hobby gratis, Core 29 USD, Pro 199 USD y Enterprise 2.499 USD al mes, gratis si se aloja por cuenta propia; LangSmith Developer gratis y Plus 39 USD por usuario y mes; Arize AX Free y AX Pro 50 USD al mes. El SAFR Production Sprint de KLA empieza en 5.000 EUR por cuatro semanas, y Production se factura por aplicación de IA, modelo o proceso gobernado. El uso por encima del volumen incluido se factura aparte. En las plataformas con presupuesto, pregunte por la unidad de precio, el precio del segundo año y el coste de las exportaciones de salida.

Los cambios del RGPD siguen siendo una propuesta. La propuesta Ómnibus Digital de la Comisión del 19 de noviembre de 2025 (COM(2025) 837) modificaría partes del RGPD. En octubre de 2026 esperaba una decisión de comisión en el Parlamento Europeo (procedimiento 2025/0360(COD)), así que compre según el RGPD vigente. El generador de EIPD y FRIA gratuito hace las dos evaluaciones en una pasada con un registro de riesgos común.

Dónde coinciden las obligaciones del RGPD y del AI Act, y qué debe conservar el software
Obligación	RGPD	EU AI Act	Qué debe conservar el software
Evaluación de impacto	EIPD para tratamientos de alto riesgo (art. 35)	FRIA para ciertos responsables del despliegue de sistemas del Anexo III desde el 2 dic. 2027 (art. 27); la FRIA complementa una EIPD existente (art. 27, apdo. 4)	Una descripción del sistema, una lista de riesgos y una lista de responsables comunes a las dos evaluaciones
Decisiones sobre personas	Derechos ante decisiones totalmente automatizadas con efectos jurídicos o similares, incluida la intervención humana (art. 22)	Supervisión humana de sistemas de alto riesgo (art. 14); los responsables del despliegue asignan personas competentes (art. 26, apdo. 2)	Cada caso revisado: revisor, información mostrada, decisión, hora
Registros	Registro de actividades de tratamiento (art. 30)	Archivos de registro automáticos (art. 12); los responsables del despliegue los conservan al menos seis meses (art. 26, apdo. 6)	Un registro de tratamientos y registros por ejecución con una regla de conservación
Información a las personas	Información a los interesados (arts. 13 y 14)	Transparencia del artículo 50 desde el 2 ago. 2026; los responsables del despliegue de sistemas del Anexo III informan a las personas afectadas (art. 26, apdo. 11)	Versiones de los avisos y fechas en que se mostró cada uno
Información del proveedor	El responsable se apoya en el contrato de encargo (art. 28)	Los responsables del despliegue usan las instrucciones de uso del proveedor (art. 13) para su EIPD (art. 26, apdo. 9)	Documentación del proveedor guardada con la EIPD y la FRIA

Qué dice hacer cada proveedor (comprobado en octubre de 2026)

Cada fila resume la página pública del proveedor. Estas páginas cambian a menudo y describen las funciones con las palabras del proveedor; confirme disponibilidad y alcance en una demostración. KLA es el editor de esta guía.

En una conversación con un comprador, una firma de servicios profesionales que crea muchos agentes en un creador de agentes low-code alojado nos pidió aprobaciones y controles del uso de herramientas para agentes que se ejecutan en la nube de otro proveedor. La cuestión de diseño era dónde se sitúa el punto de control. El control en línea exige que cada llamada a una herramienta pase por el punto de control antes de ejecutarse. Leer después el registro de auditoría de la plataforma de agentes solo permite detectar. Pregunte a cada proveedor cuál de las dos opciones ofrece para su plataforma de agentes.

