Un asistente redacta las respuestas del servicio de atención al cliente, un programa clasifica las candidaturas, un equipo de marketing crea imágenes: la inteligencia artificial se ha instalado sin pasar siempre por el departamento de informática. El reglamento europeo sobre IA, conocido como AI Act, obliga ahora a plantear preguntas muy prácticas. ¿Quién utiliza qué? ¿Para tomar qué decisión? ¿Con qué garantías? Con la vista puesta en septiembre de 2026, el cumplimiento normativo se convierte en un reto organizativo tanto como jurídico.
Este análisis se basa en el reglamento aprobado en 2024 y en su calendario inicial. Los plazos presentados son los de ese texto; las proyecciones operativas no constituyen una constatación de su aplicación efectiva en septiembre de 2026. Los posibles ajustes legislativos y los textos complementarios deben verificarse en su versión aplicable.
Un calendario progresivo, no un interruptor único
El AI Act, que entró en vigor el 1 de agosto de 2024, establece una aplicación por etapas. Su principio consiste en adaptar las exigencias a los riesgos, en lugar de imponer el mismo expediente a un corrector de textos y a un sistema de selección de personal. También regula los modelos de IA de uso general, que pueden servir de base a numerosos servicios.
- 2 de febrero de 2025: aplicación de las prohibiciones relativas a determinadas prácticas y de la obligación de adoptar medidas para garantizar un nivel suficiente de alfabetización en IA del personal implicado.
- 2 de agosto de 2025: aplicación, entre otras, de las normas relativas a los modelos de IA de uso general y de una parte del marco de gobernanza.
- 2 de agosto de 2026: aplicación general prevista por el reglamento, que comprende, entre otras, las obligaciones de transparencia y una gran parte del régimen de los sistemas de alto riesgo.
- 2 de agosto de 2027: plazo previsto para los sistemas de alto riesgo vinculados a determinados productos regulados. Los modelos de uso general comercializados antes del 2 de agosto de 2025 también disponen de un período transitorio hasta esa fecha.
Estos hitos no bastan para resolver todos los casos. Para los sistemas de alto riesgo ya introducidos en el mercado o puestos en servicio antes de agosto de 2026, existen disposiciones transitorias, en particular en función de modificaciones importantes de su diseño. Por tanto, la fecha de compra de un programa no constituye, por sí sola, una respuesta jurídica.
La primera dificultad: saber qué IA se utiliza
En una empresa, el inventario rara vez comienza por un gran modelo desarrollado internamente. Comienza por las funciones añadidas a las herramientas habituales: resúmenes de videoconferencias, generación de presentaciones, análisis de expedientes. También hay que identificar los servicios utilizados directamente por los empleados, a veces con una suscripción individual.
Un mapa útil vincula cada sistema con su proveedor, su finalidad, sus usuarios, sus datos de entrada y sus posibles consecuencias. Un asistente que reformula una oferta de empleo no tiene necesariamente la misma consideración que una herramienta destinada a filtrar candidatos. La clasificación depende del uso previsto y de los criterios del reglamento, no simplemente de la etiqueta «IA».
Después hay que determinar el papel de la empresa. La que utiliza un sistema bajo su autoridad suele ser un responsable del despliegue. La que lo desarrolla, o encarga su desarrollo y lo comercializa bajo su nombre, puede ser un proveedor. Una modificación sustancial o un cambio de finalidad puede trasladar las responsabilidades. Por tanto, comprar una solución no transfiere al vendedor toda la responsabilidad de cumplimiento normativo.
Transparencia: informar, pero sobre todo en el lugar adecuado
El reglamento no obliga a colocar «creado por IA» en cada correo electrónico corregido automáticamente. Prevé obligaciones específicas. Cuando una persona interactúa directamente con un sistema de IA, en principio debe ser informada de ello, salvo que resulte evidente por el contexto. En el caso de un agente conversacional de atención al cliente, la información debe acompañar a la interacción, no quedar olvidada en unas condiciones generales.
