Coste del cumplimiento normativo en IA: qué presupuestar para los agentes de IA en 2026

El cumplimiento normativo de la IA no tiene un precio único. El coste depende de tu función conforme a la normativa, del nivel de riesgo de cada sistema de IA, del número de sistemas que utilices y de si desarrollas los controles internamente o contratas una evaluación independiente. Las únicas cifras publicadas con un alcance claro proceden del sector bancario de la UE, donde una estimación sitúa la gobernanza de modelos de alto riesgo entre €116,000 y €137,000 por modelo al año. Esa cifra sirve de referencia para modelos regulados de alto riesgo. No es un presupuesto para un chatbot de atención al cliente.

Esta guía explica qué determina el coste, qué partidas incluir, qué aporta una auditoría independiente de IA y cómo elaborar un presupuesto para tus propios agentes de IA sin adoptar el importe total de otra organización.

Resumen

• El coste del cumplimiento normativo de la IA es la suma de varias partidas: personal y supervisión, pruebas y validación, documentación, revisión jurídica, herramientas y auditoría externa. Las estimaciones publicadas difieren porque su alcance es distinto.
• Una estimación del sector bancario de la UE sitúa la auditoría externa de terceros aproximadamente entre €16.8k y €23k por modelo y versión principal, y la gobernanza continua de un modelo de alto riesgo entre €116k y €137k al año. Considera ambas cifras como referencias del sector bancario.
• Para los agentes de IA que interactúan con clientes, las obligaciones de transparencia del EU AI Act se aplican a partir del 2 de agosto de 2026. Los requisitos adicionales para sistemas de alto riesgo se aplican a partir del 2 de diciembre de 2027 o del 2 de agosto de 2028, según el sistema.
• Presupuesta por agente de IA y por nivel de riesgo, y añade después la monitorización recurrente. Las auditorías puntuales dejan de estar vigentes en cuanto cambia el agente, el prompt o el modelo.
• Los controles existentes, como las auditorías independientes de seguridad y los programas de privacidad, reducen el trabajo nuevo. No eliminan la necesidad de comprobar cómo se comporta el agente en conversaciones reales.

Índice

• Qué abarca el cumplimiento normativo de la IA y por qué varían los costes
• Qué indican las estimaciones publicadas
• Obligaciones del EU AI Act que generan costes para los agentes que interactúan con clientes
• Partidas de costes puntuales y recurrentes
• Qué aporta una auditoría independiente de IA y qué determina su precio
• Cómo elaborar tu propio presupuesto de cumplimiento normativo de la IA
• Dónde reducen los costes los controles existentes
• Nuestra perspectiva
• Opciones de Lexic para auditoría y monitorización
• Preguntas frecuentes
• Fuentes

Qué abarca el cumplimiento normativo de la IA y por qué varían los costes

El cumplimiento normativo de la IA va más allá de un documento de políticas. Según la descripción general de NordLayer, abarca:

• el caso de uso empresarial y su posible impacto en las personas
• los datos utilizados para entrenar, ajustar y ejecutar el sistema
• el modelo y las API de terceros que lo sustentan
• los prompts, las fuentes de recuperación de información y las integraciones con herramientas
• los resultados y cómo las personas los revisan o actúan a partir de ellos
• los proveedores, los subencargados del tratamiento y el conjunto de la cadena de suministro
• los usuarios, los derechos de acceso y los registros
• la respuesta a incidentes y la supervisión posterior al despliegue

Cada elemento puede constituir una partida de coste. Una empresa que utiliza una única herramienta interna de resumen abarca pocos de ellos. Una empresa que utiliza un agente de voz para gestionar pagos, consultas de salud o cambios en cuentas los abarca todos.

Los marcos habituales de cumplimiento normativo de TI también dejan lagunas en materia de IA. Un análisis de profesionales del sector señala el comportamiento no determinista, la deriva del modelo y los riesgos presentes en los datos y los prompts, en lugar de en el código. A efectos presupuestarios, esto significa que un control que superó las pruebas el trimestre pasado no garantiza el mismo comportamiento este trimestre. La verificación recurrente es una partida de coste real, no un extra opcional.

