El coste de aplicar el AI Act a un producto depende del nivel de obligación que le corresponda tras clasificarlo. La transparencia del artículo 50 puede resolverse por 1.500-5.000 €. Un sistema de alto riesgo del Anexo III suele moverse entre 15.000 € y 35.000 € en la primera vuelta. Un producto del Anexo I que necesita evaluación de un organismo notificado puede superar los 50.000 €. A eso se suma un mantenimiento anual que casi nunca aparece en el primer presupuesto.
«¿Cuánto nos va a costar poner el producto en regla con el AI Act?» es la pregunta que hace el responsable de producto o el CTO de una pyme española cuando descubre que su función de IA —un asistente dentro de la aplicación, un motor de recomendación, un módulo de scoring— entra dentro del alcance del reglamento. La respuesta corta es: depende de qué obligación le corresponde a ese producto en concreto, y esa obligación no se conoce hasta que se clasifica. Este artículo desglosa los rangos de coste que se manejan hoy en el mercado español para aplicar el AI Act a un producto, qué incluye cada partida y qué variables mueven el presupuesto hacia arriba o hacia abajo.
Conviene precisar el ángulo antes de seguir. Este texto no es el mismo que nuestro artículo sobre gobernanza técnica de IA e ISO 42001, que cubre el coste de montar un sistema de gestión interno para una empresa que usa herramientas de IA como desplegadora. Aquí hablamos de un caso distinto y más estrecho: una empresa que construye y comercializa un producto con un componente de IA, y que por tanto asume obligaciones de proveedor sobre ese producto concreto, no de desplegador sobre herramientas de terceros. Si quieres ver cómo se resuelve este proceso paso a paso en un caso construido, tenemos también un artículo sobre cómo una pyme SaaS clasificó y documentó su producto; este texto se centra específicamente en la parte del presupuesto, no en el proceso completo.
Qué significa «aplicar el AI Act a un producto»
El Reglamento (UE) 2024/1689 distingue varios roles. El más habitual entre pymes es el de desplegador: una empresa que usa Copilot, un chatbot comercial o cualquier otra herramienta de IA de un tercero dentro de su operación diaria. Ese rol tiene obligaciones, pero son las más ligeras del reglamento.
El rol de proveedor es distinto y bastante más exigente. Una empresa se convierte en proveedor cuando diseña, desarrolla o hace comercializar bajo su propia marca un sistema de IA que forma parte de un producto que vende a terceros, aunque ese sistema esté construido sobre un modelo de un tercero (OpenAI, Anthropic, un modelo abierto). El proveedor responde de la clasificación del sistema, de su documentación, de su supervisión humana y, si corresponde, de su evaluación de conformidad. Aplicar el AI Act «a un producto» significa, casi siempre, asumir este segundo rol, y es el que dispara la mayoría de las partidas de coste que se explican a continuación.
El primer coste, y el que nadie presupuesta bien
Antes de hablar de documentación técnica o de evaluaciones de conformidad, hay un coste anterior que se subestima con frecuencia: clasificar el sistema. Determinar si el producto cae en riesgo mínimo con obligaciones de transparencia, en el Anexo III de alto riesgo o en el Anexo I de alto riesgo (productos ya regulados por otra normativa de producto, como maquinaria o dispositivos médicos) exige revisar el artículo 6 del reglamento y mapear el sistema contra los supuestos de cada anexo. En los casos límite, además, hay que documentar por escrito el razonamiento de la clasificación. Ese trabajo tiene coste de horas incluso cuando la conclusión final es que el producto no es de alto riesgo, porque llegar a esa conclusión de forma defendible —y no solo intuitiva— es precisamente lo que un regulador o un cliente corporativo puede pedir que se demuestre.
