Los términos detrás de la IA, el software y la regulación digital europea.

Software que utiliza un modelo de lenguaje para planificar y ejecutar pasos hacia un objetivo, como consultar un expediente, rellenar un formulario o llamar a una API. Un agente actúa dentro de los permisos y herramientas que se le asignan, y cada paso puede quedar registrado.

Un resultado de IA que suena seguro pero que no está respaldado por las fuentes ni por los hechos. Se reduce, sin eliminarse, anclando las respuestas en fuentes recuperadas, exigiendo citas, permitiendo que el sistema diga que no lo sabe y midiendo su frecuencia en la evaluación.

Búsqueda por significado en lugar de por palabras exactas. El texto se convierte en vectores numéricos (embeddings) y el sistema encuentra los pasajes cuyo vector está cerca de la pregunta. En la práctica suele combinarse con la búsqueda por palabras clave, porque los códigos, los nombres y los números de artículo exigen coincidencia exacta.

Una plataforma de datos que guarda la información en formatos abiertos de archivos y tablas sobre almacenamiento de objetos de bajo coste, como un data lake, y añade funciones de almacén de datos: transacciones, esquemas, control de acceso y SQL. Los formatos de tabla abiertos como Apache Iceberg y Delta Lake lo hacen posible.

La prueba sistemática de un sistema de IA con un conjunto de referencia de preguntas o documentos y criterios acordados, como exactitud, anclaje en las fuentes, exhaustividad y abstención cuando no se conoce la respuesta. La evaluación se realiza antes de la puesta en producción y de nuevo tras cada cambio de modelo, prompt o datos.

Un patrón en el que el sistema recupera primero los pasajes pertinentes de fuentes aprobadas, como procedimientos, políticas o expedientes, y después pide al modelo de lenguaje que responda solo a partir de esos pasajes. La respuesta puede citar documento y apartado, y los permisos de acceso del usuario se aplican ya en la recuperación.

Las prácticas que mantienen fiables en producción los sistemas de aprendizaje automático y de modelos de lenguaje: control de versiones de modelos, prompts y datos, evaluación automatizada, canalizaciones de despliegue y seguimiento de la calidad, el coste y el tiempo de respuesta.

Una red neuronal entrenada con enormes cantidades de texto para predecir la palabra siguiente. Puede redactar, resumir, clasificar y extraer información en muchos idiomas, pero no es una base de datos de hechos: sin anclaje en sus propias fuentes puede dar respuestas fluidas y, sin embargo, erróneas.

Un diseño en el que una persona revisa, corrige o aprueba un resultado de IA antes de que surta efecto. Para los sistemas de IA de alto riesgo, el Reglamento de IA exige una supervisión humana efectiva, a cargo de personas con la competencia y la autoridad necesarias para intervenir.

Leer, clasificar y extraer datos de documentos como formularios, facturas, certificados y cartas escaneadas, combinando reconocimiento de texto, análisis de maquetación y modelos de lenguaje. Cada valor extraído lleva una puntuación de confianza; los que quedan por debajo del umbral pasan a revisión por una persona.

Un conjunto de datos gestionado como un producto: con un responsable designado, un esquema documentado, indicadores de calidad publicados, reglas de acceso claras y frecuencias de actualización acordadas, de modo que otros equipos puedan usarlo sin preguntar cómo se construyó.

Controles en torno a un modelo de lenguaje que mantienen su uso dentro de los límites acordados: verificación de entradas y salidas, restricciones temáticas, enmascaramiento de datos personales, comprobación de permisos antes de llamar a una herramienta y pasos de aprobación para las acciones con consecuencias.

Un enfoque en el que primero se diseña y se acuerda la interfaz de un sistema, normalmente como especificación OpenAPI o AsyncAPI, y después se implementa. Otros sistemas, socios e interfaces de usuario se integran luego mediante API documentadas y versionadas, no accediendo directamente a la base de datos.

Una arquitectura en la que los sistemas publican eventos, hechos como «solicitud recibida» o «lectura de contador validada», en un intermediario de mensajes, y otros sistemas reaccionan a ellos a su propio ritmo. Así los sistemas quedan desacoplados: uno puede cambiar o fallar sin detener a los demás.

