Transparencia Algorítmica del DSA de la UE

Resumen ejecutivo

Por qué el DSA es la frontera operativa de la rendición de cuentas algorítmica

El encuadre más habitual de la regulación de IA de la UE sitúa al Reglamento de IA de la UE en el centro y trata al DSA como un régimen paralelo que aborda la moderación de contenido de plataformas. El encuadre captura la estructura formal y pierde por completo la realidad operativa. El DSA es el único régimen plenamente operativo en el mundo para la evaluación sistémica de riesgos algorítmicos, la auditoría algorítmica independiente y el acceso de investigadores a datos, y su intensidad de aplicación — multas hasta el 6% del volumen de negocios anual global, conclusiones preliminares contra las mayores plataformas digitales, un Centro establecido para la Transparencia Algorítmica — hace del DSA la regulación europea de IA con más dientes de aplicación ya operativos hoy, incluso antes de que la aplicación del Reglamento de IA de la UE alcance su intensidad plena.

La narrativa dominante lee el DSA como una regulación de moderación de contenido que casualmente incluye algunas disposiciones algorítmicas. La lectura es estructuralmente inversa. El DSA es legislación integral de rendición de cuentas algorítmica construida sobre cimientos de moderación de contenido: impone evaluaciones anuales de riesgos sistémicos específicamente dirigidas a sistemas algorítmicos (Artículo 34), auditorías independientes obligatorias del cumplimiento de todas las obligaciones del DSA, incluida la transparencia algorítmica (Artículo 37), obligaciones de transparencia del sistema de recomendación a través de todas las plataformas en línea (Artículo 27), opción de no-perfilado para recomendaciones basadas en perfilado para VLOPs (Artículo 38), y acceso estructurado de investigadores a datos para investigación de riesgos sistémicos (Artículo 40). Ningún otro régimen regulatorio a nivel global combina estos elementos operativamente.

Esto importa de tres maneras concretas. Primero, la arquitectura de aplicación del DSA es operativa y se intensifica. La Comisión Europea tiene autoridad directa de aplicación sobre VLOPs y VLOSEs, con el Centro Europeo de Transparencia Algorítmica proporcionando una capacidad técnica que ninguna otra arquitectura de aplicación regulatoria posee. Las conclusiones preliminares contra X (julio de 2024), Meta y TikTok (octubre de 2025), y las investigaciones activas contra múltiples otras VLOPs demuestran que la aplicación del DSA es real y está sustantivamente comprometida. Segundo, el techo de multas del 6% del DSA excede estructuralmente el 4% del RGPD, convirtiéndolo en la regulación financieramente más consecuente relevante para IA en Europa. Las decisiones de incumplimiento confirmadas contra Meta podrían alcanzar aproximadamente 9.870 millones de USD; contra TikTok, aproximadamente 1.380 millones de USD. Las apuestas financieras son más altas que las sanciones del Reglamento de IA de la UE para la mayoría de las disposiciones y crean presión operativa que se compone con la exposición paralela del RGPD. Tercero, el DSA creó capacidad institucional que el Reglamento de IA de la UE hereda y extiende: la metodología de auditoría algorítmica del ECAT, la infraestructura de acceso de investigadores a datos del Artículo 40, y la arquitectura de coordinación de la Junta Europea de Servicios Digitales proporcionan plantillas operativas y experiencia compartida que la aplicación del Reglamento de IA de la UE aprovechará a medida que se acelera durante 2026-2028.

Lo que hace que el ciclo de aplicación de 2024-2026 sea particularmente significativo es la combinación de conclusiones preliminares, regulación secundaria y consolidación institucional. Las conclusiones preliminares de octubre de 2025 contra Meta y TikTok conciernen a la transparencia y al acceso de investigadores a datos — el núcleo de rendición de cuentas algorítmica del DSA. La entrada en vigor del 29 de octubre de 2025 del acto delegado sobre acceso de investigadores a datos no públicos señaló el compromiso institucional de la Comisión para hacer el Artículo 40 operativamente significativo. Las Directrices 3/2025 del CEPD sobre la interrelación DSA-RGPD (septiembre de 2025) consolidaron la relación entre la protección de datos y la transparencia algorítmica. La integración del Código de Prácticas sobre Desinformación en la aplicación del DSA en febrero de 2025 trajo los compromisos voluntarios bajo arquitectura regulatoria vinculante. La trayectoria es clara: el DSA está pasando de marco regulatorio a intensidad de aplicación operativa más rápido que cualquier otra regulación adyacente a IA en Europa.