Cinco factores que modifican el total

1. Tu función. Conforme al EU AI Act, el proveedor de un sistema de IA tiene más obligaciones que el responsable del despliegue. Una empresa estadounidense que adquiere un agente de IA de un proveedor y lo ofrece a clientes de la UE suele ser responsable del despliegue, mientras que una empresa que desarrolla y comercializa su propio agente es un proveedor.
2. Nivel de riesgo. Las prácticas prohibidas están vetadas de forma absoluta. Los sistemas de alto riesgo conllevan obligaciones de conformidad, documentación y supervisión. Los sistemas que interactúan con personas conllevan obligaciones de transparencia. La mayoría de los agentes de atención al cliente pertenecen a este último grupo, salvo que el caso de uso los sitúe en un nivel superior, como sucede con las decisiones crediticias o laborales.
3. Número de agentes y canales. Cada agente, idioma y canal (voz, chat, correo electrónico) constituye un ámbito de prueba independiente.
4. Ritmo de cambio. Cada actualización del modelo, modificación del prompt o nueva integración con herramientas puede cambiar el comportamiento y requerir nuevas pruebas.
5. Estructura de proveedores. Cuando un tercero opera el agente, sigues necesitando pruebas de cómo se comporta. Las condiciones contractuales, el acceso a los registros y los derechos de auditoría determinan cuánto puedes verificar por tu cuenta.

Qué indican las estimaciones publicadas

Las cifras públicas más concretas proceden de un análisis de Speednet sobre los costes de gobernanza de la IA en el sector bancario de la UE. Estima la gobernanza de un modelo de alto riesgo entre €116,000 y €137,000 por modelo al año, incluyendo personal, supervisión, validación y mantenimiento. También señala que el personal y la supervisión, junto con las pruebas y la validación, suelen representar las mayores proporciones del coste de un despliegue de alto riesgo. La misma fuente sitúa una auditoría externa de terceros aproximadamente entre €16.8k y €23k por modelo y versión principal.

Interpreta esas cifras teniendo presentes sus supuestos:

Dos conclusiones son aplicables a cualquier sector. En primer lugar, predominan el personal y las pruebas. Las licencias de software rara vez constituyen la mayor partida. En segundo lugar, los costes aumentan por sistema y por versión, por lo que un conjunto creciente de agentes necesita un modelo de costes que crezca con él.

Trata con cautela las afirmaciones generales que circulan por internet. Las cifras sobre desarrollo de IA, auditorías SOC 2 o software de cumplimiento normativo por usuario corresponden a productos distintos. No representan el coste de gobernar un agente de IA que interactúa con clientes. Utilízalas solo cuando su alcance coincida con el tuyo.

Obligaciones del EU AI Act que generan costes para los agentes que interactúan con clientes

Las empresas estadounidenses con clientes en la UE están sujetas a la normativa cuando sus sistemas de IA se introducen en el mercado de la UE o sus resultados se utilizan en ella. Según un resumen de los requisitos del Reglamento, cada empresa debe determinar si es proveedor o responsable del despliegue de cada sistema de IA. Los proveedores de sistemas de alto riesgo realizan una evaluación de la conformidad y designan un representante autorizado en la UE. Todas las empresas incluidas en el ámbito de aplicación deben evitar las prácticas prohibidas y fomentar la alfabetización en IA entre su personal.

En lo relativo a los agentes de IA, las preguntas frecuentes del AI Act Service Desk de la Comisión Europea son explícitas. A partir del 2 de agosto de 2026, si un agente está destinado a interactuar con personas físicas o a generar contenido, se aplican las normas de transparencia del artículo 50. A partir del 2 de diciembre de 2027 o del 2 de agosto de 2028, según el sistema, un agente clasificado como de alto riesgo también está sujeto a los requisitos adicionales de seguridad y fiabilidad del capítulo III.

Las implicaciones económicas por obligación:

Una hoja de ruta de cumplimiento del EU AI Act según la función de cada organización ayuda a los equipos a aclarar cuándo se aplican la transparencia y las obligaciones adicionales de alto riesgo a cada uno de sus sistemas de IA, lo que constituye el primer paso para dimensionar el trabajo.

