El Reglamento Europeo de Inteligencia Artificial ha dejado de ser una propuesta en el horizonte regulatorio para convertirse en una obligación con plazos que ya corren. Las empresas que integran sistemas de IA en sus procesos – desde la selección de personal hasta la evaluación crediticia o el control de calidad en planta – se enfrentan a un marco de cumplimiento que va mucho más allá de actualizar una cláusula de privacidad. La dirección debe tomar decisiones con consecuencias jurídicas y reputacionales significativas, y el momento de actuar es ahora.
El caso que describimos a continuación está anonimizado. Se trata de una empresa tecnológica de tamaño mediano, con sede en España y operaciones en varios países de la Unión Europea. La compañía empleaba sistemas de inteligencia artificial en tres ámbitos distintos: un motor de recomendación para clientes corporativos, un sistema automatizado de puntuación de solicitudes de crédito y una herramienta de análisis de rendimiento de empleados.
Ninguno de esos sistemas había sido sometido a un análisis de riesgo formal. La empresa contaba con una política de privacidad actualizada y había realizado algún registro de tratamientos en el pasado, pero no disponía de un programa de compliance estructurado ni de un protocolo de actuación ante brechas de seguridad. La creencia interna era clara: con las medidas adoptadas hasta la fecha, el cumplimiento estaba garantizado.
Esa percepción, compartida por buena parte de las empresas que asesoramos con regularidad, constituye precisamente el riesgo más frecuente. El Reglamento de IA no sustituye al Reglamento General de Protección de Datos (RGPD) ni a la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD): los superpone. Una empresa puede cumplir formalmente con la normativa de protección de datos y, al mismo tiempo, estar en situación de incumplimiento grave frente al Reglamento de IA.
El Reglamento de IA clasifica los sistemas en función del riesgo que generan para derechos fundamentales y seguridad. Dos de los tres sistemas que empleaba esta empresa – la puntuación crediticia y el análisis de rendimiento laboral – quedaban encuadrados en la categoría de alto riesgo. Las consecuencias de esa clasificación son inmediatas y exigen actuación.
El marco regulatorio europeo sobre inteligencia artificial establece obligaciones diferenciadas según el papel que ocupa la empresa en la cadena de valor del sistema. No es lo mismo ser el proveedor que desarrolla el modelo que ser el implantador que lo despliega en su organización. La empresa de nuestro caso actuaba como implantadora en todos los supuestos, lo que genera un conjunto específico de deberes.
En primer lugar, la obligación de documentación técnica y de gobernanza. Los sistemas de alto riesgo deben estar acompañados de documentación que acredite su funcionamiento, sus limitaciones y los controles aplicados. La empresa debe conservar esa documentación y actualizarla cuando el sistema se modifique.
En segundo lugar, la exigencia de supervisión humana efectiva. No basta con que un empleado revise el resultado del sistema de forma nominal. El marco regulatorio exige que esa supervisión sea real, documentada y que el supervisor disponga de capacidad efectiva para corregir o anular la decisión automatizada.
En tercer lugar, la evaluación de conformidad. Antes de poner en servicio un sistema de alto riesgo, el implantador debe verificar que el proveedor ha superado los procedimientos de evaluación exigidos y que el sistema lleva el marcado CE correspondiente cuando así lo requiere el Reglamento.
En nuestra experiencia asesorando a empresas en España, este último punto genera la mayor cantidad de conflictos contractuales: muchos proveedores de software no han completado aún el proceso de certificación, y los contratos existentes no asignan claramente la responsabilidad de garantizar esa conformidad. El implantador que no verifica la conformidad del sistema no queda exento de responsabilidad por el hecho de haber firmado un contrato con el proveedor.
Hay un cuarto eje que no puede ignorarse: la intersección con el RGPD y con la normativa laboral. Los sistemas de puntuación crediticia y de análisis de rendimiento tratan datos personales de categoría ordinaria y, en algunos casos, de categoría especial. Eso activa simultáneamente las obligaciones del RGPD – incluyendo la evaluación de impacto relativa a la protección de datos (EIPD) – y las limitaciones que la legislación laboral impone al uso de sistemas de control y evaluación del trabajador. El compliance empresa no puede diseñarse en silos.
El Reglamento de IA no es una norma que pueda gestionarse de forma burocrática. Exige decisiones de gestión con impacto directo en operaciones, en contratos con proveedores y en la estructura organizativa. La dirección que delega el cumplimiento exclusivamente al departamento jurídico o de tecnología sin implicarse en las decisiones de fondo asume un riesgo adicional de responsabilidad.
