Un asistente que redacta correos electrónicos, un programa que clasifica currículos, un chatbot comercial: tres usos de la inteligencia artificial, pero no tres expedientes regulatorios idénticos. En esta vuelta a la actividad de septiembre de 2026, el trabajo de cumplimiento normativo europeo cambia de escala. El calendario de referencia de la Ley de IA prevé desde el 2 de agosto la aplicación de gran parte del reglamento. Para las empresas, lo urgente no es acumular códigos éticos: consiste en determinar qué hace cada sistema, quién responde por él y qué pruebas deben estar disponibles.
Conviene hacer una precisión: este análisis se basa en el reglamento adoptado en 2024 y en su calendario inicial. No presupone posibles modificaciones posteriores ni el estado exacto, en septiembre de 2026, de las normas y directrices de aplicación. Por tanto, los plazos deberán contrastarse con los textos y orientaciones efectivamente vigentes.
Agosto de 2026: un hito clave, no un punto de partida desde cero
La Ley de IA entró en vigor el 1 de agosto de 2024, con una aplicación progresiva. Desde el 2 de febrero de 2025, determinadas prácticas están prohibidas y las organizaciones afectadas deben tomar medidas para garantizar un nivel suficiente de alfabetización en IA entre sus equipos. Desde el 2 de agosto de 2025, han empezado a aplicarse las normas dirigidas, en particular, a los proveedores de modelos de IA de uso general, con disposiciones transitorias.
El 2 de agosto de 2026 constituye, en este calendario, la fecha general de aplicación. Abarca, en particular, las obligaciones de transparencia y los sistemas de alto riesgo correspondientes a los ámbitos del anexo III. Queda otro plazo: el 2 de agosto de 2027 para las obligaciones correspondientes a los sistemas de alto riesgo vinculados a determinados productos regulados, en las condiciones previstas por el texto.
Los sistemas ya desplegados también exigen una lectura atenta de las disposiciones transitorias. Para determinados sistemas de alto riesgo introducidos en el mercado o puestos en servicio antes de agosto de 2026, la aplicación depende, en particular, de modificaciones importantes de su diseño posteriores a esa fecha. Por tanto, «antiguo» no significa ni automáticamente exento ni automáticamente sujeto a todos los nuevos requisitos.
El punto de partida adecuado: el uso y, después, el papel
Primer paso: inventariar los usos reales, incluidas las herramientas adquiridas directamente por un departamento y los asistentes integrados en los programas existentes. Un inventario útil describe la finalidad, las personas afectadas, los datos utilizados, la influencia del resultado en una decisión y el proveedor. Una simple lista de marcas no basta.
Segunda pregunta: ¿la empresa es proveedor, responsable del despliegue, importador o distribuidor? Comprar una herramienta para utilizarla bajo su autoridad sitúa generalmente a la organización en el papel de responsable del despliegue. Desarrollar un sistema, o encargar su desarrollo para comercializarlo o ponerlo en servicio bajo su nombre, puede convertirla en proveedor. Algunas modificaciones sustanciales o determinados cambios de finalidad también pueden alterar las responsabilidades.
La distinción es decisiva. El proveedor de un sistema de alto riesgo asume, en particular, la conformidad de su diseño y la evaluación exigida. El responsable del despliegue, por su parte, debe establecer controles sobre su utilización. Un contrato puede repartir las tareas y organizar el acceso a los documentos; no elimina las responsabilidades legales.
De la selección de personal al crédito: identificar los usos sensibles
Los recursos humanos, en primera línea
Una herramienta destinada a filtrar candidaturas o evaluar candidatos se encuadra en los usos potencialmente de alto riesgo. Lo mismo ocurre con determinados sistemas que afectan a las condiciones laborales, la promoción, el despido o la evaluación de los empleados. En cambio, un asistente que reformula una oferta de empleo no es automáticamente de alto riesgo por utilizarse en recursos humanos.