El coste de hacerlo mal

Las sanciones forman parte del modelo de costes, porque determinan el valor de la prevención. El Reglamento establece tres niveles, como resume Zscaler: hasta €35 millones o el 7% del volumen de negocios anual mundial por prácticas prohibidas, hasta €15 millones o el 3% por incumplimientos de las obligaciones de alto riesgo y transparencia, y hasta €7.5 millones o el 1% por facilitar información incorrecta o engañosa a las autoridades reguladoras. Consulta con asesoría jurídica el texto legal definitivo y cualquier modificación posterior antes de basarte en una cifra concreta.

Para un agente que interactúa con clientes, el nivel pertinente es el de transparencia. Las multas no son el único riesgo económico: un aviso informativo deficiente, una derivación a una persona que no se realiza o una filtración de datos en una conversación también generan costes de gestión de reclamaciones, subsanación y reputación.

Partidas de costes puntuales y recurrentes

Dividir el presupuesto en partidas puntuales y recurrentes facilita su aprobación y justificación.

Costes puntuales o por cambio

• Definición del alcance e inventario. Enumera todos los agentes de IA, sus proveedores, los datos a los que acceden, los canales que utilizan y los mercados a los que prestan servicio. Este trabajo requiere principalmente tiempo del personal interno.
• Clasificación de función y riesgo. Revisión jurídica para determinar la condición de proveedor o responsable del despliegue y el nivel de riesgo de cada sistema.
• Análisis de brechas. Compara los controles actuales con las obligaciones aplicables.
• Documentación. Políticas, documentación técnica, registros de proveedores y pruebas de supervisión.
• Auditoría o evaluación independiente. Una prueba de referencia del comportamiento del agente en interacciones con usuarios reales, que se repite tras cambios importantes.
• Subsanación. Correcciones de prompts, mecanismos de protección, reglas de derivación e integraciones, a menudo a cargo del proveedor.

Costes recurrentes

• Personal de supervisión. Responsables de cada agente, una persona al frente del cumplimiento normativo y revisores de calidad.
• Monitorización continua. Revisión permanente de conversaciones para detectar problemas de información al usuario, derivación, seguridad y precisión.
• Revalidación. Pruebas tras actualizaciones del modelo, cambios en los prompts y nuevas integraciones.
• Gestión de proveedores. Revisiones contractuales, derechos de auditoría, solicitudes de pruebas y coordinación ante incidentes.
• Formación. Actualizaciones periódicas de conocimientos sobre IA.
• Respuesta a incidentes. Tiempo reservado para investigaciones y consultas de autoridades reguladoras o clientes.

Para los sistemas de alto riesgo, la estimación bancaria anterior indica que el personal y la validación tienen más peso que las herramientas. Planifica primero la dotación de personal y la capacidad de prueba, y después las herramientas.

Qué aporta una auditoría independiente de IA y qué determina su precio

Una auditoría independiente de IA evalúa el agente desde fuera, tal como lo experimentaría un cliente, y genera pruebas. No existe una lista de precios creíble y ampliamente publicada para esta categoría. La estimación bancaria citada anteriormente es un dato de referencia para auditorías externas por modelo y versión. Ante cualquier presupuesto, pregunta qué incluye el precio.

Los principales factores que determinan el precio:

• Alcance de agentes y canales. Evaluar un único agente de chat cuesta menos que evaluar un conjunto de agentes de voz, chat y correo electrónico.
• Profundidad de las pruebas. Una revisión breve de los principales riesgos difiere de una auditoría estructurada con múltiples escenarios.
• Ámbitos cubiertos. La experiencia del cliente, la seguridad, la fiabilidad técnica y el cumplimiento normativo pueden evaluarse conjuntamente o por separado.
• Contexto regulado. Los servicios financieros, la salud y los seguros requieren bibliotecas de escenarios específicas del sector.
• Frecuencia. Una auditoría única, un ciclo periódico o la monitorización continua tienen estructuras de costes diferentes.
• Calidad de las pruebas. Los informes que puedan sostenerse en una controversia con un proveedor o en una interlocución con una autoridad reguladora necesitan registros trazables.
• Idiomas y mercados. Cada jurisdicción e idioma añade escenarios.