La primera decisión es el inventario. Antes de cualquier análisis de riesgo, la empresa debe identificar con precisión qué sistemas de IA utiliza, en qué procesos y con qué impacto en personas. En nuestra práctica hemos observado que muchas empresas subestiman el número de sistemas en uso: herramientas de análisis de datos, motores de predicción de demanda, sistemas de detección de fraude o plataformas de recursos humanos con componente algorítmico quedan fuera del radar inicial.
La segunda decisión es la clasificación del riesgo. Una vez elaborado el inventario, la empresa debe determinar la categoría regulatoria de cada sistema. Los sistemas de alto riesgo activarán obligaciones inmediatas y continuas. Los sistemas de riesgo limitado exigen, como mínimo, transparencia frente al usuario. Los sistemas de uso general requieren un análisis separado, especialmente si se integran en cadenas de producción de contenido o de toma de decisiones.
La tercera decisión es la revisión contractual. Los contratos con proveedores de IA deben adaptarse para reflejar la distribución de responsabilidades que impone el Reglamento. Esa revisión incluye la diligencia debida (due diligence) técnica y jurídica sobre el proveedor y el sistema. Las cláusulas de garantía, de auditoría y de notificación de incidentes son especialmente relevantes.
La cuarta decisión es la integración del programa de compliance. El Reglamento de IA no opera en el vacío. La empresa debe articular un programa que integre las obligaciones de IA con las de protección de datos – incluyendo el protocolo de notificación de brecha de seguridad a la Agencia Española de Protección de Datos (AEPD) en el plazo de 72 horas – y con el canal de denuncias y el modelo de compliance penal que ya exige otra normativa aplicable.
Los plazos que fija el Reglamento de IA son escalonados y dependen del tipo de sistema. Los sistemas de alto riesgo en los ámbitos más sensibles tienen plazos de aplicación más inmediatos que el resto. Conviene verificar con la normativa vigente la fecha de aplicación exacta para cada categoría, dado que el Reglamento establece una entrada en vigor progresiva. Lo que sí es claro es que el período de preparación efectiva es limitado y que el proceso de diagnóstico, documentación, evaluación y formación interna consume un tiempo significativo que no debe subestimarse.
Cuando la empresa del caso nos planteó su situación, la primera actuación fue realizar un diagnóstico estructurado. Ese diagnóstico tenía tres ejes: el inventario de sistemas, la evaluación de la brecha de cumplimiento respecto al Reglamento de IA y el análisis del estado del programa de protección de datos existente.
El resultado fue claro. Los dos sistemas de alto riesgo no cumplían los requisitos de documentación técnica. El contrato con el proveedor del sistema de puntuación crediticia no contenía cláusulas suficientes sobre responsabilidad, auditoría ni gestión de incidentes. El sistema de análisis de rendimiento laboral no había sido sometido a evaluación de impacto relativa a la protección de datos, que es obligatoria conforme a la normativa de protección de datos cuando el tratamiento implica decisiones automatizadas con efecto significativo sobre el trabajador. Y el canal de denuncias de la empresa no cubría expresamente las conductas relacionadas con el uso indebido de IA.
La estrategia que diseñamos se articuló en cuatro fases secuenciales.
La primera fase fue la regularización del programa de protección de datos. Actualizamos el registro de tratamientos para incluir todos los sistemas de IA identificados, realizamos la evaluación de impacto relativa a la protección de datos sobre los dos sistemas de alto riesgo y establecimos el protocolo de gestión y notificación de brechas. Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud; en todos los casos, la regularización del programa de protección de datos es la base sobre la que se construye el resto del edificio de cumplimiento.
La segunda fase fue la negociación y adaptación contractual. Renegociamos los contratos con los proveedores de los dos sistemas de alto riesgo para incluir las obligaciones de certificación, documentación técnica, notificación de incidentes y auditoría. En uno de los casos, el proveedor no disponía aún del marcado de conformidad requerido, lo que llevó a establecer un calendario de adecuación con hitos verificables y una cláusula de resolución anticipada en caso de incumplimiento.
La tercera fase fue la implantación del programa de compliance integrado. Diseñamos un modelo de compliance empresa que articulaba en un único marco las obligaciones del Reglamento de IA, las del RGPD, el canal de denuncias exigido por la normativa vigente y los controles internos de compliance penal. La supervisión humana de los sistemas automatizados quedó documentada en procedimientos internos con responsable designado y trazabilidad de las decisiones.