El reglamento prevé excepciones sujetas a condiciones para determinados sistemas del anexo III que no presentan un riesgo importante ni influyen sustancialmente en la decisión. Pero la etiqueta «apoyo a la toma de decisiones» no constituye una exención. Lo que cuenta es la realidad del proceso. Un sistema de este anexo que elabore perfiles de personas sigue considerándose de alto riesgo.
Servicios esenciales, educación y usos prohibidos
La evaluación de la solvencia de las personas físicas, salvo para la detección del fraude financiero, figura entre los usos sensibles. También la admisión en un centro educativo o determinadas decisiones relativas a las prestaciones públicas. La empresa debe examinar la finalidad precisa del sistema, no solo su sector.
Antes incluso de esta clasificación, es necesario comprobar las prohibiciones: determinadas manipulaciones perjudiciales, ciertas formas de puntuación social o determinados usos biométricos están prohibidos. En particular, el reconocimiento de emociones en el trabajo y en los centros educativos está prohibido, salvo por motivos médicos o de seguridad. Presentar un dispositivo como una herramienta de «bienestar» no basta para hacerlo lícito.
Alto riesgo: obligaciones operativas
Para un proveedor, el expediente incluye, en particular, gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, supervisión humana, precisión, solidez y ciberseguridad. A ello se suman, según las disposiciones aplicables, evaluación de la conformidad, registro, marcado y vigilancia posterior a la comercialización. El cumplimiento debe acompañar al ciclo de vida del sistema, no solo a su entrega.
Para el responsable del despliegue, las comprobaciones se vuelven muy concretas:
- utilizar el sistema de acuerdo con las instrucciones y confiar su supervisión a personas competentes, formadas y con suficiente autonomía;
- comprobar la pertinencia y la representatividad de los datos de entrada cuando estén bajo su control;
- supervisar el funcionamiento, conservar los registros bajo su control durante el plazo exigido y organizar la notificación de incidentes;
- informar a las personas afectadas cuando lo exija el reglamento, en particular a los trabajadores y a sus representantes antes de determinados usos profesionales.
Además, se exige una evaluación de impacto sobre los derechos fundamentales a determinados responsables del despliegue, en particular organismos públicos, entidades privadas que prestan servicios públicos y ciertos actores del crédito o de los seguros. No es obligatoria para todas las empresas. Cuando sea necesario, debe coordinarse con la evaluación de impacto prevista por el RGPD, sin confundirse con ella.
Chatbots y contenidos generados: hacer visible la IA
Un chatbot de atención al cliente no es automáticamente de alto riesgo. Sin embargo, las normas de transparencia prevén que se informe a las personas de que interactúan con una IA, salvo que resulte evidente por el contexto. Los proveedores afectados también deben permitir el marcado, en un formato legible por máquina, de determinados contenidos sintéticos.
Para los responsables del despliegue, las ultrasuplantaciones deben identificarse como artificiales o manipuladas, mediante modalidades adaptadas, en particular, a las obras artísticas. Los textos generados para informar al público sobre asuntos de interés público también requieren que se revele su origen, salvo, en particular, cuando exista un control humano o editorial y una persona asuma la responsabilidad editorial. Por tanto, no toda imagen retocada ni todo correo redactado con asistencia requieren automáticamente la misma indicación.
El proveedor no lo resuelve todo
Utilizar una interfaz de programación que dé acceso a un gran modelo no convierte automáticamente a una empresa en proveedor de un modelo de IA de uso general. Eso no la exime de clasificar el sistema que construye a su alrededor. La documentación del prestador debe aclarar las capacidades, las limitaciones y las condiciones de integración; no sustituye ni las pruebas en el ámbito de uso ni el control de los datos.
¿Y ahora? Si el calendario inicial se mantiene sin cambios, los próximos meses deberían trasladar el cumplimiento de las presentaciones a las pruebas: inventarios actualizados, decisiones de clasificación justificadas, formación específica y controles probados. Las empresas mejor preparadas serán probablemente aquellas que hayan conectado a los equipos jurídicos, informáticos, de compras y de las áreas de negocio en torno a una pregunta sencilla: ¿podemos explicar, documentar y corregir lo que nuestra IA hace a las personas?