Los proveedores de sistemas que generan contenidos sintéticos deben prever un marcado detectable en un formato legible por máquina, según las condiciones del texto. Por su parte, los responsables del despliegue tienen obligaciones de divulgación respecto de las ultrasuplantaciones y de determinados textos publicados para informar al público sobre asuntos de interés público. Existen excepciones y adaptaciones, en particular para las obras creativas y ciertos contenidos sometidos a control editorial humano.
Consecuencia práctica: los equipos de comunicación, marketing y atención al cliente deben examinar sus procesos de publicación. ¿Quién verifica la presencia del marcado? ¿Quién decide el aviso visible? ¿Quién conserva el registro del control editorial? Un código general no sustituye estas decisiones de producción.
Documentación: un expediente proporcional al riesgo
Para los sistemas de alto riesgo, el cumplimiento normativo es más exigente. Por parte del proveedor, comprende, entre otros aspectos, la gestión de riesgos, la documentación técnica, la trazabilidad, las instrucciones de uso, la supervisión humana y los requisitos de solidez. Por parte del responsable del despliegue, es necesario, entre otras cosas, respetar las instrucciones, encomendar la supervisión a personas competentes y vigilar el funcionamiento del sistema.
Los registros generados automáticamente, cuando están bajo el control del responsable del despliegue, deben conservarse en principio durante al menos seis meses, salvo que el Derecho aplicable disponga lo contrario. En el ámbito laboral, la utilización de un sistema de alto riesgo también implica informar a los representantes de los trabajadores y a los empleados afectados antes de su puesta en servicio o utilización.
Sin embargo, la evaluación de impacto sobre los derechos fundamentales no es un trámite universal: se dirige a determinadas categorías de responsables del despliegue y a ciertos usos. No debe confundirse con la evaluación de impacto relativa a la protección de datos del RGPD. Ambas normativas pueden aplicarse simultáneamente.
Formar a los equipos, más allá del tutorial de prompts
La obligación de alfabetización en IA afecta a proveedores y responsables del despliegue. Exige medidas adaptadas a los conocimientos, la experiencia y la formación de las personas, así como al contexto de uso. El reglamento no impone una certificación única ni un número uniforme de horas de formación.
Un técnico de selección debe comprender los riesgos de discriminación y las limitaciones de una clasificación automatizada. Un asesor de atención al cliente debe saber cuándo retomar el control. Un desarrollador debe identificar los datos que no puede transmitir a un servicio externo. Para todos, una competencia sigue siendo fundamental: reconocer que una respuesta convincente puede ser falsa.
Documentar las formaciones, evaluar los conocimientos adquiridos y organizar un procedimiento de alerta pueden dar credibilidad a este enfoque. Una firma al pie de un código de conducta no demuestra, por sí sola, que los equipos sepan utilizar la herramienta de forma responsable.
Convertir el cumplimiento normativo en una rutina de compra
La palanca más eficaz podría ser el proceso de compra. Antes de cualquier despliegue, algunas preguntas estructuran el diálogo: ¿qué clasificación adopta el proveedor? ¿Qué instrucciones facilita? ¿Cómo comunica una evolución del modelo? ¿Qué registros siguen siendo accesibles? La evaluación debe reunir a las áreas de negocio, informática, seguridad, asesoría jurídica y protección de datos, en lugar de circular entre departamentos después de un incidente.
¿Y ahora qué? El escenario más plausible es el de un cumplimiento normativo integrado en las tareas habituales: comprar, configurar, formar, publicar, controlar. Las empresas que hayan vinculado su inventario a responsabilidades claras podrán adaptar más fácilmente sus prácticas a las precisiones normativas. El objetivo no será elaborar el archivador más voluminoso, sino poder explicar qué hace la IA, por qué se utiliza y quién puede detener su funcionamiento.
