# COADF · Compliance-Oriented AI Development Framework Versión 2.2 · Septiembre de 2026 · COADF versión 2.2, edición r4 ## Esta edición - Versión del marco: 2.2 - Revisión de la edición: r4 - Idioma: es - Fecha de publicación: 2026-09-07 - Commit público de origen: `6327d69ee309d8a98cd7b234d2990054d7086e23` - Hash de la proyección pública: `31cfadefa2d55f52cb5fa64d26828a4457b5331ae303830e26af7ff10c730688` COADF está documentado públicamente como marco de desarrollo. Ninguna autoridad lo ha evaluado, auditado ni respaldado. Licencia propuesta: CC BY-SA 4.0 para el texto, MIT para los esquemas. Todavía no concedida. ### Estado de propiedad intelectual y de publicación Una solicitud de patente brasileña relativa a determinados aspectos de implementación está en trámite ante la Oficina Brasileña de Patentes y Marcas (INPI), solicitud BR 10 2026 020627 0. No se ha concedido ninguna patente. Los materiales públicos de COADF describen principios y prácticas de arquitectura. No representan el alcance jurídico de la solicitud en trámite. Determinados detalles de implementación quedan fuera de la edición pública. ### Cómo citar Atribución propuesta: COADF, por L. C. Hogrefe (AnyLAI), versión 2.2, 2026. COADF, por L. C. Hogrefe (AnyLAI), versión 2.2, 2026 --- ## Resumen COADF es un método de desarrollo para sistemas de IA que tienen que sostenerse bajo la regulación europea. Enuncia ocho principios de arquitectura, cada uno atado a la obligación para la que fue escrito, con plantillas de gobernanza y un modelo legible por máquina para informar qué controles ejercita realmente un proyecto. Es el método que hay detrás de AnyDPP y se aplica al propio proyecto que lo produjo, que es de donde sale el informe de este sitio. ### Dónde se sitúa COADF COADF es el núcleo de desarrollo de IA del Semantic Trust Framework. La ruta de ejecución que recorre una decisión es el Trust Corridor. La superficie donde una persona ve y resuelve lo que el sistema detuvo es la Trust Console. COADF es la parte que dice cómo se construye el software. ### Los ocho principios Algunos principios se publican completos. Otros enuncian el principio y se detienen ahí, porque el detalle operativo pertenece a una solicitud presentada y no publicada. Cada sección dice cuál de los dos casos es, en vez de dejar que quien lee note la diferencia. - **P-1 · Primero determinista, lo probabilístico en cuarentena** · Publicado completo. Procesamiento determinista por defecto. Un componente probabilístico está acotado y nunca llega directo a una salida. - **P-2 · Salida controlada por confianza** · Publicado como principio. La confianza se adhiere a un atributo a la vez, y la confianza baja nunca llega a una salida publicada. - **P-3 · Revisión humana por arquitectura** · Publicado como principio. Donde la confianza no alcanza, decide una persona, a nivel de atributo, contra la fuente. - **P-4 · Una traza, de extremo a extremo** · Publicado completo. Un identificador enlaza la entrada, cada paso y la salida publicada, y la cadena se exporta. - **P-5 · Declaración de la extracción automática** · Publicado completo. Una salida con datos extraídos por máquina lo dice y nombra qué atributos. - **P-6 · El sistema de fences** · Publicado como principio. Las barreras son comprobaciones automáticas que bloquean una entrega, no consejos en un documento. - **P-7 · Aislamiento de dependencias de normas** · Publicado completo. Un servicio externo puede elevar la confianza. Ninguno puede bloquear una salida. - **P-8 · Reglas como datos, con autonomía graduada** · Publicado como principio. Las reglas son datos, el motor no cambia, y una decisión queda atada a la versión de reglas que la produjo. ### Dos cosas que COADF no es No es una certificación. Aquí nadie emite, concede ni retira nada, y aplicarlo no produce sello ni marca de ningún tipo. No es una norma. No se enfrenta a ISO/IEC 42001, al AI Risk Management Framework del NIST ni a una arquitectura de auditoría. Describe cómo construir la evidencia que esas piden. ### Licencia, propuesta y todavía no concedida Se propone Creative Commons Attribution ShareAlike 4.0 International para el texto del documento y el de este sitio, para que un documento adaptado a partir de él siga siendo abierto, y la licencia MIT para los esquemas publicados y los artefactos generados a partir de ellos. MIT y no Apache 2.0, deliberadamente: la sección 3 de Apache concede derechos de patente de forma expresa, y en esta familia hay una solicitud presentada. Esa es una razón para preferir MIT aquí; no es una razón para pensar que MIT resuelve alguna cuestión de patentes, porque no lo hace. La licencia CC BY-SA propuesta abarca solo el texto. No concede derechos de patente ni impone obligaciones de compartir igual a implementaciones independientes. Atribución propuesta: COADF, por L. C. Hogrefe (AnyLAI), versión 2.2, 2026. La concesión que ofrece el documento del marco enumera de P-1 a P-7 y no dice absolutamente nada sobre P-8. Ese silencio es un hecho sobre el texto, no una decisión: no se enuncia como exclusión ni como inclusión, y el alcance sobre P-8 está sin resolver. Se escribe aquí en vez de dejar que quien lee lo note comparando listas. Esta página no concede nada. El aviso de arriba es la redacción propuesta, retenida a la espera de la decisión del fundador sobre el alcance, y el inventario archivo por archivo al que se aplica se prepara junto a ella. Una licencia concedida en público no se retira llamándola provisional, y justo por eso aquí no se concede primero para decidir después. ## Principios Una sección por principio. Cada uno nombra la obligación para la que fue escrito. Un anclaje aquí indica alineación y nada más: es el artículo al que el principio fue diseñado para responder, nunca una afirmación de que este proyecto esté sujeto a él. ### P-1 · Primero determinista, lo probabilístico en cuarentena · Publicado completo Todo lo que llega a una persona, a un documento o a otro sistema es determinista por defecto: analizable, reproducible y reconstruible a partir de sus entradas. Los componentes de aprendizaje automático quedan limitados a tareas acotadas. La frontera está en el código y no en un diagrama: un componente probabilístico devuelve un valor, una confianza y el método con el que se obtuvo el valor, nunca un valor desnudo. El valor desnudo es el fallo que este principio existe para evitar, porque un valor desnudo no se puede bloquear, ni declarar, ni revisar. **Alineación:** Reglamento (UE) 2024/1689, artículo 9 sobre el sistema de gestión de riesgos y artículo 15 sobre exactitud y solidez. **Fuente:** Regulation (EU) 2024/1689, Article 9 (risk