El Reglamento europeo de Inteligencia Artificial – el denominado AI Act – ha entrado en su fase de aplicación progresiva y ya exige que las empresas europeas, incluidas las startups respaldadas por capital riesgo, se posicionen frente a una pregunta que no admite demora: ¿en qué categoría de riesgo cae el sistema de IA que desarrollamos o que empleamos en nuestras operaciones? La respuesta a esa pregunta no es académica. Determina el régimen de obligaciones, los plazos de cumplimiento y, en última instancia, la exposición regulatoria de la empresa frente a las autoridades de supervisión.
El Reglamento europeo de Inteligencia Artificial establece un sistema de clasificación por niveles de riesgo que afecta a todos los proveedores, implantadores y distribuidores de sistemas de IA que operen en el mercado interior de la Unión Europea. La norma no exige que la empresa esté domiciliada en Europa: basta con que el sistema produzca efectos sobre personas situadas en territorio europeo.
Para una startup o una empresa participada por venture capital, este elemento extraterritorial es especialmente relevante. Muchas de ellas se constituyen en jurisdicciones fuera del Espacio Económico Europeo pero dirigen sus servicios al mercado europeo. El AI Act las alcanza del mismo modo que alcanza a las empresas domiciliadas en España o en cualquier otro Estado miembro.
La intersección con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) es inmediata. Buena parte de los sistemas de IA clasificados como de alto riesgo procesan datos personales a gran escala. Eso los somete simultáneamente a dos marcos de cumplimiento: el AI Act como regulación de producto tecnológico y el RGPD como regulación del tratamiento de datos.
La Agencia Española de Protección de Datos (AEPD) ha publicado orientaciones específicas sobre la aplicación conjunta de ambas normativas. En nuestra experiencia asesorando a empresas tecnológicas, la ausencia de coordinación entre el programa de protección de datos y el programa de compliance en IA es el error más frecuente y el que genera mayor duplicidad de coste.
¿Cómo afecta esto a la estructura de financiación de una startup? Los fondos de venture capital con exposición al mercado europeo han comenzado a incorporar en sus procesos de diligencia debida (due diligence) la revisión del estado de cumplimiento regulatorio en IA. Un sistema mal clasificado – o no clasificado – se convierte en un pasivo que deprime la valoración y puede condicionar el cierre de una ronda de inversión.
El AI Act estructura los sistemas de IA en cuatro categorías según el riesgo que presentan para los derechos fundamentales, la seguridad y el orden público.
El primer nivel – riesgo inaceptable – incluye usos que la norma prohíbe directamente. Se trata de sistemas que el legislador europeo considera incompatibles con los valores fundamentales del ordenamiento, como la puntuación social de ciudadanos por parte de autoridades públicas o determinadas formas de identificación biométrica en tiempo real en espacios públicos. Para una startup, la relevancia práctica de esta categoría es más limitada, pero conviene verificarla, especialmente en proyectos de reconocimiento facial o de análisis conductual.
El segundo nivel – alto riesgo – es el que concentra la mayor carga obligacional y el que afecta con mayor frecuencia a las startups tecnológicas. La norma enumera ámbitos específicos: sistemas de IA utilizados en infraestructuras críticas, en procesos de selección y gestión del empleo, en el acceso a servicios esenciales como el crédito o los seguros, en la administración de justicia y en la gestión de la migración y el asilo.
Un sistema de IA que utiliza una fintech para determinar la concesión de un crédito al consumo, o que emplea una HR-tech para filtrar candidatos en procesos de selección, cae dentro de esta categoría. Las obligaciones son sustanciales: documentación técnica exhaustiva, registro de actividades, transparencia frente al usuario, supervisión humana y, en muchos casos, evaluación de conformidad previa a la comercialización.
El tercer nivel – riesgo limitado – aplica principalmente a sistemas de interacción directa con personas, como los chatbots y los asistentes conversacionales. La obligación central es la transparencia: el usuario debe saber que está interactuando con un sistema automatizado.
El cuarto nivel – riesgo mínimo o nulo – abarca la gran mayoría de las aplicaciones de IA disponibles hoy en el mercado: filtros de spam, sistemas de recomendación de contenido editorial, herramientas de optimización de procesos internos sin impacto en derechos de terceros. Este nivel no genera obligaciones adicionales bajo el AI Act, aunque el RGPD puede seguir siendo de aplicación si hay tratamiento de datos personales.
En nuestra práctica observamos con regularidad un patrón: las startups tienden a clasificar sus sistemas en el nivel más bajo posible para reducir la carga de cumplimiento a corto plazo. Esta estrategia es comprensible desde el punto de vista operativo, pero presenta un riesgo jurídico elevado. Una clasificación errónea no interrumpe el plazo de cumplimiento y puede agravar la responsabilidad cuando la autoridad supervisora detecta el incumplimiento.
Cuando un sistema de IA cae en la categoría de alto riesgo, el AI Act impone un conjunto articulado de obligaciones que la dirección debe gestionar como un proyecto regulatorio con fases, entregables y responsables definidos.
