El Reglamento de Inteligencia Artificial de la Unión Europea ha dejado de ser un texto en tramitación para convertirse en Derecho vigente con plazos de aplicación progresiva que ya afectan a las empresas que operan en el mercado único. Las organizaciones que tratan datos personales, automatizan decisiones o despliegan sistemas de IA en sus procesos internos o en sus productos se encuentran ante una obligación de cumplimiento nueva, compleja y con un régimen sancionador de primer orden. La dirección que espere a que las primeras resoluciones de las autoridades nacionales de supervisión sienten jurisprudencia asumirá un riesgo de cumplimiento muy superior al del competidor que actúe hoy.
El Reglamento de IA de la UE es el primer texto normativo de alcance general que regula los sistemas de inteligencia artificial en función del riesgo que presentan para los derechos fundamentales, la seguridad y la confianza de los ciudadanos. No se dirige únicamente a las grandes tecnológicas. Cualquier empresa que sea proveedora o usuaria de sistemas de IA en un contexto profesional queda sujeta a sus previsiones.
La norma distingue cuatro categorías de sistemas según su nivel de riesgo. Los sistemas de riesgo inaceptable quedan prohibidos. Los de alto riesgo soportan las obligaciones más exigentes: gestión de riesgos, conjuntos de datos documentados, registro de actividades, transparencia, supervisión humana y robustez técnica. Entre los sistemas de alto riesgo el Reglamento incluye, entre otros, los utilizados en procesos de selección de personal, en la evaluación crediticia, en la gestión de infraestructuras críticas y en la prestación de determinados servicios esenciales.
Los sistemas de riesgo limitado quedan sujetos principalmente a obligaciones de transparencia. Los de riesgo mínimo no generan obligaciones específicas. En nuestra experiencia asesorando a empresas en España, la mayoría de las organizaciones subestiman el alcance de la categoría de alto riesgo porque asocian la inteligencia artificial a los grandes modelos de lenguaje, cuando la norma alcanza a herramientas de análisis predictivo de RRHH o de scoring crediticio que llevan años en uso.
¿Por qué es relevante esta clasificación para la dirección jurídica y financiera? Porque determina el nivel de recursos, documentación y supervisión que la empresa debe destinar a cada sistema. Una clasificación incorrecta no es un error técnico: es un incumplimiento normativo con consecuencias sancionadoras.
La Agencia Española de Protección de Datos (AEPD) ha sido designada como una de las autoridades nacionales de supervisión con competencias en determinados ámbitos del Reglamento de IA, con especial relevancia en los sistemas que implican tratamiento de datos personales. Esto refuerza la necesidad de tratar la adaptación al Reglamento de IA como un proyecto integrado con el programa de cumplimiento del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
El Reglamento de IA entró en vigor en agosto de 2024 y su aplicación se escalonó en fases. Las prohibiciones para sistemas de riesgo inaceptable fueron de las primeras en resultar aplicables, seguidas de las obligaciones para los proveedores de modelos de IA de propósito general. Las obligaciones para sistemas de alto riesgo desplegados en sectores no regulados tienen un periodo de adaptación más amplio. Las empresas usuarias de sistemas de alto riesgo en sectores ya regulados disponen de plazos adicionales.
Este escalonamiento genera un riesgo específico para la dirección: la tentación de postergar el diagnóstico porque «aún queda tiempo». En nuestra práctica hemos observado que el tiempo efectivo de adaptación es muy inferior al plazo nominal, porque el diagnóstico, la clasificación, la implantación de controles y la documentación técnica requieren ciclos de proyecto que, en una empresa mediana, raramente bajan de varios meses.
El primer paso práctico es elaborar un inventario de sistemas de IA. Esta tarea no es trivial. Muchas organizaciones disponen de herramientas contratadas como servicio (software as a service) que incorporan funcionalidades de IA sin que el responsable del cumplimiento lo haya identificado formalmente. El inventario debe cubrir tanto los sistemas desarrollados internamente como los adquiridos a terceros, porque el Reglamento distingue entre el rol de proveedor y el de usuario y asigna obligaciones distintas a cada uno.
Una vez completado el inventario, la empresa debe afrontar al menos cuatro decisiones de gestión con implicaciones jurídicas directas.
La primera es la clasificación del riesgo de cada sistema. Esta clasificación no puede hacerla en solitario el departamento de tecnología. Requiere la participación del equipo jurídico y de cumplimiento, porque los criterios del Reglamento son normativos, no técnicos. Un error de clasificación puede suponer que un sistema de alto riesgo opere sin las salvaguardas exigidas.
La segunda decisión es la asignación de responsabilidades internas. El Reglamento exige que los sistemas de alto riesgo cuenten con supervisión humana efectiva. Esto no significa únicamente que exista un operario que revise las salidas del sistema. Significa que la empresa debe haber definido quién tiene autoridad para intervenir, modificar o detener el sistema, y que esa persona tiene capacidad real de ejercerla.
