¿Tu empresa está preparada para el Reglamento Europeo de IA?

Un sistema de IA es todo sistema basado en máquinas diseñado para funcionar con distintos niveles de autonomía y que, a partir de datos de entrada, infiere cómo generar predicciones, contenidos, recomendaciones o decisiones que influyen en entornos físicos o virtuales.

Esta definición del artículo 3 del Reglamento Europeo de IA es deliberadamente amplia. Cubre desde un chatbot de atención al cliente hasta un motor de recomendación en RRHH o un sistema de diagnóstico médico. Lo determinante no es la complejidad técnica, sino la capacidad de inferencia autónoma.

Claves para saber si tu software es un sistema de IA:

• ¿Toma decisiones o genera resultados sin reglas explícitas programadas una a una?
• ¿Aprende patrones a partir de datos (entrenamiento)?
• ¿Produce predicciones, clasificaciones o contenido original?

Si la respuesta es sí a cualquiera, el Reglamento Europeo de IA probablemente aplica.

El Reglamento Europeo de IA aplica a cuatro perfiles diferenciados:

1. Proveedores: quien desarrolla un sistema de IA y lo pone en el mercado de la UE bajo su nombre.
2. Implementadores (o desplegadores): quien utiliza un sistema de IA en el marco de su actividad profesional, aunque no lo haya desarrollado.
3. Importadores y distribuidores: quien introduce sistemas de IA de terceros países en la UE o los comercializa.
4. Fabricantes de productos: cuando incorporan un sistema de IA en un producto que ya comercializan (ej. un coche con sistema de frenado inteligente).

Si tu empresa usa, vende o integra cualquier herramienta basada en IA en sus procesos, tienes obligaciones bajo esta normativa. El perfil concreto determina qué obligaciones te corresponden y desde qué fecha.

Sí. El Reglamento Europeo de IA tiene alcance extraterritorial. Aplica a empresas sin sede en la UE cuando:

• El sistema de IA se comercializa o pone en servicio dentro del mercado de la UE.
• La salida del sistema (resultado, decisión o contenido) se utiliza en la Unión Europea.
• Afecta a personas que se encuentran físicamente en territorio de la UE.

Esto significa que una startup en Estados Unidos, un SaaS en Latinoamérica o una plataforma asiática deben cumplir si sus sistemas de IA procesan datos de ciudadanos europeos o generan efectos en la UE.

Ejemplo práctico: una empresa colombiana que vende un software de selección de personal por IA a filiales en España está sujeta al Reglamento, aunque no tenga oficina en Europa.

El Reglamento clasifica los sistemas de IA en cuatro niveles de riesgo:

La mayoría de las empresas con chatbots, IA generativa o automatización de procesos caen en riesgo limitado o alto riesgo.

El artículo 5 del Reglamento Europeo de IA prohíbe de forma absoluta ocho prácticas. No hay excepciones ni periodo transitorio: están vetadas desde el 2 de febrero de 2025.

Las 8 prácticas prohibidas:

1. Manipulación subliminal o engañosa que distorsione el comportamiento de una persona y le cause un perjuicio.
2. Explotación de vulnerabilidades por edad, discapacidad o situación socioeconómica para alterar su conducta y causar daño.
3. Sistemas de puntuación social (social scoring) por parte de autoridades públicas que evalúen a personas según su comportamiento y deriven en un trato perjudicial.
4. Predicción del riesgo de delincuencia basada exclusivamente en perfiles de personalidad, sin factores objetivos y verificables vinculados al delito concreto.
5. Creación de bases de datos de reconocimiento facial mediante extracción masiva y no dirigida de imágenes de internet o CCTV.
6. Reconocimiento de emociones en el trabajo y en educación, salvo excepciones médicas o de seguridad muy tasadas.
7. Categorización biométrica por raza, opiniones políticas, creencias religiosas, orientación sexual o afiliación sindical.
8. Identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo excepciones muy limitadas (amenaza terrorista inminente, localización de víctimas de secuestro).

Si tu sistema de IA encaja en alguna de estas categorías, no puedes comercializarlo ni usarlo en la UE.

Un sistema de IA de alto riesgo es aquel que, si falla o se usa indebidamente, puede causar un daño significativo a la salud, la seguridad o los derechos fundamentales de las personas.