La primera obligación es la documentación técnica. El proveedor debe elaborar y mantener actualizada la documentación que describe el diseño del sistema, los datos de entrenamiento, las métricas de rendimiento, los límites de uso y las medidas adoptadas para gestionar los riesgos identificados. Esta documentación no es un trámite formal: es el instrumento con el que la empresa demuestra conformidad ante la autoridad supervisora y ante un eventual adquirente en una operación corporativa.
La segunda obligación es el establecimiento de un sistema de gestión de riesgos continuo. La norma no admite el enfoque de punto único: la evaluación de riesgos debe actualizarse durante todo el ciclo de vida del sistema, desde el diseño hasta la retirada del mercado.
La tercera es la supervisión humana. Los sistemas de alto riesgo deben diseñarse de manera que permitan a las personas que los operan supervisar su funcionamiento, detectar anomalías y, si fuera necesario, interrumpir su funcionamiento. Este requisito tiene implicaciones directas sobre la arquitectura del sistema y sobre los procesos internos de la empresa.
La cuarta obligación – que conecta directamente con el RGPD – es la transparencia frente a los afectados. Las personas cuyos derechos o intereses son afectados por un sistema de alto riesgo tienen derecho a recibir información clara sobre la existencia y el funcionamiento del sistema.
Finalmente, los proveedores de sistemas de alto riesgo deben registrar sus sistemas en la base de datos de la UE cuando la norma así lo exija. Este registro es verificable públicamente, lo que convierte el cumplimiento – o el incumplimiento – en un elemento de reputación frente a clientes, inversores y autoridades.
¿Cuándo debe comenzar a prepararse una startup? La respuesta es: antes de que el sistema esté en producción. Las obligaciones de documentación y evaluación de conformidad aplican desde el momento en que el sistema se pone a disposición del mercado, no desde que genera ingresos.
El compliance en inteligencia artificial no opera en el vacío. En el contexto español, las empresas están también sujetas a la normativa de compliance penal, que exige a las personas jurídicas disponer de modelos de organización y gestión que prevengan la comisión de determinados delitos. El desarrollo y comercialización de sistemas de IA con capacidad de afectar a derechos fundamentales puede generar exposición en este plano si la empresa carece de controles internos adecuados.
El canal de denuncias, exigido por la normativa de protección de los informantes transpuesta en España, adquiere relevancia especial en empresas tecnológicas que desarrollan IA. Un empleado que detecta que el sistema está siendo utilizado de forma contraria a la clasificación declarada, o que los datos de entrenamiento incluyen categorías especiales de datos personales sin la cobertura jurídica adecuada, debe tener un cauce seguro para poner ese hecho en conocimiento de la empresa.
La ausencia de este cauce no solo genera exposición normativa autónoma. También priva a la dirección de la información que necesita para gestionar el riesgo antes de que llegue a la autoridad supervisora.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y la experiencia es consistente: las organizaciones que detectan internamente los incumplimientos y los corrigen de manera proactiva se encuentran en una posición radicalmente mejor cuando se inicia una investigación por parte de la autoridad de control.
La Agencia Española de Protección de Datos supervisa la intersección entre el RGPD y el AI Act cuando el sistema de IA procesa datos personales. La AEPD ha sido proactiva en la publicación de criterios interpretativos y en la apertura de investigaciones de oficio en el sector tecnológico. La brecha de seguridad que involucra a un sistema de IA clasificado erróneamente, o no clasificado, tiene un potencial sancionador amplificado cuando la autoridad detecta que la empresa no había realizado la evaluación de impacto exigida por la normativa de protección de datos.
Desde la perspectiva del inversor de venture capital, la clasificación del sistema de IA es un elemento de valoración que ha pasado de ser una cuestión secundaria a ocupar un lugar central en el proceso de diligencia debida.
Un fondo que adquiere una participación significativa en una empresa cuyo sistema de IA está clasificado erróneamente o incumple las obligaciones del AI Act asume implícitamente ese pasivo regulatorio. Las cláusulas de declaraciones y garantías (representations and warranties) de los contratos de inversión han comenzado a incluir compromisos específicos sobre el estado de cumplimiento en materia de IA.
En nuestra experiencia, los aspectos más relevantes que un inversor debe verificar antes de cerrar una ronda son los siguientes. En primer lugar, si la empresa ha realizado un análisis formal de clasificación de sus sistemas de IA. En segundo lugar, si dispone de la documentación técnica exigida para los sistemas de alto riesgo. En tercer lugar, si el programa de protección de datos está adaptado a los requisitos de la normativa de protección de datos y al AI Act de forma coordinada. En cuarto lugar, si existe un modelo de compliance penal actualizado y un canal de denuncias operativo. En quinto lugar, si la empresa ha evaluado su posición en la cadena de valor del AI Act – proveedor, implantador o distribuidor – y ha asignado correctamente las responsabilidades.
La adaptación al RGPD es un elemento de este análisis, no su totalidad. Las empresas que creen que con una cláusula de privacidad en la web ya han cumplido la normativa de datos personales – y que trasladan ese mismo enfoque superficial al AI Act – se exponen a un escenario de cumplimiento costoso y reactivo que penaliza la valoración en cada ronda sucesiva.
