Aviso: Este artículo ofrece información general y no constituye asesoramiento jurídico. La aplicación concreta del Reglamento de IA puede variar según el rol de la empresa, el sistema utilizado, su finalidad, el sector, los datos tratados y el impacto sobre las personas. Antes de tomar decisiones, conviene contrastar cada caso con los equipos de Legal, Compliance, Protección de Datos y Seguridad.
El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, establece las reglas que deben seguir determinadas empresas que desarrollan, comercializan, integran o utilizan sistemas de inteligencia artificial en la Unión Europea.
Su aplicación no depende únicamente de que una empresa utilice ChatGPT, Microsoft 365 Copilot u otra herramienta de IA generativa. También influyen la finalidad del sistema, los datos que procesa, las personas afectadas y el papel que desempeña la organización.
Una compañía que usa IA para redactar contenidos no afrontará necesariamente las mismas obligaciones que otra que emplea algoritmos para seleccionar candidatos, evaluar la solvencia de clientes o gestionar un servicio crítico.
Para prepararse, el primer paso es saber qué sistemas y herramientas de IA utiliza realmente la organización. A partir de ahí, hay que documentar los casos de uso, analizar sus riesgos, revisar los datos y proveedores y establecer responsables y controles.
El objetivo no es aplicar el mismo nivel de burocracia a todas las herramientas, sino adoptar medidas proporcionales al impacto de cada uso.
Qué es el Reglamento Europeo de IA o AI Act
El AI Act es el reglamento europeo que regula determinados sistemas de inteligencia artificial en función del riesgo que pueden generar para la seguridad, la salud o los derechos fundamentales.
Su planteamiento cambia según el uso de la IA:
- Algunas prácticas quedan prohibidas.
- Los sistemas de alto riesgo deben cumplir requisitos reforzados.
- Determinadas herramientas están sujetas a obligaciones de transparencia.
- Los usos de bajo impacto quedan principalmente dentro del ámbito de las buenas prácticas y el gobierno interno.
Este enfoque explica por qué no existe una única lista de obligaciones aplicable a todas las empresas. La misma tecnología puede estar sujeta a controles muy distintos según la función que desempeñe.
Por ejemplo, una herramienta generativa utilizada para preparar un borrador de una presentación no plantea el mismo análisis que un sistema que recomienda qué candidatos deben pasar a la siguiente fase de un proceso de selección.
El Reglamento de IA también distingue entre distintos actores. Una empresa puede ser proveedor si desarrolla o comercializa un sistema, o implementador si lo utiliza bajo su propia responsabilidad. En algunos proyectos pueden intervenir además distribuidores, importadores, fabricantes de productos o proveedores de modelos de propósito general.
El AI Act no afecta, por tanto, solo a las compañías tecnológicas. También puede repercutir en bancos, aseguradoras, empresas industriales, departamentos de recursos humanos, centros educativos, proveedores sanitarios y organizaciones que incorporan IA a sus procesos internos.
A qué empresas afecta el AI Act
El Reglamento puede afectar a una empresa cuando esta:
- Desarrolla sistemas o modelos de IA.
- Integra IA en un producto o servicio.
- Comercializa una solución que incorpora inteligencia artificial.
- Utiliza IA para tomar o apoyar decisiones empresariales.
- Despliega asistentes o herramientas generativas para sus empleados.
- Emplea IA en áreas como selección de personal, evaluación profesional, acceso a servicios, seguridad o gestión de infraestructuras.
- Opera en la Unión Europea bajo las condiciones previstas en el Reglamento, aunque el proveedor tecnológico esté fuera de ella.
Para saber qué obligaciones pueden aplicarse hay que responder a varias preguntas:
- ¿Qué papel desempeña la empresa frente al sistema?
- ¿Qué hace exactamente la herramienta?
- ¿Para qué se utiliza?
- ¿Qué datos procesa?
- ¿A quién puede afectar su resultado?
- ¿El sistema se limita a asistir a una persona o toma decisiones de forma automatizada?
- ¿El uso está relacionado con un sector regulado?
