El Reglamento Europeo de IA (EU AI Act): qué tiene que hacer tu empresa

El Reglamento Europeo de IA (EU AI Act) es la primera ley integral del mundo que regula la inteligencia artificial, y ya no es un asunto del futuro. Sus obligaciones están entrando en vigor por etapas, y las partes que afectan a la mayoría de empresas ya están vivas o llegan pronto. Si tu empresa crea, vende o simplemente usa IA dentro de la UE —o atiende a clientes de la UE— te aplica.

La buena noticia: para la gran mayoría de empresas, cumplir es manejable. La mala: “no sabíamos que nos aplicaba” no es una defensa, y las sanciones son serias —hasta 35 millones de euros o el 7% de la facturación anual global en las infracciones más graves. Esto es lo que de verdad importa, en lenguaje claro.

Funciona por riesgo, no por tecnología

El Reglamento no regula “la IA” como un bloque. Clasifica los sistemas de IA en niveles según el daño que podrían causar, y las obligaciones crecen con el nivel.

• Riesgo inaceptable — prohibido. Cosas como el scoring social por parte de gobiernos, los sistemas manipuladores que explotan vulnerabilidades y la mayor parte de la identificación biométrica en tiempo real en espacios públicos. Simplemente están prohibidos.
• Alto riesgo — muy regulado. IA usada en contratación, scoring crediticio, educación, infraestructura crítica, dispositivos médicos, fuerzas de seguridad y ámbitos de consecuencias similares. Este nivel concentra el grueso de las obligaciones.
• Riesgo limitado — solo transparencia. Chatbots, contenido generado por IA y similares. El requisito central es la honestidad: las personas deben saber que interactúan con IA o que ven material generado por IA.
• Riesgo mínimo — prácticamente sin regular. Filtros de spam, motores de recomendación, la mayoría de la automatización interna. La gran mayoría de la IA empresarial vive aquí.

El primer paso más importante es averiguar en qué nivel cae cada uno de tus usos de IA. La mayoría de empresas descubren que están sobre todo en “limitado” o “mínimo” —pero a menudo tienen uno o dos sistemas discretamente situados en “alto riesgo” que no habían detectado.

Qué exige realmente el “alto riesgo”

Si operas un sistema de alto riesgo, las obligaciones son sustanciales pero concretas:

• Un sistema de gestión de riesgos mantenido a lo largo de todo el ciclo de vida.
• Gobernanza de datos: comprobaciones de calidad, relevancia y sesgo en los datos de entrenamiento y de entrada.
• Documentación técnica y registro detallado (logging) del funcionamiento del sistema.
• Transparencia para que quienes lo despliegan sepan usarlo correctamente.
• Supervisión humana diseñada en el sistema, no añadida a posteriori.
• Precisión, robustez y ciberseguridad apropiadas al caso de uso.
• Una evaluación de conformidad antes de que el sistema llegue al mercado.

Este es justo el tipo de requisito en que cómo se construye el software importa enormemente. Cumplir sale mucho más barato cuando la documentación, el logging y la supervisión se diseñan desde el primer día en lugar de añadirse después. Es una razón clave por la que tratamos la gobernanza como parte del encargo de ingeniería en nuestro trabajo de software a medida, no como papeleo al final.

Las reglas de transparencia alcanzan a casi todos

Aunque nada de lo que hagas sea de alto riesgo, las obligaciones de transparencia del riesgo limitado son amplias y fáciles de pasar por alto:

• Chatbots y asistentes de IA deben dejar claro que el usuario habla con una máquina.
• Contenido generado o manipulado por IA (imágenes, audio, vídeo, textos publicados para informar al público) debe etiquetarse, y cada vez más llevar marcas de procedencia legibles por máquina.
• Los deepfakes deben revelarse como generados artificialmente.

Si has añadido un asistente de IA a tu web o a tu producto en el último año, esto casi seguro te aplica. El arreglo suele ser pequeño —etiquetado y aviso claros— pero hay que hacerlo de verdad. Cuando construimos integraciones de IA, esta capa de aviso forma parte del estándar, no es un extra.

El calendario que conviene tener en la cabeza

El Reglamento aplica en oleadas. Las prohibiciones de los sistemas de riesgo inaceptable llegaron primero. Las obligaciones para los modelos de IA de propósito general fueron después. El régimen completo de alto riesgo entra en una ventana más larga, con algunas reglas de productos integrados llegando al final. Las fechas exactas se mueven a medida que se publican guías, así que el consejo práctico es simple: no esperes al plazo que aplica a tu sistema de mayor riesgo para empezar. El inventario y la clasificación llevan tiempo, y la subsanación lleva más.

Una ruta de cumplimiento pragmática

No necesitas un departamento jurídico dedicado a la IA. Necesitas un recorrido estructurado por cinco pasos:

1. Inventaria todos los sistemas de IA que creas o usas —incluidos los que vienen integrados en herramientas que compraste.
2. Clasifica cada uno por nivel de riesgo. De aquí sale la mayor parte de la claridad.
3. Aplica el etiquetado de transparencia allá donde muerdan las reglas de riesgo limitado —es rápido y elimina la exposición más fácil.
4. Para lo que sea de alto riesgo, construye la documentación, el logging, la supervisión y la evaluación que exige el Reglamento —idealmente mejorando cómo está hecho el sistema, no escribiendo informes sobre él.
5. Asigna responsabilidad. Alguien tiene que mantener el inventario al día a medida que adoptas más IA, porque lo harás.

Para muchas medianas empresas, lo difícil no es el trabajo en sí sino saber por dónde empezar y quién debe asumirlo. Esta es una de las razones más comunes por las que las empresas incorporan liderazgo técnico sénior en formato CTO externo —para hacer el inventario, tomar las decisiones de riesgo y montar la gobernanza para que siga funcionando a medida que crece la huella de IA de la empresa.

El cambio de mentalidad

Es tentador tratar el Reglamento de IA como un impuesto de cumplimiento —un coste a minimizar. Las empresas que mejor lo gestionan lo ven distinto. Construir IA documentada, auditable, transparente y supervisada por personas no solo es más seguro legalmente; es mejor ingeniería. Produce sistemas en los que puedes confiar, que puedes depurar y explicar a tus clientes. Son justo los sistemas que ganan en mercados regulados.

La regulación ya está aquí. Tratarla como una excusa para construir IA bien —en vez de como un obstáculo a salvar— es la jugada que sale rentable.

---

¿No tienes claro en qué nivel caen tus sistemas de IA, o por dónde empezar? Contacta con nosotros y te ayudamos a mapear tu exposición y una ruta realista hacia el cumplimiento.