El marco regulatorio de la inteligencia artificial en Europa ha dejado de ser una promesa para convertirse en obligación exigible. El Reglamento de Inteligencia Artificial de la Unión Europea – conocido como AI Act – establece un sistema de requisitos diferenciados según el riesgo que presenta cada sistema de IA. Para la dirección de cualquier empresa que desarrolle, implante o utilice estas tecnologías, la pregunta ya no es si adaptarse, sino con qué urgencia y bajo qué modelo de gobernanza.
El AI Act clasifica los sistemas de inteligencia artificial en cuatro categorías según el riesgo que generan: inaceptable, alto, limitado y mínimo. Los sistemas de riesgo inaceptable quedan prohibidos. Los de riesgo alto – entre los que se encuentran soluciones de selección de personal, evaluación crediticia, diagnóstico médico asistido o gestión de infraestructuras críticas – soportan el régimen más exigente.
Para los sistemas de alto riesgo, el Reglamento impone un conjunto de obligaciones que el equipo jurídico y tecnológico de la empresa debe interiorizar. En primer lugar, la implantación de un sistema de gestión de riesgos documentado y actualizado. En segundo lugar, la garantía de calidad y representatividad de los datos de entrenamiento. En tercer lugar, la elaboración de documentación técnica suficiente. En cuarto lugar, el registro automático de eventos durante el funcionamiento del sistema. En quinto lugar, la transparencia frente al usuario. En sexto lugar, la supervisión humana efectiva del sistema.
Además, el Reglamento exige, para determinados supuestos, una evaluación de conformidad antes de la puesta en servicio. Esta evaluación puede ser interna o requerir la intervención de un organismo notificado externo, dependiendo de la categoría del sistema.
En nuestra práctica, hemos observado que muchas empresas cometen un error de partida: asumen que el AI Act solo afecta a quienes desarrollan la tecnología. Esta percepción es incorrecta. Los proveedores y los usuarios finales de sistemas de IA de alto riesgo comparten responsabilidades distintas pero igualmente exigibles bajo el Reglamento.
La autorregulación agrupa los instrumentos que las empresas o sectores adoptan voluntariamente para gobernar el uso de la inteligencia artificial: códigos éticos, marcos de gobernanza interna, principios de diseño responsable, comités de ética tecnológica y compromisos de transparencia ante clientes y proveedores.
La autorregulación tiene valor real. No como sustituto del cumplimiento normativo, sino como capa complementaria que permite adaptar las obligaciones generales del Reglamento a las particularidades operativas de cada empresa. Un sector industrial que fabrica maquinaria con componentes de IA tendrá necesidades de gobernanza distintas a una empresa de tecnología financiera que automatiza decisiones de riesgo crediticio.
La Comisión Europea y las autoridades nacionales de supervisión reconocen expresamente los códigos de conducta y los esquemas de certificación voluntaria como instrumentos que refuerzan el cumplimiento. Sin embargo, conviene ser precisos: la adhesión a un código de conducta no exime del cumplimiento obligatorio. Actúa como factor de mitigación en la evaluación de riesgos y como argumento ante una investigación regulatoria, pero no sustituye la documentación técnica, el sistema de gestión de riesgos ni la supervisión humana que el AI Act exige expresamente.
¿Puede una empresa operar confiando solo en su propio código ético de IA? La respuesta corta es no. La respuesta completa es que el código ético sin el andamiaje regulatorio es insuficiente y, en algunos contextos, puede generar una falsa sensación de seguridad que agrave la posición de la empresa ante las autoridades.