management system) and Article 15 (accuracy, robustness and cybersecurity) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1689/oj)) · consultado el 7 de septiembre de 2026 ### P-2 · Salida controlada por confianza · Publicado como principio La confianza se adhiere a un atributo, no a un documento. Un documento no es correcto o incorrecto en bloque; cada hecho que transporta está por separado bien o mal evidenciado, y una sola puntuación para el archivo esconde justamente eso. Existen tres niveles. El más bajo nunca llega a una salida publicada; va a una persona. Donde no hay evidencia alguna no hay valor: la salida dice que el valor no está disponible, y nunca lo estima. > **No publicado:** Las reglas que asignan un nivel a un método de extracción, y la aritmética que combina varias fuentes en una, no se publican aquí. Pertenecen a una solicitud presentada. Un marco no pierde nada por describir lo que detiene y callar la aritmética que lo detiene. **Alineación:** Reglamento (UE) 2024/1689, artículo 14 sobre la vigilancia humana y artículo 15 sobre exactitud. **Fuente:** Regulation (EU) 2024/1689, Article 14 (human oversight) and Article 15 (accuracy, robustness and cybersecurity) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1689/oj)) · consultado el 7 de septiembre de 2026 *Figura · El control de confianza.* Tres carriles de elementos avanzan hacia una compuerta. Uno pasa. Otro pasa llevando una bandera. Otro se detiene en la compuerta y cruza hacia una figura que está al lado. Un cuarto carril está vacío y por él no viaja nada. *Tres carriles llegan a la compuerta y un cuarto está vacío. Un elemento pasa. Otro pasa marcado. Otro se detiene y va a una persona. El carril vacío es el atributo sin evidencia: no produce nada en lugar de una suposición. La imagen muestra la forma y no nombra ningún nivel ni ninguna cifra, que es justo la frontera a la que este marco publica.* ### P-3 · Revisión humana por arquitectura · Publicado como principio La revisión la dispara la confianza, no un calendario ni el hecho de que alguien se dé cuenta. Ocurre a nivel de atributo: quien revisa ve un hecho y el pasaje de la fuente del que salió, uno al lado del otro, y decide sobre ese hecho. Un valor rechazado deja el atributo vacío. El sistema nunca lo rellena con una segunda suposición, porque el motivo de la revisión era que la evidencia no alcanzaba, y suponer no repara eso. > **No publicado:** Cómo se construye y se ordena la cola de revisión, y qué se exige a quien revisa en el momento en que escribe una decisión, no se publica aquí. **Alineación:** Reglamento (UE) 2024/1689, artículo 14 sobre la vigilancia humana. **Fuente:** Regulation (EU) 2024/1689, Article 14 (human oversight) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1689/oj)) · consultado el 7 de septiembre de 2026 ### P-4 · Una traza, de extremo a extremo · Publicado completo Al recibir un documento se crea un identificador único que viaja con todo lo que ocurre después: cada paso de procesamiento, cada evaluación de confianza, cada decisión humana y la salida publicada. La traza solo crece, de modo que una entrada posterior corrige a una anterior y nada se reescribe. Una consulta reconstruye la cadena desde una salida publicada hasta los documentos en los que se apoya, y la cadena se exporta como JSON para alguien que no construyó el sistema. **Alineación:** Reglamento (UE) 2024/1689, artículo 12 sobre el registro de eventos y artículo 13 sobre transparencia frente a los responsables del despliegue. Para los pasaportes de producto, el Reglamento (UE) 2024/1781, artículo 13, exige a la Comisión crear un registro que almacene al menos los identificadores únicos. **Fuente:** Regulation (EU) 2024/1689, Article 12 (record-keeping) and Article 13 (transparency and provision of information to deployers) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1689/oj)) · consultado el 7 de septiembre de 2026 **Fuente:** Regulation (EU) 2024/1781, Article 13(1) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1781/oj)) · consultado el 7 de septiembre de 2026 *Figura · La traza.* Un solo hilo entra por la izquierda y permanece visible mientras atraviesa cuatro etapas hasta un documento publicado a la derecha. Después una consulta recorre el mismo hilo de vuelta hasta el origen. *Un hilo entra en la recepción y sigue siendo el mismo hilo en la salida publicada. El viaje de vuelta es el punto: cualquier hecho publicado se puede recorrer hacia atrás hasta los documentos en los que se apoya, en una sola consulta.* ### P-5 · Declaración de la extracción automática · Publicado completo Cada atributo lleva el método con el que se obtuvo. Cuando cualquier atributo de una salida publicada fue leído por reconocimiento óptico de caracteres o por un modelo de lenguaje, la salida lleva una línea visible que lo dice y nombra a qué atributos se aplica. La línea está en el documento que alguien tiene delante, no en metadatos que tendría que ir a buscar. **Alineación:** Reglamento (UE) 2024/1689, artículo 50 sobre las obligaciones de transparencia de proveedores y responsables del despliegue de determinados sistemas de IA. **Fuente:** Regulation (EU) 2024/1689, Article 50 (transparency obligations for providers and deployers of certain AI systems) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1689/oj)) · consultado el 7 de septiembre de 2026 ### P-6 · El sistema de fences · Publicado como principio Una barrera que vive en un documento es un consejo. Una barrera que se ejecuta en la tubería y bloquea una entrega es un fence. Los fences caen en cuatro categorías: datos, arquitectura, texto y proceso. Cada uno tiene un identificador, una regla y un método de aplicación. Un fence se gana su sitio solo con una prueba de dientes: se planta el defecto real, el fence salta, y la plantación se retira byte a byte. Un fence que nadie ha visto fallar nunca es un comentario con un ejecutor de pruebas al lado. > **No publicado:** El vocabulario con el que el fence de publicación hace coincidencia no se publica. Una lista de lo que se vigila es un mapa de lo que se protege, y quien imprime el mapa anula el fence. **Alineación:** Reglamento (UE) 2024/1689, artículo 9 sobre el sistema de gestión de riesgos y artículo 17 sobre el sistema de gestión de la calidad. **Fuente:** Regulation (EU) 2024/1689, Article 9 (risk management system) and Article 17 (quality management system) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1689/oj)) · consultado el 7 de septiembre de 2026 *Figura · El fence.