La cuarta fase fue la formación. Los responsables de las áreas que utilizaban los sistemas de alto riesgo – recursos humanos y el equipo de riesgo crediticio – recibieron formación específica sobre las obligaciones del Reglamento de IA, los límites del sistema y los procedimientos de escalado cuando el resultado automatizado generaba dudas. La formación no es un elemento accesorio: sin ella, la supervisión humana es nominal, no efectiva.
La pregunta que con más frecuencia nos plantea la dirección de una empresa en este contexto es directa: ¿qué pasa si esperamos? La respuesta tiene tres dimensiones.
La primera es la dimensión sancionadora. El Reglamento de IA establece un régimen de sanciones severo, graduado según la gravedad del incumplimiento. Las infracciones más graves – como el uso de sistemas prohibidos o la obstaculización de las autoridades – dan lugar a las sanciones más altas. Las infracciones relacionadas con los sistemas de alto riesgo, incluyendo la falta de documentación, de evaluación de conformidad o de supervisión humana efectiva, se sitúan en una banda intermedia que puede ser económicamente muy relevante para una empresa mediana. Conviene verificar con la normativa vigente los importes actualizados, dado que el Reglamento establece rangos que se expresan también como porcentaje del volumen de negocio global de la empresa.
La segunda dimensión es la responsabilidad civil y reputacional. Un sistema de puntuación crediticia que genera decisiones discriminatorias, aunque sea de forma no intencional, puede dar lugar a reclamaciones individuales y colectivas. Un sistema de análisis de rendimiento que no cumple los requisitos de la legislación laboral puede originar conflictos individuales y colectivos ante los tribunales. El daño reputacional asociado a esos incidentes es difícilmente cuantificable, pero históricamente significativo.
La tercera dimensión es el coste de la remediación tardía. Corregir un programa de compliance después de un incidente o de una inspección de la Agencia Española de Protección de Datos resulta sistemáticamente más costoso que implantarlo de forma preventiva. La empresa que actúa tras una notificación de la AEPD opera bajo presión de tiempo y con el escrutinio de la autoridad. La que actúa de forma proactiva controla el ritmo y puede priorizar los riesgos más relevantes.
¿Puede una empresa de tamaño mediano afrontar este proceso sin apoyo externo especializado? En nuestra experiencia, la respuesta es negativa en la mayoría de los casos. La complejidad técnica del análisis de riesgo, la especificidad jurídica de los contratos con proveedores y la intersección entre el Reglamento de IA, el RGPD, la normativa laboral y el compliance penal requieren una visión integrada que es difícil de desarrollar internamente sin haber acompañado ya a otras empresas en procesos equivalentes.
El proceso de preparación de la empresa se completó en el calendario previsto. Al término del mismo, la compañía disponía de un inventario completo y actualizado de sistemas de IA, con su clasificación de riesgo documentada. Los dos sistemas de alto riesgo contaban con la documentación técnica requerida, con contratos revisados con los proveedores y con procedimientos internos de supervisión humana efectiva. El programa de compliance empresa integraba el RGPD, el canal de denuncias y los controles de compliance penal en un marco unificado. La EIPD de los dos sistemas de alto riesgo estaba completada y archivada.
Las lecciones que este caso ilustra son aplicables a la mayoría de las empresas que nos consultan en situaciones similares.
Para las empresas que evalúan su situación actual frente a este marco, el área de protección de datos y compliance de Velarde & Vidal ofrece un diagnóstico estructurado que permite identificar la brecha de cumplimiento y priorizar las actuaciones con mayor impacto en la reducción del riesgo.
La preparación para el Reglamento de IA intersecta directamente con la práctica de protección de datos y compliance y, con frecuencia, con la normativa laboral aplicable a los sistemas de evaluación automatizada de empleados. Si su empresa opera en el sector de distribución o comercio, el programa de cumplimiento en entornos de IA presenta particularidades sectoriales que conviene analizar específicamente; puede encontrar un marco de referencia en nuestra guía sobre cumplimiento normativo en retail y distribución. Para empresas con presencia en el sur de España o con operaciones vinculadas a la Costa del Sol y el polo tecnológico de la provincia, nuestro equipo de protección de datos y compliance en Málaga puede abordar el proceso de preparación con conocimiento del tejido empresarial local.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.