Lo que el DSA representa en el panorama regulatorio global de IA, entonces, es el régimen de rendición de cuentas algorítmica más maduro institucionalmente operativo hoy, con arquitectura de aplicación establecida, experiencia técnica dedicada, multas reales, y jurisprudencia sustantiva consolidándose a través de 2024-2026. El resto de esta referencia trata las disposiciones algorítmicas del DSA explícitamente en lugar de describir el DSA como un marco general de moderación de contenido.

—

Artículo 27: transparencia del sistema de recomendación para plataformas en línea

El Artículo 27 impone obligaciones de transparencia a todas las plataformas en línea (no solo VLOPs) respecto a sus sistemas de recomendación — los sistemas algorítmicos que determinan qué contenido se sugiere o prioriza para los usuarios.

Tres obligaciones principales.

• Artículo 27(1): Las plataformas en línea deben establecer en sus términos y condiciones, en lenguaje claro e inteligible, los parámetros principales utilizados en sus sistemas de recomendación. Los términos y condiciones deben incluir los criterios más significativos en la determinación de la información sugerida a los destinatarios del servicio.
• Artículo 27(2): Cuando hay múltiples opciones disponibles para el sistema de recomendación, la plataforma debe poner a disposición una manera para que el destinatario del servicio seleccione y modifique la opción preferida, incluida al menos una opción que no se base en perfilado.
• Artículo 27(3): Las plataformas en línea deben explicar por qué un sistema de recomendación particular funciona de una manera particular y qué factores influyen en la importancia relativa de los parámetros.

Consecuencia operativa. El Artículo 27 hace de la transparencia del sistema de recomendación una obligación horizontal a través de todas las plataformas en línea, no solo las más grandes. La divulgación requerida debe ser sustantiva: no declaraciones genéricas de que «el engagement importa» sino identificación específica de los parámetros que determinan el ranking y la selección de contenido. La divulgación vaga puede constituir incumplimiento incluso cuando se proporciona alguna información de transparencia.

Interacción con el Artículo 22 del RGPD. Muchos sistemas de recomendación también constituyen ADM del Artículo 22 cuando la recomendación efectivamente determina una decisión posterior que afecta al usuario (contenido mostrado, anuncios servidos, cuentas suspendidas). Las Directrices 3/2025 del CEPD sobre la interrelación DSA-RGPD (septiembre de 2025) consolidan la relación: la transparencia del Artículo 27 del DSA opera junto con las salvaguardias del Artículo 22 del RGPD, y las plataformas deben satisfacer ambos regímenes. Los sistemas de recomendación a menudo enfrentan obligaciones concurrentes bajo el Artículo 27 del DSA (transparencia sobre parámetros), el Artículo 38 del DSA (opción de no-perfilado para VLOPs) y el Artículo 22 del RGPD (salvaguardias para ADM con efectos significativos).

—

Artículo 34: evaluaciones de riesgos sistémicos para VLOPs y VLOSEs

El Artículo 34 impone la obligación de evaluación anual de riesgos sistémicos a VLOPs y VLOSEs. La disposición es el principal vehículo sustantivo para la rendición de cuentas algorítmica bajo el DSA.

Cadencia anual. Las VLOPs y VLOSEs deben, anualmente, identificar, analizar y evaluar diligentemente cualquier riesgo sistémico que se derive del diseño, funcionamiento o uso de sus servicios y sistemas relacionados, incluidos los sistemas algorítmicos.

Categorías de riesgo sistémico. El Primer Informe Anual de la Comisión sobre riesgos sistémicos (Artículo 35(2) del DSA, publicado a finales de 2025) consolidó las categorías recurrentes de riesgo sistémico en cuatro áreas:

• Difusión de contenido ilegal — productos ilegales, contenido terrorista, material de abuso sexual infantil (CSAM), discurso de odio
• Impactos en derechos fundamentales — libertad de expresión, no discriminación, privacidad, protección al consumidor
• Riesgos al discurso cívico, elecciones y seguridad pública — desinformación, manipulación informativa extranjera, amplificación algorítmica
• Riesgos relacionados con violencia de género, salud pública, protección de menores y bienestar mental

Los riesgos sistémicos conciernen al diseño, funcionamiento y efectos a gran escala de la plataforma más que a piezas individuales de contenido. La Comisión enfatizó esta distinción: las evaluaciones de riesgos del Artículo 34 son sobre el nivel sistémico (cómo opera la plataforma como sistema), no el nivel de moderación de contenido (si elementos específicos deben ser eliminados).

