Cumplimiento de la Ley de IA de la UE
Genera evidencia de documentación técnica del Anexo IV a partir del registro de auditoría, la puntuación de riesgo y los registros de evidencia de ShieldAgent.
Fecha límite para obligaciones de alto riesgo del Anexo III: diciembre de 2027
El Reglamento (UE) 2026/1744 trasladó las obligaciones de alto riesgo del Anexo III a diciembre de 2027. Las multas por obligaciones de alto riesgo alcanzan los 15 M€ o el 3% de la facturación global (art. 99(4)); los 35 M€ o el 7% se aplican a las prácticas prohibidas (art. 99(3)). ShieldAgent genera evidencia de documentación técnica para parte del Anexo IV a partir de tus datos proxy en tiempo real.
Equipos enterprise y de IA de alto riesgo
La documentación del Anexo IV y la evaluación de conformidad se exigen antes de diciembre de 2027 para los sistemas de alto riesgo del Anexo III; un organismo notificado registrado puede ser obligatorio. La evaluación de impacto en los derechos fundamentales del art. 27, por separado, solo se aplica a desplegadores del sector público y prestadores privados de servicios públicos que utilizan sistemas de alto riesgo del Anexo III (salvo infraestructuras críticas, punto 2), y a desplegadores de sistemas del Anexo III, punto 5(b)/(c) (p. ej., solvencia crediticia, evaluación de riesgos y fijación de precios en seguros de vida y salud) — no a toda empresa o sistema de alto riesgo. Comienza tu análisis de brechas ahora.
Equipos más pequeños y sistemas de riesgo limitado
El art. 50 impone deberes concretos de transparencia y notificación para sistemas y usos específicos — por ejemplo, indicar que un chatbot es IA, etiquetar contenido generado o manipulado por IA, e informar a las personas sujetas a sistemas de reconocimiento de emociones o categorización biométrica. No existe un deber general de inventario para todo sistema de riesgo limitado, y esto no se traslada al plazo de diciembre de 2027 del Anexo III. Empieza a instrumentar ahora para que tu registro de auditoría esté listo para las obligaciones que te correspondan.
Cobertura del Anexo IV
ShieldAgent mapea sus datos en tiempo real con secciones de informe que cubren, en parte, cinco de los nueve puntos del Anexo IV (1, 2, 3, 4 y 6). Los puntos 5, 7, 8 y 9 no están cubiertos — los puntos 7 y 8 son declaraciones del proveedor que ninguna telemetría puede generar, y los puntos 5 y 9 no los produce este motor.
S1 — Descripción general (Anexo IV, punto 1)
Registro de agentes, inventario de servidores MCP, campos de propósito del sistema
S2 — Proceso de diseño y desarrollo (Anexo IV, punto 2)
Registro de auditoría de cambios de políticas, historial de versiones, anotaciones de desarrolladores
S3 — Monitoreo y supervisión (Anexo IV, punto 3)
Cronologías de puntuación de riesgo, historial de alertas, registros de revisión humana
S4 — Idoneidad de las métricas de rendimiento (Anexo IV, punto 4)
Metodología operativa de puntuación de riesgo; métricas recopiladas de decisiones de políticas
S5 — Cambios a lo largo del ciclo de vida del sistema de IA (Anexo IV, punto 6)
Registros de decisiones de políticas; historial de versiones del sistema de IA
S6 — Evaluación de las medidas de supervisión humana (subapartado de los puntos 2 y 3 del Anexo IV)
Escalaciones a revisión humana y revisiones resueltas (aprobadas o denegadas)
S7 — Precisión, solidez y ciberseguridad (subapartado de los puntos 2 y 3 del Anexo IV)
Puntuaciones de detección de inyección, eventos de deriva de herramientas, resultados de análisis de seguridad, informes CVE
S8 — Gobernanza y gestión de datos (subapartado del punto 2 del Anexo IV)
Registro de auditoría de llamadas a herramientas, evidencia de redacción DLP, documentación de gobernanza de datos
Generar un informe PDF del Anexo IV
ShieldAgent puede exportar un PDF que cubre los 5 de 9 puntos del acto base descritos arriba a partir de tus datos en tiempo real — es un punto de partida para tu documentación técnica, no un expediente listo para presentar:
curl -X GET "https://api.shieldagent.io/tenants/{tenantId}/compliance/annex-iv/export?format=pdf&windowDays=30" \
-H "Authorization: Bearer <your-api-key>" \
-o annex-iv-report.pdfCada sección incluye sus datos de evidencia y métricas clave — no hay marca de tiempo por sección. Si solicitas una muestra de evidencia, el PDF añade un anexo de evidencia con fecha solo cuando hay evidencia que mostrar, y por defecto ese anexo no tiene un límite de filas. No incluye una prueba de integridad del registro de auditoría; para verificar que el registro de auditoría subyacente no ha sido manipulado, usa la API independiente de verificación de la cadena de hashes Merkle.
