La inteligencia artificial forma parte de procesos como atención al cliente, gestión documental, marketing o análisis de datos. Utilizarla también exige revisar qué obligaciones afectan a cada sistema.
El AI Act en España, oficialmente Reglamento Europeo de Inteligencia Artificial, establece un marco común basado en el riesgo de cada uso.
Entró en vigor en agosto de 2024 y gran parte de sus disposiciones comenzaron a aplicarse el 2 de agosto de 2026. Algunas obligaciones se aplican desde antes y determinados sistemas de alto riesgo tienen plazos posteriores. Consulta el calendario de la Comisión Europea.
Qué es el AI Act y a quién afecta
El Reglamento establece normas para desarrollar, comercializar y utilizar sistemas de IA en la Unión Europea, incluida España.
Distingue prácticas prohibidas, determinados sistemas de alto riesgo y usos sujetos a obligaciones específicas de transparencia.
Puede afectar tanto a quienes desarrollan soluciones como a empresas que utilizan herramientas externas. Las obligaciones dependen del papel de cada organización y de la finalidad del sistema.
Por eso, contratar un proveedor no elimina la necesidad de revisar el uso que hace la empresa.
1. Inventariar las herramientas y definir su finalidad
El primer paso es identificar qué IA se utiliza realmente, incluida la incorporada en software de terceros.
Un registro inicial puede recoger herramienta, proveedor, finalidad, departamento responsable, usuarios, datos procesados, accesos, controles y supervisión.
Para cada sistema, conviene responder:
- ¿Qué hace y qué información utiliza?
- ¿Qué resultado genera?
- ¿Qué ocurre después con ese resultado?
- ¿Prepara un borrador o interviene en decisiones y acciones?
El nombre comercial no basta para determinar el riesgo. Importan el funcionamiento real y el contexto de uso.
2. Revisar prohibiciones y sistemas de alto riesgo
Hay que comprobar si el uso está prohibido, puede considerarse de alto riesgo, exige transparencia o presenta un riesgo menor dentro del Reglamento.
Parte de las prohibiciones comenzaron a aplicarse en febrero de 2025. Si una práctica está prohibida, el proyecto debe replantearse.
Determinados usos en empleo, educación, servicios esenciales, biometría o infraestructuras críticas pueden tener requisitos más exigentes. Esto no convierte automáticamente en alto riesgo cualquier herramienta utilizada en esos ámbitos.
También deben comprobarse los plazos aplicables a cada categoría.
La clasificación debe apoyarse en la finalidad y las condiciones del sistema, según el Reglamento, y no solo en la descripción del proveedor.
3. Revisar las obligaciones de transparencia
Desde el 2 de agosto de 2026, el artículo 50 establece obligaciones específicas para ciertos sistemas y usos.
Según la solución y el papel de la empresa, puede ser necesario informar de que una persona interactúa con IA. Esto puede afectar a determinados chatbots, agentes conversacionales y contenidos generados.
La transparencia debe estudiarse desde el diseño. Las directrices de la Comisión Europea ayudan a revisar estas obligaciones.
4. Formar al equipo y definir la supervisión
El Reglamento contempla la alfabetización en IA: adoptar medidas para que quienes utilizan estos sistemas en nombre de la organización tengan conocimientos adecuados al contexto.
La formación puede abordar capacidades, limitaciones, información que puede introducirse, errores posibles, resultados que requieren revisión y responsabilidades.
No todas las tareas necesitan el mismo control. Un borrador interno puede admitir una revisión sencilla; una acción con consecuencias importantes puede requerir controles más estrictos.
Debe quedar claro qué ejecuta automáticamente el sistema, qué necesita aprobación y quién supervisa.
5. Revisar datos y proveedores
Conviene comprobar qué datos se procesan, su procedencia, dónde se tratan, quién accede y si incluyen información personal o confidencial.
También deben revisarse la documentación del proveedor, sus limitaciones, las opciones de configuración, las medidas de seguridad y las responsabilidades de cada parte.
El AI Act convive con otras normas sobre protección de datos, propiedad intelectual, seguridad y regulación sectorial. Cumplirlo no resuelve automáticamente todas las obligaciones legales del proyecto.
Qué recursos ofrece AESIA
La Agencia Española de Supervisión de Inteligencia Artificial (AESIA) dispone de guías para facilitar la comprensión y aplicación práctica del marco europeo.
Estas guías ofrecen apoyo y recomendaciones, pero no son vinculantes ni sustituyen la normativa aplicable.
Cómo empezar y mantener el control
Una secuencia práctica es inventariar herramientas, analizar usos, clasificar riesgos, revisar obligaciones, definir responsables, formar y documentar.
El nivel de documentación debe adaptarse al sistema. Los proyectos con mayores implicaciones pueden necesitar una revisión específica.
Si no está claro qué datos se procesan, quién supervisa o si existen decisiones importantes automatizadas, conviene revisar el proyecto antes de ampliarlo.
En La Fábrica de la IA analizamos los procesos y sistemas que una empresa quiere implantar para identificar necesidades, nivel de automatización, supervisión y aspectos que deberían revisarse antes de desarrollar la solución.
¿Queréis revisar cómo estáis implantando inteligencia artificial en vuestra empresa? Podemos analizar vuestro proyecto y estructurar los aspectos técnicos y operativos que deben tenerse en cuenta antes de avanzar.
