El Reglamento de Inteligencia Artificial de la Unión Europea –el llamado AI Act– ha transformado el escenario regulatorio para cualquier empresa que desarrolle, implante o comercialice sistemas de IA en el mercado europeo. Para las startups tecnológicas y sus inversores de capital riesgo (venture capital), la clasificación del sistema de IA por nivel de riesgo no es un trámite secundario: condiciona la viabilidad de la ronda, el calendario de lanzamiento del producto y la exposición del equipo directivo a responsabilidad. Ignorarlo equivale a construir la arquitectura de la empresa sobre un cimiento que la normativa puede hacer colapsar.
El AI Act establece un sistema de clasificación por niveles de riesgo que determina las obligaciones aplicables a cada sistema de IA. No todas las empresas asumen el mismo nivel de exigencia. La norma distingue cuatro categorías principales: riesgo inaceptable, riesgo alto, riesgo limitado y riesgo mínimo.
Los sistemas de riesgo inaceptable están directamente prohibidos. Incluyen, entre otros, sistemas de puntuación social generalizada o la identificación biométrica remota en tiempo real en espacios públicos sin habilitación explícita. Para una startup, detectar que su producto cae en esta categoría en fase de desarrollo evita una inversión a fondo perdido.
Los sistemas de riesgo alto son los que concentran la mayor carga regulatoria. El AI Act los enumera en sus anexos: sistemas de selección de personal, herramientas de evaluación crediticia, sistemas de infraestructura crítica, IA en el ámbito de la educación, la justicia o la seguridad. Una startup de recursos humanos que automatiza el cribado de candidatos o una fintech que califica la solvencia de un cliente opera, con alta probabilidad, en esta categoría.
La carga de cumplimiento para los sistemas de riesgo alto incluye, entre otras obligaciones: gestión de riesgos documentada, datos de entrenamiento representativos y con calidad verificable, registro de actividad (logging), transparencia hacia el usuario, supervisión humana efectiva, robustez y ciberseguridad, y declaración de conformidad con marcado CE. Este conjunto de exigencias tiene implicaciones directas en la arquitectura del producto y en el presupuesto de desarrollo.
Los sistemas de riesgo limitado –como los chatbots de atención al cliente– tienen obligaciones más livianas, principalmente de transparencia: el usuario debe saber que interactúa con una IA. Y los de riesgo mínimo –un filtro de correo spam o un motor de recomendación básico– no tienen obligaciones específicas bajo el AI Act, aunque siguen sujetos a la normativa de protección de datos.
En nuestra experiencia asesorando a empresas tecnológicas, la principal dificultad no es entender la jerarquía de categorías: es determinar con precisión en cuál cae el sistema concreto de la empresa. La definición de "sistema de IA" en el AI Act es más amplia que la intuición técnica del fundador. Un modelo de regresión lineal puede quedar dentro del ámbito si se emplea en una decisión de alto impacto.
La clasificación no es una declaración unilateral de la empresa. Es el resultado de un proceso analítico estructurado que debe estar documentado y ser reproducible ante una autoridad de supervisión. Presentamos a continuación las fases operativas de ese proceso.
El punto de partida es responder con precisión a estas preguntas: ¿qué hace el sistema?, ¿qué datos utiliza como entrada?, ¿qué salida produce? y ¿qué decisión humana condiciona o sustituye? Una IA que genera texto publicitario tiene muy poco que ver, desde el punto de vista regulatorio, con una IA que determina el acceso a un préstamo. La descripción funcional precisa es el insumo mínimo del análisis.
Antes de analizar el nivel de riesgo, conviene comprobar si el sistema entra en alguna de las categorías prohibidas. Este paso es rápido pero crítico: si la función del sistema encaja con alguna de las prácticas proscritas, la conclusión es la reformulación del producto, no su clasificación en una categoría inferior.
El AI Act enumera los casos de uso de riesgo alto de forma taxativa. La empresa debe revisar si el sistema cae en alguno de esos ámbitos: infraestructuras críticas, educación, empleo, servicios esenciales (banca, seguros), aplicación de la ley, migración, administración de justicia, procesos democráticos. Si el sistema opera en alguno de estos ámbitos, la clasificación provisional es riesgo alto, salvo excepciones expresamente previstas en la norma.
El AI Act distingue entre proveedores (providers), despliegadores (deployers), importadores y distribuidores. Las obligaciones varían según el rol. Una startup que desarrolla el sistema y lo comercializa es proveedora: asume la carga máxima de cumplimiento. Una empresa que integra un modelo de tercero en su flujo operativo es despliegadora: tiene obligaciones propias, pero puede apoyarse en la documentación del proveedor. En muchas rondas de venture capital, este análisis de roles es un elemento de la diligencia debida (due diligence) técnico-jurídica.
La clasificación debe quedar recogida en un documento interno –a menudo denominado evaluación de conformidad o registro de clasificación– que recoja la función del sistema, el rol de la empresa, la categoría asignada y el razonamiento jurídico que la sustenta. Este documento no es una formalidad: es la primera línea de defensa ante la autoridad de supervisión y, para los inversores, es parte del dossier de cumplimiento que protege el valor de la inversión.
El AI Act ha establecido un calendario de aplicación gradual. Los sistemas de IA que caen en el ámbito de la norma no tienen todos el mismo plazo de adaptación: las prácticas prohibidas entraron en vigor en una fase temprana, mientras que los sistemas de riesgo alto tienen plazos más extensos en función del ámbito de despliegue. Conviene verificar con la normativa vigente el calendario exacto aplicable al sistema concreto, ya que los plazos de transposición e implementación han ido actualizándose.