Rangos de coste orientativos según el nivel de obligación
Los rangos siguientes recogen lo que se observa actualmente en proyectos de este tipo en España. Son orientativos: el presupuesto final de cada caso depende de la complejidad real del producto, no solo de la categoría en la que cae.
| Nivel de obligación | Qué exige | Rango orientativo |
|---|---|---|
| Transparencia (art. 50), sin ser alto riesgo | Aviso de interacción con IA y, si aplica, marcado técnico de contenido sintético | 1.500 € – 5.000 € |
| Alto riesgo, Anexo III, autoevaluación interna | Documentación técnica (Anexo IV), sistema de gestión de riesgos, supervisión humana, registro de actividad, alta en la base de datos de la UE | 15.000 € – 35.000 € |
| Alto riesgo, Anexo I, con organismo notificado | Todo lo anterior, más evaluación de conformidad por un tercero acreditado | 35.000 € – 80.000 € o más |
| Mantenimiento post-comercialización (todos los niveles) | Monitorización, actualización de documentación, gestión de incidencias | 20 % – 30 % del coste inicial, cada año |
La última fila es la que se olvida con más frecuencia al presupuestar. El AI Act no se cumple una vez y se archiva: exige un seguimiento continuo mientras el producto siga en el mercado, sobre todo si se le añaden nuevas funciones de IA o si cambia el modelo subyacente.
Qué incluye cada partida de coste
Detrás de cada rango de la tabla anterior hay tareas concretas. Estas son las que más aparecen en un proyecto de aplicación del AI Act a un producto:
- Documentación técnica (Anexo IV). Describe el sistema, sus datos de entrenamiento o de referencia, sus limitaciones conocidas y las medidas de mitigación de riesgo. Es obligatoria para sistemas de alto riesgo y, en la práctica, cada vez más pedida también por clientes corporativos en productos que no llegan a esa categoría.
- Sistema de gestión de riesgos. Un proceso continuo, no un documento único, para identificar y mitigar riesgos del sistema a lo largo de su ciclo de vida.
- Supervisión humana. Diseñar los puntos del producto donde una persona puede revisar, corregir o desactivar una decisión del sistema antes de que tenga efecto sobre alguien.
- Registro de actividad y trazabilidad. Logs que permitan reconstruir por qué el sistema tomó una decisión concreta, requisito habitual en auditorías e incidencias.
- Evaluación de conformidad. En la mayoría de los sistemas del Anexo III, el propio proveedor certifica su conformidad. En los del Anexo I, casi siempre interviene un organismo notificado externo, con su propia tarifa independiente del resto del proyecto.
- Registro en la base de datos de la UE. Trámite obligatorio para sistemas de alto riesgo antes de su comercialización, con coste de gestión más que de tarifa.
- Transparencia y etiquetado (art. 50). Implementación técnica del aviso de interacción con IA y, cuando corresponde, del marcado del contenido generado.
Qué mueve el precio dentro de cada nivel
Dos productos de la misma categoría pueden tener presupuestos muy distintos. Estas son las variables que más pesan:
Si el producto ya estaba en el mercado antes del 2 de agosto de 2026. Un producto nuevo puede diseñarse con las obligaciones incorporadas desde el principio, lo que suele salir más barato que adaptar después un producto ya construido y con clientes activos, donde cada cambio hay que introducirlo sin romper lo que ya funciona.
Si el sistema usa un modelo propio o uno de un tercero (GPAI) integrado. Integrar un modelo de terceros no elimina las obligaciones sobre el producto final: el proveedor del modelo responde de lo que le corresponde a ese modelo, pero quien construye y vende el producto sigue teniendo que documentar y supervisar el sistema completo que ha montado alrededor. Trabajar con un modelo de terceros bien documentado reduce algo el esfuerzo de la parte de datos de entrenamiento, pero no reduce el resto de partidas.
Si el producto necesita organismo notificado. Esta es la variable que más dispara el coste. La mayoría de los sistemas del Anexo III se autoevalúan; los del Anexo I casi siempre necesitan un tercero acreditado, con tarifas que se negocian aparte y que pueden duplicar el presupuesto total del proyecto.
Cuántos mercados y qué tipo de clientes. Un producto que solo se vende en España tiene el mismo marco legal que uno que se vende en toda la UE, pero si los clientes son grandes corporaciones o administraciones públicas, suelen pedir evidencia adicional de cumplimiento —cuestionarios, auditorías propias— que añade trabajo no contemplado en el reglamento en sí.
Madurez documental previa. Una empresa que ya documenta bien su producto (control de versiones, gestión de incidencias, pruebas de calidad) reutiliza buena parte de esa estructura. Una empresa que empieza de cero en materia de documentación paga ese trabajo previo dentro del propio proyecto de AI Act.