Factores de evaluación. Al realizar las evaluaciones de riesgos, las plataformas deben tener en cuenta cómo sus términos y condiciones, sistemas de selección de publicidad, y sistemas algorítmicos o de recomendación pueden influir en los riesgos sistémicos. También deben considerar el riesgo de manipulación intencional de sus servicios, incluida la rápida difusión de desinformación.

Primeras evaluaciones anuales de riesgos. Las VLOPs y VLOSEs estaban obligadas a realizar y presentar sus primeras evaluaciones anuales de riesgos a la Comisión Europea antes del 25 de agosto de 2023. Las evaluaciones anuales subsiguientes han seguido cada agosto.

Consecuencia operativa. El Artículo 34 ha producido frutos sustanciales de aplicación. A principios de 2026, el 27% de todas las acciones de aplicación del DSA contra VLOPs/VLOSEs concernieron al Artículo 34 (17 solicitudes de información, 7 conjuntos de procedimientos formales abiertos en nombre del Artículo 34 solo), enfocados en sistemas de recomendación, protección de menores y riesgos sistémicos de contenido ilegal.

—

Artículo 35: medidas de mitigación del riesgo

El Artículo 35 requiere que las VLOPs y VLOSEs implementen medidas de mitigación razonables, proporcionadas y efectivas en respuesta a los riesgos sistémicos identificados bajo el Artículo 34. Las medidas de mitigación deben abordar los riesgos sistémicos específicos identificados y deben adaptarse al diseño y funcionamiento de la plataforma.

Las categorías de medidas de mitigación incluyen:

• Adaptar el diseño, funcionamiento o términos y condiciones para reducir la exposición al riesgo sistémico
• Adaptar los procesos de moderación de contenido incluida la asignación de recursos humanos, herramientas automatizadas y tiempo de procesamiento
• Adaptar los sistemas de recomendación para limitar la amplificación del contenido de riesgo sistémico
• Adaptar los sistemas de publicidad para reducir riesgos (p. ej., excluir ciertos anunciantes de contextos sensibles)
• Promover la visibilidad de fuentes de información autorizadas en contextos críticos (elecciones, salud pública)
• Adoptar medidas cooperativas con investigadores, sociedad civil y otros stakeholders

El informe anual del Artículo 35(2) de la Junta Europea de Servicios Digitales (finales de 2025) consolida las mejores prácticas emergentes sobre medidas de mitigación. El Código de Prácticas sobre Desinformación, integrado en la aplicación del DSA en febrero de 2025, proporciona un marco operativo para la mitigación en el dominio de la desinformación.

—

Artículo 37: auditorías independientes

El Artículo 37 impone la obligación de auditoría independiente anual a VLOPs y VLOSEs. Esta es la característica más operativamente distintiva de la arquitectura de rendición de cuentas algorítmica del DSA: las VLOPs y VLOSEs deben encargar, a su propia costa, auditorías anuales del cumplimiento de todas las obligaciones del DSA, incluida la transparencia algorítmica, la evaluación de riesgos sistémicos y las medidas de mitigación.

Calendario de auditorías. Las primeras auditorías debían completarse dentro de un año de la designación, antes del 25 de agosto de 2024. Las auditorías anuales subsiguientes han seguido cada año.

Reporte público. Las VLOPs y VLOSEs tienen 3 meses desde la recepción del informe de auditoría para preparar y publicar un informe público sobre el resultado de la evaluación de riesgos, las medidas de mitigación, los hallazgos de la auditoría y las acciones de implementación de la auditoría tomadas. Esto crea una capa de transparencia operativa que es públicamente accesible.

Independencia del auditor. Los auditores deben ser organizaciones independientes, con capacidad técnica suficiente para el trabajo de auditoría del DSA. La Comisión ha publicado progresivamente guía sobre la independencia del auditor y la metodología de auditoría, con ECAT proporcionando input técnico sobre lo que constituye una auditoría sustantiva de los sistemas algorítmicos versus la revisión formalista de procesos.