La familia de normas IEC (IEC 61970, IEC 61968 e IEC 62325) que describe las redes eléctricas, los activos y la comunicación de mercado en un modelo de datos común. Los operadores de red la utilizan para que la planificación, la operación y los sistemas de mercado describan la red de la misma manera.

Un modelo de seguridad en el que no se confía en ningún usuario, dispositivo o servicio por su posición en la red. Cada solicitud se autentica, se autoriza y se evalúa según la identidad, el estado del dispositivo y el contexto, y el acceso se limita a lo que exige la tarea.

Una representación digital de un activo, proceso o red física que se mantiene sincronizada con los datos del objeto real. Sirve para vigilar el estado, probar cambios antes de hacerlos y planificar el mantenimiento. Un modelo 3D sin datos actualizados no es un gemelo.

El estándar abierto de datos para el modelado de información de construcción (BIM), publicado por buildingSMART y como ISO 16739-1. La versión IFC 4.3 incorpora infraestructuras: ferrocarril, carreteras, puertos, vías navegables y puentes, para que los datos de activos pasen del diseño a la obra y a la explotación sin volver a introducirse.

Un entorno de nube preparado en el que la estructura de cuentas o suscripciones, la identidad, la red, las políticas, el registro de actividad y la base de seguridad ya están listos antes de que llegue la primera aplicación. Cada proyecto posterior avanza más rápido y los controles se mantienen homogéneos.

Una lista legible por máquina de los componentes y dependencias de un software, normalmente en formato SPDX o CycloneDX. Muestra rápidamente si una vulnerabilidad recién publicada le afecta. El Reglamento de Ciberresiliencia obliga a los fabricantes a elaborar una para sus productos.

Servicios en la nube en los que la ubicación de los datos, la operación del servicio y la jurisdicción aplicable permanecen bajo control europeo o nacional. Las definiciones varían: esquemas nacionales como SecNumCloud en Francia añaden requisitos explícitos de protección frente a leyes de fuera de la UE.

Una forma de sustituir un sistema heredado paso a paso. Se coloca una fachada delante del sistema antiguo, las funciones se trasladan una a una a servicios nuevos detrás de ella y el sistema antiguo se retira cuando ya nada se dirige a él. Se evita así un único cambio de alto riesgo.

Una plataforma en la nube para crear y ejecutar integraciones, con conectores listos para usar, transformación de datos, orquestación y monitorización en un mismo lugar. SAP Integration Suite y MuleSoft son ejemplos.

Un patrón de arquitectura industrial en el que un intermediario central de eventos mantiene el estado actual de la planta, organizado por centro, área, línea y máquina. Los sistemas publican en él y se suscriben a él, en lugar de conectarse entre sí uno a uno.

La directiva europea que exige que determinados productos y servicios sean accesibles para las personas con discapacidad, entre ellos el comercio electrónico, los servicios bancarios para consumidores, los libros electrónicos y los sitios web, aplicaciones y billetes electrónicos del transporte de viajeros. Se aplica mediante leyes nacionales desde el 28 de junio de 2025.

Una aplicación de cartera, prevista en el Reglamento eIDAS revisado, en la que las personas guardan sus datos de identidad y certificaciones como títulos o licencias, comparten solo lo que un servicio necesita y firman documentos. Cada Estado miembro debe ofrecer al menos una cartera, y muchos servicios públicos y privados tendrán que aceptarla.

El reglamento europeo sobre la resiliencia operativa digital del sector financiero, aplicable desde el 17 de enero de 2025. Regula la gestión del riesgo TIC, la notificación de incidentes, las pruebas de resiliencia y la gestión de los proveedores terceros de servicios TIC, con requisitos contractuales y un registro de información.

La directiva europea sobre la resiliencia física y organizativa de las entidades críticas en once sectores, entre ellos la energía, el transporte, la sanidad, el agua potable y las infraestructuras digitales. Los Estados miembros designan a sus entidades críticas a más tardar el 17 de julio de 2026; después, estas evalúan sus riesgos y adoptan medidas de resiliencia.

El marco de seguridad obligatorio para el sector público español, regulado por el Real Decreto 311/2022, que alcanza también a los proveedores que le prestan servicios tecnológicos. Clasifica los sistemas en categoría básica, media o alta y exige una declaración o certificación de conformidad según la categoría.