API de estado de cumplimiento
Consulta tu postura actual del Anexo IV en cualquier momento — refleja los 20 requisitos verificables de ShieldAgent en las 8 secciones generadas, no el cumplimiento legal completo:
curl "https://api.shieldagent.io/tenants/{tenantId}/compliance/annex-iv/status" \
-H "Authorization: Bearer <your-api-key>"{
"framework": "EU_AI_ACT_ANNEX_IV",
"complianceScore": 70,
"totalRequirements": 20,
"metRequirements": 14,
"totalGaps": 6,
"criticalGaps": 1,
"majorGaps": 3,
"minorGaps": 2,
"generatedAt": "2026-10-01T00:00:00Z",
"windowStart": "2026-09-01T00:00:00Z",
"windowEnd": "2026-10-01T00:00:00Z"
}El nivel de riesgo no es una clasificación legal
La Ley de IA de la UE clasifica los sistemas de IA según su uso previsto conforme al art. 6 y el Anexo III — una determinación legal que haces tú, no algo que calcule ShieldAgent. El nivel de riesgo por agente de ShieldAgent (low/medium/high/critical) es una señal operativa derivada del comportamiento en tiempo de ejecución (infracciones de política, detecciones de inyección, anomalías); no se mapea con las categorías de riesgo de la Ley (riesgo mínimo, limitado, alto, prohibido) ni determina qué puntos del Anexo IV aplican o si se requiere una evaluación de conformidad.
Retención de auditoría y documentación
El artículo 18 exige a los proveedores conservar la documentación técnica durante al menos 10 años tras la introducción del sistema en el mercado. Como desplegador, tu obligación es más estrecha: el art. 26(6) exige conservar los registros generados automáticamente por el sistema de alto riesgo, en la medida en que los controles, durante al menos 6 meses, salvo que otra normativa aplicable exija un plazo distinto. La propia verificación de integridad de la cadena de hashes de ShieldAgent, junto con una ventana de retención de al menos 6 meses, genera evidencia complementaria para esta autoevaluación — no están establecidos como los registros generados automáticamente por el propio sistema de alto riesgo que cubre el art. 26(6), y si califican como esos registros o los sustituyen es una determinación que tomas tú, no algo que ShieldAgent establezca.
SHIELDAGENT_AUDIT_RETENTION_DAYS=365 es un valor parseado para el registro de depuración efímero y por pod del propio proxy autoalojado — no configura ninguna ruta de borrado o purga. Los planes SaaS de ShieldAgent resuelven la retención según el nivel de plan, desde 182 días (Solo/Team) hasta 1825 días / 5 años (Enterprise Cloud); el despliegue autoalojado Enterprise On-Prem fija su propia ventana por separado, hasta 3650 días / 10 años. Ninguna de estas cifras describe una ventana que se purgue por defecto; no existe una exportación gestionada a almacenamiento en frío S3/GCS, y la verificación de la cadena de hashes no tiene interruptor de activación/desactivación.