* Un cambio avanza hacia un destino de despliegue y choca con un muro, que se ilumina con la marca de la regla que lo detuvo. Un segundo cambio recorre el mismo camino y pasa. *Un fence bloquea una entrega y muestra qué regla lo hizo. El segundo cambio pasa, y esa es la mitad que importa: un fence que detiene todo es un muro, y un fence que nadie ha visto detener nada es un comentario.* ### P-7 · Aislamiento de dependencias de normas · Publicado completo Los sistemas de clasificación, las bases terminológicas y los servicios externos de validación viven en módulos adaptadores, marcados como tales, fuera del modelo de datos central. Un servicio externo puede elevar la confianza de un atributo. Ninguno puede bloquear una salida: si el servicio no está disponible, el sistema produce evidencia con menos confianza en lugar de nada, y si cambia una licencia el núcleo queda intacto. El contenido licenciado se marca en sus metadatos y se mantiene apartado del núcleo abierto. **Alineación:** Reglamento (UE) 2024/1689, artículo 9 sobre el sistema de gestión de riesgos. **Fuente:** Regulation (EU) 2024/1689, Article 9 (risk management system) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1689/oj)) · consultado el 7 de septiembre de 2026 ### P-8 · Reglas como datos, con autonomía graduada · Publicado como principio Las reglas contra las que se mide una decisión son datos. El motor que las evalúa no cambia cuando cambia una regla. Un registro de decisión queda atado a la versión del conjunto de reglas que lo produjo, lo que extiende la traza de P-4 hasta la procedencia de las reglas. La autonomía es una propiedad de las reglas y no del código: cuánto puede hacer el sistema sin una persona se fija por jurisdicción y por clase de riesgo, y nunca supera el techo que la ley pone allí. Elevarla donde la ley lo permite es un cambio de reglas con base jurídica registrada, nunca una bifurcación del código. **Estado de la técnica:** Los conjuntos de reglas firmados y recargables con registros de decisión ligados a versión ya existen, y Open Policy Agent es el ejemplo evidente. Nada de esto presenta esa idea como nueva. La aportación aquí es la práctica de encajarla en el resto de esta arquitectura. > **No publicado:** Cómo se sella un conjunto de reglas, cómo se comprueba el sello, cómo se impone el techo y cómo todo eso se encuentra con el control de confianza, no se publica aquí. **Alineación:** Reglamento (UE) 2024/1689, artículo 12 sobre el registro de eventos y artículo 17 sobre el sistema de gestión de la calidad. Donde se aplica el artículo 14, la intervención humana efectiva sigue cableada digan lo que digan las reglas. **Fuente:** Regulation (EU) 2024/1689, Article 12 (record-keeping), Article 17 (quality management system) and Article 14 (human oversight) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1689/oj)) · consultado el 7 de septiembre de 2026 *Figura · Reglas como datos.* Un bloque sellado llega a un bloque de motor que no cambia de forma. Un registro sale del motor llevando un pequeño sello que coincide con el precinto. *Las reglas llegan como datos y el motor no se reconstruye para recibirlas. El registro que sale lleva el sello de versión de las reglas que lo produjeron. El interior del precinto no se muestra y no se publica.* ### Ausencia honesta Va dentro de P-2 y se enuncia aparte porque es la regla que más se rompe: sin evidencia no hay valor. Ni un valor por defecto, ni una mediana, ni una cifra plausible. Un atributo vacío es una afirmación verdadera sobre lo que se sabe; uno relleno que nadie puede rastrear, no. ### Principios candidatos Cuatro prácticas que se comportan como principios y todavía no llevan número. Se publican porque están en uso, y una práctica en uso que nadie escribió es una práctica que se degrada. #### Disciplina de afirmaciones Cada frase regulatoria se resuelve en una fuente primaria y la fecha en que alguien la leyó. Cada frase sobre nuestro propio comportamiento se resuelve en comportamiento desplegado o en una prueba con nombre. Cuando una frase no tiene ninguna de las dos cosas, hay dos movimientos honestos: construir aquello, o suavizar la frase. Citar una fuente que nadie abrió no está entre ellos. Esto no vale nada para una solicitud y vale muchísimo para quien lee. #### Sin anulación Un hecho adverso autenticado procedente de una fuente oficial no se puede atestiguar hasta hacerlo desaparecer. Un hallazgo que el sistema dedujo por sí mismo puede resolverlo una persona con nombre, y la resolución queda registrada con quién la hizo y qué vio. La distinción es todo el punto: una persona puede anular una inferencia nuestra y no puede anular un registro oficial. #### Semántica de la evidencia Un hecho lleva varias lecturas a la vez y nunca se funden en un único número. Es genuina la fuente. Qué cubre realmente. Qué devolvió. Cómo de reciente es. De dónde vino. Intervino una persona. A qué deber habla. Una lectura alta junto a una baja no es una contradicción que promediar; es la información. > **No publicado:** Los estados por los que pasa cada lectura, las reglas que los mueven y la forma en que una cobertura estrecha limita al resto, no se publican aquí. *Figura · Las siete lecturas.* Un hecho en el centro se abre en siete indicadores separados dispuestos a su alrededor. Los indicadores se detienen a alturas distintas y nunca se funden en uno solo. *Un hecho, siete lecturas, mantenidas aparte.* #### Control de divulgación Un fence mantiene la materia inventiva que aún no se ha presentado fuera de toda superficie pública, incluidos los paquetes de frontend ya construidos, y un registro anota qué se está reteniendo y bajo qué condición deja de retenerse. Que la disciplina exista merece decirse. Lo que protege, no. ### Líneas rojas de comunicación Vinculantes para todo texto de marco y de producto. Cada fila es una frase fácil de escribir e imposible de sostener. **Decir:** Evidencia lista para auditoría de que la dirección cumplió su deber de vigilancia. **Nunca:** Protección frente a la responsabilidad personal. **Por qué:** Los deberes de vigilancia son legales y ninguna herramienta los deja sin efecto. **Decir:** Vigilancia humana por diseño, la persona sigue en el circuito. **Nunca:** La persona está fuera del circuito. **Por qué:** Donde se aplica el artículo 14 del Reglamento (UE) 2024/1689, la exigencia es la intervención humana efectiva. **Fuente:** Regulation (EU) 2024/1689, Article 14 ([fuente primaria](http://data.europa.eu/eli/reg/2024/1689/oj)) · consultado el 7 de septiembre de 2026 **Decir:** Reduce de forma verificable el riesgo de un valor inventado. **Nunca:** Elimina las alucinaciones. **Por qué:** Una arquitectura baja un riesgo. No le quita una propiedad a una clase de modelos. **Decir:** Un marco cableado a la regulación con una ruta de aplicación en ejecución. **Nunca:** El primer marco de arquitectura empresarial nativo de IA. **Por qué:** Hay estado de la técnica, y una afirmación de primicia invita justo a la discusión que nadie necesita. ## Plantillas de gobernanza Tres plantillas y una descripción. Las cuatro son práctica y no mecanismo, y las cuatro se publican completas. ### Carta de agentes de IA Cuando los agentes escriben código de producción necesitan la gobernanza que tiene una persona desarrolladora, y algo más. La escala trata de cuánto puede hacer un agente antes de que alguien mire. La lista de debajo trata de lo que nadie delega, en ningún peldaño. #### La escala de autonomía 1. **L1 · Supervisado**. El agente propone y una persona lee cada línea antes de la fusión. El valor por defecto para todo agente nuevo. 