Esta evaluación es especialmente importante en empresas que han incorporado funciones de IA de manera gradual. Una plataforma de recursos humanos, un CRM o una solución de atención al cliente pueden haber añadido capacidades inteligentes sin que exista un proyecto formal de IA identificado como tal.
¿El Reglamento de IA europeo también afecta a las empresas españolas?
Una empresa española puede estar sujeta al Reglamento de IA cuando desarrolla, comercializa o utiliza sistemas incluidos en su ámbito de aplicación.
La ubicación del proveedor no resuelve por sí sola el análisis: también importa dónde se comercializa el sistema, dónde se utiliza y dónde pueden producirse sus efectos.
Además, el AI Act no sustituye automáticamente otras obligaciones aplicables. Es decir, la empresa puede tener que coordinar su cumplimiento con el RGPD, la normativa laboral, la regulación sectorial, la ciberseguridad, la propiedad intelectual o las reglas de contratación.
Calendario del AI Act: qué cambia en 2026
El AI Act se aplica por etapas. Algunas disposiciones comenzaron a aplicarse antes de 2026, mientras que otras tienen fechas específicas.
El calendario general del Reglamento de IA europeo incluye estos hitos:
- 2 de febrero de 2025
Aplicación de las disposiciones generales, incluidas determinadas prohibiciones y las obligaciones de alfabetización en IA.
- 2 de agosto de 2025
Aplicación de las reglas de gobernanza y de determinadas obligaciones para los modelos de IA de propósito general.
- 2 de agosto de 2026
Fecha general de aplicación del Reglamento, con las excepciones y plazos específicos previstos en el propio texto.
- 2 de agosto de 2027
Aplicación de determinados requisitos relacionados con sistemas de alto riesgo vinculados a productos regulados, de acuerdo con los plazos aplicables.
La fecha del 2 de agosto de 2026 es importante, pero no debe interpretarse como el comienzo de todas las obligaciones para todas las empresas.
El calendario depende de la categoría del sistema y del papel de la organización. Además, las modificaciones legislativas y los periodos transitorios pueden afectar a determinados plazos.
La consecuencia práctica es clara: no conviene esperar a que llegue una fecha concreta para empezar a organizarse. Identificar las herramientas, asignar responsables y revisar los usos de mayor impacto requiere tiempo, especialmente en organizaciones grandes o con muchos proveedores.
La Comisión Europea mantiene información actualizada sobre la aplicación del Reglamento y sus distintas obligaciones. Antes de publicar una política interna o cerrar una evaluación, es recomendable comprobar el texto vigente y las guías oficiales.
Cómo clasifica el AI Act los sistemas de IA por nivel de riesgo
El Reglamento utiliza cuatro grandes categorías de riesgo. La clasificación debe hacerse atendiendo al sistema y a su finalidad concreta.
1. Prácticas prohibidas
La empresa debe comprobar que sus procesos no utilizan prácticas incluidas en las categorías prohibidas por el Reglamento.
Esta revisión no debería limitarse a los sistemas comprados por el departamento de IT. También puede ser necesario examinar automatizaciones de procesos con IA, herramientas de terceros y soluciones creadas directamente por las áreas de negocio.
La finalidad es determinante. Una misma tecnología puede utilizarse para una tarea administrativa de bajo impacto o para influir en una decisión que afecta a una persona. El análisis debe centrarse en el uso real, no solo en el nombre del producto.
2. Sistemas de alto riesgo
Los sistemas de alto riesgo están sujetos a requisitos más exigentes. Según el caso, pueden ser necesarios controles sobre gestión de riesgos, datos, documentación, supervisión humana, precisión, robustez y ciberseguridad en IA.
No todos los sistemas utilizados en un sector sensible son automáticamente de alto riesgo. La clasificación debe contrastarse con las categorías, condiciones y excepciones que establece el Reglamento.
3. Herramientas sujetas a transparencia
Algunas aplicaciones deben informar a las personas de que están interactuando con un sistema de IA o de que determinado contenido ha sido generado o manipulado mediante IA, cuando se cumplan las condiciones previstas.
En la práctica, la empresa debería preguntarse:
- ¿El usuario sabe que está interactuando con una máquina?
- ¿El sistema genera contenido que puede confundirse con contenido humano?