Auditoría del Artículo 37 e ISO/IEC 42001. El solapamiento sustantivo entre el alcance de la auditoría del Artículo 37 (transparencia algorítmica, evaluación de riesgos, medidas de mitigación) y los requisitos del sistema de gestión de IA de la ISO/IEC 42001 (gobernanza, gestión del riesgo, controles del ciclo de vida) significa que las organizaciones con implementaciones maduras de ISO/IEC 42001 están operativamente mejor posicionadas para las auditorías del DSA. La certificación acreditada ISO/IEC 42001 se referencia cada vez más en las discusiones de metodología de auditoría del DSA como el estándar internacional de aseguramiento más directamente relevante.

—

Artículo 38: opción de no-perfilado del sistema de recomendación

El Artículo 38 impone una obligación específica a VLOPs y VLOSEs que va más allá del requisito horizontal de transparencia del Artículo 27: las VLOPs y VLOSEs deben proporcionar al menos una opción para sus sistemas de recomendación que no se base en perfilado (en el sentido del Artículo 4(4) del RGPD).

Implicaciones operativas.

• La opción de no-perfilado debe ser una alternativa genuina, no una versión degradada del sistema basado en perfilado
• Los usuarios deben poder acceder fácilmente y seleccionar la opción de no-perfilado
• Los ajustes por defecto pueden ser legalmente el sistema basado en perfilado, pero la opción de no-perfilado debe permanecer disponible y accesible
• La alternativa de no-perfilado debe ser sustantivamente funcional — p. ej., feeds cronológicos, feeds basados en popularidad u otras alternativas algorítmicas que no se basen en perfilado individual del usuario

El Artículo 38 representa la obligación algorítmica más directa en el DSA: limita lo que las VLOPs y VLOSEs pueden ofrecer a los usuarios, requiriendo al menos una elección tecnológica que respete la autonomía del usuario frente al perfilado individualizado.

—

Artículo 40: acceso de investigadores a datos

El Artículo 40 establece acceso estructurado de investigadores a los datos de la plataforma para la investigación de riesgos sistémicos. La disposición crea la infraestructura institucional para la investigación empírica de rendición de cuentas de IA fuera de la propia plataforma.

Dos niveles de acceso.

• Artículo 40(4): Los investigadores acreditados pueden solicitar acceso a datos no públicos de la plataforma necesarios para investigación que contribuya a la detección, identificación y comprensión de riesgos sistémicos en la UE. El acto delegado de implementación sobre acceso a datos entró en vigor el 29 de octubre de 2025.
• Artículo 40(12): Todos los investigadores pueden acceder a datos de la plataforma públicamente disponibles a través de mecanismos razonables proporcionados por VLOPs y VLOSEs.

Estatus de investigador acreditado. El Artículo 40 requiere que los Coordinadores de Servicios Digitales de los Estados miembros acrediten a los investigadores antes de conceder acceso a datos no públicos. Los criterios de acreditación incluyen afiliación institucional, metodología de investigación, capacidad de seguridad de datos y ausencia de conflicto de interés comercial.

Consecuencia operativa. Las conclusiones preliminares de octubre de 2025 contra Meta y TikTok se enfocaron sustancialmente en la implementación del Artículo 40: la Comisión encontró que ambas plataformas habían implementado procedimientos excesivamente onerosos y restrictivos que efectivamente limitaban el acceso de investigadores a datos públicos, contrariamente a la obligación del Artículo 40(12). Las conclusiones demostraron que la fricción procedimental puede constituir incumplimiento sustantivo.

—

Designaciones VLOP/VLOSE y el rol del DSC irlandés

La arquitectura de aplicación del DSA concentra las plataformas digitales más grandes bajo aplicación directa de la Comisión Europea, con los Coordinadores Nacionales de Servicios Digitales manejando los servicios más pequeños y apoyando la aplicación de la Comisión.

Designaciones iniciales (abril de 2023). 17 VLOPs y 2 VLOSEs fueron designadas con base en el umbral del Artículo 33 de 45 millones de usuarios activos mensuales promedio en la UE. Las VLOPs iniciales incluyeron Facebook, Instagram, TikTok, X, YouTube, Snapchat, LinkedIn, Pinterest, Amazon Store, Booking.com, Zalando, Google Play, Google Maps, Google Shopping, AliExpress y plataformas adicionales. Las VLOSEs iniciales fueron Google Search y Bing.