Dos categorías de alto riesgo:

1. Sistemas de IA como componente de seguridad en productos ya regulados (maquinaria, dispositivos médicos, ascensores, juguetes, vehículos).
2. Sistemas de IA en áreas sensibles enumerados en el Anexo III:
   • Educación y formación profesional
   • Empleo, gestión de trabajadores y acceso al autoempleo
   • Acceso a servicios esenciales públicos y privados (crédito, seguros, ayudas sociales)
   • Aplicación de la ley y control de fronteras
   • Administración de justicia y procesos democráticos

Obligaciones principales para proveedores de alto riesgo:

• Sistema de gestión de riesgos durante todo el ciclo de vida.
• Documentación técnica conforme al Anexo IV.
• Calidad de datos de entrenamiento, validación y prueba.
• Transparencia y supervisión humana efectiva.
• Marcado CE y evaluación de conformidad.
• Registro en la base de datos europea de sistemas de IA.

Los implementadores (empresas que usan estos sistemas) también tienen obligaciones: supervisión humana, conservación de registros y notificación de incidentes.

El artículo 50 del Reglamento Europeo de IA establece obligaciones de transparencia para sistemas de riesgo limitado. Son las obligaciones que más empresas van a tener que cumplir y entran en vigor el 2 de agosto de 2026.

Las 3 obligaciones clave:

1. Interacción con IA: si una persona interactúa con un sistema de IA (chatbot, asistente virtual), debe ser informada de ello, salvo que sea obvio para una persona razonablemente atenta.
2. Contenido generado por IA: todo contenido sintético (texto, imágenes, audio, vídeo) generado por IA debe marcarse como tal de forma legible por máquina y detectable.
3. Deepfakes y contenido manipulado: el contenido que simule personas, lugares o hechos reales y pueda inducir a error debe etiquetarse como generado artificialmente.

¿Qué significa en la práctica?

• Un chatbot en tu web debe informar al usuario de que habla con una IA.
• Las imágenes generadas con Midjourney, si se usan con fines comerciales, requieren marca de agua o metadato detectable.
• Los textos generados por ChatGPT publicados deben identificarse como contenido sintético si hay riesgo de confundir con contenido humano.

Un sistema de IA de propósito general (GPAI) es aquel entrenado con grandes volúmenes de datos, capaz de realizar una variedad amplia de tareas distintas y que puede integrarse en múltiples sistemas o aplicaciones posteriores.

Ejemplos: GPT-4, Claude, Gemini, Llama, Mistral. Estos modelos no están diseñados para una tarea concreta, sino que sirven como base para que otros construyan sistemas específicos.

Obligaciones escalonadas:

Todos los GPAI:

• Documentación técnica sobre el entrenamiento y el modelo.
• Información a los desarrolladores que los integran en sus sistemas.
• Política de respeto del derecho de autor y propiedad intelectual.
• Resumen público de los datos de entrenamiento.

GPAI con "riesgo sistémico" (cuando la potencia de cómputo de entrenamiento supera 10^25 FLOPs o la Comisión lo designa así):

• Evaluación de modelos y tests de adversarios (red teaming).
• Notificación de incidentes graves a la Oficina de IA.
• Ciberseguridad reforzada.

La regulación de GPAI afecta directamente a cualquier empresa que integre estos modelos en sus productos: si usas la API de OpenAI, Claude o Gemini, necesitas la documentación que el proveedor del GPAI está obligado a proporcionarte.

El inventario de sistemas de IA —o AI mapping— es el primer paso para cualquier plan de cumplimiento. Sin saber qué sistemas de IA tienes y dónde operan, no puedes clasificar riesgos ni asignar obligaciones.

Proceso en 4 pasos:

1. Identifica: recorre todos los departamentos (RRHH, marketing, operaciones, IT, legal, ventas) y detecta cualquier herramienta que use IA: chatbots, CRMs con IA, generadores de contenido, herramientas de selección de personal, motores de recomendación, sistemas de pricing dinámico, etc.
2. Documenta: para cada sistema registra: nombre, proveedor, departamento que lo usa, propósito, datos que procesa, tipo de IA (reglas, machine learning, LLM, visión artificial), y si toma decisiones automatizadas.
3. Clasifica: asigna a cada sistema un nivel de riesgo según el Reglamento (inaceptable, alto, limitado, mínimo). Atención especial a sistemas en RRHH, crédito, educación y seguridad.
4. Prioriza: ordena los sistemas de mayor a menor riesgo. Empieza por los de alto riesgo y los que usan GPAI. Define responsables y plazos para cada uno.