La tercera decisión afecta a los contratos con proveedores tecnológicos. Si la empresa utiliza un sistema de IA de alto riesgo desarrollado por un tercero, necesita revisar los contratos para asegurarse de que el proveedor le facilita la documentación técnica, los registros de actividad y las instrucciones de uso necesarias para cumplir con sus propias obligaciones como usuario. Esta revisión contractual es una de las áreas donde el asesoramiento jurídico temprano más coste evita.
La cuarta decisión es la integración del cumplimiento del Reglamento de IA en el programa de compliance de la empresa. Un canal de denuncias operativo, un código de conducta actualizado y un sistema de gestión de riesgos coherente son estructuras que ya deben estar presentes en la empresa y que deben absorber la nueva capa regulatoria sin generar fricciones internas. La empresa que no dispone de un programa de compliance estructurado tendrá que construirlo a la vez que adapta sus sistemas de IA, lo que eleva el coste y el plazo de adaptación de forma considerable.
La interacción entre el Reglamento de IA y la normativa de protección de datos es especialmente relevante en este punto. Según el Reglamento General de Protección de Datos, la empresa debe notificar una brecha de seguridad a la AEPD en un plazo de 72 horas desde que tiene conocimiento de ella. Si la brecha involucra un sistema de IA de alto riesgo, las obligaciones de notificación se multiplican y la documentación previa del sistema es determinante para demostrar que se actuó con la diligencia exigida. La empresa que no tiene documentado su sistema de IA en el momento de la brecha no puede acreditar que tenía controles adecuados.
El Reglamento de IA no sustituye al RGPD. Ambas normas coexisten y en muchos casos se solapan sobre los mismos sistemas y los mismos tratamientos. Una empresa que automatiza decisiones sobre personas físicas a través de un sistema de IA debe cumplir simultáneamente con las exigencias del Reglamento de IA y con las del RGPD en materia de decisiones automatizadas, minimización de datos y evaluaciones de impacto.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la adaptación al Reglamento de IA resultó más eficiente cuando existía ya una base sólida de cumplimiento del RGPD: registro de tratamientos actualizado, procedimientos de ejercicio de derechos, y protocolo de gestión de brechas operativo. La empresa que acometió la adaptación al RGPD con rigor tiene ventaja comparativa ahora.
¿Y el compliance penal? La Ley de Sociedades de Capital y la legislación penal en materia de responsabilidad de personas jurídicas establecen que la empresa puede eximir o atenuar su responsabilidad si dispone de un programa de cumplimiento penal eficaz y genuinamente implantado. El uso de sistemas de IA introduce vectores de riesgo penal nuevos: desde la posible comisión de delitos contra la intimidad hasta la manipulación de datos o el fraude informático. El programa de cumplimiento penal debe actualizarse para incorporar los riesgos derivados del uso de IA. Un canal de denuncias que cumpla con la normativa vigente y un protocolo de investigación interna son elementos esenciales de ese programa.
La empresa que mantiene la creencia de que con una cláusula de privacidad en su sitio web ya cumple con el RGPD comete un error grave. La AEPD ha sancionado a empresas que disponían de política de privacidad publicada pero carecían de registro de actividades de tratamiento, de acuerdos con encargados o de protocolos de respuesta a brechas. Esa misma lógica se trasladará a la aplicación del Reglamento de IA: la apariencia de cumplimiento sin sustancia detrás no protege frente a la autoridad supervisora.
El coste de la adaptación al Reglamento de IA es proporcional al momento en que se inicia. La empresa que comienza el diagnóstico con suficiente margen antes de que venzan los plazos de aplicación de las obligaciones relevantes para su actividad puede priorizar, escalonar las inversiones y negociar con proveedores desde una posición informada.
La empresa que actúa bajo presión, cuando el plazo ya ha vencido o cuando la autoridad supervisora ha iniciado una investigación, incurre en costes muy superiores: costes de consultoría en modo urgente, costes de renegociación contractual desfavorable, y eventualmente costes sancionadores o reputacionales.
En nuestra práctica, el diagnóstico temprano tiene tres efectos concretos. Primero, permite identificar los sistemas de alto riesgo antes de que estén profundamente integrados en los procesos de negocio, lo que facilita su adaptación o, en su caso, la decisión de prescindir de ellos si el coste de cumplimiento no es proporcional al beneficio operativo. Segundo, permite preparar la documentación técnica y jurídica necesaria con calidad, no bajo presión. Tercero, posiciona a la empresa para acreditar ante la autoridad supervisora que actuó con diligencia, lo que en el régimen sancionador del Reglamento de IA y del RGPD tiene un impacto directo sobre la cuantía de la eventual sanción.
El Reglamento de IA reserva las sanciones más elevadas para las infracciones más graves, con umbrales que suponen cifras significativas del volumen de negocio mundial de la empresa. La escala sancionadora es comparable a la del RGPD en su dimensión más severa. La dirección que evalúa si el coste de la adaptación es proporcional debe hacer esa comparación frente al coste potencial de la no adaptación, no frente a cero.
La adaptación al Reglamento de IA no es un proyecto único con un principio y un fin. Es un proceso continuo de gobernanza que debe integrarse en el modelo operativo de la empresa. No obstante, existen pasos secuenciales que definen la hoja de ruta inicial.