Proveedor	Categoría	Qué describe la página del proveedor	Disponibilidad indicada	Fuente
Vanta	Automatización GRC	Plantillas y controles ISO 42001 reutilizables para el EU AI Act. Un producto de gobernanza de IA que identifica agentes, modelos, instrucciones y datos, certifica casos de uso del EU AI Act y alerta de actividad fuera de los límites aprobados.	Gobernanza de IA: lista de espera	AI governance, ISO 42001
Drata	Automatización GRC	Marco ISO 42001. AI Agent Governance descubre agentes, contrasta comandos y llamadas a herramientas con las reglas, bloquea las infracciones antes de ejecutarse y registra cada decisión de forma inalterable, con correspondencia con ISO 42001, el EU AI Act y AIUC-1.	Gobernanza de agentes: disponibilidad limitada	Agent governance, ISO 42001
Secureframe	Automatización GRC	Marcos admitidos: ISO 42001, NIST AI RMF y EU AI Act, con correspondencia de controles, pruebas automatizadas y evidencia entre marcos.	No indicada	Framework offering
OneTrust	Gobernanza de IA empresarial	Inventario de sistemas de IA, agentes, modelos, conjuntos de datos y proveedores. Plantillas para el EU AI Act, el NIST AI RMF e ISO 42001. Supervisión en ejecución para Amazon Bedrock y Microsoft Foundry. Aplicación de salvaguardas que puede bloquear, permitir, ocultar, escalar o redirigir.	No indicada	AI governance
Credo AI	Gobernanza de IA empresarial	AI Registry para sistemas, agentes, proveedores y modelos. Paquetes de políticas para el EU AI Act, el NIST AI RMF e ISO 42001. Supervisión mediante herramientas de observabilidad conectadas.	Agent Governor: versión preliminar de investigación	credo.ai
Holistic AI	Gobernanza de IA empresarial	Descubrimiento e inventario. Controles alineados con el EU AI Act, el NIST AI RMF e ISO/IEC 42001. Pruebas de sesgo, alucinación e inyección de instrucciones. Agentes que bloquean o pausan acciones de agentes no conformes.	No indicada	holisticai.com
IBM watsonx.governance	Gobernanza de IA empresarial	Gobernanza del ciclo de vida, gestión de riesgos, detección de IA en la sombra y aplicación de políticas. Incluye el EU AI Act entre los marcos admitidos.	Prueba de 14 días	watsonx.governance
LangSmith	Observabilidad	Trazas y evaluación de aplicaciones LLM y agentes. Nube en EE. UU. o la UE, híbrido o alojado por cuenta propia con Enterprise.	Developer gratis; Plus 39 USD por usuario y mes	Pricing
Langfuse	Observabilidad	Trazas y evaluación de código abierto. Regiones en la nube en EE. UU., la UE y Japón.	Gratis si se aloja por cuenta propia; nube desde gratis hasta 2.499 USD al mes	Pricing
Arize AI	Observabilidad	Phoenix (código abierto) y Arize AX: trazas, evaluaciones, monitores y colas de anotación humana.	AX Free; AX Pro 50 USD al mes	Pricing
KLA (editor)	Plano de control en tiempo de ejecución	Evalúa cada acción de agente propuesta como allow, warn, require_approval o block; envía las aprobaciones a Decision Desk; exporta un Sealed Evidence Bundle con una verificación independiente.	SAFR Production Sprint desde 5.000 EUR	Precios

Árbol de decisión

¿Qué capa necesita realmente?

Asocie el síntoma a la categoría antes de comparar funcionalidades.

“Gestionamos SOC 2, ISO 27001 y GDPR, y la IA es el siguiente marco.”

Plataforma de automatización GRC

“Tenemos decenas de sistemas de IA y ningún lugar único para inventariarlos, clasificarlos y evaluarlos.”

Plataforma de gobernanza de IA empresarial

“Nuestros ingenieros necesitan depurar instrucciones, latencia y comportamiento del modelo.”

Observabilidad de LLM / agentes

“Estamos dejando que un agente tome acciones que necesitan un humano en el bucle, y tendremos que demostrárselo a un regulador.”

plano de control en tiempo de ejecución

“Más de una de las anteriores es cierta.”