- ¿Quién revisa ese contenido antes de publicarlo?
- ¿Se conserva información sobre el origen o el proceso de generación?
Principales obligaciones del AI Act para empresas
Las obligaciones concretas varían según el sistema. Sin embargo, la preparación de una empresa suele concentrarse en estas áreas:
1. Inventario y clasificación
La empresa debe saber qué sistemas utiliza y qué función cumple cada uno. Después tendrá que determinar si alguno puede estar prohibido, si pertenece a una categoría de alto riesgo o si activa obligaciones de transparencia.
2. Gestión de riesgos y documentación
Los sistemas con mayor impacto requieren un análisis más detallado de sus riesgos, limitaciones, datos, controles y resultados. También es importante conservar la documentación que permita explicar cómo se tomó cada decisión.
3. Supervisión humana
Cuando la IA puede influir en decisiones relevantes, debe quedar claro cuándo interviene una persona, qué puede revisar y qué capacidad tiene para modificar o detener el resultado.
La supervisión no debería reducirse a pulsar un botón de aprobación. La persona responsable necesita disponer de información suficiente, tiempo y autoridad para cuestionar el resultado del sistema.
4. Datos, seguridad y robustez
La empresa debe revisar qué datos utiliza el sistema, quién puede acceder a ellos, cómo se protegen y qué ocurre si el modelo produce resultados erróneos o es atacado.
En sistemas conectados a información corporativa, esto incluye revisar permisos, conectores, registros de actividad y posibles vías de extracción de datos.
5. Transparencia y formación
Los usuarios deben conocer las reglas internas de uso de la IA. También necesitan formación suficiente para entender las limitaciones de las herramientas, proteger la información corporativa y detectar resultados incorrectos.
La adopción de soluciones de IA para empresas debería adaptarse al perfil de cada usuario. No necesita la misma formación quien utiliza un asistente para redactar textos que quien configura un sistema que influye en decisiones de recursos humanos.
6. Revisión de proveedores
Los contratos y evaluaciones de proveedores deberían aclarar, entre otros aspectos:
- Responsabilidades de cada parte.
- Tratamiento y conservación de los datos.
- Subcontratación y proveedores.
- Medidas de seguridad.
- Gestión de incidentes.
- Cambios en el modelo o servicio.
- Disponibilidad de documentación y evidencias.
- Condiciones de salida o migración.
El inventario de IA: el punto de partida
Antes de clasificar riesgos hay que saber qué existe. Por eso, un inventario de IA suele ser una de las primeras medidas que debe adoptar una empresa.
El inventario no debería limitarse a modelos desarrollados internamente. También debe incluir:
- Herramientas de productividad.
- Funciones inteligentes de aplicaciones corporativas.
- Asistentes conectados a documentos.
- Automatizaciones creadas por los departamentos.
- Pruebas piloto y demostraciones.
- Aplicaciones gratuitas o cuentas personales utilizadas para fines profesionales.
- Sistemas adquiridos por áreas de negocio sin intervención inicial de IT.
- Herramientas no aprobadas o Shadow AI.
Campos recomendados para el inventario
- Herramienta o sistema: Nombre comercial o denominación interna.
- Área responsable: Departamento que solicita, utiliza o supervisa la solución.
- Finalidad: Qué tarea realiza y qué resultado genera.
- Datos: Tipo de información que recibe o produce.
- Proveedor: Fabricante, proveedor cloud o equipo interno.
- Integraciones: Aplicaciones, bases de datos o repositorios conectados.
- Usuarios: Perfiles o colectivos con acceso.
- Personas afectadas: Empleados, clientes, candidatos u otros.
- Riesgo: Evaluación inicial y estado de la revisión.
- Controles: Permisos, DLP, revisión humana, login y seguridad.
- Estado: Aprobado, pendiente, restringido o no autorizado.
El inventario también sirve para detectar Shadow AI. No se trata solo de prohibir estas herramientas, sino de entender por qué aparecen y ofrecer alternativas controladas cuando sean necesarias.
El registro debe actualizarse cuando se incorpora una aplicación, cambia el proveedor, se conectan nuevas fuentes de datos o se modifica la finalidad del sistema.