Designaciones posteriores. La Comisión ha designado progresivamente VLOPs adicionales a medida que las plataformas alcanzan el umbral de usuarios. La lista se expande en lugar de contraerse: la designación VLOP es operativamente permanente para las plataformas activas.

Concentración irlandesa. 13 de las 17 VLOPs originalmente designadas tienen su sede en Irlanda, lo que convierte al Coimisiún na Meán irlandés en el principal Coordinador Nacional de Servicios Digitales para las grandes plataformas tecnológicas estadounidenses. El DSC irlandés trabaja en estrecha coordinación con la Comisión Europea para la aplicación VLOP y sirve como DSC líder para asuntos transfronterizos que afectan a las plataformas con sede en Irlanda. El rol del DSC irlandés en las conclusiones preliminares de octubre de 2025 contra Meta y TikTok fue sustantivamente significativo.

La Junta Europea de Servicios Digitales. Coordina la aplicación consistente del DSA a través de los Estados miembros. La Junta está compuesta por todos los DSC y presidida por la Comisión. Los informes anuales del Artículo 35(2) sobre riesgos sistémicos son preparados por la Junta.

El Centro Europeo de Transparencia Algorítmica (ECAT). Lanzado en 2023 dentro del Centro Común de Investigación de la Comisión Europea. ECAT proporciona experiencia científica y técnica para apoyar la aplicación del DSA, incluida la prueba de sistemas algorítmicos, la metodología de evaluación de riesgos y el desarrollo del marco de auditoría. ECAT es la primera capacidad pública dedicada del mundo a la auditoría algorítmica.

—

Aplicación: multas del 6% y el ciclo 2024-2026

Los dientes de aplicación del DSA son sustantivamente más altos que los del RGPD y han sido progresivamente activados durante 2024-2026.

Estructura de sanciones. El Artículo 74 establece multas administrativas hasta el 6% del volumen de negocios anual mundial total para VLOPs y VLOSEs. Esto es estructuralmente por encima del máximo del 4% del RGPD y sustancialmente por encima de las sanciones del Reglamento de IA de la UE para la mayoría de las disposiciones. Los pagos periódicos de penalización pueden imponerse para forzar el cumplimiento continuo.

Conclusiones preliminares contra X (Twitter), julio de 2024. Las primeras conclusiones preliminares del DSA contra cualquier plataforma. La Comisión encontró incumplimientos preliminares relativos a las obligaciones de transparencia y la protección al usuario. El caso X fue particularmente notable por el contencioso intercambio público entre la Comisión y Elon Musk que siguió.

Conclusiones preliminares contra Meta y TikTok, 24 de octubre de 2025. Acción de aplicación histórica que cubre:

• Acceso de investigadores a datos (Artículo 40): tanto Meta (Facebook, Instagram) como TikTok preliminarmente encontradas en haber implementado procedimientos excesivamente onerosos que restringían el acceso de investigadores a datos públicos
• Mecanismos de notificación y acción del usuario (Meta): Facebook e Instagram preliminarmente encontradas en carecer de mecanismos amigables al usuario para que los usuarios notifiquen contenido ilegal
• Apelaciones de moderación de contenido (Meta): Facebook e Instagram preliminarmente encontradas en carecer de mecanismos de impugnación efectivos, incluida la incapacidad de los usuarios para proporcionar explicaciones o evidencia de apoyo
• Dark patterns (Meta): ciertas decisiones de diseño de interfaz preliminarmente encontradas en constituir manipulación de la elección del usuario

Si se confirman, las multas podrían alcanzar aproximadamente 9.870 millones de USD para Meta y 1.380 millones de USD para TikTok.

Integración del Código de Prácticas sobre Desinformación, febrero de 2025. El Código voluntario de Prácticas sobre Desinformación de 2022, firmado por VLOPs incluidas TikTok, Meta y YouTube, fue formalmente integrado en la aplicación del DSA en febrero de 2025, trayendo los compromisos voluntarios bajo arquitectura regulatoria vinculante y creando rendición de cuentas sustantiva para la mitigación de la desinformación.