Un pila pequeño: un sistema de registro para la amplitud, más una capa en tiempo de ejecución para las decisiones de alto riesgo

Requisitos

Lo que realmente exige el EU AI Act

Sistema de gestión de riesgos (Artículo 9): identificación y mitigación continuas de riesgos.

Sistema de gestión de riesgos (Artículo 9): identificación y mitigación continuas de riesgos.
Gobernanza de datos (Artículo 10): estándares de calidad para datos de entrenamiento y validación.
Documentación técnica (Artículo 11 + Anexo IV): documentación completa del sistema de IA.
Registro de eventos (Artículo 12): registro automático de las operaciones del sistema.
Transparencia (Artículo 13): información clara para los responsables del despliegue.
Supervisión humana (Artículo 14): mecanismos para monitorización e intervención humanas.
Exactitud, robustez y ciberseguridad (Artículo 15): estándares de rendimiento y seguridad.
Monitorización poscomercialización (Artículo 72): vigilancia continua tras el despliegue.

Mapa del mercado

Categorías de herramientas que los compradores comparan de verdad

Plataformas GRC (Governance, Risk and Compliance)

Ejemplos: Vanta, Drata, Secureframe

Fortalezas

Gestión multi-marco de cumplimiento (SOC 2, ISO 27001, GDPR, EU AI Act).
Monitorización continua de infraestructura en la nube y sistemas empresariales.
Automatización de documentación, evidencia y flujos de trabajo de cumplimiento.
Gestión de riesgo de terceros y cuestionarios de seguridad.
informes de confianza y cuadros de mando de cumplimiento.

Limitaciones

No siempre ofrecen gobernanza al nivel exacto del flujo de trabajo de IA o del agente.
La evidencia suele centrarse en configuraciones, procesos y artefactos del programa más que en cada ejecución.
Las colas de aprobación humana profundamente integradas en la ruta de acción del agente no suelen ser el foco principal.
La verificación independiente de la integridad de la evidencia no siempre está resuelta como producto.

Adecuado para: Organizaciones que gestionan varios marcos de cumplimiento y quieren incorporar el EU AI Act dentro de un programa más amplio. Especialmente útil cuando la IA es una capacidad más dentro de un producto o de una operación empresarial amplia.

Cobertura del EU AI Act: Fuertes en documentación, inventario, recopilación de evidencia y gestión del programa. Más heterogéneas cuando se necesita gobernanza operativa flujo de trabajo por flujo de trabajo.

paneles de gobernanza de IA

Ejemplos: OneTrust, Credo AI, Holistic AI, IBM watsonx.governance

Fortalezas

Inventario y catalogación de sistemas de IA.
Evaluaciones de impacto algorítmico y auditorías de sesgo.
Scoring y seguimiento de riesgo de modelos.
Orquestación de flujos de trabajo de gobernanza.
Marcos de políticas de IA responsable.

Limitaciones

La aplicación en tiempo de ejecución no suele ser su capacidad diferencial principal.
Las colas de aprobación en vivo para decisiones del agente no siempre están integradas en la ejecución.
La evidencia suele basarse en evaluaciones y procesos, no en cada acción real del sistema.
La integración directa en la ruta operativa del agente puede requerir otra capa.

Adecuado para: Organizaciones que necesitan programas estructurados de gobernanza de IA, inventarios y flujos de trabajo de evaluación. Son especialmente valiosas para empresas con grandes carteras de sistemas de IA.

Cobertura del EU AI Act: Fuertes en gestión del riesgo, inventario y documentación. Más desiguales cuando se trata de demostrar supervisión humana operacional del Artículo 14 en tiempo real.

Plataformas de observabilidad LLM

Ejemplos: LangSmith, Langfuse, Arize AI

Fortalezas

Trazabilidad y depuración de aplicaciones LLM.
Versionado de instrucciones y experimentación.
Monitorización de rendimiento y latencia.
Seguimiento de costes entre varios proveedores LLM.
Gestión de conjuntos de datos para evaluación.