Qué implica el AI Act para Dirección
Dirección debe decidir qué lugar ocupa la estrategia de IA de la empresa y qué nivel de riesgo está dispuesta a aceptar.
Su papel incluye:
- Aprobar una política de uso de IA.
- Asignar responsables y presupuesto.
- Priorizar los casos de uso.
- Definir qué proyectos requieren una revisión reforzada.
- Establecer el nivel de supervisión esperado.
- Pedir información periódica sobre riesgos, incidentes y cumplimiento.
- Integrar la IA en el modelo general de gobierno y gestión de riesgos.
El objetivo no es que dirección revise personalmente cada herramienta, sino crear las condiciones para que las decisiones se tomen con criterios claros y trazables.
También debe evitar dos enfoques extremos: permitir cualquier uso sin controles o bloquear la innovación mediante una prohibición general. La alternativa es establecer categorías, responsabilidades y procesos de aprobación proporcionales.
Qué implica el AI Act para IT, Seguridad y Compliance
Los equipos técnicos deben convertir la política de IA en controles aplicables al día a día.
IT debería mantener la relación de herramientas, integraciones y usuarios. También debe participar en la gestión de cambios y en la retirada de aplicaciones que ya no estén autorizadas.
Seguridad debe analizar los accesos, los datos, los conectores, los registros y los posibles vectores de ataque. En soluciones de IA generativa, como agentes de IA personalizados, conviene prestar atención a la extracción de información, los permisos excesivos y el uso de agentes con capacidad de actuar sobre sistemas corporativos.
Legal, Compliance y el DPO deben ayudar a determinar las obligaciones aplicables, la relación con el RGPD y la documentación necesaria. También pueden intervenir en la revisión de contratos, transparencia, derechos de las personas afectadas y regulación sectorial.
Un proceso común para aprobar nuevos casos de uso de IA puede incluir:
- Descripción de la finalidad.
- Identificación de los datos.
- Evaluación de las personas afectadas.
- Revisión del proveedor.
- Análisis de riesgos.
- Definición de controles.
- Aprobación y revisión posterior.
Para ampliar información, consulta también información sobre gobierno de IA en la empresa y la seguridad de la IA en las empresas.
Cómo prepararse paso a paso para el Reglamento de IA
Paso 1: Localiza dónde se está utilizando la IA
Pregunta a IT, negocio, compras y seguridad qué aplicaciones utilizan capacidades de inteligencia artificial. Incluye las soluciones integradas en plataformas existentes y las pruebas piloto.
No te límites a los proyectos que aparecen en el catálogo oficial de aplicaciones. La revisión debe incluir herramientas adquiridas directamente por los departamentos y servicios utilizados con cuentas individuales.
Paso 2: Crea el inventario
Registra cada herramienta y asígnale un propietario. Si faltan datos, marca el registro como incompleto en lugar de dar por supuesta una clasificación.
El inventario debe ser suficientemente práctico para utilizarlo en las revisiones de seguridad, compras, proveedores y cumplimiento.
Paso 3: Analiza el riesgo
Valora la finalidad, la autonomía del sistema, los datos utilizados, las personas afectadas y la posibilidad de corregir el resultado.
Los casos relacionados con empleo, acceso a servicios, seguridad o derechos fundamentales requieren una revisión especialmente cuidadosa. Si existe duda sobre la categoría aplicable, el caso debe escalarse a Legal, Compliance, DPO o Riesgo.
Paso 4: Aprueba un modelo de gobierno
Define quién solicita, quién evalúa, quién aprueba y quién supervisa cada caso. La responsabilidad no debe quedar únicamente en manos del usuario que ha contratado la herramienta.
El modelo puede incluir un comité de IA para casos complejos y un procedimiento simplificado para usos de bajo impacto.
Paso 5: Revisa datos, seguridad y proveedores
Comprueba permisos, contratos, integraciones, tratamiento de datos, residencia, sub proveedores, medidas de seguridad y mecanismos de auditoría.
También hay que revisar qué sucede cuando el proveedor cambia el modelo, incorpora nuevas funciones o modifica la forma en que procesa la información.