El calendario que condiciona cuándo gastar, no solo cuánto
El AI Act no exige todas las obligaciones en la misma fecha, y el Reglamento (UE) 2026/1744 —el llamado Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026— cambió parte de ese calendario. Conviene tener claras las fechas, porque confundirlas hace que se presupueste dinero en el momento equivocado.
| Fecha | Qué entra en aplicación |
|---|---|
| 2 de agosto de 2026 | Transparencia general del artículo 50.1 (informar de la interacción con IA), sin periodo transitorio |
| 2 de diciembre de 2026 | Marcado técnico de contenido sintético (art. 50.2), aplazado solo para proveedores de sistemas generativos ya comercializados antes del 2 de agosto de 2026 |
| 2 de diciembre de 2027 | Obligaciones para sistemas de alto riesgo del Anexo III, aplazadas por el Ómnibus digital |
| 2 de agosto de 2028 | Obligaciones para sistemas de alto riesgo del Anexo I, aplazadas por el Ómnibus digital |
Estos plazos no son intercambiables. Si tu producto solo necesita cumplir el artículo 50, no hay margen: la obligación general de transparencia ya es exigible. Si es de alto riesgo del Anexo III, el proyecto puede planificarse con margen hasta finales de 2027. Si es del Anexo I, el margen llega hasta agosto de 2028, pero conviene no confiarse: encontrar y reservar hueco con un organismo notificado lleva meses, y esa parte del calendario no depende de la empresa.
Esto no es lo mismo que certificarse en ISO 42001
Es habitual mezclar dos conceptos que son legalmente distintos. El AI Act es una obligación legal: incumplir las obligaciones de proveedor (documentación técnica, transparencia del artículo 50) puede acarrear multas de hasta 15 millones de euros o el 3 % del volumen de negocios mundial, aplicándose la mayor de las dos cifras (art. 99.4); para pymes y empresas emergentes el artículo 99.6 invierte la regla y se aplica la menor, así que la cifra real de una pyme sale casi siempre del porcentaje, no del importe. El techo de 35 millones o el 7 % se reserva a las prácticas prohibidas del artículo 5, que no son el caso de un producto en regla. La ISO 42001 es una certificación voluntaria de gestión de IA a nivel de organización, no de producto concreto. Puedes aplicar correctamente el AI Act a tu producto sin tener ISO 42001, y puedes tener ISO 42001 y aun así tener un producto mal clasificado si nadie ha revisado sus obligaciones específicas como sistema de IA. Si tu interés es la gobernanza a nivel de empresa —no de un producto concreto— y quieres comparar rangos de coste de esa vía, el artículo sobre gobernanza técnica de IA e ISO 42001 desarrolla esos números con detalle.
Un caso construido para ilustrar el reparto del presupuesto
El siguiente ejemplo está construido a partir de patrones habituales en proyectos de este tipo, no es la descripción de un cliente real ni recoge cifras de ningún proyecto concreto.
Una empresa de software que vende un ATS (sistema de gestión de candidaturas) a departamentos de RRHH incorpora un módulo que filtra y puntúa automáticamente los currículums recibidos para cada oferta. El equipo, al revisar el AI Act, se da cuenta de que ese módulo entra en el supuesto del Anexo III relacionado con la selección y evaluación de personas en procesos de contratación. El reparto del presupuesto, en términos cualitativos, queda así. La clasificación y el análisis inicial ocupan una parte pequeña pero decisiva, porque de ahí sale el resto del alcance. La documentación técnica y el sistema de gestión de riesgos se llevan la porción mayor, porque hay que describir con detalle cómo se filtra, con qué criterios se puntúa y con qué datos. Diseñar la supervisión humana —un punto donde el equipo de RRHH puede revisar y corregir el descarte antes de que afecte a un candidato— añade una partida de desarrollo que no estaba en el presupuesto inicial del producto. El registro en la base de datos de la UE resulta ser, en comparación, la parte más rápida y menos costosa de todo el proceso.
El resultado cualitativo, meses después, es un módulo que sigue funcionando igual de bien de cara al usuario pero que ahora puede defenderse documentalmente ante cualquier auditoría o pregunta de un cliente. No se ofrece aquí una cifra de coste total porque el ejemplo es construido: su utilidad está en mostrar dónde se concentra el presupuesto en un caso así, no en un número que pueda trasladarse a otro producto sin más.
