Un asistente que resume reuniones, un programa que clasifica candidaturas, un chatbot que responde a los clientes: bajo una misma etiqueta, «IA», tres usos, tres perfiles de riesgo y responsabilidades distintas. En este mes de septiembre de 2026, la cuestión ya no es solo elegir el mejor modelo. Es saber quién paga su documentación, quién controla sus resultados y quién responde cuando falla. El AI Act incorpora la gobernanza de la inteligencia artificial a las decisiones presupuestarias. Con una dificultad: la factura se reparte entre informática, asesoría jurídica, recursos humanos, compras y las distintas áreas de negocio.
Un calendario progresivo, no una revolución regulatoria de la noche a la mañana
El reglamento europeo de IA entró en vigor el 1 de agosto de 2024. Su calendario inicial contempla varias etapas: prohibición de determinadas prácticas y obligación de adoptar medidas para garantizar un nivel suficiente de alfabetización en IA desde el 2 de febrero de 2025; disposiciones relativas, entre otros aspectos, a los modelos de IA de uso general a partir del 2 de agosto de 2025; aplicación de la mayor parte del texto el 2 de agosto de 2026. Algunas obligaciones relacionadas con los sistemas de alto riesgo integrados en productos regulados están previstas para agosto de 2027.
Estas fechas constituyen el marco adoptado en 2024, en el que se basa este análisis situado en septiembre de 2026: no prejuzgan posibles ajustes legislativos posteriores. También existen regímenes transitorios para determinados sistemas y modelos ya comercializados. Por tanto, una empresa no puede deducir su plazo únicamente de la fecha de compra: debe examinar el papel que desempeña, el uso previsto y las modificaciones realizadas.
El error sería concluir que todos los programas deben someterse al mismo procedimiento. El AI Act se basa en un enfoque de riesgo. Una herramienta de redacción interna no es automáticamente un sistema de alto riesgo. Un sistema destinado a seleccionar candidatos, en cambio, puede entrar en esa categoría. La clasificación jurídica se convierte así en la primera inversión útil: evita tanto un cumplimiento insuficiente como controles innecesariamente gravosos.
El primer gasto: saber qué se utiliza
Antes de comprar una plataforma de gobernanza, hay que revisar lo que hay. Las empresas deben identificar las funciones de IA presentes en sus programas, los servicios contratados directamente por los equipos y los desarrollos internos. Este trabajo va más allá del inventario informático: una misma herramienta puede servir para preparar un borrador sin consecuencias particulares o para orientar una decisión sobre un empleado.
En concreto, cada uso debería contar con un responsable, una finalidad descrita, usuarios identificados y un registro de los datos utilizados. El departamento jurídico no puede elaborar por sí solo este mapa. Las áreas de negocio conocen las prácticas reales; informática sabe cómo se integran las herramientas; compras dispone de los contratos. Por tanto, el coste inicial es, en gran medida, un coste de coordinación, a menudo subestimado en los proyectos piloto.
Proveedor o usuario: una frontera que sale cara
El reglamento distingue, en particular, entre el proveedor, que desarrolla o encarga el desarrollo de un sistema para comercializarlo o ponerlo en servicio bajo su nombre, y el responsable del despliegue, que lo utiliza bajo su autoridad. Una empresa cliente no hereda automáticamente todas las obligaciones del desarrollador. Pero tampoco puede considerar que contratar una suscripción externaliza toda responsabilidad.
En el caso de los sistemas de alto riesgo, el proveedor debe, entre otras cosas, organizar la gestión de riesgos, elaborar la documentación técnica, prever el registro de actividades y cumplir los requisitos aplicables antes de su introducción en el mercado. El responsable del despliegue debe, entre otras obligaciones, respetar las instrucciones, encomendar la supervisión humana a personas competentes y vigilar el funcionamiento. Algunas evaluaciones del impacto sobre los derechos fundamentales afectan a categorías específicas de responsables del despliegue, no indistintamente a todas las empresas.
La frontera puede desplazarse cuando una organización pone su nombre en un sistema, lo modifica sustancialmente o cambia su finalidad en las condiciones previstas por el texto. Por tanto, personalizar una solución no siempre es una simple compra informática. Los contratos deben precisar el acceso a la información necesaria, la gestión de incidentes y las consecuencias de una actualización. Sin embargo, una cláusula comercial no puede eliminar una responsabilidad establecida por la ley.
Documentación, control y formación: tres partidas presupuestarias permanentes
Aportar pruebas, no solo principios
Un código ético no sustituye ni las instrucciones de uso ni los elementos técnicos exigibles. Las empresas afectadas deben financiar la recopilación de pruebas, su validación y su actualización. Los proveedores de modelos de IA de uso general cuentan con un marco específico que incluye, en particular, obligaciones de documentación e información, con requisitos adicionales para los modelos que presentan un riesgo sistémico. Sin embargo, comprar un modelo no significa adquirir un cumplimiento normativo completo para la aplicación construida en torno a él.
Proporcionar los medios para supervisar
La gobernanza requiere procedimientos que funcionen cuando la producción se acelera: ¿quién autoriza un nuevo uso, quién puede suspenderlo, quién examina un error recurrente? Una supervisión humana puramente decorativa no basta. La persona encargada del control debe comprender las limitaciones del sistema y disponer de autoridad real. Esto exige tiempo de trabajo, competencias y, en ocasiones, una adaptación de los procesos.
Formar en función de los usos
La obligación de alfabetización en IA no impone una certificación universal idéntica para cada empleado. Exige medidas adaptadas a los conocimientos de las personas, al contexto y a los usos. Un responsable de selección, un desarrollador y un asesor de atención al cliente no tienen las mismas necesidades. Por tanto, un presupuesto adecuado financia formación específica: reconocer una respuesta inventada, evitar la introducción de datos confidenciales y comprender cuándo cuestionar una recomendación automatizada.
La verdadera decisión: industrializar o renunciar
Para una dirección financiera, la pregunta adecuada no es solo «¿cuánto cuesta el AI Act?», sino «¿qué usos justifican su coste total?». A la licencia se suman la integración, los controles, la formación y el mantenimiento de las pruebas. Un proyecto atractivo en una demostración puede resultar poco rentable si cada resultado exige una verificación prolongada. Por el contrario, unos procedimientos comunes pueden reducir el coste de los despliegues posteriores.
El riesgo de sanción refuerza esta disciplina: para determinadas infracciones, el texto contempla límites máximos que pueden alcanzar los 35 millones de euros o el 7 % del volumen de negocio anual mundial, con reglas específicas para las pymes. Pero el factor comercial podría pesar tanto como las sanciones. Un proveedor incapaz de explicar su sistema corre el riesgo de ralentizar una licitación; un cliente sin inventario corre el riesgo de descubrir sus dependencias en el peor momento. La calidad de la documentación puede convertirse así en un criterio de compra.
¿Y ahora qué? La próxima batalla podría centrarse menos en el número de modelos desplegados que en la capacidad de utilizarlos de forma sostenible. A las empresas les conviene construir una base común: un inventario actualizado, responsabilidades asignadas, cláusulas contractuales adaptadas y formación proporcionada. El cumplimiento normativo no garantiza ni el rendimiento ni la ausencia de errores. No obstante, puede convertirse en una infraestructura de confianza, siempre que se financien controles útiles en lugar de una colección de expedientes que nadie consulta.