El primer paso es el inventario de sistemas de IA. La empresa debe identificar todos los sistemas que utiliza, tanto los desarrollados internamente como los contratados a terceros, y determinar si son proveedora o usuaria de cada uno según las definiciones del Reglamento.
El segundo paso es la clasificación por nivel de riesgo. Esta clasificación debe documentarse y revisarse cada vez que el sistema cambia de forma sustancial o cuando cambia el contexto de uso.
El tercer paso es el análisis de brechas entre las exigencias del Reglamento para cada sistema y el estado actual de cumplimiento. Este análisis debe cubrir la documentación técnica, los procedimientos de supervisión humana, los registros de actividad, las medidas de robustez y los controles de datos de entrenamiento.
El cuarto paso es la elaboración e implantación del plan de acción. El plan debe priorizar los sistemas de mayor riesgo y los plazos más próximos. Debe asignar responsabilidades internas y, donde sea necesario, exigir compromisos contractuales a los proveedores.
El quinto paso es la integración del Reglamento de IA en el programa de compliance de la empresa. El registro de actividades de tratamiento del RGPD debe alinearse con el inventario de sistemas de IA. El protocolo de brechas debe actualizarse para cubrir los incidentes que involucren sistemas de IA. El canal de denuncias debe contemplar la posibilidad de que se comuniquen incumplimientos relacionados con el uso de IA.
El sexto paso, y el que con mayor frecuencia se posterga, es la formación. Los empleados que utilizan sistemas de IA en sus funciones deben comprender las limitaciones del sistema, las situaciones en que deben escalar una decisión a supervisión humana, y los procedimientos internos aplicables. La formación no es solo una buena práctica: es un requisito de cumplimiento que la empresa debe poder documentar.
La adaptación al RGPD que muchas empresas acometieron a partir de 2018 demostró que los programas de cumplimiento bien diseñados e implantados con rigor resultan sostenibles a largo plazo y generan valor organizativo más allá del mero cumplimiento regulatorio. El Reglamento de IA ofrece la misma oportunidad a las empresas que actúen con anticipación. Para profundizar en la articulación entre el RGPD y el Reglamento de IA, puede consultar nuestra área de Protección de datos y compliance, donde desarrollamos los instrumentos jurídicos disponibles para cada necesidad.
En nuestra experiencia, los errores más recurrentes que observamos en empresas que inician un proceso de adaptación son los siguientes.
El primero es delegar la clasificación del riesgo exclusivamente al departamento de tecnología. La clasificación de riesgo del Reglamento de IA es una cuestión jurídica y de gobernanza, no solo técnica. El equipo jurídico y de cumplimiento debe participar activamente en este proceso.
El segundo error es tratar el Reglamento de IA como un proyecto separado del programa de compliance existente. La empresa que tiene un programa de compliance penal, un programa de cumplimiento del RGPD y ahora inicia un proyecto de adaptación al Reglamento de IA como tres silos independientes asume costes innecesarios y genera inconsistencias que dificultan la defensa ante la autoridad supervisora.
El tercero es no revisar los contratos con proveedores de tecnología. Muchos de los sistemas de IA que las empresas utilizan son proporcionados por terceros bajo modelos de suscripción o de servicio. La empresa usuaria tiene obligaciones propias frente al Reglamento que no puede externalizar contractualmente al proveedor. Pero sí puede y debe asegurarse de que el contrato le garantiza el acceso a la documentación técnica y a los registros que necesita para cumplir.
El cuarto error es ignorar el componente de formación. La supervisión humana que exige el Reglamento para los sistemas de alto riesgo no es efectiva si los operadores no entienden cuándo y cómo deben intervenir. La formación es un requisito de cumplimiento y, en caso de incidente, la evidencia de que se impartió es relevante para determinar si la empresa actuó con diligencia.
El quinto error, quizás el más costoso, es confundir la declaración de conformidad con el cumplimiento real. El Reglamento de IA prevé mecanismos de certificación y declaración de conformidad para determinados sistemas. Esos mecanismos son instrumentos de cumplimiento, no sustitutos de él. La empresa que firma una declaración de conformidad sin haber implantado los controles que la sustentan asume una responsabilidad adicional en caso de investigación.
La adaptación al Reglamento de IA se articula de forma natural con el asesoramiento en protección de datos, compliance penal y gobierno corporativo. En Velarde & Vidal acompañamos a las empresas en la implantación de programas de cumplimiento que integran el RGPD, la LOPDGDD y el Reglamento de IA en una estructura coherente y sostenible. Aquellas organizaciones que operan en sectores regulados o que disponen de un canal de denuncias pueden consultar nuestro análisis sobre las preguntas frecuentes sobre canal de denuncias y las implicaciones prácticas de su correcta operación. Para quienes evalúan el alcance del Reglamento de IA frente a otras opciones de ordenación, nuestra comparativa entre el Reglamento de IA y la autorregulación ofrece un análisis de los criterios de decisión relevantes.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.