Una comparación útil es la de auditoría frente a monitorización. Una auditoría puntual proporciona una referencia inicial y una lista de medidas de subsanación. La supervisión continua detecta desviaciones entre auditorías. La mayoría de las organizaciones con agentes en producción terminan necesitando ambas: una referencia inicial y, después, comprobaciones recurrentes.

Cómo elaborar tu propio presupuesto de cumplimiento normativo de la IA

Ninguna estimación es universal. Sigue esta secuencia para elaborar una que se ajuste a tu situación.

1. Inventa todos los agentes de IA. Incluye los agentes operados por proveedores. Registra el modelo o la plataforma, el canal, los idiomas, los datos tratados y los mercados atendidos.
2. Clasifica la función y el riesgo. Para cada agente, determina si actúas como proveedor o responsable del despliegue y cuál es su nivel probable. Solicita confirmación jurídica sobre la clasificación de alto riesgo cuando el caso de uso afecte al crédito, el empleo, la salud u otras decisiones sensibles.
3. Asigna las obligaciones al agente. La transparencia se aplica a los agentes que interactúan con personas. Añade los requisitos de alto riesgo solo cuando correspondan.
4. Calcula el coste del personal antes que el de las herramientas. Estima las horas de supervisión, revisión de calidad, revisión jurídica y gestión de proveedores. Multiplícalas por las tarifas internas que incluyan todos los costes asociados.
5. Añade la validación por versión. Prevé nuevas pruebas cada vez que cambien el modelo, el prompt o las herramientas. Cuenta cuántas veces ocurrió durante el último año.
6. Añade la evaluación independiente. Presupuesta una auditoría inicial por agente y un ciclo recurrente, o monitorización continua para los agentes con un volumen elevado de interacciones.
7. Reserva una provisión para imprevistos. Los problemas que requieren subsanación no se conocen hasta realizar las pruebas. Reserva una parte del presupuesto de auditoría para correcciones.
8. Expresa el resultado como un intervalo. Presenta un escenario de coste bajo, uno base y uno alto, con los supuestos indicados junto a cada uno.

Un ejemplo de estructura, no un presupuesto comercial

Considera una empresa minorista estadounidense con un agente de chat y un agente de voz que atienden a clientes de la UE a través de un proveedor. La estructura del presupuesto incluiría:

• clasificación jurídica y revisión de transparencia para ambos agentes
• una auditoría independiente inicial para cada agente
• un ciclo de monitorización tras cada nueva versión del proveedor
• horas internas de control de calidad para revisar las conversaciones señaladas
• formación del personal en alfabetización en IA
• una reserva para subsanaciones

No se incluye ninguna cifra porque los costes dependen de las tarifas, el alcance y las condiciones del proveedor. Completa cada partida con tarifas internas y presupuestos por escrito.

Dónde reducen los costes los controles existentes

El trabajo de cumplimiento normativo se basa en el riesgo, y las orientaciones de profesionales del sector recomiendan integrar las normas y los requisitos legales en un único catálogo de controles. En la práctica, esto reduce la duplicación de esfuerzos:

• Los programas de seguridad y privacidad ya cubren el control de acceso, el registro de actividad y la revisión de proveedores. Reutilízalos para las partidas específicas de IA.
• Los procesos de control de calidad de atención al cliente pueden incorporar la revisión de conversaciones una vez que los criterios de puntuación incluyan comprobaciones específicas de IA.
• Los contratos con proveedores pueden modificarse una sola vez para cubrir los derechos de auditoría y las pruebas de todos los agentes.

Lo que no cubren los controles existentes: si el agente informa de que es una IA, si deriva a una persona cuando corresponde, cómo responde a prompts adversarios y si mantiene la precisión en temas regulados. Son cuestiones de comportamiento que solo pueden resolverse mediante pruebas de conversaciones.

Nuestra perspectiva

Los debates sobre el coste del cumplimiento normativo de la IA suelen empezar por el software. En nuestras auditorías, la mayor exposición al riesgo reside en el comportamiento. Entre los agentes que hemos evaluado, el 85% no deriva adecuadamente los problemas a un representante humano. Los paneles de monitorización suministrados por el mismo proveedor que opera el agente no señalaron estos fallos tal como los experimenta el usuario.