2. **L2 · Semiautónomo**. El agente implementa dentro del alcance definido de un ticket y una persona revisa la pull request. Se alcanza tras tres ciclos L1 sin ninguna violación de fence. 3. **L3 · Autónomo dentro de las barreras**. El agente implementa, prueba y abre la pull request; una persona lee los resultados de las pruebas y la salida de los guardianes. Requiere cobertura madura de fences y un historial. Raro, y debería seguir siéndolo. #### Nunca autónomo Esto lo decide una persona, en cualquier peldaño de la escala. - Cambios en el esquema de la base de datos. - Configuración de seguridad: autenticación, secretos, red. - Contratos de interfaz externa, cuando el cambio rompe a quien llama. - Cambios en un formato de salida que lee una norma. - Borrado de cualquier cosa en la traza de auditoría. - Cambios en el propio sistema de fences. #### La fuente de verdad del agente Primero la documentación de arquitectura, luego el registro de claves, luego el sistema de fences, luego el alcance del ticket. Cuando dos se contradicen gana el de arriba, y la contradicción se escribe en vez de resolverse en silencio. ### Esquema de la traza de auditoría El registro que se escribe en cada paso, publicado completo. Una traza que no puede leer quien no construyó el sistema no es una traza, así que los nombres de los campos son parte del marco y no un detalle de implementación. | Campo | Significado | | --- | --- | | `trace_id` | El identificador de P-4, el mismo valor en cada entrada que pertenece a una transacción. | | `timestamp` | Cuándo ocurrió el paso, como marca de tiempo con su desfase horario. | | `event_type` | Qué clase de paso: entrada, extracción, validación, evaluación de confianza, verificación humana, publicación, acceso. | | `actor` | Quién actuó y de qué clase: el sistema, una persona o un agente. | | `input` | Sobre qué iba el paso: el documento, el atributo. | | `output` | Qué produjo el paso: el valor, su confianza, el método de extracción. | | `decision` | Donde actuó una persona: qué hizo y qué motivo dio. | | `source_hash` | Un resumen de la fuente que leyó el paso, para reconocer más tarde la misma entrada. | | `immutable` | La entrada nunca se edita. Una corrección es una entrada nueva que la sustituye. | ### Registro de fences, un subconjunto publicado Un subconjunto publicado del registro propio del proyecto, con los identificadores que el proyecto usa de verdad. Cada entrada lleva un identificador, la regla, cómo se impone y su estado actual. El registro completo es más largo y sigue siendo interno: algunas de sus entradas nombran lo que protegen, y una lista de lo que se vigila es un mapa de lo que se guarda. Los identificadores son los operativos. Una edición anterior del documento del marco imprimía bajo los mismos números una tabla ilustrativa de ocho filas con reglas distintas; esa plantilla está retirada, cada una de sus reglas pasó al identificador que ahora la sostiene, y nada se perdió en la renumeración. | Fence | Regla | Aplicación | Estado | | --- | --- | --- | --- | | `F-03` | Los valores derivados de un modelo de lenguaje siempre llevan el método con el que se obtuvieron y nunca llegan a una salida publicada sin verificación humana. | Comprobación automática, en cada cambio | Impuesto | | `F-04` | Un atributo obligatorio sin evidencia nunca se inventa ni se rellena con un valor por defecto. | Comprobación automática, en cada cambio | Impuesto | | `F-05` | Ningún documento personal o de empresa real en código, fixtures, pruebas o commits. **Alcance:** El guardián cubre claves de acceso y datos del emisor de documentos de exportación. No cubre toda forma de identificador, y el resto se lleva internamente como su propia brecha. | Comprobación automática, en cada cambio | Impuesto | | `F-08` | Un pasaporte con un atributo de confianza baja o un obligatorio ausente nunca se publica; la compuerta es código, no una costumbre. | Comprobación automática, en cada cambio | Impuesto | | `F-09` | Ningún cambio de esquema de base de datos sin una migración y una reversión que funcione. | Trabajo automático, en cada cambio | Impuesto | | `F-13` | Los identificadores de inquilino y de traza viajan con cada solicitud y cada fila almacenada. **Alcance:** La mitad de la ruta de solicitud está probada. La mitad de la fila almacenada no se comprueba columna a columna y se lleva internamente como su propia brecha. | Comprobación automática, en cada cambio | Impuesto | | `F-14` | Código e identificadores en inglés; texto para quien lee en cinco idiomas, con cada clave presente en todos. | Comprobación automática, en cada cambio | Impuesto | | `F-16` | El texto de interfaz nunca afirma cumplimiento jurídico ni un hecho no verificado; una atestación se muestra como atestación y nunca como verificación. | Comprobación automática, en cada cambio | Impuesto | | `F-18` | Un identificador de traza en cada respuesta de la interfaz de consola, errores incluidos; el entrante se respeta en vez de reemitirse. | Comprobación automática, en cada cambio | Impuesto | | `F-22` | Toda afirmación de hecho en una superficie pública se resuelve en una fuente primaria o en una prueba con nombre. | Comprobación automática, en cada cambio | Impuesto | | `F-23` | El sitio en ejecución carga solo recursos del mismo origen y establece exactamente una cookie, para el idioma. | Comprobación automática, en cada cambio | Impuesto | | `F-37` | Toda página pública rastreada cumple WCAG 2.2 AA en un navegador real. | Trabajo automático, en cada cambio | Impuesto | | `F-02` | Ningún servicio de infraestructura nuevo más allá del conjunto acordado, y ninguna dependencia nueva sin una sección con nombre en la solicitud de cambio. | Persona con nombre, en la fusión | Manual | | `F-10` | Ninguna fusión