Madrid, 30 de septiembre de 2026. El RIA ha pasado de la preparación a la supervisión efectiva. Desde el 2 de agosto de 2026, la Comisión puede solicitar información, exigir medidas correctoras y, cuando proceda, sancionar. La Oficina Europea de IA ya cuenta con más de 150 personas y prevé superar las 200, reforzando especialmente supervisión, especialistas tecnológicos y perfiles jurídicos. El objetivo declarado no es multar, sino garantizar que los modelos utilizados en la UE sean seguros.
La supervisión será técnica y de ciclo de vida. En los modelos de propósito general con riesgo sistémico, la Oficina puede revisar cómo se desarrolla, evalúa y mitiga el riesgo durante todo el ciclo de vida cuando el modelo está destinado al mercado europeo. La Comisión quiere además que los proveedores comuniquen los incidentes relevantes; si son graves, existe una obligación específica de presentar un informe. Inventario, trazabilidad, evaluación de riesgos, monitorización y evidencias dejan de ser documentación “para el futuro”: son la base para responder ante una revisión real.
El Código de Buenas Prácticas está adquiriendo peso de referencia. Aunque es voluntario, la mayoría de proveedores lo están siguiendo y la propia Oficina reconoce que, en la práctica, está funcionando casi como un estándar para demostrar cumplimiento. A ello se suman evaluadores externos, panel científico, academia, industria y sociedad civil: la UE quiere ampliar la capacidad independiente para evaluar la seguridad de los modelos.
RIA + ISO/IEC 42001: obligación legal y sistema de gestión se complementan. El RIA es obligatorio cuando resulta aplicable; ISO/IEC 42001 es voluntaria, pero proporciona una estructura útil para convertir obligaciones en gobierno, responsables, gestión de riesgos, controles, auditoría y mejora continua. La idea clave es sencilla: la UE ya no se limita a publicar reglas; está construyendo capacidad para comprobar técnicamente si se cumplen.
| Internet Security Auditors | Prepárese para una supervisión real GAP RIA + ISO/IEC 42001 · Plan de Acción · Implantación · Auditoría interna · Auditoría técnica del ecosistema de IA. Cumplir ya no es solo tener políticas: es poder demostrar, con evidencias, que los riesgos están controlados. |
Internet Security Auditors puede acompañar a su organización con un GAP RIA + ISO/IEC 42001, Plan de Acción priorizado, apoyo a la implantación, auditoría interna y auditoría técnica del ecosistema de IA. El objetivo es llegar a una supervisión real con evidencias suficientes para demostrar que los riesgos están gobernados y los controles funcionan.
Infografía de elaboración propia basada en el calendario de aplicación y supervisión del RIA publicado por la Comisión Europea, la entrevista a Lucilla Sioli sobre la aplicación del Reglamento e ISO/IEC 42001:2023.
Referencias
📝The EU AI Act Conversations — “How Does the EU AI Office Enforce the AI Act?” (Lucilla Sioli, 29/09/2026).
🔗Comisión Europea — Reglamento de IA: marco regulatorio, calendario de aplicación y supervisión.
🔗Comisión Europea — “Commission starts enforcing AI Act rules and new transparency requirements on 2 August” (31/07/2026).
🔗Comisión Europea — Código de Buenas Prácticas para modelos de IA de propósito general (GPAI).
🔗ISO — ISO/IEC 42001:2023, Sistemas de gestión de inteligencia artificial.
🔗Internet Security Auditors — Evaluación y Soporte al Cumplimiento en el Uso de IA.
🔗Internet Security Auditors — Implementación de SGIA ISO/IEC 42001.