| Criterio | Reglamento de IA (AI Act) | Autorregulación |
|---|---|---|
| Naturaleza jurídica | Obligatoria y directamente aplicable en toda la UE | Voluntaria; adoptada por la propia empresa o sector |
| Alcance subjetivo | Proveedores, usuarios finales, importadores y distribuidores de sistemas de IA | El que la empresa o asociación sectorial defina |
| Riesgo de incumplimiento | Sanciones elevadas, potencialmente en función del volumen de negocio global | Sin sanción regulatoria directa; riesgo reputacional y contractual |
| Plazo de adaptación | Fijado por el Reglamento; fases de aplicación progresiva | Determinado por la empresa; sin plazo externo |
| Reversibilidad | Baja: los sistemas en servicio deben cumplir antes de operar | Alta: la empresa puede actualizar o revisar en cualquier momento |
| Coste de implantación | Variable; puede ser relevante para sistemas de alto riesgo | Generalmente menor en términos directos; variable según el nivel de ambición |
| Valor ante regulador | Exigible; su cumplimiento es condición de acceso al mercado interior | Mitigante en investigaciones; refuerza la posición pero no sustituye |
| Idoneidad | Obligatoria para todos los actores en el ámbito del AI Act | Recomendable como complemento; imprescindible para sectores sin equivalente normativo |
La lectura de esta tabla conduce a una conclusión práctica: ambos marcos no compiten entre sí. Se complementan. La empresa que diseña su gobernanza de IA combinando el cumplimiento del AI Act con una autorregulación inteligente está mejor posicionada que quien elige uno de los dos modelos de forma exclusiva.
Uno de los errores más frecuentes en la práctica empresarial es tratar el cumplimiento del AI Act y la adaptación al Reglamento General de Protección de Datos (RGPD) como proyectos paralelos e independientes. En realidad, se superponen con intensidad.
Los sistemas de IA de alto riesgo que procesan datos personales – y son mayoría en los entornos empresariales – deben satisfacer simultáneamente los requisitos del AI Act y los del RGPD. La base legitimadora del tratamiento, la evaluación de impacto sobre la protección de datos, el principio de minimización, la limitación de la finalidad y los derechos de los interesados son elementos del RGPD que interactúan directamente con la documentación técnica y el sistema de gestión de riesgos del AI Act.
La Agencia Española de Protección de Datos (AEPD) actúa como una de las autoridades de control en el ámbito nacional. La AEPD tiene competencia sobre el tratamiento de datos personales por sistemas de IA, lo que la posiciona como un actor central en la supervisión del cumplimiento combinado. En nuestra experiencia asesorando a empresas tecnológicas e industriales, la falta de coordinación entre el equipo de datos y el equipo de tecnología es la causa más habitual de brechas de cumplimiento.
El plazo de notificación de una brecha de seguridad a la AEPD es de setenta y dos horas desde que la empresa tiene conocimiento de ella. Este plazo no se suspende ni amplía por el hecho de que la brecha provenga de un sistema de IA. La empresa que no dispone de un protocolo de respuesta documentado – que integre tanto el RGPD como los requisitos del AI Act – se encontrará en una posición muy desfavorable cuando deba gestionar el incidente bajo presión temporal.
El AI Act establece un calendario de aplicación progresiva. Las prohibiciones de sistemas de riesgo inaceptable se aplican desde la primera fase. Los requisitos para sistemas de alto riesgo entran en vigor en fases posteriores. Los plazos exactos deben verificarse con la normativa vigente en cada momento, dado que el Reglamento puede ser objeto de desarrollo y precisión por parte de las instituciones europeas.
¿Qué decisiones estratégicas debe tomar la dirección de la empresa antes de que las obligaciones sean plenamente exigibles? Identificamos tres con carácter prioritario.
Primera: inventariar y clasificar todos los sistemas de IA que la empresa desarrolla, adquiere o utiliza, con indicación de su categoría de riesgo según el Reglamento. Este inventario es la base de toda la estrategia de cumplimiento y no puede improvisarse.
Segunda: decidir el modelo de gobernanza interno. Algunas empresas optan por crear una función específica de responsable de cumplimiento de IA; otras integran las responsabilidades en el delegado de protección de datos (DPO) existente o en el responsable de compliance penal. La solución idónea depende del tamaño de la organización y del volumen de sistemas de IA en uso.
