Reglamento Europeo de Inteligencia Artificial: ¿qué cambia para las empresas?

El Reglamento Europeo de Inteligencia Artificial ya condiciona la forma en que las empresas desarrollan, contratan y utilizan sistemas de IA. La mayor parte del AI Act comenzó a aplicarse el 2 de agosto de 2026, aunque determinadas obligaciones se encuentran vigentes desde 2025 y algunos requisitos para sistemas de alto riesgo cuentan con plazos adicionales.

Su impacto no se limita a las empresas tecnológicas. Una organización que utilice inteligencia artificial para seleccionar candidatos, atender a clientes, elaborar contenidos, conceder financiación o automatizar decisiones puede asumir obligaciones diferentes en función del sistema, su nivel de riesgo y el papel que desempeñe respecto a él.

¿Qué es el Reglamento Europeo de Inteligencia Artificial?

El Reglamento Europeo de Inteligencia Artificial, también conocido como AI Act, es la norma de la Unión Europea que establece un marco común para el desarrollo, la comercialización y el uso de sistemas de inteligencia artificial.

La regulación adopta un enfoque basado en el riesgo: cuanto mayor sea el posible impacto de un sistema sobre la seguridad, los derechos fundamentales o las personas, más estrictos serán los requisitos aplicables. También distingue entre los diferentes actores que intervienen en la cadena de valor, como proveedores, responsables del despliegue, importadores y distribuidores.

Por tanto, las obligaciones de una empresa no dependen únicamente de si utiliza inteligencia artificial, sino de para qué la utiliza, qué nivel de riesgo presenta el sistema y cuál es su responsabilidad sobre él.

¿Cuándo entra en vigor el AI Act?

El AI Act entró en vigor el 1 de agosto de 2024, pero sus obligaciones comenzaron a aplicarse de forma progresiva:

• Desde el 2 de febrero de 2025 se aplican las prohibiciones sobre determinadas prácticas de IA y las obligaciones de alfabetización en inteligencia artificial.
• Desde el 2 de agosto de 2025 se aplican las normas de gobernanza y las obligaciones relacionadas con los modelos de IA de propósito general o GPAI.
• Desde el 2 de agosto de 2026 se aplica la mayor parte del Reglamento y las autoridades han comenzado a ejercer sus competencias de supervisión.
• Desde el 2 de diciembre de 2027 se aplicarán las reglas específicas para determinados sistemas de alto riesgo utilizados en ámbitos como la educación, el empleo, la biometría, las infraestructuras críticas o la migración.
• Desde el 2 de agosto de 2028 se aplicarán las reglas para los sistemas de alto riesgo integrados en productos regulados.

Este calendario obliga a las organizaciones a determinar qué requisitos ya les afectan y cuáles deben empezar a preparar para los próximos años. Las fechas de aplicación pueden consultarse en la información oficial de la Comisión Europea sobre el AI Act.

¿A qué empresas afecta el Reglamento Europeo de IA?

El Reglamento Europeo de IA afecta a muchas más organizaciones que las dedicadas al desarrollo tecnológico. Una empresa puede quedar dentro de su ámbito de aplicación cuando incorpora sistemas de inteligencia artificial en sus procesos, aunque utilice soluciones creadas por terceros y no haya desarrollado ningún modelo propio.

Algunos ejemplos habituales son:

• Chatbots y asistentes utilizados en atención al cliente.
• Herramientas de cribado o evaluación de candidatos.
• Sistemas de scoring y evaluación de riesgos.
• Aplicaciones de reconocimiento biométrico.
• Inteligencia artificial generativa empleada para producir contenidos.
• Sistemas que apoyan o automatizan decisiones sobre personas.

El uso de una de estas herramientas no implica automáticamente que el sistema sea de alto riesgo. Es necesario analizar su finalidad, el contexto en el que se utiliza y las consecuencias que puede tener para las personas afectadas.

Por ejemplo, emplear una herramienta de IA generativa para preparar un primer borrador de una comunicación interna no tiene las mismas implicaciones que utilizar un sistema para evaluar candidatos, decidir el acceso a un servicio o determinar las condiciones ofrecidas a un cliente.

¿Cómo identificar los riesgos y obligaciones de una empresa?

Para conocer las obligaciones de una organización hay que responder, como mínimo, a estas preguntas:

• ¿Qué sistemas de inteligencia artificial utiliza la empresa?
• ¿Con qué finalidad se utiliza cada uno?
• ¿Qué datos procesa y qué decisiones puede condicionar?
• ¿Qué rol asume la organización: proveedor, responsable del despliegue, importador o distribuidor?
• ¿En qué categoría de riesgo se encuentra el sistema?
• ¿Existe una supervisión humana efectiva?
• ¿Se han documentado las decisiones y las medidas de control?

Una aseguradora que utiliza una herramienta para estimar la probabilidad de impago de un cliente, por ejemplo, no está limitándose a automatizar un proceso interno. El resultado puede condicionar el acceso de una persona a un producto o servicio y, por tanto, requiere un análisis específico.

