The EU AI Act Engineering Readiness Kit
Lo que tu código debe demostrar antes del 2 de agosto de 2026 — la checklist de evidencias del CTO para los artículos 11, 12 y 14, mapeada a ISO 42001 y NIST AI RMF.
El registro del artículo 12 es arquitectónico. No puedes incorporarlo después de la fecha límite.
El 2 de agosto de 2026 las obligaciones de alto riesgo del EU AI Act pasan a ser exigibles — y con ellas, el registro automático del artículo 12. El registro es arquitectónico: anota los eventos según ocurren y no puede reconstruirse después. La evidencia de cada cambio asistido por IA que entregues antes de tener el registro activo no existe, y nunca existirá. Es el único reloj de cumplimiento que no puedes rellenar hacia atrás.
Las obligaciones de alto riesgo del EU AI Act pasan a ser exigibles
multa máxima — 35M€ o el 7% de la facturación global, lo que sea mayor
del código generado por IA falla los tests de seguridad — el riesgo por el que ahora preguntan auditores y aseguradoras
Ocho secciones. Una cadena de evidencia.
¿Estás dentro del alcance?
Un árbol de decisión para la planificación de ingeniería — por qué el uso estándar de un asistente de código no es alto riesgo del Anexo III por defecto, y los tres movimientos que lo cambian (confirma la clasificación con tu abogado).
Artículo 11 — Documentación técnica
El artículo de «muestra tu trabajo»: el índice documental conservado 10 años que un auditor puede solicitar, y por qué es algo que se mantiene, no algo que se escribe en julio de 2026.
Artículo 12 — Registro automático
El que no puedes incorporar a posteriori. Lo que cada entrada de registro debe capturar — usuario que invoca, versión del modelo, entradas, salidas, revisor, decisión — más el esquema para rellenar.
Artículo 14 — Supervisión humana
La forma regulatoria de «la IA no hace merge sola». Una persona con nombre, una vía de anulación y una decisión registrada como evidencia.
Artículo 53 — GPAI y el resumen de datos de entrenamiento
Si entrenas, afinas o pones en el mercado un modelo de propósito general: el Formulario de Documentación del Modelo y el resumen de datos AIBOM-lite exigido por el regulador.
El mapa de evidencias — práctica CRAFT × regulación
Qué práctica produce la evidencia que pide cada regulación. Lee una fila para ver qué demuestra una práctica; lee una columna para ver todo lo que exige una regulación.
Los relojes adyacentes
ISO 42001, NIST AI RMF, exclusiones de seguros vigentes desde el 1 de enero de 2026, CA AB 489, TX TRAIGA, SR 26-2, CMMC — cada una pide un subconjunto de la misma evidencia.
El plan de preparación de 90 días
Levanta primero la evidencia que no se puede incorporar a posteriori. Registro y procedencia en los días 0–30, después la decisión humana demostrable, y por último la documentación permanente.
La fecha límite ya está en el calendario.
Dos de ellas — el registro del artículo 12 y la documentación del artículo 11 — acumulan evidencia de forma continua. No pueden reconstruirse la semana antes de una auditoría.
Curate
EU AI Act — Art. 53 (resumen de datos de entrenamiento). También — ISO 42001 A.6 · NIST Map. Evidencia — procedencia del contexto, linaje de datos, núcleo AIBOM.
Refine
EU AI Act — Art. 17 (QMS). También — ISO 42001 A.5 · NIST Manage. Evidencia — especificaciones, trazabilidad de requisito a código.
Architect
EU AI Act — Art. 12 (registros). También — ISO 42001 A.5/A.7 · NIST Map. Evidencia — ADRs legibles por máquina, registro del pipeline.
Fortify
EU AI Act — Art. 9 & 11 (riesgo, documentación). También — ISO 42001 A.3/A.9 · NIST Govern · aseguradoras. Evidencia — trazas de auditoría inmutables, policy-as-code, procedencia.
Test
EU AI Act — Art. 15 (exactitud). También — ISO 42001 A.5 · NIST Measure. Evidencia — quality gates calibrados para IA, evidencia de validación.
Una organización con el método ya produce la evidencia. La auditoría no es un proyecto — es una consulta contra los artefactos que las prácticas mantienen. Asignación de artículos según la lectura de ingeniería del Evidence Pack; confirma la clasificación con tu abogado.
Índice de documentación técnica — Artículo 11
Un índice permanente de lo que un auditor puede solicitar, quién lo posee, dónde vive y cuánto tiempo se conserva. Cada ubicación vacía es un hallazgo de auditoría esperando a ocurrir.