Limitaciones

No están diseñadas para producir evidencia de cumplimiento: los registros están pensados para desarrolladores, no para auditores.
No existen flujos de trabajo de aprobación humana ni resultados de documentación de cumplimiento.
No hay verificación de integridad en la que un revisor externo pueda confiar.

Adecuado para: Equipos de ingeniería que construyen y depuran aplicaciones LLM. Son esenciales para desarrollo y operación, pero no sustituyen una capa de cumplimiento.

Cobertura del EU AI Act: Pueden apoyar el Artículo 12 mediante registro y trazas, pero ese material suele estar pensado para desarrolladores, no para auditorías regulatorias.

planos de control en tiempo de ejecución

Ejemplos: KLA (editor de esta guía)

Fortalezas

Aplicación de políticas en el momento de la decisión.
Colas de aprobación humana con escalado y anulación.
Captura de evidencia ligada a ejecuciones reales de IA.
Paquetes de evidencia con integridad verificada para auditores.
Controles de gobernanza a nivel de flujo de trabajo.

Limitaciones

No es una herramienta GRC multi-marco ni un orquestador de gobernanza a escala de toda la empresa.
No es una suite de observabilidad de desarrollo, y no realiza entrenamiento de modelos ni experimentación.
Es la capa para la decisión, no el programa que la rodea.

Adecuado para: Organizaciones que despliegan agentes de IA con decisiones de alto riesgo que requieren supervisión humana y evidencia lista para auditoría.

Cobertura del EU AI Act: Especialmente fuertes en Artículo 14, Artículo 12 con garantías de integridad, y generación de evidencia reutilizable para documentación del Anexo IV.

Mapa de cobertura

¿Qué obligación cubre cada capa?

Obligaciones núcleo de alto riesgo asociadas a la capa que principalmente ayuda
Obligación	Qué exige	Capa que principalmente ayuda
Gestión de riesgos (Art. 9)	Identificación y mitigación continuas de riesgos	Plataforma de gobernanza
Gobernanza de datos (Art. 10)	Estándares de calidad para datos de entrenamiento y validación	Plataforma de gobernanza
Documentación técnica (Art. 11 + Anexo IV)	Documentación completa del sistema	Plataforma de gobernanza + evidencia en tiempo de ejecución
Registro de eventos (Art. 12)	registro automático de las operaciones del sistema	plano de control en tiempo de ejecución (grado de auditoría) / observabilidad (registros de desarrollo)
Transparencia con los responsables del despliegue (Art. 13)	Información clara para los responsables del despliegue	Plataforma de gobernanza
Supervisión humana (Art. 14)	Mecanismos de monitorización e intervención humanas	plano de control en tiempo de ejecución
Exactitud, robustez, ciberseguridad (Art. 15)	Estándares de rendimiento y seguridad	Observabilidad + plataforma de gobernanza
Sistema de gestión de la calidad (Art. 17)	Un SGC documentado para los proveedores	Plataforma GRC / de gobernanza
Monitorización poscomercialización (Art. 72)	Vigilancia continua tras el despliegue	plano de control en tiempo de ejecución + plataforma de gobernanza
Notificación de incidentes (Art. 73)	Notificación de incidentes graves	Plataforma de gobernanza + evidencia en tiempo de ejecución

Selección

Cómo evaluar a los proveedores

Rol y alcance

Tenga claro si compra para un proveedor, un responsable del despliegue o ambos, y si esta herramienta es su sistema de registro o una capa especializada.

Busque

Claridad sobre las responsabilidades de proveedor frente a responsable del despliegue.
Soporte para su modelo operativo de gobernanza entre equipos jurídicos, de cumplimiento e ingeniería.
Una respuesta realista sobre si esta herramienta es su sistema de registro principal o una capa especializada.
Una visión clara de dónde se espera que otra herramienta la complemente en un pila de alto riesgo.