La serie de normas internacionales sobre la seguridad de los sistemas de automatización y control industrial. Divide una instalación en zonas conectadas mediante conductos, define niveles de seguridad y reparte las responsabilidades entre propietario, integrador de sistemas y proveedor de productos.

La norma internacional de los sistemas de gestión de la seguridad de la información. Una organización certificada cuenta con un sistema auditado para identificar riesgos de seguridad, elegir controles y mejorarlos de forma continua. FromNine está certificada según ISO/IEC 27001.

La directiva europea sobre ciberseguridad de las entidades esenciales e importantes en sectores como la energía, el transporte, la sanidad, las infraestructuras digitales y la administración pública. Exige medidas de gestión de riesgos, seguridad en la cadena de suministro y notificación de incidentes: una alerta temprana en 24 horas y una notificación en 72 horas. Se aplica mediante leyes nacionales, que difieren de un país a otro.

Una red internacional y un conjunto de especificaciones para intercambiar documentos comerciales estructurados, como facturas y pedidos, a través de puntos de acceso certificados. Bélgica exige desde el 1 de enero de 2026 la factura electrónica estructurada entre empresas, con Peppol como canal por defecto.

El reglamento europeo que fija requisitos de ciberseguridad para los productos con elementos digitales, hardware y software, que se comercializan en la UE. Los fabricantes deben gestionar las vulnerabilidades durante el periodo de soporte y notificar las explotadas activamente a partir del 11 de septiembre de 2026; las obligaciones principales se aplican a partir del 11 de diciembre de 2027.

El reglamento europeo sobre el acceso justo a los datos y su uso, aplicable desde el 12 de septiembre de 2025. Da a los usuarios de productos conectados acceso a los datos que generan esos productos, facilita el cambio entre servicios de nube y de tratamiento de datos, y limita las cláusulas contractuales abusivas sobre el intercambio de datos.

El reglamento europeo sobre inteligencia artificial. Clasifica los sistemas de IA según su riesgo: algunas prácticas están prohibidas, los sistemas de alto riesgo deben cumplir requisitos sobre datos, documentación, supervisión humana y precisión, y algunos sistemas tienen obligaciones de transparencia. Las prohibiciones se aplican desde el 2 de febrero de 2025, las obligaciones de transparencia a partir del 2 de agosto de 2026 y las obligaciones de alto riesgo del anexo III a partir del 2 de diciembre de 2027, tras la modificación de 2026.

El reglamento europeo sobre el tratamiento de datos personales, aplicable desde el 25 de mayo de 2018. Establece principios como la limitación de la finalidad y la minimización de datos, derechos para los interesados y obligaciones para responsables y encargados del tratamiento, incluida la evaluación de impacto en los tratamientos de alto riesgo.

El reglamento europeo sobre la interoperabilidad transfronteriza de los servicios públicos. Los organismos públicos deben evaluar el impacto en la interoperabilidad de los servicios públicos digitales transeuropeos nuevos o modificados, y pueden compartir y reutilizar soluciones de interoperabilidad a través de un portal común.

El sistema europeo, creado por el Reglamento de la pasarela digital única, con el que las autoridades intercambian pruebas oficiales entre países a petición expresa de un ciudadano o una empresa, para que nadie tenga que aportar documentos que la administración ya tiene. Sus obligaciones se aplican desde el 12 de diciembre de 2023.

Los requisitos de la Agencia Tributaria para los sistemas informáticos de facturación, que garantizan la integridad, la trazabilidad y la inalterabilidad de los registros. Se aplican desde el 1 de enero de 2027 a los contribuyentes del Impuesto sobre Sociedades y desde el 1 de julio de 2027 al resto de obligados.

Aparte, la factura electrónica entre empresas será obligatoria desde el 6 de octubre de 2027 para las empresas que facturan más de 8 millones de euros y desde el 6 de octubre de 2028 para las demás.

Las pautas del W3C para la accesibilidad del contenido web, organizadas en criterios de conformidad de nivel A, AA y AAA. El nivel AA es el objetivo habitual en la contratación pública y en la ley; la versión actual es WCAG 2.2, y la norma europea EN 301 549 se basa en estas pautas.