La conclusión de que un sistema presenta un riesgo bajo no debería basarse en una impresión inicial. La empresa debe poder justificar la finalidad del sistema, el nivel de riesgo asignado y las medidas adoptadas para controlarlo.

También debe identificar el papel que desempeña respecto a cada solución. Una empresa que desarrolla y comercializa un sistema no tiene las mismas responsabilidades que otra que lo adquiere para utilizarlo en sus procesos. Del mismo modo, integrar una herramienta de terceros dentro de un producto propio puede modificar las obligaciones inicialmente previstas.

Sanciones por incumplir el AI Act

El régimen sancionador del AI Act establece diferentes límites en función del tipo de infracción:

• Hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual por incumplir las prohibiciones sobre determinadas prácticas de inteligencia artificial.
• Hasta 15 millones de euros o el 3 % del volumen de negocio mundial anual por incumplir otras obligaciones del Reglamento.
• Hasta 7,5 millones de euros o el 1 % del volumen de negocio mundial anual por facilitar información incorrecta, incompleta o engañosa a las autoridades.

La cuantía concreta depende de factores como la gravedad, la duración y las consecuencias de la infracción, además del tamaño de la organización. El régimen sancionador completo se encuentra recogido en el Reglamento (UE) 2024/1689.

Sin embargo, la exposición empresarial va más allá de las multas. Un incumplimiento puede provocar la paralización de proyectos, la revisión de contratos con proveedores, daños reputacionales y una pérdida de confianza entre clientes, empleados y candidatos.

La mejor forma de reducir esta exposición no consiste en evitar la IA, sino en acreditar que su adopción se ha realizado con controles, responsabilidades y decisiones documentadas.

¿Cómo puede prepararse una empresa para cumplir el AI Act?

El primer paso consiste en conocer cómo se está utilizando la inteligencia artificial dentro de la organización. Una estrategia inicial de cumplimiento debería incluir las siguientes actuaciones:

• Elaborar un inventario de los sistemas y herramientas de IA utilizados.
• Identificar la finalidad y el responsable interno de cada sistema.
• Determinar el rol que desempeña la empresa en cada caso.
• Clasificar los sistemas según su nivel de riesgo.
• Revisar los contratos, proveedores y condiciones de uso.
• Establecer mecanismos efectivos de supervisión humana.
• Documentar las decisiones y crear un protocolo para gestionar incidencias.
• Formar a los profesionales que utilizan o supervisan herramientas de inteligencia artificial.

Este proceso permite detectar los usos que requieren una intervención prioritaria y construir una gobernanza de IA adaptada a la actividad real de la empresa. No se trata de aplicar los mismos controles a todas las herramientas, sino de adoptar medidas proporcionales a su finalidad, riesgo e impacto.

Formación práctica para aplicar el Reglamento Europeo de IA

Para ayudar a las organizaciones y profesionales a trasladar estas obligaciones a su actividad diaria, The Valley ha creado el Curso de Compliance y Cumplimiento del AI Act, una formación online dirigida a perfiles jurídicos y no jurídicos que participan en la adquisición, implantación o supervisión de sistemas de inteligencia artificial.

No es un curso técnico sobre el desarrollo de modelos de IA. El programa aborda el Reglamento desde una perspectiva jurídica, operativa y de negocio, con contenidos sobre:

• El enfoque basado en el riesgo y el calendario de aplicación.
• La identificación de sistemas de alto riesgo.
• Los roles de proveedor, responsable del despliegue, importador y distribuidor.
• El régimen sancionador y la exposición empresarial.
• La elaboración de un inventario de sistemas de IA.
• Las políticas internas de uso y las cláusulas contractuales.
• Los mecanismos de supervisión humana.
• La gestión y documentación de incidencias.
• La preparación de una hoja de ruta de adaptación.

El objetivo no es memorizar artículos del Reglamento, sino aprender a revisar los sistemas de IA de una organización, clasificarlos, identificar las responsabilidades asociadas y priorizar las primeras medidas de cumplimiento.

La inteligencia artificial responsable como ventaja competitiva

El cumplimiento normativo no es la única razón para establecer una gobernanza de inteligencia artificial. Las empresas capaces de acreditar un uso responsable, supervisado y documentado pueden generar más confianza entre clientes, empleados, candidatos y colaboradores.

Esto resulta especialmente relevante en procesos como la selección de personal, la personalización de campañas, la atención al cliente o la generación de contenidos. En estos ámbitos, una mala decisión automatizada puede tener consecuencias jurídicas, comerciales y reputacionales.

Formar a los equipos, definir responsabilidades y documentar cómo se utiliza la IA permite reducir riesgos y avanzar hacia una adopción más segura y sostenible. La gobernanza deja así de ser únicamente una cuestión de compliance para convertirse también en una capacidad empresarial.