El AI Act ya es aplicable:
lo que toda empresa debe saber
sobre el Reglamento Europeo de IA

I

Una norma que ya no es futura

Hay una frase que se repite con frecuencia en los foros de compliance europeos desde mediados de 2024: "el AI Act ya está aquí." Es una frase que genera reacciones muy distintas. Los equipos jurídicos que llevan meses siguiendo la tramitación del Reglamento la reciben con alivio: la incertidumbre sobre el texto definitivo se ha despejado. Los equipos de negocio y tecnología que apenas han escuchado hablar del asunto la reciben con inquietud, o directamente con incredulidad. Y una parte significativa de los responsables de cumplimiento de empresas medianas y grandes la reciben con una pregunta muy concreta: ¿qué tengo que hacer ahora mismo y con qué urgencia?

El Reglamento (UE) 2024/1689, conocido como AI Act, entró en vigor el 1 de agosto de 2024. No es una directiva que requiera transposición nacional: es directamente aplicable en todos los Estados miembros. Su aplicación, no obstante, es gradual: las prohibiciones absolutas llevan vigentes desde febrero de 2025, las obligaciones para proveedores e implantadores de sistemas de alto riesgo comenzarán a aplicarse plenamente en agosto de 2026, y los modelos de IA de propósito general —los llamados GPAI— tienen su propio calendario. Pero el error más extendido es confundir esa gradualidad con margen de espera. El tiempo para prepararse se está agotando a una velocidad que muchas organizaciones subestiman.

Haber trabajado en el diseño de marcos de gobernanza de IA para empresas con operaciones en varios países europeos permite observar un patrón recurrente: las organizaciones que empiezan el análisis tarde no solo tienen menos tiempo, sino que tienen peores opciones. Los sistemas de IA que ya están desplegados y que resultan ser de alto riesgo no pueden simplemente desconectarse de la noche a la mañana. Adaptarlos requiere tiempo, presupuesto y, con frecuencia, decisiones de negocio que nadie quiere tomar bajo presión regulatoria.

II

La arquitectura de riesgos del AI Act

El AI Act no prohíbe la inteligencia artificial. Lo que hace es establecer una jerarquía de riesgos que determina las obligaciones de cada tipo de sistema. Entender esa jerarquía es el primer paso obligatorio para cualquier organización que utilice, desarrolle o implante sistemas de IA.

Prácticas prohibidas: la línea roja

Desde el 2 de febrero de 2025, están prohibidas en la Unión Europea determinadas prácticas de IA que el legislador considera incompatibles con los derechos fundamentales. La lista incluye los sistemas de puntuación social generalizados implementados por autoridades públicas, los sistemas de identificación biométrica remota en tiempo real en espacios públicos con excepciones muy tasadas, la manipulación subliminal del comportamiento humano sin conciencia del sujeto, y la explotación de vulnerabilidades específicas de grupos como menores o personas con discapacidad. No se trata de obligaciones de transparencia ni de gestión de riesgos: son prohibiciones directas, con las sanciones más elevadas previstas en el Reglamento.

Sistemas de alto riesgo: el núcleo duro del Reglamento

El grueso de las obligaciones del AI Act se concentra en los sistemas clasificados como de alto riesgo. La clasificación no es intuitiva y es el primer punto donde muchas organizaciones se pierden. El Reglamento define el alto riesgo por dos vías: los sistemas que son en sí mismos un componente de seguridad de productos regulados —maquinaria, dispositivos médicos, vehículos— y los sistemas listados en el Anexo III, que incluye usos en infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de ley, migración y administración de justicia.

La trampa está en el Anexo III. Herramientas de selección de candidatos basadas en IA, sistemas de evaluación del desempeño que influyen en decisiones laborales significativas, sistemas de scoring de solvencia crediticia, herramientas de priorización de servicios de emergencia: todos ellos pueden caer dentro del ámbito del Anexo III. Y muchas organizaciones los tienen desplegados sin haberlos analizado bajo esa óptica.

Sistemas de propósito general: el nuevo frente

Los modelos de IA de propósito general —GPT-4, Gemini, Claude, Llama y sus equivalentes— tienen su propio régimen en el AI Act. Los proveedores de estos modelos tienen obligaciones de transparencia, documentación técnica y cumplimiento de derechos de autor. Para los modelos que presentan riesgo sistémico —definido por umbrales de capacidad computacional de entrenamiento— las obligaciones son aún más exigentes. Pero la cuestión relevante para la mayoría de las empresas no es si los proveedores de estos modelos cumplen: es si su propia organización, al integrar esos modelos en aplicaciones internas o productos, asume el rol de proveedor o de implantador bajo el Reglamento. La respuesta a esa pregunta determina qué obligaciones recaen sobre ellos.

III

Qué deben hacer las empresas: las obligaciones concretas

Para los sistemas de alto riesgo, el AI Act establece un conjunto de obligaciones que no son negociables. No son recomendaciones de buenas prácticas ni directrices voluntarias. Son requisitos de conformidad que condicionan la comercialización y el uso de estos sistemas en la Unión Europea.

Sistema de gestión de riesgos

El proveedor de un sistema de alto riesgo debe implementar un sistema de gestión de riesgos específico para ese sistema, que abarque todo su ciclo de vida. No es el sistema de gestión de riesgos corporativo genérico: es un proceso continuo de identificación, análisis, evaluación y mitigación de los riesgos específicos que el sistema de IA puede generar para la salud, la seguridad o los derechos fundamentales de las personas afectadas. El Reglamento exige que ese sistema quede documentado y actualizado.