Pregunte

¿Qué obligaciones del EU AI Act cubren para proveedores, responsables del despliegue o ambos?
¿Son el sistema de registro, la capa de control en tiempo de ejecución o un complemento de otra plataforma?
¿Dónde esperan que otra herramienta los complemente en un pila de alto riesgo?

Profundidad en tiempo de ejecución

Casi todos los proveedores reivindican ya «gobernanza en tiempo de ejecución». La pregunta real es si eso significa salvaguardas y monitorización, o autoridad genuina sobre una acción de negocio.

Busque

Aplicación de políticas en el momento de la ejecución.
Capacidad de detener, redirigir o exigir aprobación antes de que se complete la acción.
Integración en la ruta de decisión, no solo un flujo de monitorización aguas abajo.
Una distinción clara entre postura en tiempo de ejecución, revisión aguas abajo y colas de aprobación en línea.

Pregunte

¿Qué ocurre en el producto cuando una acción de alto riesgo debe bloquearse a la espera de revisión?
¿Admiten aprobadores nominados, rutas de escalado y captura de anulaciones para acciones de negocio?
¿Qué controles son en línea y cuáles son monitorización o revisión a posteriori?

Evidencia y preparación para auditoría

Los auditores necesitan evidencia, no paneles. La calidad de la evidencia importa enormemente.

Busque

Evidencia ligada a una ejecución de IA concreta.
Mapeo claro a los requisitos documentales del Anexo IV.
Formatos estructurados con los que los auditores puedan trabajar.
Integridad del paquete de evidencia.

Pregunte

¿Pueden mostrarme un ejemplo de exportación de evidencia ligada a una única ejecución?
¿Cómo se mapea a los requisitos del Anexo IV?
¿Qué formato recibe realmente un auditor?

Verificabilidad independiente

Este es el diferenciador más nítido: ¿puede un auditor confiar en la evidencia, o tiene que confiar en usted?

Busque

Verificación criptográfica de integridad.
Almacenamiento con evidencias de manipulación.
Mecanismos de verificación independiente.
Cadena de custodia documentada.

Pregunte

¿Cómo puede un auditor verificar que la evidencia no se ha modificado?
¿El almacenamiento ofrece evidencias de manipulación, con cadena de custodia documentada?
¿Puede hacerse la verificación sin iniciar sesión en su plataforma?

Operación tras la puesta en marcha

El comportamiento de un producto una vez en producción (bajo presión de SLA, cambios de política y retención plurianual) es donde muchas herramientas se quedan cortas en silencio.

Busque

flujos de trabajo de aprobación que degradan de forma controlada cuando un revisor incumple un SLA.
Un proceso definido para monitorización poscomercialización, incidentes y cambios de política.
Retención y exportación de evidencia plurianual.
Documentación de las acciones de supervisión y de los anulaciones.

Pregunte

¿Cómo se comportan los flujos de trabajo de aprobación cuando un revisor incumple un SLA?
¿Cómo gestionan la monitorización poscomercialización, los incidentes y los cambios de política?
¿Cómo es la retención de evidencia a lo largo de varios años?

Hoja de evaluación

Copie esta tabla en una hoja de cálculo, añada una columna por proveedor y rellénela con demostraciones y documentos. Anote la fuente y la fecha de comprobación, porque las páginas y la disponibilidad cambian. Puntúe cada fila con 0 (no mostrado), 1 (descrito en documentos) o 2 (mostrado funcionando con sus datos).