Un AI mapping completo suele revelar entre 5 y 30 sistemas de IA en una PYME típica que usa herramientas SaaS modernas.

El Reglamento Europeo de IA y el RGPD (Reglamento General de Protección de Datos) son complementarios, no excluyentes. Hay que cumplir ambos simultáneamente.

Puntos de conexión principales:

• Base legal para tratamiento de datos: el RGPD exige base jurídica para tratar datos. Si entrenas o usas IA con datos personales, debes identificar esa base (consentimiento, interés legítimo, etc.).
• Decisiones automatizadas (art. 22 RGPD): el RGPD ya regula las decisiones puramente automatizadas con efectos jurídicos. El Reglamento de IA añade capas adicionales de transparencia y supervisión.
• Transparencia: ambos reglamentos exigen informar a las personas sobre el tratamiento de sus datos. El Reglamento de IA añade el deber de informar sobre la interacción con IA.
• Evaluación de impacto: el RGPD exige EIPD para tratamientos de alto riesgo. El Reglamento de IA añade evaluaciones de conformidad específicas para sistemas de alto riesgo.
• Supervisión humana y derechos: el Reglamento de IA refuerza los derechos de acceso, rectificación y oposición del RGPD cuando intervienen sistemas de IA.

Consecuencia práctica:

Si ya cumples con el RGPD, tienes parte del camino andado, pero necesitas políticas, documentación y controles adicionales específicos de IA. Los DPD (Delegados de Protección de Datos) están asumiendo cada vez más competencias en gobernanza de IA.

Las sanciones del Reglamento Europeo de IA están entre las más elevadas de la normativa digital europea, comparables a las del RGPD.

Escala de multas:

¿Cómo funciona el cálculo?

Se aplica la cantidad que resulte más alta entre la cifra fija y el porcentaje del volumen de negocio. Para grupos empresariales, se calcula sobre el volumen de negocio consolidado del grupo.

Las sanciones pueden imponerse tanto a proveedores como a implementadores. Si tu empresa usa un sistema de IA de alto riesgo sin supervisión humana, también te pueden sancionar.

Las fechas de entrada en vigor de las sanciones son progresivas: la mayoría estarán plenamente aplicables desde agosto de 2027.

Sí. Un chatbot en tu web es un sistema de IA de riesgo limitado y está sujeto a las obligaciones de transparencia del artículo 50.

Lo que debes cumplir:

1. Informar al usuario de que interactúa con una IA. Debe ser una indicación clara desde el primer mensaje, no escondida en los términos legales (ej. "Hola, soy el asistente virtual con IA de [Empresa]. ¿En qué puedo ayudarte?").
2. Si el chatbot usa un LLM (como ChatGPT API o Claude), estás integrando un GPAI. Necesitas la documentación que el proveedor del modelo debe facilitarte y verificar que cumples las condiciones de uso que exige el Reglamento.
3. No puede constituir una práctica prohibida: si tu chatbot explota vulnerabilidades (ej. dirigiéndose a menores con técnicas manipulativas), estarías en riesgo inaceptable.
4. Conservación de registros: si el chatbot recoge datos personales, el RGPD exige base legal y aviso de privacidad. El Reglamento de IA añade que debes informar de la naturaleza automatizada de la interacción.

¿Y si el chatbot solo deriva a un humano?

Si la IA se limita a recoger síntomas y derivar a un agente humano, la obligación principal es la transparencia: informar de que es un sistema automatizado y que después intervendrá una persona.

Los sistemas de IA usados en empleo y gestión de trabajadores están clasificados como alto riesgo en el Anexo III del Reglamento Europeo de IA. Esto incluye:

• Herramientas de criba curricular y selección de candidatos (ATS con IA, filtros automáticos, ranking de perfiles).
• Sistemas de evaluación del rendimiento y promoción.
• Sistemas de monitorización del trabajador (productividad, tiempos, comportamiento).
• Herramientas de asignación de tareas basadas en IA.