Gobernanza de datos de entrenamiento

Los datos utilizados para entrenar, validar y probar sistemas de alto riesgo deben cumplir criterios de calidad y gobernanza específicos. Deben ser relevantes, representativos, libres de errores en la medida de lo posible y completos para las finalidades previstas. El AI Act introduce aquí una obligación que va mucho más allá de la protección de datos: no se trata solo de que los datos sean legítimamente obtenidos, sino de que sean adecuados para producir un sistema que no discrimine ni genere sesgos inaceptables.

Documentación técnica y trazabilidad

Cada sistema de alto riesgo debe ir acompañado de documentación técnica elaborada antes de su comercialización o puesta en servicio, y actualizada cuando sea necesario. Esa documentación debe permitir al regulador verificar el cumplimiento del Reglamento. Además, los sistemas de alto riesgo deben mantener registros automáticos de su funcionamiento —logs— que permitan la trazabilidad de los resultados producidos durante períodos que el Reglamento especifica en función del tipo de sistema.

Transparencia e información al usuario

Los implantadores de sistemas de alto riesgo que interactúan directamente con personas físicas deben informarles de que están interactuando con un sistema de IA. Los sistemas que generan contenido que puede ser confundido con producción humana —deepfakes, texto sintético— tienen obligaciones adicionales de marcado. Y los usuarios de sistemas de alto riesgo —las personas físicas cuyas decisiones son asistidas por el sistema— tienen derecho a explicaciones sobre el funcionamiento del sistema que les afecta.

Supervisión humana

Esta es quizás la obligación más desafiante desde la perspectiva operativa. El AI Act exige que los sistemas de alto riesgo sean diseñados e implantados de forma que puedan ser supervisados, intervenidos y, si es necesario, desconectados por personas físicas durante su funcionamiento. Esto no es compatible con arquitecturas de despliegue donde el sistema de IA opera de forma completamente autónoma en decisiones con impacto significativo sobre personas.

IV

El régimen sancionador: números que cambian la conversación

El AI Act tiene un régimen sancionador que, al menos sobre el papel, supera al del RGPD en los supuestos más graves. Las infracciones relacionadas con prácticas prohibidas pueden acarrear multas de hasta 35 millones de euros o el 7% del volumen de negocio mundial del ejercicio anterior, el importe que sea mayor. Las infracciones de las obligaciones aplicables a sistemas de alto riesgo se sitúan en hasta 15 millones o el 3% del volumen de negocio global. Las infracciones relacionadas con la provisión de información incorrecta a las autoridades de supervisión, hasta 7,5 millones o el 1,5%.

Hay que ser honesto sobre lo que esto significa en la práctica inicial. Las autoridades nacionales de supervisión —cuya designación y dotación de recursos es aún incompleta en varios Estados miembros— necesitarán tiempo para desarrollar capacidad inspectora, criterios de priorización y una jurisprudencia supervisora. Las primeras sanciones significativas probablemente no lleguen hasta 2027 o más tarde para la mayoría de las infracciones. Pero ese margen temporal no es una invitación a la inacción: es el tiempo disponible para construir el marco de cumplimiento antes de que el regulador empiece a buscarlo activamente.

V

El inventario de sistemas de IA: por dónde empezar

La primera pregunta práctica que plantea cualquier organización cuando aborda el AI Act es invariablemente la misma: ¿por dónde empezamos? La respuesta es siempre la misma: por saber qué sistemas de IA tiene la organización, quién los opera, para qué se usan y sobre qué personas tienen impacto.

Este inventario es, con frecuencia, más complejo de construir de lo que parece. Los sistemas de IA en las organizaciones raramente están centralizados. Están en RRHH, en operaciones, en finanzas, en atención al cliente, en el área comercial. Algunos han sido desarrollados internamente. Otros son módulos de software de terceros que incluyen componentes de IA sin que el usuario final sea plenamente consciente de ello. Otros son APIs de grandes modelos de lenguaje integradas por el equipo de tecnología sin un proceso formal de aprobación.

Construir ese inventario requiere un proceso estructurado que combine la revisión de contratos con proveedores de software, entrevistas con áreas funcionales y un análisis técnico de las arquitecturas desplegadas. No es un ejercicio que pueda hacerse en un fin de semana. Pero sin él, es imposible saber si la organización está expuesta, en qué medida lo está y cuáles son las prioridades de actuación.

La clasificación: de alto riesgo o no

Una vez construido el inventario, cada sistema debe ser clasificado según la taxonomía del AI Act. Esta clasificación no es trivial: el Reglamento tiene definiciones técnicas que requieren interpretación jurídica y comprensión del funcionamiento del sistema. La clave está en analizar el uso concreto del sistema —no sus capacidades abstractas— y en identificar si ese uso tiene impacto real sobre derechos fundamentales, seguridad o acceso a servicios esenciales de personas físicas. El error más frecuente es clasificar por intuición en lugar de hacerlo por análisis.

VI — Conclusión

La ventana se está cerrando

El AI Act no es una regulación que pueda gestionarse con los mecanismos de cumplimiento existentes sin adaptación. No es el RGPD aplicado a la inteligencia artificial, aunque comparte con él varios principios. Es un marco regulatorio nuevo, con categorías nuevas, obligaciones nuevas y una lógica de conformidad que requiere competencias técnicas y jurídicas combinadas que pocas organizaciones tienen actualmente en casa.

Las organizaciones que saldrán mejor paradas no serán necesariamente las que tienen los sistemas de IA más sofisticados, ni las que tienen los presupuestos de compliance más elevados. Serán las que tengan, antes de que llegue la presión supervisora, una respuesta clara a tres preguntas: qué sistemas de IA tenemos, cuáles son de alto riesgo según el Reglamento, y qué estamos haciendo para cumplir con las obligaciones que eso genera.

No es una pregunta para el futuro. Es una pregunta para ahora.