Ley de inteligencia artificial: qué obliga a tu empresa (AI Act)
Desglosamos el Reglamento (UE) 2024/1689: roles, categorización de riesgos, obligaciones operativas y un plan de acción a 90 días para empresas españolas.
El Reglamento (UE) 2024/1689 no legisla sobre la tecnología en abstracto, sino sobre aplicaciones concretas determinadas por el nivel de riesgo y la posición de cada organización en la cadena de valor. Gran parte del tejido empresarial español se sitúa como usuario de sistemas desarrollados por terceros, no como proveedor. Por ello, la prioridad operativa reside en auditar qué herramientas se integran, con qué propósitos, bajo qué tratamiento de datos y quién asume la responsabilidad técnica en cada caso. Aviso: este texto tiene fines exclusivamente informativos y no equivale a asesoramiento legal. La exigibilidad de estas normas depende de cada escenario específico, por lo que resulta esencial validar cualquier estrategia con especialistas y contrastar siempre la documentación oficial del Reglamento, la Comisión Europea y las autoridades competentes en España.
En resumen
- El Reglamento se estructura por riesgo del uso, no por tecnología: el mismo modelo puede estar fuera de ámbito en un caso y ser de alto riesgo en otro.
- Lo primero no es un dictamen jurídico: es un inventario de sistemas y agentes de IA con dueño, propósito y datos.
- La mayoría de empresas españolas es responsable del despliegue, con obligaciones más ligeras que un proveedor, pero no nulas.
- Existe una obligación transversal de alfabetización en IA del personal que usa estos sistemas.
- El cumplimiento se sostiene sobre lo mismo que la calidad operativa: trazabilidad, permisos y supervisión humana.
¿Qué es el EU AI Act y a quién obliga realmente?
Es el Reglamento (UE) 2024/1689, el marco europeo que regula la puesta en el mercado y el uso de sistemas de inteligencia artificial en la Unión. Al ser un reglamento, se aplica directamente, sin necesidad de transposición nacional.
Obliga a lo largo de toda la cadena: quien desarrolla el sistema, quien lo importa, quien lo distribuye y quien lo utiliza en su actividad profesional. También alcanza a empresas de fuera de la UE cuando el resultado del sistema se usa dentro de la Unión.
La pregunta útil para una empresa no es "¿me aplica?", sino "¿en qué papel y para qué usos?".
¿Soy proveedor o responsable del despliegue?
| Papel | Quién es | Carga habitual |
|---|---|---|
| Proveedor | Quien desarrolla un sistema de IA y lo pone en el mercado o en servicio bajo su nombre o marca | Alta: documentación técnica, gestión de riesgos, calidad de datos, conformidad |
| Responsable del despliegue | Quien usa un sistema de IA en su actividad profesional | Media: uso conforme a instrucciones, supervisión humana, información a las personas afectadas |
| Importador y distribuidor | Quien introduce o comercializa en la UE un sistema de un tercero | Media: verificación de que el sistema cumple |
Advertencia práctica: el papel puede cambiar. Una empresa que compra un modelo y lo modifica de forma sustancial, o que lo comercializa bajo su propia marca, puede pasar a considerarse proveedora. Es una de las verificaciones que conviene hacer con asesoramiento legal antes de lanzar un producto con IA embebida.
¿Cómo se clasifica el riesgo de un sistema de IA?
El Reglamento organiza los usos en cuatro grandes bloques. Esta tabla es orientativa; la clasificación concreta debe hacerse contra el texto oficial.
| Bloque | Idea general | Ejemplo típico en empresa |
|---|---|---|
| Prácticas prohibidas | Usos considerados inaceptables por su impacto en derechos fundamentales | Técnicas manipuladoras o explotación de vulnerabilidades |
| Alto riesgo | Usos en ámbitos sensibles listados en el Reglamento (entre otros, empleo, educación, crédito, infraestructuras críticas, ciertos productos regulados) | Cribado automatizado de candidaturas |
| Riesgo de transparencia | Interacción con personas o generación de contenido sintético | Chatbot de atención al cliente, contenido generado por IA |
| Riesgo mínimo | El resto de usos | Clasificación interna de facturas, resúmenes de documentos internos |
La consecuencia operativa es clara: la mayoría de los superagentes internos de una pyme (contabilizar, conciliar, documentar, preparar informes) cae en los bloques inferiores. Los problemas aparecen cuando la IA toca decisiones sobre personas: selección, promoción, evaluación, acceso a crédito o a servicios esenciales.
¿Qué obligaciones prácticas tiene una empresa que solo usa IA comprada?
Sin entrar en la literalidad del texto, el bloque de obligaciones que más afecta a un responsable del despliegue se traduce en cinco tareas de gestión:
- Usar el sistema conforme a las instrucciones del proveedor y no destinarlo a finalidades distintas de las previstas.
- Asegurar supervisión humana efectiva, con personas con competencia, autoridad y medios reales para intervenir o detener el sistema.
- Controlar la calidad y la pertinencia de los datos de entrada que la empresa aporta al sistema.