Tercera: actualizar los contratos con proveedores tecnológicos. El AI Act genera nuevas obligaciones contractuales entre proveedores y usuarios finales de sistemas de alto riesgo. Los contratos que se firmaron antes de la entrada en vigor del Reglamento no recogen estas obligaciones. Revisarlos y completarlos es una tarea que no admite demora.
El compliance penal no es ajeno a la irrupción de la inteligencia artificial en las empresas. Los programas de cumplimiento normativo en materia penal incluyen, entre sus elementos nucleares, la identificación de riesgos penales de la actividad empresarial y los protocolos de respuesta ante indicios de ilícito.
El uso de sistemas de IA puede generar o ampliar riesgos penales en áreas como la privacidad, la discriminación en el acceso al empleo, la manipulación de información o la responsabilidad por productos defectuosos. Un programa de compliance robusto debe incorporar los riesgos específicos de la IA en su mapa de riesgos, actualizar los protocolos internos y garantizar que el canal de denuncias sea accesible para quienes detecten usos indebidos de sistemas de IA dentro de la organización.
La ausencia de un canal de denuncias operativo y de un programa de compliance actualizado puede agravar la posición de la empresa en una eventual investigación penal. La legislación española sobre responsabilidad penal de las personas jurídicas exige que el programa de compliance sea eficaz, no meramente formal. Esto incluye que los riesgos derivados de la IA estén contemplados y gestionados.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, la integración temprana de los riesgos de IA en el mapa de cumplimiento ha resultado ser la decisión con mayor impacto en la reducción de exposición regulatoria.
Existe un mito extendido entre los equipos de dirección: que una cláusula de privacidad en la web y un código de conducta tecnológico son suficientes para acreditar el cumplimiento de la normativa de datos y de IA. Este planteamiento es incorrecto y potencialmente costoso.
El registro de actividades de tratamiento, el protocolo documentado de gestión de brechas, la evaluación de impacto sobre la protección de datos para tratamientos de alto riesgo y el sistema de gestión de riesgos del AI Act son instrumentos que no se improvisan. Su implantación requiere tiempo, conocimiento técnico-jurídico y coordinación interna. Cuando una empresa espera a que la autoridad inicie una investigación para ponerlos en marcha, el coste – económico, reputacional y jurídico – se multiplica.
La lógica inversa es la que recomendamos: invertir en el diseño del programa de cumplimiento antes de que los sistemas de IA estén plenamente operativos permite incorporar los controles desde la arquitectura del sistema, no como parche posterior. Esto reduce el coste técnico de la adaptación y fortalece la posición de la empresa ante cualquier revisión regulatoria.
¿Cuándo es el momento adecuado para iniciar el proceso? La respuesta es siempre antes de que el sistema de IA esté en producción. El AI Act sigue en este punto la lógica del RGPD: la privacidad y la conformidad deben diseñarse desde el origen, no añadirse al final.
Asesoramos con regularidad a empresas que se encuentran en distintas fases del proceso: desde quienes todavía están evaluando si sus sistemas caen dentro del ámbito del AI Act, hasta quienes deben remediar una situación de incumplimiento ya detectada. En ambos extremos, el punto de partida es siempre el mismo: un análisis riguroso del inventario de sistemas, la clasificación de riesgo y la brecha entre la situación actual y las exigencias del Reglamento.
La gobernanza de la inteligencia artificial conecta directamente con el área de protección de datos y compliance de Velarde & Vidal, donde gestionamos tanto la adaptación al RGPD como el diseño e implantación de programas de cumplimiento normativo. Para empresas que operan en sectores con activos tangibles o que gestionan datos en entornos físicos, la auditoría de cumplimiento también es relevante en el ámbito inmobiliario y de construcción: puede consultar nuestra guía sobre cómo auditar el cumplimiento en ese sector. Cuando los sistemas de IA implican transferencias internacionales de datos, el análisis de las salvaguardas adecuadas es imprescindible; abordamos este ángulo en nuestro análisis sobre transferencias internacionales en el sector inmobiliario y de construcción.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.