Cronograma de implementación del EU AI Act
Elija su rol y nivel de riesgo. Obtenga un plan práctico por fase, con los artefactos exactos que necesita producir y la evidencia que debe poder exportar.
Última actualización: 16 dic 2025 · Versión v1.0 · Sólo orientación. No asesoramiento legal.
Informar un problema: /contact
Qué es esto (y cuándo lo necesita)
Un plan por fases para producir los resultados y la evidencia que esperan los auditores.
Esta página no es un resumen legal. Es un cronograma de implementación vinculado a resultados reales: documentación técnica, procedimientos de supervisión humana, planes de monitoreo, política de retención de registros y simulacros de exportación de evidencia.
Utilice los botones interactivos para generar una lista de verificación por función y confianza en el riesgo. Si no está seguro, trátelo como un riesgo potencial alto hasta que pueda defender la clasificación.
Lo necesita cuando
- Está planificando presupuestos y secuenciando el trabajo entre equipos.
- Es necesario producir artefactos rápidamente y mantenerlos vinculados a la evidencia.
- Quiere demostrar que está preparado para la auditoría mediante simulacros de exportación, no con promesas.
Modo de falla común
Los equipos inician la documentación demasiado tarde y no pueden exportar evidencia a pedido: no hay rastro de versión, no hay registros de revisión, no hay pruebas de integridad, no hay informes de exploración.
Criterios de exito
Criterios de éxito de la línea de tiempo: controles + evidencia, no presentaciones de diapositivas.
- Tiene un inventario de sistema propio y una nota de clasificación defendible.
- Las acciones de alto riesgo están controladas por puertas de política y/o colas de aprobación.
- El plan de seguimiento incluye umbrales, politica de muestreo, propietarios y flujo de trabajo de incidentes.
- Los registros de auditoría están protegidos por su integridad y se pueden exportar con un manifiesto + sumas de verificación.
- Usted ejecuta simulacros de exportación y conserva informes de simulacros + acciones correctivas como evidencia.
Fechas clave (orientación)
Utilice estos hitos para verificar de su cronograma interno.
2024-07-12
Publicado en el Diario Oficial
Inicio de la cuenta atrás. Use esta fecha para validar los calendarios de aplicabilidad por fases.
2024-08-01
Entrada en vigor
El reglamento está en vigor, con muchas obligaciones entrando en fases posteriores.
2025-02-02
Aplican las prácticas prohibidas (Artículo 5)
Sea alto riesgo o no, los casos de uso prohibidos deben eliminarse o rediseñarse.
2025-08-02
Comienzan las obligaciones de IA de propósito general (GPAI)
Las obligaciones del lado del provider empiezan a aplicarse para modelos GPAI y de riesgo sistémico.
2026-08-02
Aplican la mayoría de las obligaciones
Los programas operativos de alto nivel deben estar activos, no 'en planificación'.
2027-08-02
Algunas normas de alto riesgo se aplican plenamente
Los requisitos de fases tardías y las obligaciones específicas por categoría entran en vigor.
Plan de implementación interactivo
Un orden de operaciones sugerido, adaptado a su rol y confianza en el riesgo.
Phase 1: Inventory and classification
You can’t comply with what you haven’t identified. Start by making risk classification defensible.
Owners
- Compliance
- Product
- Engineering
What you produce
- System inventory
- Classification memo (assumptions + rationale)
- Owner map
Checklist
- Inventory AI systems, owners, deployment regions, and affected user groups.
- Write intended purpose and boundaries (“do not use for”).
- Classify risk tier; if uncertain, treat as potential high-risk until clarified.
- Identify and remove prohibited patterns; record remediation decisions.
Phase 2: Governance and change control
Audits fail when versioning and approvals are missing. Make “what changed when” provable early.
Owners
- Compliance
- Security
- Engineering
What you produce
- Change control policy
- Material change definition
- Approval workflow + evidence fields
Checklist
- Define “material change” (model/prompt/policy/workflow/data/tool changes).