Criterio	Evidencia que pedir	Fuente y fecha de comprobación	Puntuación (0–2)
Encaje de funciones	Qué funciones del AI Act (proveedor, responsable del despliegue) y del RGPD (responsable, encargado) admite el producto
EIPD y FRIA	Las dos evaluaciones construidas desde una sola descripción del sistema (RGPD art. 35, AI Act art. 27)
Supervisión humana	Una aprobación registrada de una acción con consecuencias: revisor, información mostrada, decisión, hora
Control en ejecución	Una demostración en directo de una acción retenida o bloqueada antes de ejecutarse, y qué recibe el agente
Registros y conservación	Esquema de registros, ajuste de conservación y exportación de una ejecución (AI Act arts. 12, 19, 26, apdo. 6)
Integridad de la evidencia	Cómo comprueba un revisor externo que una exportación no se alteró, sin iniciar sesión en el producto
Correspondencia con normas	Para proveedores: plantillas de SGC vinculadas a las cláusulas de la EN 18286:2026
Condiciones de protección de datos	Contrato del art. 28 del RGPD, lista de subencargados, región de alojamiento en la UE, mecanismo de transferencia
Coste	Unidad de precio, precio del primer y segundo año, excesos, exportación de salida
Disponibilidad	Si cada función puntuada está disponible, en versión preliminar o en lista de espera

Casos de uso

Recomendaciones por caso de uso

GRC amplio con cobertura del EU AI Act

Vanta, Drata o OneTrust

Fortalezas

Eficiencia multi-marco
Ecosistema consolidado de proveedores
informes y informes de confianza

Carencias

La gobernanza en tiempo de ejecución de IA puede ser menos profunda que la capa de programa
La evidencia suele estar más cerca de la configuración y el proceso que de cada ejecución concreta

Estructura de programa para gobernanza de IA

Credo AI o Holistic AI

Fortalezas

Marcos de gobernanza específicos para IA
Metodologías de evaluación
Plantillas de políticas

Carencias

La aplicación en tiempo de ejecución puede requerir otra capa
La evidencia suele basarse más en evaluaciones que en ejecución operativa

Observabilidad para LLM orientada a ingeniería

LangSmith, Langfuse o Arize AI

Fortalezas

Experiencia de desarrollador
Capacidades de depuración
Visibilidad técnica sobre rendimiento

Carencias

No están diseñadas para evidencia de cumplimiento
No sustituyen flujos de trabajo de gobernanza

Gobernanza de decisiones y evidencia lista para auditoría

KLA

Fortalezas

Gobernanza en tiempo de ejecución
Controles en el momento de la decisión
Exportaciones de evidencia verificables

Carencias

Está más enfocado en IA que en gestión multi-marco
Requiere integración con la ruta de ejecución de IA

Necesita amplitud de gobernanza empresarial y prueba en tiempo de ejecución

OneTrust o Vanta junto con KLA

Fortalezas

Sistema de registro de gobernanza y evidencia a nivel de flujo de trabajo
Mejor alineación entre política, supervisión y ejecución en producción
Postura más defendible para flujos de trabajo de alto riesgo

Carencias

Mayor coordinación de la implementación
Debe definir qué herramienta posee cada control

Arquitectura

Una pila de cumplimiento realista

GRC multi-marco

Categoría: Plataforma GRC

Ejemplo: Vanta u OneTrust

Inventario y evaluaciones de IA

Categoría: panel de gobernanza de IA

Ejemplo: Credo AI

Desarrollo y depuración de LLM

Categoría: Plataforma de observabilidad

Ejemplo: LangSmith

Gobernanza en tiempo de ejecución y evidencia

Categoría: plano de control

Ejemplo: KLA

Cronograma

Cronograma práctico hacia los nuevos plazos

Ahora (octubre de 2026)

Complete el inventario y la clasificación de sus sistemas de IA.
Anote sus funciones: proveedor o responsable del despliegue según el AI Act, responsable o encargado según el RGPD.
Revise la transparencia del artículo 50, aplicable desde el 2 de agosto de 2026.

Antes del 2 de diciembre de 2026

Termine el marcado legible por máquina del contenido generado por IA antes de que acabe el periodo de gracia.
Revise sus sistemas frente a las nuevas prohibiciones del artículo 5 que se aplican desde esa fecha.

Durante 2027, hasta el 2 de diciembre de 2027 (Anexo III)

Complete la documentación técnica, los procedimientos de supervisión, la FRIA cuando se exija y las exportaciones de evidencia.
Proveedores: alineen el SGC con la EN 18286:2026.
Haga un simulacro de auditoría con muestras reales de flujos y evidencia conservada.