Para un equipo directivo de una startup, las decisiones críticas son las siguientes:
¿Ha valorado su empresa el impacto de una reclasificación por parte de la autoridad de supervisión durante una ronda de inversión? La respuesta a esa pregunta determina si el programa de cumplimiento es un activo de la empresa o una contingencia que el inversor descuenta de la valoración.
Un error frecuente en las startups de IA es tratar el cumplimiento del AI Act de forma aislada, como si fuera un requisito independiente del resto del marco regulatorio. No lo es.
El RGPD y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) siguen siendo el marco central de la adaptación al RGPD en cualquier empresa que procese datos personales. El AI Act añade una capa de exigencias sobre los sistemas automatizados, pero no sustituye las obligaciones que ya existían: base de legitimación de cada tratamiento –cuya elección entre consentimiento o interés legítimo tiene implicaciones prácticas muy concretas–, derechos de los interesados, medidas de seguridad, nombramientos de delegado de protección de datos cuando sea exigible, y registro de tratamientos.
La adaptación RGPD de una startup que desarrolla IA debe, por tanto, articularse de forma coordinada con el cumplimiento del AI Act. Ambos marcos comparten herramientas –la evaluación de impacto, el principio de privacy by design– y sus exigencias son, en muchos casos, acumulativas.
Existe, además, una dimensión de compliance penal que no puede ignorarse. La legislación española en materia de responsabilidad penal de las personas jurídicas exige que las empresas cuenten con programas de prevención de delitos que incluyan, entre otros elementos, un canal de denuncias operativo. Una startup que opera sistemas de IA en ámbitos sensibles –selección de personal, acceso a servicios financieros– puede generar situaciones de riesgo de discriminación algorítmica que, en función de las circunstancias, podrían tener relevancia en sede penal. El programa de compliance penal debe contemplar expresamente los riesgos derivados del uso de IA.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la integración temprana del marco de IA en el programa de cumplimiento existente ha resultado más eficiente –en tiempo y coste– que su tratamiento como proyecto independiente.
El inversor de venture capital que evalúa una startup de IA ha incorporado el cumplimiento regulatorio como variable de valoración. No es filantropía regulatoria: es gestión del riesgo de la cartera.
En la diligencia debida (due diligence) técnico-jurídica previa a una ronda, los puntos de revisión habituales relacionados con el cumplimiento del AI Act incluyen:
Una startup que llega a una ronda Serie A sin haber abordado ninguno de estos elementos enfrenta dos escenarios igualmente indeseables: que el inversor descuente la contingencia regulatoria de la valoración, o que exija un periodo de adaptación previo al cierre que dilata el calendario de la operación. Ninguno de los dos es neutro.
En nuestra práctica asesorando a empresas tecnológicas en procesos de inversión, hemos observado que los fondos más sofisticados incluyen en sus hojas de términos (term sheet) cláusulas específicas de representación sobre el estado de cumplimiento del AI Act. Incumplir una representación de ese tipo puede tener consecuencias sobre el precio de la operación o activar mecanismos de ajuste post-cierre.
La lógica es sencilla. Cuanto más avanzado está el producto en su ciclo de desarrollo, más costoso es introducir las modificaciones que exige el cumplimiento regulatorio. Rediseñar la arquitectura de un modelo de selección de personal para cumplir con los requisitos de datos de entrenamiento del AI Act cuando el modelo ya está en producción puede implicar semanas de trabajo de ingeniería. El mismo rediseño en fase de diseño es cuestión de horas.
Hay tres momentos en los que el asesoramiento jurídico especializado genera el mayor retorno para una startup de IA:
El mito de que con una cláusula de privacidad en la web ya se cumple el RGPD tiene su equivalente en el mundo del AI Act: que con un aviso de "este sistema usa IA" ya se cumple la norma. Ambas creencias son igualmente inexactas. El cumplimiento del AI Act para sistemas de riesgo alto exige procesos documentados, arquitecturas técnicas específicas y supervisión continua. No es una declaración unilateral: es un sistema de gestión.
La prueba de ello está en la práctica de los programas de cumplimiento que funcionan: el registro de tratamientos, el protocolo de brechas y el modelo de compliance integrado reducen tanto la probabilidad de sanción como la responsabilidad del órgano de administración en caso de incidente. Lo mismo ocurre con el cumplimiento del AI Act: la documentación previa es la mejor defensa ante una inspección.
A modo de síntesis operativa, el siguiente checklist recoge los pasos mínimos que debe completar una startup o una empresa participada por un fondo de venture capital para clasificar correctamente su sistema de IA y gestionar las obligaciones derivadas.
¿Tiene su empresa un documento que recoja este análisis para cada sistema de IA en desarrollo o en producción? Si la respuesta es negativa, el riesgo regulatorio ya es presente, no futuro.
La clasificación de sistemas de IA se enmarca dentro de un programa de cumplimiento más amplio que integra protección de datos, compliance penal y gobierno corporativo. Si su empresa opera en un entorno regulado o se prepara para una ronda de inversión, le invitamos a conocer en detalle nuestra práctica de protección de datos y compliance, donde abordamos de forma coordinada el AI Act, el RGPD y la normativa de compliance penal.
Si su empresa ha recibido o prevé recibir una inspección de la Agencia Española de Protección de Datos (AEPD) en relación con el tratamiento automatizado de datos, puede consultar nuestra guía específica sobre cómo afrontar una inspección de la AEPD. Asimismo, si necesita claridad sobre la base de legitimación de su tratamiento automatizado, nuestra comparativa sobre consentimiento frente a interés legítimo ofrece los criterios de decisión aplicables al entorno empresarial español.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.