con comprobaciones en rojo. | Persona con nombre, en la fusión | Manual | | `P-4-not-null-columns` | Cada fila almacenada lleva los identificadores de inquilino y de traza como columnas obligatorias. | Hoy nada | Brecha | | `P-5-disclosure-rendered` | Una salida publicada cuyos atributos incluyen uno extraído por máquina siempre muestra la línea de declaración. | Hoy nada | Brecha | ### El motor de confianza, en palabras Al motor se le da un atributo, un valor, el método con el que se obtuvo el valor y los documentos de los que salió. Devuelve el atributo, el valor, un nivel de confianza, la procedencia y si una persona lo verificó. Existen tres niveles, el más bajo nunca llega a una salida publicada, y donde falta evidencia el motor no devuelve nada en lugar de un nivel. > **No publicado:** La tabla que asigna un nivel a un método de extracción, y las reglas que combinan varias fuentes, se quedan en la edición interna. Lo de arriba es la descripción que hace falta para entender la arquitectura. Deliberadamente no es una especificación con la que nadie pueda construir. ## Informe de controles Un informe de controles dice qué controles ejercitó un proyecto y qué devolvió su evidencia. Lo autodeclara quien lo ejecuta. No es una auditoría, no produce ninguna marca, y vale exactamente lo que vale la evidencia detrás de él. ### Cómo se produce un informe Cuatro cosas hacen una fila, y una fila sin las cuatro no se informa como impuesta. 1. **El control**. Una frase sobre comportamiento, atada al principio al que pertenece. Ni una política ni una intención: algo que es cierto del sistema en ejecución o no lo es. 2. **La evidencia**. Lo que decide la fila. En un control impuesto es una comprobación automática; en uno manual es una persona con nombre que ejecuta un procedimiento escrito. 3. **La ejecución**. Una ejecución identificada. Una fila es impuesta solo por lo que pasó en esa ejecución, nunca por lo que suele pasar. 4. **El estado**. Impuesto, manual o brecha. Nada más, y ningún matiz entre medias. ### Los tres estados - **Impuesto**. Una comprobación automática lleva la regla, y se ejecutó en la ejecución identificada y terminó con éxito. - **Manual**. El control se sostiene por un procedimiento que ejecuta una persona con nombre. Real, no automatizado, e informado como lo que es. - **Brecha**. Hoy nada lo impone. Nombrada, con lo que costaría cerrarla, en lugar de omitida. ### La regla contra el teatro Un control nunca se informa como impuesto si su evidencia no se ejecutó en la ejecución identificada y no terminó con éxito. Un éxito anterior, una comprobación omitida o una selección que no ejecutó ninguna prueba no es verificación actual. Un informe que llama impuesto a un control porque alguien recuerda que pasaba es un informe sobre la memoria, y ejecutar un informe con éxito no es un certificado de que algo esté implementado. ### Qué es este informe y qué no Es una evaluación interna autodeclarada con un resumen público limitado de la evidencia. No se puede reproducir desde esta página: la evidencia se ejecuta contra un repositorio que no es público, así que aquí no se ofrece ningún comando como algo que quien lee pueda ejecutar. No es una auditoría, no es una certificación y no es una evaluación de la conformidad, y ninguna autoridad lo ha evaluado, auditado ni respaldado. ### La evaluación propia de este proyecto Las filas de abajo son una proyección pública revisada de una evaluación interna de este repositorio. Son un SUBCONJUNTO, elegido porque cada fila puede decirse en público sin nombrar lo que protege un guardián. La evaluación interna es mayor y no se publica. #### De qué evaluación se trata - Versión del marco: 2.2 - Evaluado el: 7 de septiembre de 2026 - Ejecución: `34152270255` - Producida por: el trabajo de sistema de COADF, no el trabajo del sitio. El sitio no volvió a ejecutar la evidencia; la proyecta y dice de quién es. Los mismos controles, ejecutados en una estación de trabajo en vez de en integración continua, salieron en rojo en dos que necesitan una base de datos que la estación no tiene. Ambos se ejecutaron y pasaron en la ejecución nombrada arriba. Las dos ejecuciones constan internamente; ninguna se oculta para mejorar el aspecto de esta página. **Alcance divulgado:** 16 de 57 controles de la evaluación interna. Los totales de esta página son solo sobre el alcance divulgado y no son los totales de la evaluación interna. Los controles que quedan fuera quedan fuera porque sus enunciados nombran materia protegida, no por su resultado. 12 impuestos, 2 manuales, 2 brechas, sobre 16 controles divulgados. | Control | Principio | Qué exige | Cómo se impone | Estado | | --- | --- | --- | --- | --- | | `F-03` | `P-1` | Los valores derivados de un modelo de lenguaje siempre llevan el método con el que se obtuvieron y nunca llegan a una salida publicada sin verificación humana. | Comprobación automática, en cada cambio | Impuesto | | `F-04` | `P-2` | Un atributo obligatorio sin evidencia nunca se inventa ni se rellena con un valor por defecto. | Comprobación automática, en cada cambio | Impuesto | | `F-05` | `P-6` | Ningún documento personal o de empresa real en código, fixtures, pruebas o commits. **Alcance:** El guardián cubre claves de acceso y datos del emisor de documentos de exportación. No cubre toda forma de identificador, y el resto se lleva internamente como su propia brecha. | Comprobación automática, en cada cambio | Impuesto | | `F-08` | `P-2` | Un pasaporte con un atributo de confianza baja o un obligatorio ausente nunca se publica; la compuerta es código, no una costumbre. | Comprobación automática, en cada cambio | Impuesto | | `F-09` | `P-6` | Ningún cambio de esquema de base de datos sin una migración y una reversión que funcione. | Trabajo automático, en cada cambio | Impuesto | | `F-13` | `P-4` | Los identificadores de inquilino y de traza viajan con cada solicitud y cada fila almacenada. **Alcance:** La mitad de la ruta de solicitud está probada. La mitad de la fila almacenada no se comprueba columna a columna y se lleva internamente como su propia brecha. | Comprobación automática, en cada cambio | Impuesto | | `F-14` | `P-6` | Código e identificadores en inglés; texto para quien lee en cinco idiomas, con cada clave presente en todos. | Comprobación automática, en cada cambio | Impuesto | | `F-16` | `P-6` | El texto de interfaz nunca afirma cumplimiento jurídico ni un hecho no verificado; una atestación se muestra como atestación y nunca como verificación. | Comprobación automática, en cada cambio | Impuesto | | `F-18` | `P-4` | Un identificador de traza en cada respuesta de la interfaz de