El Reglamento de Inteligencia Artificial de la Unión Europea ha convertido una cuestión que muchas empresas postergaban en una obligación con plazos y consecuencias. Las organizaciones que utilizan sistemas de inteligencia artificial (IA) en sus procesos de negocio se enfrentan hoy a un marco normativo que cruza la regulación de protección de datos, la legislación de cumplimiento normativo y las exigencias específicas del nuevo Reglamento IA. Ignorarlo no es una opción. La exposición regulatoria crece con cada sistema no catalogado, con cada decisión automatizada sin supervisión y con cada ausencia de protocolo documentado.
El Reglamento IA aprobado por el Parlamento Europeo y el Consejo establece una arquitectura de obligaciones en función del riesgo que presenta cada sistema. No es una norma que obligue a todas las empresas por igual. Sí obliga, en cambio, a que cualquier empresa que despliegue o utilice IA tome una posición activa respecto de los sistemas que opera.
El enfoque basado en riesgo clasifica los sistemas en cuatro categorías: riesgo inaceptable (prohibidos), alto riesgo (sujetos a requisitos exigentes), riesgo limitado (con obligaciones de transparencia) y riesgo mínimo (sin obligaciones específicas). La categoría más relevante para las empresas medianas y grandes es la de alto riesgo. En ella se incluyen, entre otros, sistemas que toman decisiones que afectan al empleo, al acceso a servicios financieros, a la gestión de infraestructuras críticas o a la evaluación de solvencia crediticia.
¿Qué significa esto en la práctica para un director de operaciones o un director financiero? Que si su empresa utiliza un sistema de puntuación de crédito interno, un sistema de cribado de candidatos en Recursos Humanos o una herramienta de análisis predictivo que incide en decisiones individuales, ese sistema probablemente cae en la categoría de alto riesgo. Y en ese caso, las obligaciones son sustanciales.
Para los sistemas de alto riesgo, el Reglamento IA exige, como mínimo: un sistema de gestión del riesgo del ciclo de vida del sistema, documentación técnica detallada, registros de actividad que permitan la trazabilidad, transparencia e información suficiente para que el usuario pueda supervisar el sistema, y medidas de gobernanza de los datos de entrenamiento. Además, en muchos casos se requiere una evaluación de conformidad antes de la puesta en servicio.
Todo esto convive con el RGPD. La Agencia Española de Protección de Datos (AEPD) ha sido una de las primeras autoridades de control europeas en publicar guías sobre el uso de IA. Su posición es clara: el despliegue de IA que implique tratamiento de datos personales no exime del cumplimiento del RGPD. Al contrario, exige capa adicional de análisis. En particular, la evaluación de impacto relativa a la protección de datos (EIPD), conocida como DPIA por sus siglas en inglés, es obligatoria cuando el tratamiento automatizado produce efectos significativos sobre las personas. Hemos observado que muchas empresas omiten esta evaluación precisamente porque el proveedor de la herramienta la presenta como "conforme al RGPD", y esa confianza, sin análisis propio, no elimina la responsabilidad del responsable del tratamiento.
El principio de notificación de brechas de seguridad a la AEPD en un plazo máximo de 72 horas no varía por el hecho de que la brecha provenga de un sistema de IA. Si un modelo de IA expone datos personales, el reloj empieza a correr en el mismo momento en que la organización tiene conocimiento del incidente.
Antes de diseñar cualquier política de gobernanza, la empresa necesita saber con qué trabaja. En nuestra práctica hemos observado que la mayoría de las organizaciones que acuden a nosotros sin un programa previo de cumplimiento en materia de IA desconocen cuántos sistemas de IA están activos en sus distintas áreas de negocio. El departamento de marketing opera con herramientas de personalización. Recursos Humanos utiliza plataformas de selección con algoritmos de clasificación. Finanzas emplea modelos de previsión. Legal puede estar usando herramientas de revisión documental automatizada.
El inventario no es un ejercicio burocrático. Es el instrumento que permite a la dirección tomar decisiones fundadas.
Un inventario de sistemas de IA eficaz debe recoger, como mínimo: identificación del sistema y del proveedor, finalidad del sistema y decisiones que soporta, categoría de riesgo según el Reglamento IA, datos personales que trata (si los hay), base jurídica del tratamiento (en su caso), medidas de supervisión humana existentes, y responsable interno de su gestión.
Este inventario se integra directamente en el registro de actividades de tratamiento que exige la normativa de protección de datos. No son documentos paralelos: son capas del mismo instrumento de gobierno corporativo. La empresa que mantiene ambos registros actualizados tiene una ventaja defensiva inmediata si recibe una inspección de la AEPD o si se abre un procedimiento sancionador.