Por ese motivo recomendamos presupuestar pruebas independientes desde el principio. Interactuar con un agente como lo haría un usuario real permite comprobar si la información al usuario, la derivación, la seguridad y el comportamiento conforme a la normativa se mantienen en la práctica. Proporciona al equipo de cumplimiento una lista concreta de hallazgos, ofrece a compras una base para exigir responsabilidades a los proveedores y evita gastar en controles que nunca fueron el punto débil.

También recomendamos tratar la evaluación como una actividad recurrente. Los agentes cambian con cada actualización del modelo. Una auditoría inicial seguida de una monitorización continua de la confianza mantiene los costes previsibles, porque los problemas se detectan cuando aún son menores, y los mismos datos de conversación aportan conocimiento del cliente a los equipos de experiencia del cliente, producto y operaciones.

Sergio Llorens

Opciones de Lexic para auditoría y monitorización

Lexic Compass es nuestra plataforma de auditoría de agentes de IA. Evalúa de forma independiente agentes de IA conversacional de cualquier proveedor interactuando con ellos como lo harían usuarios reales, en los ámbitos de experiencia del cliente, seguridad, fiabilidad técnica y cumplimiento normativo. Los hallazgos se acompañan de pruebas, respaldadas por funciones hash criptográficas de terceros para verificar su integridad y facilitar la trazabilidad.

Las modalidades de contratación incluyen Vista previa rápida, Auditoría intensiva y Confianza continua empresarial. Los precios no se publican, por lo que el alcance y el presupuesto se obtienen a través de las opciones de contratación de Compass. Puedes consultar cómo funciona la auditoría en la página de Lexic Compass. Para los equipos que también desean analizar el 100% de las conversaciones con clientes en busca de señales de sentimiento, abandono y oportunidades, Lexic Pulse cubre esa necesidad.

Preguntas frecuentes

¿Cuánto cuesta el cumplimiento normativo de la IA?

Depende de tu función, del nivel de riesgo, del número de agentes y de la frecuencia con la que cambien. Una estimación del sector bancario de la UE sitúa la gobernanza de modelos de alto riesgo entre €116,000 y €137,000 por modelo al año. Los agentes de atención al cliente en niveles menos exigentes suelen tener un coste inferior, así que elabora un intervalo a partir de tu propio inventario.

¿Cuánto cuesta una auditoría de IA?

No existe un precio universal. El mismo análisis bancario cita aproximadamente entre €16.8k y €23k por modelo y versión principal para una auditoría externa, pero el alcance, los canales, el sector y la profundidad modifican la cifra. Solicita un alcance y un presupuesto por escrito que indiquen qué incluye el precio.

¿Se aplica el EU AI Act a una empresa estadounidense?

Puede aplicarse. Las empresas estadounidenses con clientes en la UE deben determinar si son proveedor o responsable del despliegue de cada sistema de IA. Los agentes que interactúan con personas tienen obligaciones de transparencia a partir del 2 de agosto de 2026, según el AI Act Service Desk de la Comisión Europea.

¿Cuál es el mayor coste del cumplimiento normativo de la IA?

En los despliegues de alto riesgo, el personal y la supervisión, seguidos de las pruebas y la validación, suelen representar las mayores proporciones. Las herramientas suelen tener un peso menor. Por eso, un presupuesto debe empezar por la dotación de personal y la capacidad de prueba.

¿Pueden las auditorías independientes de seguridad existentes cubrir el cumplimiento normativo de la IA?

Reducen el trabajo duplicado en control de acceso, registro de actividad y revisión de proveedores. No evalúan comportamientos específicos de IA, como la información al usuario, la derivación y la resistencia a prompts adversarios, por lo que esas comprobaciones necesitan un presupuesto independiente.

Fuentes

• Costes de gobernanza de la IA en el sector bancario de la UE, Speednet
• Preguntas frecuentes, AI Act Service Desk (Comisión Europea)
• ¿Qué es el EU AI Act? Requisitos, riesgos y cumplimiento normativo, Zscaler
• ¿Qué es el cumplimiento normativo de la IA? NordLayer
• Cuáles son las mejores normas de cumplimiento y auditoría de IA para las organizaciones en 2026, Lawr