consola, errores incluidos; el entrante se respeta en vez de reemitirse. | Comprobación automática, en cada cambio | Impuesto | | `F-22` | Candidato · Disciplina de afirmaciones | Toda afirmación de hecho en una superficie pública se resuelve en una fuente primaria o en una prueba con nombre. | Comprobación automática, en cada cambio | Impuesto | | `F-23` | `P-6` | El sitio en ejecución carga solo recursos del mismo origen y establece exactamente una cookie, para el idioma. | Comprobación automática, en cada cambio | Impuesto | | `F-37` | `P-6` | Toda página pública rastreada cumple WCAG 2.2 AA en un navegador real. | Trabajo automático, en cada cambio | Impuesto | | `F-02` | `P-6` | Ningún servicio de infraestructura nuevo más allá del conjunto acordado, y ninguna dependencia nueva sin una sección con nombre en la solicitud de cambio. | Persona con nombre, en la fusión | Manual | | `F-10` | `P-6` | Ninguna fusión con comprobaciones en rojo. | Persona con nombre, en la fusión | Manual | | `P-4-not-null-columns` | `P-4` | Cada fila almacenada lleva los identificadores de inquilino y de traza como columnas obligatorias. **Qué costaría cerrarla:** Una prueba sobre el modelo de datos en vez de sobre una base de datos en ejecución, que compruebe la obligación columna a columna. | Hoy nada | Brecha | | `P-5-disclosure-rendered` | `P-5` | Una salida publicada cuyos atributos incluyen uno extraído por máquina siempre muestra la línea de declaración. **Qué costaría cerrarla:** Una prueba de renderizado sobre una salida con un atributo extraído por máquina, con su propia prueba de dientes. El renderizado existe; nada falla cuando se quita, así que el control es una costumbre y no una barrera. | Hoy nada | Brecha | ### Aviso COADF es un marco de desarrollo documentado públicamente. No es una certificación, no es una norma de auditoría y no es un esquema de evaluación de la conformidad. Ninguna autoridad lo ha evaluado, auditado ni respaldado. Un informe de controles lo autodeclara quien lo ejecuta, y describe qué controles se ejercitaron y qué devolvió su evidencia. El nombre describe la orientación del método de desarrollo hacia los requisitos regulatorios; nunca afirma que un sistema, una salida o un envío cumpla la normativa. **El texto canónico en inglés:** COADF is a publicly documented development framework. It is not a certification, not an audit standard and not a conformity assessment scheme. No authority has assessed, audited or endorsed it. A conformance report is self-attested by whoever runs it, and describes which controls were exercised and what their evidence returned. The name describes the orientation of the development method toward regulatory requirements; it never asserts that any system, output or shipment is compliant. ## Mapa regulatorio Los instrumentos europeos con los que probablemente se encuentre un sistema construido así. Cada fila se leyó en su fuente primaria en la fecha que la fila indica, y cada fila enlaza a esa fuente. Esto es un mapa y no asesoramiento: nada aquí dice cuál de estos instrumentos se aplica a un sistema concreto. ### Qué corrige esta versión La edición de julio de 2026 de este mapa llevaba cuatro filas que sus propias fuentes no sostienen. Se corrigen aquí en lugar de editarse en silencio, y cada corrección enlaza al texto que la zanja. La fila del registro puso una fecha para tres hechos distintos. El artículo 13, apartado 1, del Reglamento (UE) 2024/1781 fijó el 19 de julio de 2026 como plazo para que la Comisión creara el registro. La Comisión anunció el 20 de julio de 2026 que el registro estaba en marcha, lo que es un anuncio de disponibilidad operativa y no una fecha de ninguno de los dos instrumentos. El Reglamento de Ejecución (UE) 2026/1778, de 16 de julio de 2026, fija las disposiciones de aplicación; se publicó el 17 de julio de 2026 y entra en vigor a los veinte días. Tres fechas, tres cosas distintas, y la edición de julio describió una como si fuera otra. **Fuente:** Regulation (EU) 2024/1781, Article 13(1), read with Article 24 of Implementing Regulation (EU) 2026/1778 ([fuente primaria](http://data.europa.eu/eli/reg_impl/2026/1778/oj)) · consultado el 7 de septiembre de 2026 La fila de diligencia debida estaba escrita solo contra la directiva original. La Directiva (UE) 2026/470, de 24 de febrero de 2026, trasladó la aplicación de esas medidas al 26 de julio de 2029, fijó el 26 de julio de 2028 como plazo de transposición de su artículo de diligencia debida, elevó los umbrales de ámbito, en la vía principal para empresas de la Unión, a más de 5 000 empleados de media y un volumen de negocios neto mundial superior a 1 500 000 000 EUR, conservando otras categorías sus propios criterios, y dejó las medidas del artículo 16 para los ejercicios que empiecen el 1 de enero de 2030 o después. Un punto aparte, porque es el que más se equivoca: la directiva modificadora suprime condiciones armonizadas de responsabilidad civil de la Unión, lo que no es lo mismo que suprimir la responsabilidad civil. El derecho nacional sigue aplicándose. **Fuente:** Directive (EU) 2026/470, Article 4(2) and Article 5 ([fuente primaria](http://data.europa.eu/eli/dir/2026/470/oj)) · consultado el 7 de septiembre de 2026 La fila de materias primas críticas indicaba una fecha de inicio fija. El artículo 29, apartado 1, del Reglamento (UE) 2024/1252 fija la más tardía de estas dos: el 24 de mayo de 2027 o dos años después de la entrada en vigor del acto de cálculo y verificación del artículo 29, apartado 2. Ese acto vencía el 24 de mayo de 2026 y no está publicado, así que la fecha de inicio todavía no está fijada. **Fuente:** Regulation (EU) 2024/1252, Article 29(1) and (2) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1252/oj)) · consultado el 7 de septiembre de 2026 La fila sobre un esquema para prestadores de servicios de pasaporte describía una preparación de la Comisión y un año. El considerando 40 del Reglamento (UE) 2024/1781 dice que la Comisión podría realizar una evaluación de impacto para investigar si tal esquema sería apropiado. Eso es todo lo que sostiene el texto. **Fuente:** Regulation (EU) 2024/1781, Recital 40 ([fuente primaria](http://data.europa.eu/eli/reg/2024/1781/oj)) · consultado el 7 de septiembre de 2026 La edición r4 corrige dos afirmaciones de este mapa tras una nueva verificación en las fuentes primarias. La fila del Reglamento de Inteligencia Artificial situaba el artículo 6, apartado 1, y sus obligaciones a partir del 2 de agosto de 2027, la fecha del artículo 113 original. El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, sustituyó ese calendario: las secciones 1 