Hasta el 2 de agosto de 2028 (productos del Anexo I)

Alinee la evidencia del AI Act con la evaluación de la conformidad sectorial del producto.
Valide la conservación, la exportación y la vigilancia poscomercialización (artículo 72).

Decisión

La decisión, en una línea

Ningún producto cubre por sí solo la estrategia de gobernanza, la evidencia de los sistemas que rodean a la IA, la observabilidad para desarrolladores y el control en ejecución a nivel de flujo. Elija primero su sistema de registro y después decida si sus flujos de mayor riesgo necesitan además un plano de control en tiempo de ejecución. Pregunte a cada proveedor tres cosas: cuánto alcanza su control en ejecución, qué tan portable y verificable es su evidencia y qué funciones están disponibles hoy.

Nuestra propia categoría, dicha con claridad: KLA es una capa de ejecución que se suma a su plataforma GRC o de gobernanza de IA. Evalúa cada acción de agente propuesta frente a las reglas en la ruta de ejecución, envía las acciones de alto impacto a aprobación humana y sella la evidencia para que un auditor pueda verificarla.

Si está eligiendo un sistema de registro, empiece por una plataforma de gobernanza. Si está eligiendo cómo controlar y registrar acciones de IA de alto riesgo, reserve una demostración o consulte los precios.

FAQ

Preguntas frecuentes

¿Cuál es el mejor software de cumplimiento del EU AI Act?: Ningún producto es el mejor para todos los compradores. Este software se divide en cuatro categorías (automatización GRC, gobernanza de IA empresarial, observabilidad de LLM y planos de control en tiempo de ejecución), y muchos equipos regulados usan dos: un sistema de registro para la gobernanza y una forma de controlar y registrar lo que hace su IA de mayor riesgo en producción. Puntúe a los candidatos con la hoja de evaluación de esta página.
¿Cómo elijo software de cumplimiento para el RGPD y el EU AI Act a la vez?: Parta de sus funciones: responsable o encargado del tratamiento según el RGPD, proveedor o responsable del despliegue según el AI Act. Enumere las obligaciones comunes: evaluaciones de impacto (EIPD y FRIA), intervención humana en decisiones automatizadas (artículo 22 del RGPD, artículo 14 del AI Act), registros (artículo 30 del RGPD, artículos 12 y 26, apartado 6, del AI Act) e información a las personas. Después pida a cada proveedor que muestre un registro que sirva a las dos autoridades y revise su contrato de encargo del tratamiento según el artículo 28 del RGPD.
¿Dónde comprar software de cumplimiento para el RGPD y el EU AI Act?: Directamente al proveedor. Las herramientas de observabilidad como Langfuse, LangSmith y Arize publican precios de autoservicio. Las plataformas GRC, de gobernanza de IA y de control en tiempo de ejecución venden con presupuesto. Antes de firmar, pida una región de alojamiento en la UE, un contrato de encargo del tratamiento según el artículo 28 del RGPD, la lista de subencargados y una exportación completa de sus datos al terminar el contrato.
¿Cuánto cuesta el software de cumplimiento para el RGPD y el EU AI Act?: Precios publicados en octubre de 2026: Langfuse Cloud desde gratis hasta 2.499 USD al mes, gratis si se aloja por cuenta propia; LangSmith Plus 39 USD por usuario y mes; Arize AX Pro 50 USD al mes. KLA empieza con un SAFR Production Sprint de cuatro semanas desde 5.000 EUR. Las plataformas GRC y de gobernanza de IA cotizan por contrato: pregunte por la unidad de precio (usuarios, marcos, sistemas de IA o agentes) y por el precio del segundo año.
¿Cuándo se aplican las obligaciones de alto riesgo del EU AI Act?: El Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Traslada al 2 de diciembre de 2027 las obligaciones de alto riesgo autónomas del Anexo III, la FRIA del artículo 27 y el registro del artículo 49, y al 2 de agosto de 2028 la IA de alto riesgo integrada en productos del Anexo I. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026; el periodo de gracia para marcar contenido generado por IA termina el 2 de diciembre de 2026.
¿Cambia la EN 18286 lo que debo comprar?: El 14 de octubre de 2026 la Comisión publicó en el Diario Oficial la referencia de la EN 18286:2026, la norma de sistema de gestión de la calidad para el AI Act (Decisión de Ejecución (UE) 2026/2274). Los proveedores que la aplican obtienen una presunción de conformidad según el artículo 40 para los requisitos del artículo 17 que cubre. Si es proveedor, pregunte si las plantillas de SGC de cada producto remiten a las cláusulas de la EN 18286.
¿Tiene KLA un interés comercial en esta guía?: Sí. KLA publica esta guía y vende un plano de control en tiempo de ejecución. Los demás proveedores se describen a partir de sus propias páginas públicas, comprobadas en octubre de 2026. La guía no clasifica a los proveedores.