Paso 6: Forma y revisa
Explica a los usuarios qué pueden hacer con cada herramienta y qué información no deben introducir. La formación debe incluir las limitaciones y riesgos de la IA, la revisión de resultados y la comunicación de incidentes.
Después establece revisiones periódicas para comprobar que el sistema, el proveedor y el uso siguen siendo los mismos.
Checklist de preparación para el AI Act
- La empresa sabe qué herramientas de IA utiliza.
- Existe un inventario actualizado.
- Cada sistema tiene un responsable.
- Se ha documentado la finalidad de cada uso.
- Se conocen los datos procesados.
- Se han revisado las herramientas integradas en otras plataformas.
- Se ha investigado la posible existencia de Shadow AI.
- Los casos de mayor impacto tienen una evaluación específica.
- Existe una política interna de uso de IA.
- Se han revisado los accesos, las integraciones y los proveedores.
- Se han definido controles de supervisión humana.
- Se conservan las decisiones y evidencias relevantes.
- Los usuarios han recibido formación.
- Hay un calendario de revisión y actualización.
- Se monitorizan los cambios relevantes de los proveedores y de la normativa.
Errores frecuentes al prepararse para el Reglamento de IA europeo
- Centrarse únicamente en los modelos propios. Muchas empresas utilizan IA a través de herramientas contratadas o integradas.
- Confundir una herramienta empresarial con cumplimiento automático. La configuración y el uso siguen siendo determinantes.
- Hacer el inventario solo una vez. Las aplicaciones, funciones y proveedores cambian.
- Dejar fuera a las áreas de negocio. IT no siempre conoce todos los usos reales.
- No diferenciar asistencia de automatización. El riesgo aumenta cuando el sistema influye en decisiones sobre personas.
- Conservar poca documentación. Sin evidencias es difícil reconstruir qué se evaluó.
- Tratar Shadow AI únicamente como un problema disciplinario. También puede ser una señal de que los usuarios necesitan soluciones aprobadas.
- Esperar a la fecha de aplicación. La clasificación, la contratación de controles y la formación no se resuelven de un día para otro.
Conclusión: el Reglamento de IA europeo exige seguridad y visión
El AI Act no debe entenderse como una barrera para la innovación, sino como una oportunidad para adoptar soluciones de inteligencia artificial para empresas con más criterio y seguridad.
Identificar los sistemas utilizados, conocer los riesgos, proteger los datos y establecer responsabilidades son pasos esenciales para avanzar de forma responsable.
En este proceso, contar con un partner experto en Data & IA, con especial foco en seguridad, gobierno y cumplimiento, puede marcar la diferencia al integrar correctamente las soluciones de IA en la organización y convertir su potencial en resultados reales, sin perder el control.
Fuentes oficiales utilizadas para redactar el artículo:
Adopta la IA en tu empresa de manera segura
Te ayudamos a evaluar tus casos de uso, proteger tu información y construir una hoja de ruta de inteligencia artificial segura, eficiente y alineada con el AI Act.
Preguntas Frecuentes
sobre el AI Act
¿Qué es el AI Act?
El AI Act es el Reglamento de la Unión Europea que establece reglas para determinados sistemas de inteligencia artificial según su riesgo y el papel de las organizaciones que los desarrollan o utilizan.
¿Qué empresas deben cumplir con el Reglamento de IA?
Pueden quedar afectadas las empresas que desarrollen, comercialicen, integren, distribuyan o utilicen determinados sistemas de IA en la Unión Europea, de acuerdo con las condiciones previstas en el Reglamento.
Novedades del AI Act en 2026
El pasado 2 de agosto de 2026 entraron en vigor las obligaciones de transparencia del Artículo 50 de la AI Act, la nueva regulación europea sobre inteligencia artificial.
¿Qué implica esto? Que determinadas soluciones de IA deberán informar claramente cuando un usuario interactúa con un sistema de IA o cuando un contenido ha sido generado artificialmente, especialmente en casos como chatbots, imágenes sintéticas o deepfakes.
Sin embargo, algunas obligaciones comenzaron antes y otras categorías cuentan con calendarios específicos. La situación debe comprobarse con el texto vigente y sus disposiciones transitorias.