Tasas supervisoras del Artículo 43. La Comisión cobra a las VLOPs y VLOSEs una tasa anual supervisora para financiar la infraestructura de aplicación del DSA. Varias VLOPs (Alphabet, ByteDance, Meta, Zalando) han presentado impugnaciones legales contra la estructura de tasas. Los casos prueban la autoridad de la Comisión para financiar la aplicación a través de tasas supervisoras.

—

Intersecciones con otros regímenes

Cinco intersecciones determinan cómo opera el DSA dentro de la arquitectura regulatoria europea más amplia de IA.

Reglamento de IA de la UE. El DSA y el Reglamento de IA de la UE aplican concurrentemente. Los sistemas de IA usados por VLOPs o VLOSEs pueden estar sujetos a las obligaciones de alto riesgo del Reglamento de IA de la UE (p. ej., IA usada en reclutamiento, crédito u otros sectores del Anexo III) más la transparencia del Artículo 27 del DSA, la evaluación de riesgos sistémicos del Artículo 34 y la opción de no-perfilado del Artículo 38 simultáneamente. Los dos regímenes operan acumulativamente. La evaluación de conformidad del Reglamento de IA de la UE proporciona la capa específica de tecnología; la evaluación de riesgos del Artículo 34 del DSA proporciona la capa sistémica a nivel de plataforma.

RGPD. Aplicación concurrente a través de la mayoría del tratamiento regulado por DSA. Las Directrices 3/2025 del CEPD sobre la interrelación DSA-RGPD (septiembre de 2025) consolidan la relación: la transparencia del Artículo 27 del DSA opera junto con las salvaguardias de ADM del Artículo 22 del RGPD; la opción de no-perfilado del Artículo 38 del DSA encaja con los requisitos del Artículo 22(2)(b) del RGPD para salvaguardias en decisiones automatizadas; el acceso de investigadores a datos bajo el Artículo 40 del DSA debe cumplir con los principios de protección de datos del RGPD para los datos personales involucrados. Ver la Referencia R15 para el análisis específico del RGPD.

Código de Prácticas sobre Desinformación. Instrumento voluntario de 2022 formalmente integrado en la aplicación del DSA en febrero de 2025. Los signatarios incluyen VLOPs y plataformas no-VLOP importantes. El Código proporciona marcos operativos para la mitigación de riesgos sistémicos del Artículo 34 del DSA en el dominio de la desinformación.

Código de Conducta sobre la Lucha contra el Discurso Ilegal de Odio en Línea. Instrumento voluntario de 2016 que operó como precursor del Artículo 34/35 del DSA. Cada vez más integrado con las medidas de mitigación impulsadas por el DSA.

ISO/IEC 42001 y estándares internacionales. Sustantivamente relevantes para la preparación de la auditoría del Artículo 37 de VLOP y VLOSE. El mapeo entre los requisitos del sistema de gestión de IA de la ISO/IEC 42001 y las obligaciones de rendición de cuentas algorítmica del DSA es un área operativa en desarrollo, con auditores referenciando cada vez más la madurez de ISO/IEC 42001 en la metodología de auditoría del DSA.

—

## ⚖️ Cómo opera Zertia frente al entorno de rendición de cuentas algorítmica del DSA de la UE

Pensado para la rendición de cuentas algorítmica del DSA desde el primer día

Acreditaciones y membresías: 🎖️ Acreditada por ANAB (EE.UU.) · 🎖️ Proceso UKAS (Reino Unido) · 🎖️ Proceso ENAC (UE) · 🏛️ Miembro IAPP · 🏛️ Miembro INCITS · 🏛️ Miembro UKAI · 📜 Firmante EU AI Pact

Zertia es una entidad de certificación de sistemas de gestión de IA acreditada por ANAB, con oficinas en Boston, Madrid y Londres, y acreditación ANAB en Estados Unidos. Procesos de acreditación activos están en curso con UKAS (Reino Unido) y ENAC (España/UE). El entorno de rendición de cuentas algorítmica del DSA — evaluaciones anuales obligatorias de riesgos sistémicos bajo el Artículo 34, auditorías independientes anuales obligatorias bajo el Artículo 37, transparencia del sistema de recomendación bajo el Artículo 27, opciones de no-perfilado bajo el Artículo 38, acceso estructurado de investigadores a datos bajo el Artículo 40 y multas del 6% sobre el volumen de negocios anual global — hace que la certificación acreditada y el aseguramiento basado en estándares sean directamente relevantes para VLOPs, VLOSEs y el ecosistema más amplio de plataformas digitales que operan en la UE.