¿Cómo se organiza el proceso? Recomendamos una secuencia de cuatro pasos: (1) identificación transversal de todos los sistemas activos mediante entrevistas con los responsables de área; (2) clasificación por nivel de riesgo con asistencia jurídica; (3) análisis de brechas entre la situación actual y los requisitos aplicables; y (4) plan de remediación priorizado por exposición.
El Reglamento IA no es de aplicación inmediata en su totalidad. Tiene un calendario de implementación escalonado que genera decisiones urgentes para quienes ya operan con sistemas clasificables. Las prohibiciones para sistemas de riesgo inaceptable han entrado en vigor en la primera fase. Las obligaciones para sistemas de alto riesgo siguen un calendario diferido, pero ese diferimiento no significa ausencia de preparación: significa que el tiempo para adaptarse es limitado.
La dirección debe responder, al menos, a estas preguntas antes de que venzan los plazos aplicables:
En paralelo, la legislación española de compliance penal obliga a las personas jurídicas a tener un modelo de organización y gestión que prevenga la comisión de determinados delitos. El uso indebido de sistemas de IA puede tener proyección penal en supuestos de fraude, revelación de secretos o uso ilícito de datos. Un programa de compliance penal actualizado debe contemplar los riesgos derivados de la IA como un vector específico de exposición.
La gobernanza de la inteligencia artificial no debe tratarse como un proyecto tecnológico con soporte jurídico. Es, desde el primer momento, un problema de gobierno corporativo con componente tecnológico. Esta distinción importa porque define quién lidera el proceso, qué recursos se asignan y cómo se escala al consejo de administración.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos el factor diferencial ha sido la implicación directa de la dirección desde el inicio. Las empresas que delegan la gobernanza de IA al departamento de TI sin supervisión jurídica y sin reporte a la alta dirección acaban con sistemas no documentados, brechas de cumplimiento invisibles y, eventualmente, sanciones evitables.
Un programa de gobernanza de IA integrado en el programa de compliance general de la empresa debe cubrir, como mínimo, cinco ejes:
La integración con la adaptación al RGPD es inmediata. El delegado de protección de datos (DPD), cuando exista, debe formar parte del equipo de gobernanza de IA. Si la empresa no tiene DPD porque no está obligada, debe designar un responsable interno con formación adecuada o externalizar esa función a un proveedor especializado que pueda actuar con independencia.
La creencia de que con una cláusula de privacidad en la web ya se cumple el RGPD es uno de los errores más costosos que vemos en nuestra práctica. La cláusula de privacidad es el resultado visible de un proceso de cumplimiento, no el proceso en sí mismo. Una empresa que opera sistemas de IA sin registro de tratamientos, sin evaluación de impacto cuando procede y sin protocolo de brechas no está cumpliendo el RGPD, con independencia de lo que diga su aviso legal.
Los riesgos son de tres órdenes distintos:
Riesgo regulatorio. La AEPD dispone de potestad sancionadora. Las sanciones por incumplimiento del RGPD pueden ser muy relevantes. La ausencia de un registro de tratamientos actualizado, la falta de base jurídica para un tratamiento automatizado o la ausencia de evaluación de impacto en casos en que era obligatoria son incumplimientos que los procedimientos de inspección de la AEPD detectan con regularidad. A esto se añadirá, cuando sea plenamente aplicable, la potestad sancionadora derivada del Reglamento IA, que establece multas de cuantía significativa para las infracciones más graves.
Riesgo reputacional y contractual. Los clientes corporativos, especialmente en sectores regulados como el financiero, la salud o la industria, exigen cada vez con más frecuencia que sus proveedores acrediten un nivel adecuado de cumplimiento en protección de datos e IA. La incapacidad de acreditar ese cumplimiento puede ser un obstáculo para la renovación de contratos o para el acceso a licitaciones. En operaciones de adquisición, la falta de gobernanza de IA se convierte en un riesgo identificado en la diligencia debida (due diligence) que puede afectar al precio o a las condiciones de cierre.
Riesgo de responsabilidad civil y penal. Si un sistema de IA provoca un daño a un tercero y la empresa no puede demostrar que disponía de medidas adecuadas de supervisión y control, su exposición en sede judicial o arbitral es significativamente mayor. El compliance penal actualizado, con los riesgos de IA explícitamente catalogados, es una herramienta de defensa ante la responsabilidad penal de la persona jurídica.