a 3 del capítulo III, sobre los sistemas de IA de alto riesgo, se aplican a partir del 2 de diciembre de 2027 con arreglo al artículo 6, apartado 2, y al anexo III, y a partir del 2 de agosto de 2028 con arreglo al artículo 6, apartado 1, y al anexo I. Los ocho principios de arquitectura y sus declaraciones de alineación no cambian. **Fuente:** Regulation (EU) 2026/1744, Article 1, point (40) ([fuente primaria](http://data.europa.eu/eli/reg/2026/1744/oj)) · consultado el 11 de septiembre de 2026 La fila del MAFC situaba el régimen definitivo a partir del 1 de enero de 2026. El Reglamento (UE) 2025/2083 fijó fechas posteriores para dos de sus partes: el artículo 22, apartado 2, sobre la tenencia trimestral de certificados MAFC, se aplica a partir del 1 de enero de 2027, y el artículo 20, apartados 1, 3, 4 y 5, sobre su venta, a partir del 1 de febrero de 2027. **Fuente:** Regulation (EU) 2025/2083, Article 1, point (27) ([fuente primaria](http://data.europa.eu/eli/reg/2025/2083/oj)) · consultado el 11 de septiembre de 2026 ### En vigor y en despliegue #### Reglamento de Inteligencia Artificial Reglamento (UE) 2024/1689 Se aplica desde el 2 de agosto de 2026. Los capítulos I y II se aplican desde el 2 de febrero de 2025; el capítulo III sección 4, los capítulos V, VII y XII y el artículo 78 desde el 2 de agosto de 2025. Con la modificación introducida por el Reglamento (UE) 2026/1744, las secciones 1 a 3 del capítulo III, sobre los sistemas de IA de alto riesgo, se aplican a partir del 2 de diciembre de 2027 a los sistemas clasificados como de alto riesgo con arreglo al artículo 6, apartado 2, y al anexo III, y a partir del 2 de agosto de 2028 a los del artículo 6, apartado 1, y el anexo I. Las dos prácticas prohibidas que ese Reglamento añadió al artículo 5 se aplican a partir del 2 de diciembre de 2026. **Fuente:** Regulation (EU) 2024/1689, Article 113, as amended by Regulation (EU) 2026/1744 ([fuente primaria](http://data.europa.eu/eli/reg/2026/1744/oj)) · consultado el 11 de septiembre de 2026 #### Reglamento de Ciberresiliencia Reglamento (UE) 2024/2847 Se aplica desde el 11 de diciembre de 2027. El artículo 14, el deber de notificación, se aplica desde el 11 de septiembre de 2026, y el capítulo IV desde el 11 de junio de 2026. **Fuente:** Regulation (EU) 2024/2847, Article 71 ([fuente primaria](http://data.europa.eu/eli/reg/2024/2847/oj)) · consultado el 7 de septiembre de 2026 #### Reglamento de Diseño Ecológico para Productos Sostenibles Reglamento (UE) 2024/1781 Marco en vigor. El artículo 13, apartado 1, exigía a la Comisión crear el registro de pasaportes digitales de producto antes del 19 de julio de 2026; el Reglamento de Ejecución (UE) 2026/1778, de 16 de julio de 2026, fija sus disposiciones de aplicación. Los actos delegados por categoría de producto vienen después. **Fuente:** Regulation (EU) 2024/1781, Article 13(1), read with Implementing Regulation (EU) 2026/1778 ([fuente primaria](http://data.europa.eu/eli/reg_impl/2026/1778/oj)) · consultado el 7 de septiembre de 2026 #### Reglamento de Deforestación Reglamento (UE) 2023/1115 Las obligaciones vinculan a los operadores medianos y grandes desde el 30 de diciembre de 2026 y a los micro y pequeños desde el 30 de junio de 2027, tras la modificación por el Reglamento (UE) 2025/2650. **Fuente:** Regulation (EU) 2023/1115, Article 38(2) and (3), as replaced by Regulation (EU) 2025/2650 ([fuente primaria](http://data.europa.eu/eli/reg/2025/2650/oj)) · consultado el 7 de septiembre de 2026 #### Reglamento de Baterías Reglamento (UE) 2023/1542 Se aplica desde el 18 de febrero de 2024. El artículo 11 se aplica desde el 18 de febrero de 2027; el artículo 17 y el capítulo VI desde el 18 de agosto de 2024; el capítulo VIII desde el 18 de agosto de 2025. **Fuente:** Regulation (EU) 2023/1542, Article 96 ([fuente primaria](http://data.europa.eu/eli/reg/2023/1542/oj)) · consultado el 7 de septiembre de 2026 #### Reglamento General de Protección de Datos Reglamento (UE) 2016/679 Se aplica desde el 25 de mayo de 2018. **Fuente:** Regulation (EU) 2016/679, Article 99(2) ([fuente primaria](http://data.europa.eu/eli/reg/2016/679/oj)) · consultado el 7 de septiembre de 2026 #### Directiva NIS2 Directiva (UE) 2022/2555 Los Estados miembros debían adoptar las medidas antes del 17 de octubre de 2024 y aplicarlas desde el 18 de octubre de 2024. La transposición nacional es asunto de cada Estado miembro y varía. **Fuente:** Directive (EU) 2022/2555, Article 41(1) ([fuente primaria](http://data.europa.eu/eli/dir/2022/2555/oj)) · consultado el 7 de septiembre de 2026 #### Reglamento de Datos Reglamento (UE) 2023/2854 Se aplica desde el 12 de septiembre de 2025. El deber del artículo 3, apartado 1, se aplica a los productos conectados introducidos en el mercado después del 12 de septiembre de 2026. **Fuente:** Regulation (EU) 2023/2854, Article 50 ([fuente primaria](http://data.europa.eu/eli/reg/2023/2854/oj)) · consultado el 7 de septiembre de 2026 #### DORA Reglamento (UE) 2022/2554 Se aplica desde el 17 de enero de 2025. **Fuente:** Regulation (EU) 2022/2554, Article 64 ([fuente primaria](http://data.europa.eu/eli/reg/2022/2554/oj)) · consultado el 7 de septiembre de 2026 #### Reglamento de Envases y Residuos de Envases Reglamento (UE) 2025/40 Se aplica desde el 12 de agosto de 2026. El artículo 67, apartado 5, se aplica desde el 12 de febrero de 2029. **Fuente:** Regulation (EU) 2025/40, Article 79 ([fuente primaria](http://data.europa.eu/eli/reg/2025/40/oj)) · consultado el 7 de septiembre de 2026 #### Reglamento de Materias Primas Fundamentales Reglamento (UE) 2024/1252 En vigor. La declaración pública del contenido reciclado de los imanes permanentes del artículo 29, apartado 1, empieza en la más tardía de estas dos: el 24 de mayo de 2027 o dos años después de la entrada en vigor del acto de cálculo y verificación del artículo 29, apartado 2. Ese acto vencía el 24 de mayo de 2026 y no está publicado, así que el inicio queda abierto. **Fuente:** Regulation (EU) 2024/1252, Article 29(1) and (2) ([fuente primaria](http://data.europa.eu/eli/reg/2024/1252/oj)) · consultado el 7 de septiembre de 2026 #### Directiva de Responsabilidad por Productos Defectuosos, refundición Directiva (UE) 2024/2853 El software entra en el ámbito. Los Estados miembros la transponen antes del 9 de diciembre de 2026. **Fuente:** Directive (EU) 2024/2853, Article 22(1) ([fuente primaria](http://data.europa.eu/eli/dir/2024/2853/oj)) · consultado el 7 de septiembre de 2026 #### Mecanismo de Ajuste en Frontera por Carbono Reglamento (UE) 2023/956 Se aplica desde el 1 de octubre de 2023. Los artículos 5, 10, 14, 16 y 