- Implement approvals for risky changes and capture rationale + identity.
- Define retention and export expectations for audit logs.
Phase 3: Controls, gates, oversight, and logging
Move from documentation to enforceable runtime controls (fail-closed where needed).
Owners
- Engineering
- Compliance
- Ops
What you produce
- Policy-as-code checkpoints
- Human oversight SOP
- Audit log taxonomy
Checklist
- Define policy checkpoints (block / require-review / allow) for high-risk actions.
- Stand up an approval queue with escalation and override procedure.
- Log decisions, approvals/overrides, tool calls, and versions in effect.
Phase 4: Documentation package and evidence pointers
Reviewers want an artifact that links every claim to exportable proof.
Owners
- Compliance
- Engineering
- Risk
What you produce
- Annex IV-aligned technical documentation draft
- Evidence pointers per section
Checklist
- Draft Annex IV sections and attach evidence pointers (artifact → source → integrity proof).
- Produce a one-page summary for stakeholders (forwardable).
- Prepare deployer instructions and required operational controls.
Phase 5: Post-market monitoring and incident response
You must prove ongoing control effectiveness: sampling, thresholds, incidents, corrective actions.
Owners
- Ops
- Compliance
- Engineering
What you produce
- Post-market monitoring plan
- Sampling policy
- Incident runbook
Checklist
- Define monitored signals and thresholds (quality, policy compliance, tool correctness, operational health).
- Implement risk-tiered sampling (baseline + burst rules).
- Define incident severity levels, SLAs, rollback/kill-switch procedure, and reporting responsibilities.
Phase 6: Audit readiness drills
Evidence exists only if you can export it on demand, with verification steps.
Owners
- Compliance
- Engineering
- Security
What you produce
- Evidence export drill report
- Corrective action log
Checklist
- Run a time-boxed evidence export drill (simulate an auditor request).
- Verify integrity independently (manifest + checksums + hash chain validation).
- Record gaps and corrective actions; repeat on cadence (monthly/quarterly).
Vista previa de la lista de verificación
Un pequeño extracto del artefacto descargable (HTML indexable).
## Fase 2: Evaluación de brechas (artefactos que debes poder producir) - Annex IV borrador de documentación técnica (si es de alto riesgo) - SOP de supervisión humana + ruta de evidencia de intervención - Taxonomía de tala + política de retención + mecanismo de exportación - Plan de seguimiento post-comercialización + política de muestreo + incidencia flujo de trabajo ## Fase 6: Simulacros de preparación para la auditoría - Ejecutar un simulacro de exportación de evidencia completa (con límite de tiempo) - Verificar la integridad de forma independiente (manifiesto + sumas de verificación) - Corregir brechas y registrar acciones correctivas.
Cómo ayuda KLA (Gobernar / Medir / Probar)
Convierta la línea de tiempo en un plano de control con evidencia exportable.
Gobernar
- Puntos de control de políticas como código que bloquean o requieren revisión para detectar acciones riesgosas.
- Aprobaciones versionadas para cambios de modelo/solicitud/política/flujo de trabajo.
Medida
- Revisiones de muestreo por niveles de riesgo (línea de base + reglas de explosión).
- Seguimiento de cuasi-incidentes (pasos bloqueados/casi bloqueados) como señal de efectividad del control.
Probar
- registro de auditoría a prueba de manipulaciones, solo para anexar y con texto de retención de más de 7 años cuando sea necesario.
- Evidence Room exporta paquetes (manifiesto + sumas de verificación) para verificación independiente.
Registro de actualización
Señal de frescura sin pretender ser el regulador.
2025-12-16
Línea de tiempo interactiva inicial
Se agregaron alternancias de rol/riesgo + lista de verificación por fases + artefacto de lista de verificación descargable.
Última actualización: 2025-12-16
Preguntas frecuentes
Respuestas breves para planificación y revisiones.
Descargue la lista de verificación del cronograma
Lista de verificación de Markdown editable para simulacros de planificación y preparación para auditorías.
Descargar lista de verificación