Enlaces

Enlaces relacionados

Requisitos de software de auditoría de agentes de IA y guía de compra

/blog/ai-agent-audit-software-requirements-vendor-categories

Abrir

Multas y sanciones del artículo 99

/blog/eu-ai-act-fines-article-99

Abrir

Interactivo: ¿qué categoría de software necesita?

/tools/eu-ai-act-software-selector

Abrir

KLA para software de cumplimiento del EU AI Act

/eu-ai-act-compliance-software

Abrir

KLA vs Vanta (GRC)

/compare/vanta

Abrir

KLA vs OneTrust (gobernanza de IA)

/compare/onetrust

Abrir

KLA vs LangSmith (observabilidad)

/compare/langsmith

Abrir

Herramienta gratuita: generador de FRIA

/tools/fria-generator

Abrir

Herramienta gratuita: generador de DPIA + FRIA (GDPR + AI Act)

/tools/dpia-fria-generator

Abrir

Herramienta gratuita: clasificador de IA de alto riesgo

/tools/risk-classifier

Abrir

Herramienta gratuita: declaración de aplicabilidad ISO 42001

/tools/iso-42001-soa

Abrir

Herramienta gratuita: comprobación de preparación para AMLR 2027

/tools/amlr-readiness

Abrir

Herramienta gratuita: registro del artículo 30 de DORA

/tools/dora-article-30

Abrir

Control Mapping

/control-mapping

Abrir

Lista de comprobación del paquete de evidencia

/resources/evidence-pack-checklist

Abrir

Inicie el piloto gobernado de cuatro semanas

/book-demo

Abrir

Referencias

Fuentes

EUR-Lex: Reglamento (UE) 2024/1689 (Ley de Inteligencia Artificial)

https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32024R1689

Abrir

EUR-Lex: Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA)

https://eur-lex.europa.eu/eli/reg/2026/1744/oj/spa

Abrir

EUR-Lex: Decisión de Ejecución (UE) 2026/2274 (referencia de la EN 18286:2026)

https://eur-lex.europa.eu/eli/dec_impl/2026/2274/oj

Abrir

EUR-Lex: Reglamento (UE) 2016/679 (RGPD)

https://eur-lex.europa.eu/eli/reg/2016/679/oj/spa

Abrir

Parlamento Europeo, Observatorio Legislativo: Ómnibus Digital 2025/0360(COD)

https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)

Abrir

BSI: EN 18286:2026 harmonized (14 October 2026)

https://www.bsigroup.com/en-GB/insights-and-media/media-centre/press-releases/2026/october/en-18286-2026-harmonized-a-significant-milestone-for-ai-act-compliance/

Abrir

European Commission: AI Act

https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

Abrir

Vanta: AI governance

https://www.vanta.com/products/ai-governance

Abrir

Vanta: ISO 42001

https://www.vanta.com/products/iso-42001

Abrir

Drata: AI agent governance

https://drata.com/products/agent-governance