Certificación — ISO/IEC 42001, AIUC-1, ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 22301. La certificación acreditada ISO/IEC 42001 mapea sustantivamente a los procesos de evaluación de riesgos sistémicos del Artículo 34 del DSA, las medidas de mitigación del Artículo 35 y el alcance de auditoría del Artículo 37, proporcionando la base internacional del sistema de gestión de IA que los auditores del DSA reconocen cada vez más. AIUC-1 proporciona aseguramiento técnico a nivel de agente directamente relevante para VLOPs que despliegan IA autónoma en sistemas de recomendación, moderación de contenido y publicidad. ISO/IEC 27701 complementa la ISO/IEC 42001 con controles específicos de privacidad alineados con las obligaciones del RGPD que operan junto con la transparencia del Artículo 27 del DSA y los requisitos de no-perfilado del Artículo 38.

Marcos y Regulación — Evaluación de Conformidad EU AI Act, Atestación NIST AI RMF, Evaluación de Riesgos ISO/IEC 23894, Evaluación de Impacto Algorítmico, Evaluación Pre-Certificación. Evaluaciones de Impacto Algorítmico estructuradas para satisfacer los requisitos de evaluación anual de riesgos sistémicos del Artículo 34 del DSA concurrentemente con la evaluación de impacto en derechos fundamentales del Reglamento de IA de la UE y la DPIA del Artículo 35 del RGPD, produciendo documentación unificada de IA de alto riesgo que apoya la revisión de cumplimiento paralela del DSA, el Reglamento de IA de la UE y el RGPD. La Evaluación de Conformidad EU AI Act se integra con los procesos del Artículo 34/35 del DSA para VLOPs que despliegan sistemas de IA de alto riesgo.

Auditoría — Auditoría de Sistema de Gestión de IA, Auditoría de Sistemas de IA de Alto Riesgo, Auditoría de Modelo de IA, Auditoría EU AI Act, Auditoría de Riesgo IA NIST. Auditorías independientes estructuradas para apoyar la preparación de la auditoría del Artículo 37 del DSA, la conformidad del Reglamento de IA de la UE y los contextos de aplicación del RGPD. Particularmente relevante para VLOPs y VLOSEs preparando o sometidas a auditorías del Artículo 37, y para el ecosistema más amplio de plataformas en línea que se acercan al umbral de 45 millones de usuarios activos mensuales en la UE.

Formación — Gobernanza de IA, Gobernanza de Datos, Gobernanza de Privacidad a través de Zertia Academy. Los programas tratan explícitamente el marco de rendición de cuentas algorítmica del DSA, incluida la metodología de evaluación de riesgos sistémicos del Artículo 34, la preparación de auditoría del Artículo 37, la transparencia del sistema de recomendación del Artículo 27, la arquitectura de no-perfilado del Artículo 38, el acceso de investigadores a datos del Artículo 40, el rol del Centro Europeo de Transparencia Algorítmica, y la integración con el Reglamento de IA de la UE y el RGPD para organizaciones que operan a través de múltiples regímenes regulatorios europeos. Particularmente relevante para los equipos legales, de cumplimiento, de trust and safety y de gobernanza de IA en VLOPs, VLOSEs y plataformas digitales que se acercan a la designación VLOP.

Zertia opera desde Boston, Madrid y Londres, con acreditación ANAB en Estados Unidos y procesos de acreditación activos con UKAS y ENAC. Miembro de IAPP, INCITS y UKAI. Firmante del EU AI Pact.

🎯 Pasa a la acción

🔍 Diagnostica tu exposición VLOP	📊 Construye la evidencia audit-ready
Evaluación Pre-Certificación →	ISO/IEC 42001 + AIUC-1 →
Diagnóstico independiente de la preparación de auditoría del artículo 37 del DSA, la evaluación de riesgos sistémicos del artículo 34 y la intersección de transparencia algorítmica entre DSA y Reglamento de IA para VLOPs y VLOSEs.	Certificación integrada que combina ISO/IEC 42001 (gestión de IA) con AIUC-1 (certificación de agentes) para organizaciones que operan sistemas algorítmicos a la escala donde las obligaciones de DSA y Reglamento de IA aplican simultáneamente.

Discutir rendición de cuentas algorítmica del DSA y posicionamiento regulatorio integrado de la UE →

—