Esquema de registro automático — Artículo 12
La especificación de campos que toda acción asistida por IA debería emitir automáticamente — usuario que invoca, versión del modelo, entradas, salidas, revisor, decisión, conservados ≥ 6 meses. Un registro que depende de que alguien se acuerde no es automático.
Firma de supervisión humana — Artículo 14
Un registro repetible y firmable de que una persona entendió un cambio que afecta a la IA, decidió sobre él y podría haberlo detenido. Su decisión alimenta el registro del artefacto B.
Estos tres artefactos son una sola cadena de evidencia: el índice (A) apunta a los registros (B), y la decisión de cada entrada de registro remite a una firma (C).
Si haces una sola cosa antes de la fecha límite, levanta primero el registro y la procedencia. La documentación y las firmas puedes rellenarlas hacia atrás desde un momento dado; los registros, en absoluto. Cada día sin el registro del artículo 12 activo es un día de evidencia que nunca existirá.
Léelo si eres un líder de ingeniería que…
…tiene un auditor ISO 42001 o de tipo SOC preguntando cómo gobiernas el código generado por IA — y ninguna evidencia que entregarle.
…nota la presión de la renovación de los seguros D&O y cíber ahora que las pólizas estándar excluyen muchas reclamaciones por IA generativa (vigente desde el 1 de enero de 2026).
…necesita saber si ya es demasiado tarde para incorporar el registro del artículo 12 a los cambios que has entregado este año.
…quiere entrar en la conversación de cumplimiento con tu evidencia de ingeniería ya mapeada — no para sustituir al abogado, sino para llegar preparado.
Este kit está pensado para La Organización Estructurada (61–80) — la organización que ya tiene un método y ahora debe demostrar que produce evidencia de auditoría. Si estás antes de ese punto, el Scorecard Curate gratuito te dirá primero dónde estás.
CRAFT Method no se diseñó en una sala de juntas. Fue forjado en producción.
Se forjó construyendo software de producción con IA, cada día, durante meses. FIKR Space — once productos integrados, construidos en solitario más IA — es la prueba viva.
Obligaciones de alto riesgo del EU AI Act exigibles
El registro del artículo 12 es arquitectónico, no se incorpora a posteriori. Si no está construido dentro, no está cuando llega la auditoría.
Exclusiones de seguros para reclamaciones por IA generativa vigentes
El respaldo financiero para los defectos introducidos por IA se está estrechando. La responsabilidad pasa al balance.
La decisión es tuya. El reloj no.
Antes de que preguntes.
¿Nos aplica siquiera el EU AI Act si solo usamos Copilot, Cursor o Claude Code?
Probablemente no por defecto. El uso estándar de un asistente de código para escribir código de aplicación no es alto riesgo del Anexo III solo por eso. Puede cambiar — cuando la IA se usa para evaluar a desarrolladores como trabajadores, actúa como componente de seguridad en un producto regulado, o cuando afinas o rebautizas un modelo y te conviertes en su proveedor. El alcance es una determinación jurídica: el kit te da el árbol de decisión; tu abogado confirma el resultado.
¿Esto es asesoría legal?
No. Este es un kit de preparación de ingeniería, no asesoría legal. Traduce los artículos 11, 12, 14 y 53 a los artefactos que tu organización de ingeniería debe poder producir — registros, documentación, firmas, procedencia. No te dice si un sistema está dentro del alcance, si eres proveedor o responsable del despliegue, ni cómo interpretará un regulador un artículo. Consulta a un abogado cualificado y a tu función de cumplimiento para la interpretación jurídica y tu alcance concreto.
¿Esto es realmente gratis?
Sí. El kit es una descarga gratuita a cambio de tu email — ~14 páginas más tres plantillas para rellenar — y alguna nota de campo ocasional. Cancela cuando quieras, y nunca compartimos tu email. Cada afirmación regulatoria está referenciada al CRAFT Method Evidence Pack, abril de 2026.
¿Qué es el Diagnóstico Enterprise?
La Evaluación completa puntúa las cinco prácticas CRAFT y produce el mapa de evidencias de tu organización, más un debriefing en directo de 30 minutos con Luis Gonçalves donde contrastas tu evidencia de los artículos 11/12/14 con el 2 de agosto de 2026 en tu contexto. Listada a 1,500–2,000€; gratis durante el periodo de lanzamiento de 2026, capacidad limitada.