Obligaciones concretas para RRHH:

• Evaluación de riesgos específica para cada uso de IA en procesos de personal.
• Calidad y sesgo de los datos: debes asegurar que los datos de entrenamiento y de entrada no perpetúen discriminación (género, edad, origen, discapacidad).
• Supervisión humana obligatoria: ninguna decisión automatizada de contratación, despido o promoción puede ser puramente automática. Debe haber intervención humana significativa.
• Transparencia hacia los candidatos y empleados: deben saber que han sido evaluados por IA y poder solicitar explicación.
• Documentación completa conforme al Anexo IV: descripción del sistema, metodología, datos de entrenamiento, métricas de rendimiento.

Consecuencia inmediata:

Si usas IA en selección de personal —aunque sea el filtro automático de LinkedIn o un plugin de IA en tu ATS—, necesitas un plan de cumplimiento de alto riesgo.

La clasificación como alto riesgo no depende de lo compleja que sea la tecnología, sino del contexto de uso y el impacto potencial sobre las personas.

Test rápido de autoevaluación (4 preguntas):

1. ¿Es componente de seguridad de un producto regulado? (dispositivo médico, maquinaria, ascensor, juguete, vehículo, equipos de protección). Si tu IA influye en la seguridad de ese producto, es alto riesgo.
2. ¿Opera en alguna de las 8 áreas del Anexo III?
   • Educación y FP
   • Empleo y gestión de trabajadores
   • Acceso a servicios esenciales (crédito, seguros, ayudas)
   • Aplicación de la ley
   • Control migratorio y fronterizo
   • Administración de justicia
   • Procesos democráticos
   • Infraestructuras críticas
3. ¿Influye de forma significativa en la decisión final? Si tu sistema solo hace una tarea accesoria (ej. traducir un CV, no cribarlo), no es alto riesgo automáticamente. Si determina o condiciona fuertemente la decisión, sí.
4. ¿Puede causar un perjuicio relevante a la salud, seguridad o derechos fundamentales? Si un fallo del sistema podría denegar un crédito, impedir un empleo o causar un tratamiento médico erróneo, es alto riesgo.

Excepción del "mero accesorio":

Un sistema que solo organiza, filtra o estructura información sin sustituir la decisión humana puede no ser alto riesgo, aunque operes en un área del Anexo III. Pero la carga de demostrarlo recae sobre el proveedor.

El compliance de IA es el conjunto de políticas, procesos, documentación y controles que una organización implementa para cumplir con el Reglamento Europeo de IA y otras normas aplicables (RGPD, ISO 42001, normativa sectorial).

No es un check puntual, sino un proceso continuo que debe integrarse en la gobernanza de la empresa.

Ruta de cumplimiento en 6 fases:

1. AI mapping (ver pregunta 9): inventario completo de sistemas de IA, proveedores, alcance y datos tratados.
2. Clasificación de riesgos: asignar el nivel regulatorio a cada sistema. Documentar la justificación, especialmente si algún sistema se clasifica como no alto riesgo.
3. Análisis de brechas (gap analysis): comparar la situación actual con los requisitos del Reglamento. Identificar qué obligaciones ya se cumplen y cuáles faltan (documentación, transparencia, supervisión humana, calidad de datos, evaluación de conformidad).
4. Plan de adecuación: definir acciones, responsables y plazos para cerrar cada brecha. Priorizar por riesgo (alto riesgo primero) y por fechas de entrada en vigor.
5. Implementación: desplegar las medidas técnicas, documentales y organizativas. Desde el aviso de transparencia en el chatbot hasta el sistema de gestión de calidad y el registro de incidentes.
6. Monitorización continua: los sistemas de IA no son estáticos. Los modelos se reentrenan, los contextos de uso cambian. El compliance exige revisión periódica, pruebas de sesgo, actualización de documentación y formación continua del personal.

¿Necesito un consultor externo?

Para PYMES con pocos sistemas de IA de riesgo limitado, el compliance es asumible internamente con guías claras y checklists. Para sistemas de alto riesgo, la supervisión externa aporta seguridad jurídica, metodología contrastada y agilidad en la ejecución.