- Informar a las personas afectadas cuando corresponda, en particular en contextos laborales y de atención al público.
- Conservar registros del funcionamiento del sistema en la medida en que estén bajo su control.
A esto se añade una obligación transversal que muchas empresas pasan por alto: la alfabetización en IA del personal que opera o se ve afectado por estos sistemas. No es un curso de ChatGPT: es que quien supervisa entienda los límites de lo que supervisa.
¿Qué pasa con la IA de propósito general y con los agentes?
El Reglamento incorpora un capítulo específico para los modelos de IA de propósito general, con obligaciones de documentación y transparencia para sus proveedores, y requisitos adicionales para aquellos con riesgo sistémico.
Para la empresa que compra, la lectura práctica es otra: un agente autónomo no es una categoría propia del Reglamento. Un Superagente se clasifica por lo que hace. Si su proceso es documental e interno, el riesgo regulatorio es bajo. Si interviene en una decisión sobre una persona, hay que analizarlo. Y como el agente ejecuta acciones, aparece un segundo frente: la seguridad de agentes de IA.
¿Qué calendario y qué autoridades aplican en España?
El Reglamento entró en vigor en 2024 y su aplicación es escalonada: distintos bloques de obligaciones son exigibles en momentos distintos. Los plazos concretos han sido objeto de debate y de propuestas de ajuste a nivel europeo, por lo que no conviene tomar ninguna fecha de un artículo de blog: consulte el calendario vigente en el texto oficial y en la Comisión Europea.
En España, la supervisión se articula en torno a la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) y a las autoridades sectoriales competentes según el ámbito. Cuando hay datos personales implicados, la AEPD mantiene su competencia; lo tratamos en RGPD e inteligencia artificial.
Sobre sanciones: el Reglamento prevé un régimen sancionador con importes máximos vinculados a un porcentaje del volumen de negocio mundial anual, más severo en el caso de las prácticas prohibidas. Consulte el texto oficial para los importes exactos aplicables a cada tipo de infracción.
¿Qué hacer en los próximos 90 días?
- Inventario. Liste todos los sistemas y agentes de IA en uso, incluidos los que ha contratado un departamento por su cuenta. La IA en la sombra es el primer riesgo real.
- Clasificación de uso. Para cada sistema: finalidad, datos que trata, decisiones en las que influye, personas afectadas.
- Asignación de rol. Determine, con asesoramiento legal, si su empresa actúa como responsable del despliegue o como proveedora en cada caso.
- Ficha de agente. Documente dueño, propósito, permisos, límites de autoridad y plan de retirada de cada agente. La plantilla completa está en gobierno de IA y registro de agentes.
- Supervisión y formación. Nombre responsables por sistema y forme al personal que lo supervisa.
- Revisión. Fije una revisión trimestral del inventario y una validación legal anual.
Cómo lo hace NextAI
En NextAI el cumplimiento no es una fase final: es la capa 5 del Cerebro Empresarial y la fase 5 de la Ruta NEXT-5. Cada superagente nace con dueño, permisos, límites de autoridad, KPIs y ficha en el registro de agentes, y el eje de Gobierno pesa 20 de los 100 puntos del IMAN (Índice de Madurez AI-Native). NextAI no presta asesoramiento jurídico: prepara la evidencia técnica y organizativa para que el asesor legal del cliente pueda trabajar sobre hechos documentados.
Preguntas frecuentes
¿El EU AI Act afecta a una pyme que solo usa ChatGPT? Puede afectarle, sobre todo por el bloque de transparencia y por la obligación de alfabetización en IA del personal. El nivel de exigencia depende de para qué se use: resumir documentos internos no es lo mismo que cribar candidaturas. Consulte su caso con un asesor legal.
¿Un superagente es "alto riesgo" por ser autónomo? No por serlo. La clasificación depende del uso, no del grado de autonomía técnica. Un agente que concilia facturas y otro que decide sobre una candidatura tienen perfiles regulatorios muy distintos aunque compartan arquitectura.
¿Qué es lo primero que debo tener listo? El inventario de sistemas y agentes de IA con dueño, propósito, datos y decisiones afectadas. Sin ese inventario, ningún análisis jurídico posterior puede ser fiable, porque no se sabe qué hay que analizar.
¿Quién supervisa el cumplimiento en España? La AESIA junto con las autoridades sectoriales competentes, y la AEPD en lo relativo a datos personales. Verifique el reparto vigente en las fuentes oficiales, ya que el marco institucional sigue desplegándose.
Resulta imperativo garantizar la alfabetización en IA de todo el personal que interactúe con estas herramientas. Más allá de cubrir un expediente normativo, esta formación previene errores operativos críticos: un supervisor que ignora las limitaciones técnicas del sistema no ejerce un control real, sino que se limita a autorizar resultados de manera acrítica. Para obtener un inventario riguroso de sus sistemas de IA y avanzar hacia un gobierno corporativo sólido, acceda a nuestra Auditoría Digital gratuita.