17 se aplican desde el 31 de diciembre de 2024, y la mayoría de las disposiciones del régimen definitivo desde el 1 de enero de 2026. Con la modificación introducida por el Reglamento (UE) 2025/2083, el artículo 22, apartado 2, sobre la tenencia trimestral de certificados MAFC, se aplica a partir del 1 de enero de 2027, y el artículo 20, apartados 1, 3, 4 y 5, sobre la venta de certificados MAFC, a partir del 1 de febrero de 2027. **Fuente:** Regulation (EU) 2023/956, Article 36(2), as amended by Regulation (EU) 2025/2083 ([fuente primaria](http://data.europa.eu/eli/reg/2025/2083/oj)) · consultado el 11 de septiembre de 2026 #### Reglamento de Taxonomía Reglamento (UE) 2020/852 Los artículos 4 a 7 y el artículo 8, apartados 1 a 3, se aplican desde el 1 de enero de 2022 para los dos primeros objetivos ambientales y desde el 1 de enero de 2023 para los otros cuatro. **Fuente:** Regulation (EU) 2020/852, Article 27(2) ([fuente primaria](http://data.europa.eu/eli/reg/2020/852/oj)) · consultado el 7 de septiembre de 2026 #### Directiva sobre Información Corporativa en materia de Sostenibilidad Directiva (UE) 2022/2464 El artículo 4 se aplica desde el 1 de enero de 2024 a los ejercicios que empiecen en esa fecha o después. Modificada por la Directiva (UE) 2026/470, cuyos artículos 1, 2 y 3 deben transponerse antes del 19 de marzo de 2027. **Fuente:** Directive (EU) 2022/2464, Article 7, read with Article 5 of Directive (EU) 2026/470 ([fuente primaria](http://data.europa.eu/eli/dir/2022/2464/oj)) · consultado el 7 de septiembre de 2026 ### Normas y marcos No son legislación. Se citan en la legislación o los usan las auditorías. Las filas de abajo nombran cada punto y para qué sirve. Donde este repaso no leyó en la fuente el texto propio de un organismo de normalización, la fila no indica fecha, y esa ausencia es deliberada. #### EN 18216, EN 18219, EN 18220, EN 18221, EN 18222, EN 18223 CEN, CENELEC y ETSI Referencias publicadas en el Diario Oficial por la Decisión de Ejecución (UE) 2026/1736, de 14 de julio de 2026, con presunción de cumplimiento de los requisitos de los artículos 10 y 11 del Reglamento (UE) 2024/1781 que cubren. **Fuente:** Commission Implementing Decision (EU) 2026/1736, Recitals 3 and 4, read with Article 41(2) of Regulation (EU) 2024/1781 ([fuente primaria](http://data.europa.eu/eli/dec_impl/2026/1736/oj)) · consultado el 7 de septiembre de 2026 #### EN 18239 y EN 18246 CEN, CENELEC y ETSI Derechos de acceso, y autenticación e integridad de los datos. No figuran entre las referencias de la Decisión de Ejecución (UE) 2026/1736, así que hoy no les acompaña ninguna presunción. **Fuente:** Commission Implementing Decision (EU) 2026/1736, Recital 3 ([fuente primaria](http://data.europa.eu/eli/dec_impl/2026/1736/oj)) · consultado el 7 de septiembre de 2026 #### Arquitectura de auditoría y aseguramiento para IA BSI, Alemania Un borrador de catálogo de criterios para evaluar sistemas de IA, legible por máquina, construido sobre una metodología de encargos de aseguramiento. No leído en la fuente en este repaso, así que aquí no se indica fecha. #### ISO/IEC 42001 ISO e IEC Una norma de sistema de gestión para la inteligencia artificial, certificable por un tercero. COADF es un acompañante a nivel de implementación y no se enfrenta a ella. #### AI Risk Management Framework NIST, Estados Unidos Un marco voluntario con cuatro funciones, más un perfil para sistemas generativos. Se nombra aquí por su vocabulario, no como obligación. #### EPCIS y Digital Link GS1 La capa de identificadores y eventos por la que se llega a un pasaporte. Especificaciones abiertas; nombrar una no afirma ningún estatus ante el organismo. #### ECLASS y el IEC Common Data Dictionary ECLASS e IEC Vocabularios licenciados. Tratados como adaptadores aislados según P-7, para que un cambio de licencia nunca llegue al núcleo. #### Código de buenas prácticas para IA de uso general Comisión Europea Voluntario. Su capítulo de seguridad se dirige a los proveedores de modelos con riesgo sistémico. ### Vigilar, no construir contra ello #### Actos delegados de diseño ecológico por categoría de producto Cada acto se adopta al amparo del artículo 4 del Reglamento (UE) 2024/1781 y crea su propio conjunto de reglas. Seguir los actos, no el plan de trabajo. **Fuente:** Regulation (EU) 2024/1781, Article 4 ([fuente primaria](http://data.europa.eu/eli/reg/2024/1781/oj)) · consultado el 7 de septiembre de 2026 #### Un esquema para prestadores de servicios de pasaporte digital de producto El considerando 40 del Reglamento (UE) 2024/1781 dice que la Comisión podría realizar una evaluación de impacto para investigar si tal esquema sería apropiado. En el texto no hay nada más. **Fuente:** Regulation (EU) 2024/1781, Recital 40 ([fuente primaria](http://data.europa.eu/eli/reg/2024/1781/oj)) · consultado el 7 de septiembre de 2026 #### Reglamento sobre Trabajo Forzoso El Reglamento (UE) 2024/3015 se aplica desde el 14 de diciembre de 2027, y los artículos 5, apartado 3, 7, 8, 9, apartado 2, 11, 33, 35 y 37, apartado 3, se aplican desde el 13 de diciembre de 2024. **Fuente:** Regulation (EU) 2024/3015, Article 40 ([fuente primaria](http://data.europa.eu/eli/reg/2024/3015/oj)) · consultado el 7 de septiembre de 2026 #### Directiva sobre Diligencia Debida de las Empresas en materia de Sostenibilidad Directiva (UE) 2024/1760, modificada por la Directiva (UE) 2026/470, de 24 de febrero de 2026: transposición del artículo modificador antes del 26 de julio de 2028, aplicación de esas medidas desde el 26 de julio de 2029, y las medidas del artículo 16 para los ejercicios que empiecen el 1 de enero de 2030 o después. Umbrales de ámbito, en la vía principal para empresas de la Unión: más de 5 000 empleados de media y un volumen de negocios neto mundial superior a 1 500 000 000 EUR. Otras categorías, incluidas las empresas de fuera de la Unión y la vía de franquicia y licencia, tienen criterios propios, y las cifras de arriba no son esas. La directiva modificadora suprime condiciones armonizadas de responsabilidad civil de la Unión, lo que no es lo mismo que suprimir la responsabilidad civil; el derecho nacional sigue aplicándose. **Fuente:** Directive (EU) 2026/470, Article 4(2) and Article 5 ([fuente primaria](http://data.europa.eu/eli/dir/2026/470/oj)) · consultado el 7 de septiembre de 2026 --- COADF · Compliance-Oriented AI Development Framework · Versión 2.2 · Septiembre de 2026 COADF está documentado públicamente como marco de desarrollo. Ninguna autoridad lo ha evaluado, auditado ni respaldado. Licencia propuesta: CC BY-SA 4.0 para el texto, MIT para los esquemas. Todavía no concedida.