Errores de presupuesto que salen caros
- Presupuestar solo la clasificación y dejar la documentación técnica y la supervisión humana como «ya se verá»: son las partidas que más tiempo consumen, no las que menos.
- Confundir el aplazamiento del Anexo III con el del Anexo I, y planificar con el margen equivocado un producto que en realidad tiene menos tiempo del que se pensaba.
- Dar por hecho que el artículo 50 tiene el mismo margen que el alto riesgo. La transparencia general ya es exigible; no hay prórroga que aplicar a esa partida.
- No reservar presupuesto de mantenimiento anual, y descubrir un año después que actualizar la documentación tras un cambio de modelo cuesta casi tanto como el proyecto inicial.
- Buscar organismo notificado en el último momento, cuando el producto es del Anexo I: los plazos de agenda de estos organismos pueden ser el verdadero cuello de botella del calendario, no el trabajo técnico interno.
Preguntas frecuentes
¿Cuánto cuesta aplicar el AI Act a un producto que ya vendemos?
Depende del nivel de obligación que le corresponda tras la clasificación. Si el producto solo tiene que cumplir la transparencia del artículo 50, el coste suele moverse entre 1.500 € y 5.000 €, implementación técnica incluida. Si resulta ser de alto riesgo del Anexo III, el rango habitual para la primera vuelta de documentación, gestión de riesgos y supervisión humana es de 15.000 € a 35.000 €. Si es un producto del Anexo I que necesita evaluación de un organismo notificado, la cifra puede superar los 50.000 € según la complejidad del producto y el organismo elegido.
¿Necesito la certificación ISO 42001 para poder vender un producto con IA?
No. El AI Act es de obligado cumplimiento y la ISO 42001 es una certificación voluntaria. Puedes cumplir todas las obligaciones legales del AI Act sobre tu producto sin certificarte en ISO 42001; lo que aporta la norma es un marco de gestión más amplio, útil sobre todo cuando clientes corporativos o licitaciones piden esa evidencia como requisito comercial, no legal.
¿Qué diferencia de coste hay entre un sistema del Anexo III y uno del Anexo I?
Los sistemas del Anexo III (selección de personal, scoring crediticio, ciertos usos en educación o justicia, entre otros) se pueden autoevaluar en la mayoría de los casos: el proveedor certifica su propia conformidad, sin intervención de un tercero externo. Los sistemas del Anexo I son componentes de seguridad de productos que ya están regulados por otra normativa de producto —maquinaria, dispositivos médicos, juguetes, entre otros— y casi siempre necesitan la intervención de un organismo notificado, lo que añade una partida de coste externa que no aparece en el Anexo III.
¿El plazo del artículo 50 sobre transparencia tiene alguna prórroga?
La obligación general de transparencia del artículo 50.1 —informar de que se interactúa con un sistema de IA— es exigible desde el 2 de agosto de 2026 sin periodo transitorio. La única prórroga afecta al artículo 50.2, el marcado técnico de contenido sintético, que se aplaza hasta el 2 de diciembre de 2026, y solo para proveedores de sistemas generativos que ya estaban comercializados antes del 2 de agosto de 2026. Conviene no confundir ambos plazos ni con los aplazamientos de los sistemas de alto riesgo.
¿Se puede financiar este coste con ayudas públicas?
En algunos casos sí, dentro de líneas de digitalización o innovación que incluyan consultoría de cumplimiento normativo o gobernanza tecnológica entre las partidas elegibles. Las condiciones cambian según la convocatoria y la comunidad autónoma, así que conviene confirmar con tu gestor de ayudas si el proyecto concreto encaja antes de comprometer presupuesto propio.
Fuentes consultadas
- EUR-Lex · Reglamento (UE) 2024/1689 (AI Act)
- DOUE / BOE · Reglamento (UE) 2026/1744, Ómnibus digital sobre IA
- Art. 50 del AI Act · Transparencia
- Anexo IV del AI Act · Documentación técnica
Antes de comprometer un presupuesto cerrado, el paso más rentable suele ser clasificar el producto con criterio técnico y documentado. El equipo de gobernanza técnica de IA y AI Act de Summum IA puede acompañar esa clasificación y, a partir de ahí, dimensionar el proyecto real que le corresponde a tu producto, sin presupuestar de más ni dejar fuera partidas que aparecerán de todos modos más adelante.