El Reglamento IA coloca la supervisión humana en el centro de las obligaciones para los sistemas de alto riesgo. No es una exigencia retórica. Significa que la empresa debe poder demostrar, de forma documentada, que las decisiones relevantes que un sistema de IA soporta son revisadas, cuestionadas y, en su caso, modificadas por personas con capacidad real de hacerlo.
En nuestra experiencia asesorando a empresas en España, este es el elemento que más frecuentemente se implementa de forma deficiente. La empresa afirma tener supervisión humana, pero cuando se analiza el proceso real, esa supervisión se reduce a validar automáticamente la recomendación del sistema sin cuestionarla. Eso no es supervisión humana en el sentido que exige el Reglamento.
¿Cómo se instrumenta una supervisión humana efectiva? Mediante procedimientos documentados que establezcan: quién revisa, con qué criterios, en qué plazo, qué pasa cuando la persona supervisora discrepa del sistema, y cómo queda registrada esa decisión. Este procedimiento debe estar formalmente aprobado por la dirección e integrado en los procesos operativos de la empresa, no en un documento de políticas que nadie consulta.
La supervisión humana efectiva también tiene dimensión laboral. Los empleados que supervisan sistemas de IA deben tener formación específica, tiempo suficiente para ejercer esa supervisión y protección frente a presiones que les induzcan a validar sin revisar. Esto conecta directamente con la legislación laboral aplicable y con los mecanismos de protección del denunciante que la normativa de cumplimiento exige.
El momento óptimo para abordar la gobernanza de IA en la empresa no es después de recibir una inspección o una reclamación. Es antes de que los sistemas estén desplegados o, si ya lo están, antes de que el calendario regulatorio imponga obligaciones sin margen de preparación.
El coste de implementar un programa de gobernanza de IA de forma anticipada es, sistemáticamente, inferior al coste de remediar una situación de incumplimiento. La remediación exige más recursos, más urgencia y, en muchos casos, interrupciones operativas. La anticipación permite planificar la implementación, formar al equipo interno, negociar con los proveedores tecnológicos con tiempo y documentar el proceso de forma que sirva como evidencia de buena fe ante el regulador.
Acompañamos a un grupo industrial del sector manufacturero en el diseño de su marco de gobernanza de IA con motivo de la incorporación de un sistema de mantenimiento predictivo que procesaba datos de sus trabajadores. El proceso abarcó desde la clasificación del sistema bajo el Reglamento IA hasta la evaluación de impacto en protección de datos, la negociación del contrato con el proveedor y la formación del comité de supervisión interno. El resultado fue un sistema operativo con plena documentación de cumplimiento antes de su puesta en servicio, lo que permitió responder con agilidad a la primera auditoría interna del grupo.
Asesoramos con frecuencia a empresas que llegan a nosotros en un momento intermedio: ya tienen sistemas desplegados, no tienen documentación suficiente y el marco regulatorio ya está vigente. En esos casos, la prioridad es el análisis de brechas, la priorización de riesgos y la implementación acelerada de los elementos de mayor exposición. El registro de tratamientos, la política de uso aceptable y el protocolo de brechas son los tres primeros elementos que se deben implementar porque su ausencia es la más fácilmente detectable en una inspección.
Si su empresa opera en el ámbito del sector financiero o insurtech, la dimensión regulatoria de la IA se superpone con la normativa sectorial específica. Puede ampliar esa perspectiva en nuestro análisis sobre fintech y servicios financieros disponible en fintech y regulación financiera en España.
La siguiente relación resume los elementos mínimos que toda empresa que utiliza sistemas de IA debe tener en orden. No es una garantía de cumplimiento total, dado que la normativa aplicable varía según el tipo de sistema, el sector y el perfil de la organización. Sí es un diagnóstico de partida eficaz.
Si desea contrastar la situación de cumplimiento de su empresa en el ámbito de la protección de datos y el compliance, puede consultar el alcance completo de nuestra práctica en Protección de datos y compliance en Velarde & Vidal.
La gobernanza de la inteligencia artificial conecta directamente con otras prácticas que gestionamos de forma coordinada. La implementación de un programa de compliance eficaz requiere, con frecuencia, análisis de contratos con proveedores tecnológicos en el ámbito del Derecho societario y mercantil. Cuando la empresa opera en sectores regulados, la dimensión de propiedad intelectual y tecnología se vuelve igualmente relevante para proteger los activos derivados del uso de IA y gestionar la titularidad de los resultados generados por los sistemas. Si su empresa tiene presencia en Aragón o el corredor del Ebro y desea abordar su programa de cumplimiento con un equipo de proximidad, puede consultar nuestros servicios en protección de datos y compliance en Zaragoza.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.