El marco legal, correctamente estructurado desde el inicio, no es un coste. Es una ventaja competitiva frente a competidores que han ignorado el problema y frente a mercados regulados en los que el cumplimiento es una barrera de entrada.
El AI Act establece un calendario de aplicación escalonado. Las prohibiciones relativas a los sistemas de riesgo inaceptable entraron en vigor en una primera fase. Las obligaciones aplicables a los sistemas de alto riesgo, a los modelos de IA de uso general y a las obligaciones de transparencia para sistemas de riesgo limitado se activan en fases sucesivas a lo largo del período de transición establecido en la norma.
Las startups y empresas participadas por venture capital que operen en sectores cubiertos por las categorías de alto riesgo deben haber iniciado ya sus programas de cumplimiento. El período de transición no equivale a un período de gracia: la arquitectura del sistema, los procesos de gestión de riesgos y la documentación técnica deben estar diseñados desde la fase de desarrollo, no retrofitados a posteriori.
La experiencia del RGPD es ilustrativa en este punto. Las empresas que esperaron al plazo límite para comenzar a adaptar sus sistemas de tratamiento de datos personales afrontaron costes de adaptación significativamente superiores a los de las organizaciones que abordaron el cumplimiento de forma planificada. El AI Act reproduce ese patrón con mayor complejidad técnica y con sanciones que la normativa fija en niveles sustanciales.
Un punto especialmente relevante para las startups en fase temprana: el diseño del sistema de IA condiciona el cumplimiento. Si el modelo se desarrolla sin tener en cuenta los requisitos de supervisión humana, trazabilidad de los datos de entrenamiento y explicabilidad de las decisiones, la adaptación posterior es costosa y puede exigir cambios de arquitectura incompatibles con el producto que ya está en el mercado.
Si evalúa la posición regulatoria de su empresa en materia de IA antes de su próxima ronda de inversión, le ayudamos a comparar la vía adecuada: info@velardevidal.com.
La tesis central de este análisis es que el asesoramiento jurídico en materia de clasificación de sistemas de IA tiene un valor inversamente proporcional al momento en que se contrata. Cuanto más tarde se aborda el problema, mayor es el coste de corrección.
Las razones son técnicas y jurídicas. Desde el punto de vista técnico, modificar la arquitectura de un sistema de IA para incorporar los requisitos de supervisión humana, explicabilidad o gestión de riesgos una vez que el sistema está en producción es un proceso costoso y disruptivo. Desde el punto de vista jurídico, la ausencia de documentación técnica en el momento en que la autoridad supervisora inicia una investigación no es subsanable retroactivamente con la misma eficacia que una documentación elaborada en el momento correcto.
El registro de tratamientos, el protocolo de brechas y el modelo de compliance reducen tanto la sanción potencial como la responsabilidad de los administradores. Esta afirmación, que en el contexto del RGPD lleva años siendo conocida, se traslada con igual fuerza al AI Act.
El asesoramiento temprano permite también identificar oportunidades de simplificación. No todos los sistemas que una startup desarrolla o utiliza son de alto riesgo. Una evaluación rigurosa puede concluir que determinados sistemas caen en las categorías de riesgo limitado o mínimo, lo que reduce materialmente el programa de cumplimiento necesario.
La coordinación entre el área de producto, el área jurídica y el área de inversores es el factor que más frecuentemente determina el éxito de un programa de compliance en IA. En nuestra práctica, los programas que funcionan son los que están alineados con la estrategia de negocio, no los que se elaboran como documentos autónomos desconectados de la realidad operativa de la empresa.
Nuestra área de protección de datos y compliance asesora a empresas tecnológicas, startups y grupos industriales en el diseño e implantación de programas de cumplimiento en IA que integran las exigencias del AI Act con las del RGPD y la LOPDGDD.
Las siguientes verificaciones permiten a la dirección obtener una imagen inicial del estado de cumplimiento de la empresa en materia de clasificación de sistemas de IA. No sustituyen al análisis jurídico formal, pero orientan las prioridades de actuación.
Si alguna de estas verificaciones arroja una respuesta negativa o incierta, la empresa tiene un punto de partida claro para su programa de cumplimiento.
El cumplimiento en materia de IA es indisociable de la adaptación al RGPD y de la implantación de un modelo de compliance penal robusto. Nuestra área de práctica cubre de forma integrada la adaptación al RGPD para empresas tecnológicas y startups, desde el registro de tratamientos hasta las transferencias internacionales de datos. En el plano operativo, los programas de compliance que diseñamos coordinan los requisitos del AI Act con los de la normativa de protección de datos, el compliance penal y las obligaciones sectoriales aplicables a la empresa.
Para empresas con operaciones logísticas o de transporte que utilizan sistemas de optimización basados en IA, puede resultar útil consultar nuestro análisis sobre las preguntas frecuentes en materia de delegado de protección de datos en logística y transporte.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.